Wie kann ich nachweisen, dass ein PDF nicht verändert wurde?

Warum die naheliegenden Methoden versagen

Drei Ansätze werden zuerst genannt, und alle drei sind schwächer, als sie wirken.

Dateimetadaten. Die Dokumenteigenschaften zu öffnen und Erstellungs- mit Änderungsdatum zu vergleichen, fühlt sich wie eine Prüfung an. Es ist keine. Schon das Herunterladen einer Datei kann die Änderungszeit ändern, ohne dass ein einziges Byte anders wäre, und viele Bearbeitungswerkzeuge lassen die Felder für Autor und Ersteller unberührt. Metadaten schreibt, wer die Datei zuletzt in der Hand hatte, und genau dessen Verhalten steht in Frage.

PDF/A-Konformität. PDF/A ist ein Archivformat. Es entfernt Funktionen, die dazu führen könnten, dass ein Dokument künftig anders dargestellt wird, etwa eingebettete Skripte und Verweise auf externe Schriften. Das ist wertvoll, und es sagt nichts darüber aus, ob sich der Inhalt geändert hat. Eine PDF/A-Datei lässt sich bearbeiten und als vollkommen konforme PDF/A-Datei erneut speichern.

Eine eingefügte Unterschrift. Eine eingescannte Unterschrift in einem Dokument ist ein Bild. Zu den umgebenden Bytes besteht keinerlei kryptografische Beziehung.

Was tatsächlich funktioniert

Drei Mechanismen, die drei verschiedene Fragen beantworten. Lässt man einen weg, bleibt eine Lücke.

1. Ein kryptografischer Hash, um Änderungen zu erkennen. Eine Hashfunktion verdichtet die Datei zu einem Fingerabdruck fester Länge. Ändert sich irgendwo ein einziges Bit, ändert sich der Fingerabdruck vollständig. SHA-256 oder SHA-384 sind derzeit die sinnvollen Wahlmöglichkeiten. Der Hash belegt, dass die Datei, die Sie jetzt haben, Byte für Byte die Datei ist, aus der er gebildet wurde.

Für sich genommen belegt er nichts über das Wann und nichts darüber, wer ihn gebildet hat. Ein Hash, den Sie selbst berechnet und in Ihrer eigenen Datenbank abgelegt haben, bleibt Ihre Behauptung.

2. Ein vertrauenswürdiger Zeitstempel, um den Moment zu fixieren. RFC 3161 beschreibt, wie ein Hash an eine Zeitstempelstelle gesendet wird und ein signiertes Token zurückkommt, das diesen Hash und die Zeit enthält. Nur der Hash verlässt das Haus, das Dokument selbst also nie.

Das ist der Teil, der aus Ihrer eigenen Behauptung den Nachweis eines Dritten macht, denn die Bestätigung ist von jemandem signiert, der an Ihrem Dokument kein Interesse hat.

3. Eine Custody-Aufzeichnung, um die Lücke zu schließen. Hash und Zeitstempel belegen den Zustand der Datei zu einem Moment. Ein Prüfer fragt nach der Zeit zwischen diesem Moment und heute. Eine Custody-Aufzeichnung beantwortet das: jede Handlung am Dokument, wer sie ausführte, wann und von wo, ausschließlich anfügend geschrieben, sodass Einträge nicht stillschweigend verschwinden können.

Verkettet man jeden Eintrag mit dem Hash des vorherigen, bricht ein Löschen in der Mitte die Kette. Das macht die Abwesenheit von Manipulation nachweisbar statt bloß behauptet.

Was Sie in der Praxis aufbewahren

Bewahren Sie Dokument, Hash, Zeitstempel-Token und Custody-Aufzeichnung zusammen auf, in einem Format, das Sie in zehn Jahren noch öffnen können. Praktisch heißt das PDF/A-3 für das Dokument, denn dieses Format erlaubt Anhänge und kann den Nachweis neben der Datei mitführen.

Bewahren Sie auch das Prüfmaterial auf. Ein Zeitstempel-Token wird gegen die Zertifikatskette der Zeitstempelstelle geprüft, und Zertifikate laufen ab. Wollen Sie 2035 prüfen, was Sie 2026 gestempelt haben, müssen Sie Kette und Sperrstatus so aufbewahren, wie sie damals waren. Dieses Material ist heute verfügbar und später nicht mehr.

Wo SealDoc hineinpasst

SealDoc automatisiert die drei Mechanismen. Jedes verarbeitete Dokument wird zu einer PDF/A-3B-Datei, validiert gegen ISO 19005-3, standardmäßig mit RFC-3161-Zeitstempel, mit SHA-384-Hashkette und Chain-of-Custody-Aufzeichnung. Der Export ist ein Nachweispaket pro Dokument, auf Anfrage: Dokument, Audit-Trail und ein Manifest, das sowohl die einzelnen Dateien als auch den gesamten Satz versiegelt.