PAdES, XAdES und CAdES sind standardisierte Signaturformate. Sie legen fest, wie kryptografische Informationen mit einem Dokument oder Datensatz verbunden werden und wie sich die elektronische Signatur später validieren lässt. Dieselben technischen Strukturen können auch für elektronische Siegel verwendet werden.
Ob ein Vorgang rechtlich als elektronische Signatur oder als elektronisches Siegel einzuordnen ist, hängt nicht vom Format allein ab. Elektronische Signaturen sind natürlichen Personen zugeordnet, elektronische Siegel dagegen juristischen Personen. Für die technische Auswahl des Formats sind vor allem der Dateityp, der Verarbeitungsprozess, die Empfängersysteme und die Anforderungen an die langfristige Validierung entscheidend.
Als grundlegende Orientierung gilt:
- PAdES eignet sich für PDF-Dokumente.
- XAdES ist für XML-Daten und XML-basierte Prozesse vorgesehen.
- CAdES kann für nahezu beliebige Dateitypen verwendet werden.
- ASiC kann Dateien und zugehörige Signatur- oder Siegelinformationen in einem Container zusammenfassen.
Was unterscheidet PAdES, XAdES und CAdES?
Die drei Formate verfolgen dasselbe Grundziel – Sie schützen die Integrität digitaler Inhalte und ermöglichen die Prüfung der verwendeten Zertifikate sowie der kryptografischen Daten. Sie unterscheiden sich jedoch darin, wie diese Informationen mit dem signierten oder versiegelten Inhalt verbunden werden.
PAdES steht für „PDF Advanced Electronic Signatures“. Das Format wurde speziell für PDF-Dokumente entwickelt. Die Signatur- oder Siegelinformationen werden in die PDF-Datei eingebettet.
XAdES bedeutet „XML Advanced Electronic Signatures“. XAdES basiert auf XML Signature und eignet sich für strukturierte XML-Dokumente sowie automatisierte XML-Datenaustauschprozesse.
CAdES steht für „CMS Advanced Electronic Signatures“. Das Format basiert auf der Cryptographic Message Syntax und ist nicht an einen bestimmten Dokumenttyp gebunden. Es kann unter anderem für Bilder, Archive, Office-Dateien, Messdaten oder proprietäre Binärformate eingesetzt werden.
Die Wahl des Formats bestimmt nicht, ob eine Signatur oder ein Siegel einfach, fortgeschritten oder qualifiziert ist. Entscheidend sind unter anderem das verwendete Zertifikat, die eingesetzte Signatur- oder Siegelerstellungslösung und die Erfüllung der jeweiligen rechtlichen Anforderungen.
Ein Dokument im PAdES-Format ist daher nicht automatisch qualifiziert signiert oder qualifiziert versiegelt. Auch XAdES und CAdES können für unterschiedliche Vertrauensniveaus verwendet werden.
PAdES für PDF-Dokumente
PAdES ist in vielen Unternehmen das praktischste Format, weil geschäftliche und administrative Dokumente häufig als PDF erstellt, versendet und archiviert werden.
Typische Einsatzbereiche sind:
- elektronisch unterzeichnete Verträge,
- Erklärungen und Einwilligungen,
- elektronische Rechnungen,
- Zertifikate und Bescheinigungen,
- Behörden- und Unternehmensdokumente,
- Konto-, Versicherungs- und Abrechnungsunterlagen,
- Prüfberichte und Gutachten.
Der zentrale Vorteil besteht darin, dass das signierte oder versiegelte Dokument weiterhin eine PDF-Datei bleibt. Der Empfänger muss normalerweise keine separate Signaturdatei zuordnen. Mit geeigneter Software lassen sich Informationen zum Zertifikat, zur Integrität und zum Validierungsstatus direkt aus dem Dokument auslesen.
PAdES ist besonders geeignet, wenn Dokumente von Menschen gelesen, heruntergeladen, weitergeleitet oder archiviert werden sollen. Gleichzeitig sollte berücksichtigt werden, dass nicht jeder PDF-Reader eine vollständige Validierung durchführen kann. Eine belastbare Prüfung kann zusätzlich die Zertifikatskette, den Zertifikatsstatus, Zeitstempel, Vertrauenslisten und eingebettete Validierungsdaten einbeziehen.
Für PAdES werden vier Baseline-Stufen unterschieden:
- PAdES-B-B enthält die grundlegenden Signaturinformationen.
- PAdES-B-T ergänzt einen vertrauenswürdigen Zeitnachweis.
- PAdES-B-LT enthält zusätzliche Daten für die spätere Validierung.
- PAdES-B-LTA erweitert den Nachweis für eine langfristige Beweiswerterhaltung.
Die Bezeichnungen gelten für die technische Signaturstruktur unabhängig davon, ob sie für eine elektronische Signatur oder ein elektronisches Siegel genutzt wird.
Auch PAdES-B-LTA garantiert keine unbegrenzte Validierbarkeit. Zertifikate laufen ab, kryptografische Algorithmen können an Sicherheit verlieren und Vertrauensinformationen können sich verändern. Bei langen Aufbewahrungsfristen können deshalb zusätzliche Zeitstempel, erneuerte Beweisdaten oder ergänzende Archivierungsmaßnahmen erforderlich sein.
XAdES für XML-Daten und automatisierte Prozesse
XAdES eignet sich für Anwendungen, in denen XML-Dokumente oder strukturierte XML-Datensätze verarbeitet werden. Das betrifft beispielsweise Verwaltungsverfahren, B2B-Schnittstellen, Branchenplattformen und automatisierte Fachanwendungen.
Der wesentliche Vorteil besteht darin, dass die Signaturinformationen ebenfalls strukturiert in XML dargestellt werden. Dadurch können Systeme sowohl die fachlichen Daten als auch die zugehörigen Signatur- oder Siegelinformationen automatisiert auswerten.
Je nach technischer Architektur sind unterschiedliche Verknüpfungen möglich:
- Bei einer enveloped Signatur befindet sich die Signaturstruktur innerhalb des signierten XML-Dokuments.
- Bei einer enveloping Signatur sind die signierten Daten Bestandteil der XML-Signaturstruktur.
- Bei einer detached Signatur werden Signatur und Inhalt getrennt gespeichert.
Diese Varianten beschreiben die technische Verbindung zwischen Daten und Signaturstruktur. Sie stellen keine eigenen Sicherheits- oder Vertrauensstufen dar.
Bei XAdES müssen Sender und Empfänger präzise festlegen:
- welche XML-Elemente signiert oder versiegelt werden,
- ob externe Inhalte einbezogen sind,
- welche Referenzen verwendet werden,
- welches Kanonisierungsverfahren gilt,
- welches XAdES-Profil unterstützt wird,
- wie die Validierung im Empfängersystem erfolgt.
Die XML-Kanonisierung sorgt dafür, dass technisch unterschiedliche, aber fachlich gleichwertige Darstellungen der XML-Daten einheitlich verarbeitet werden. Ohne eine festgelegte Kanonisierung könnten bereits Unterschiede bei Leerzeichen, Attributen oder Zeilenumbrüchen zu abweichenden Prüfergebnissen führen.
XAdES eignet sich insbesondere für:
- XML-basierte Anträge und Meldungen,
- strukturierte Verwaltungsdaten,
- elektronische B2B-Nachrichten,
- XML-basierte Erklärungen und Formulare,
- automatisierte Fachverfahren,
- Prozesse mit gezielt referenzierten Datenbestandteilen.
Für Endnutzer ist XAdES häufig weniger komfortabel als PAdES, weil XML-Dateien ohne zusätzliche Darstellungskomponenten keine einheitliche visuelle Ansicht besitzen. Für vollständig automatisierte Datenaustauschprozesse kann XAdES dagegen die bessere Wahl sein.
CAdES für beliebige Dateiformate
CAdES bietet die größte Unabhängigkeit vom Dateityp. Das Format eignet sich für Inhalte, die weder als PDF noch als XML vorliegen.
Typische Anwendungsfälle sind:
- Bilder und Archive,
- technische Protokolle,
- Mess- und Sensordaten,
- Office- und Konfigurationsdateien,
- Softwarepakete,
- proprietäre Binärformate,
- Backend- und Systemkommunikation.
CAdES kann in unterschiedlichen technischen Varianten verwendet werden. Bei einer detached Struktur werden die Signatur- oder Siegelinformationen getrennt von den geschützten Daten gespeichert. In anderen Varianten kann der Inhalt Bestandteil der CMS-Struktur sein. CAdES erfordert daher nicht grundsätzlich zwei separate Dateien.
Die Flexibilität des Formats ist gleichzeitig eine Herausforderung. Endanwender können eine CAdES-Struktur meist nicht so einfach öffnen und visuell prüfen wie ein PDF-Dokument. Für die Validierung ist in der Regel eine geeignete Anwendung erforderlich.
Bei getrennten CAdES-Strukturen muss außerdem dauerhaft sichergestellt werden, dass die Signaturdatei dem richtigen Originalinhalt zugeordnet bleibt. Werden beide Bestandteile getrennt übertragen oder archiviert, kann ihre Verbindung verloren gehen.
In solchen Fällen kann ein ASiC-Container sinnvoll sein. Er fasst Dateien und zugehörige Signatur- oder Siegelinformationen in einem gemeinsamen Container zusammen und erleichtert dadurch die Übertragung sowie Archivierung.
Welches Format eignet sich für welchen Anwendungsfall?
Die Wahl zwischen PAdES, XAdES und CAdES richtet sich in erster Linie nach dem Ausgangsformat und dem vorgesehenen Prozess.
PAdES ist meistens geeignet, wenn:
- das Ausgangsdokument eine PDF-Datei ist,
- eine direkte visuelle Darstellung benötigt wird,
- Dokument und Signatur beziehungsweise Siegel in einer Datei bleiben sollen,
- der Inhalt von Menschen gelesen oder weitergeleitet wird.
XAdES ist meistens geeignet, wenn:
- XML-Dokumente verarbeitet werden,
- strukturierte Datenfelder relevant sind,
- der Prozess weitgehend automatisiert abläuft,
- XML-basierte Fachverfahren oder Schnittstellen eingesetzt werden.
CAdES ist meistens geeignet, wenn:
- beliebige oder proprietäre Dateitypen geschützt werden,
- Binärdaten verarbeitet werden,
- eine CMS- oder PKCS#7-Infrastruktur vorhanden ist,
- die Verarbeitung überwiegend in Backend-Systemen erfolgt.
Diese Einteilung ist eine technische Orientierung und keine rechtliche Vorgabe. Branchenstandards, Behörden, Geschäftspartner oder konkrete Verfahrensspezifikationen können ein bestimmtes Format oder Profil verlangen.
Unternehmen müssen sich nicht auf ein einziges Format beschränken. Eine zentrale Signatur- und Siegelplattform kann PDF-Dokumente im PAdES-Format, XML-Daten im XAdES-Format und andere Dateien im CAdES-Format verarbeiten.
Vor der Auswahl sollten insbesondere folgende Punkte geprüft werden:
- Ausgangsformat der Daten,
- Kompatibilität der Empfängersysteme,
- erforderliches Vertrauensniveau,
- Automatisierungsgrad,
- Anforderungen an die Langzeitvalidierung,
- Archivierungsverfahren,
- unterstützte Baseline-Profile,
- Interoperabilität mit externen Systemen.
PAdES, XAdES und CAdES sind standardisierte Signaturformate, deren technische Strukturen sowohl für elektronische Signaturen als auch für elektronische Siegel verwendet werden können. PAdES eignet sich vor allem für PDF-Dokumente, XAdES für strukturierte XML-Daten und CAdES für andere oder binäre Dateiformate. Welches Format geeignet ist, hängt nicht davon ab, ob eine Signatur oder ein Siegel erstellt wird, sondern vor allem vom Dateityp, vom Verarbeitungsprozess, vom Empfängersystem und von den Anforderungen an die spätere Validierung.
