Siegeln in calServer: welches Siegel auf welchen Schein gehört¶
18. August 2026
Ein Kalibrierschein als PDF sagt dem Empfänger nichts darüber, ob er wirklich aus dem Labor stammt, dessen Briefkopf oben steht. Die eingescannte Unterschrift darauf ist ein Bild und lässt sich austauschen. calServer siegelt deshalb den freigegebenen Schein: die Datei wird kryptografisch an ein Zertifikat des Labors gebunden, und jeder übliche PDF-Betrachter zeigt danach, wer gesiegelt hat und ob seither ein Byte geändert wurde.
Das Siegel ist unsichtbar. Es ist eine Zusicherung über das ganze Dokument und kein Stempel auf einer Seite. Ein nachträglich aufgestempeltes Bild würde die Datei neu schreiben und genau die Signatur zerstören, die es abbilden soll.
Vier Arten, nicht eine¶
Ein Labor braucht selten nur ein Siegel. calServer unterscheidet deshalb, wofür ein Zertifikat da ist, und die Art steht am Credential:
| Art | Was sie aussagt | Typischer Einsatz |
|---|---|---|
| Firmensiegel | Das Dokument kommt aus diesem Labor. Über eine Akkreditierung sagt es nichts. | Werkskalibrierscheine, Prüfprotokolle, Berichte an Kunden |
| Akkreditierungssiegel | Das Labor zeichnet den Schein unter seiner Akkreditierung. | Der akkreditierte Kalibrierschein, und nur der |
| Persönliche Signatur | Eine benannte Person hat unterschrieben. | Wenn eine Person und nicht das Labor zeichnet |
| Betriebseigene PKI | Das Zertifikat stammt aus der Zertifizierungsstelle des Unternehmens. | Inhouse-Labore, deren Empfänger im selben Konzern sitzen |
Ob dabei ein Siegel oder eine Signatur entsteht, kreuzt niemand an: calServer liest den Inhaber aus dem Zertifikat. Gehört es einer juristischen Person, also dem Labor, ist es ein Siegel. Gehört es einer natürlichen Person, ist es eine Signatur. Beides ist zulässig, die Oberfläche benennt es nur richtig.
Das DAkkS-Siegel ist in dieser Aufstellung kein eigener Fall, sondern ein
Akkreditierungssiegel mit deutscher Akkreditierungsnummer. Die Nummer, etwa
D-K-12345-01-00, landet im Zertifikat als organizationIdentifier
(OID 2.5.4.97 nach EN 319 412-1), also dort, wo die Werkzeuge einer Begutachtung
sie suchen. Im System steht nichts DAkkS-Spezifisches. Ein Labor mit einer
Akkreditierung aus einem anderen Land trägt seine Nummer an dieselbe Stelle und
bekommt dasselbe Verhalten.
Vier Wege zum Zertifikat¶
Alle vier führen zu einem Eintrag in derselben Liste. Sie unterscheiden sich darin, wo der private Schlüssel entsteht und was ein Empfänger dem Siegel entnehmen kann.
| Weg | Wo der Schlüssel entsteht | Was der Empfänger sieht |
|---|---|---|
| Selbst erzeugen | im Siegel-Dienst | „Gültigkeit unbekannt“: belegt Unverändertheit, nicht die Herkunft |
| Von einer Zertifizierungsstelle ausstellen lassen | im Siegel-Dienst, verlässt ihn nie | Herkunft belegt, Aussteller sichtbar |
| Vorhandene Schlüsseldatei einlesen | außerhalb, wandert einmal als Datei herein | so viel, wie das gekaufte Zertifikat hergibt |
| Fernsignatur beim Vertrauensdiensteanbieter | beim Anbieter, auf dessen Signaturerstellungseinheit | die einzige Konstellation, in der ein Siegel qualifiziert sein kann |
Für ein Akkreditierungssiegel ist der zweite Weg der übliche. calServer erzeugt den Schlüssel im Siegel-Dienst und gibt einen Zertifikatsantrag heraus; die Zertifizierungsstelle signiert ihn, das Zertifikat wird eingesetzt, der Schlüssel bleibt derselbe und hat die Anlage nie verlassen. Es dauert so lange, wie die Zertifizierungsstelle braucht, und ist der einzige Weg, auf dem kein Schlüsselmaterial über eine Leitung geht.
Was ein Siegel wert ist, entscheidet ebenfalls das Zertifikat und nicht ein Ankreuzfeld. calServer liest die Stufe aus: Selbstauskunft, von einer CA ausgestellt, qualifiziertes Zertifikat oder qualifiziert. „Qualifiziert“ ist ein Rechtsbegriff, und ein Feld zum Anhaken wäre dazu keine Aussage, sondern eine Behauptung. Qualifiziert kann ein Siegel nur sein, wenn der Schlüssel nicht als Datei auf dem Server liegt, also bei der Fernsignatur.
Davon zu trennen ist, was das Dokument mitbringt. PAdES-B-B nennt, wer gesiegelt hat. B-T nennt zusätzlich wann, mit dem Zeitstempel eines Dritten nach RFC 3161. B-LT legt Kette und Sperrauskunft mit ins Dokument, damit das Siegel auch in Jahren noch prüfbar ist, wenn das Zertifikat längst abgelaufen ist. Die Stufe steht am Credential, sie ist keine Eigenschaft des Systems.
Welches Siegel auf welchen Schein darf¶
Der Fehler, der ein Labor teuer zu stehen kommt, ist nicht das fehlende Siegel. Es ist das falsche: das Akkreditierungssiegel auf einem Werkszertifikat.
calServer regelt das über eine sortierte Liste von Regeln. Jede Regel weist ein Credential zu und trägt Bedingungen: Berichtstyp, Kunde, Rolle und Gruppe der entscheidenden Person. Was leer bleibt, heißt „egal“. Die erste passende Regel gewinnt. Eine Regel ganz ohne Bedingung ist die Auffangregel.
Zwei Eigenschaften machen daraus Kontrolle statt Kosmetik. Solange keine aktive Regel existiert, ändert sich nichts; ein Labor mit einem einzigen Firmensiegel muss keine Regel schreiben, um siegeln zu dürfen. Sobald aber eine aktive Regel existiert, ist die Auswahl gebunden, und von Hand lässt sich kein Credential mehr nehmen, das keine Regel zulässt. Der Mittelweg, Regeln als Vorschlag mit freier Handauswahl daneben, sähe nach Kontrolle aus und wäre keine.
Abgelehnt wird mit zwei verschiedenen Gründen, weil sie für den Benutzer verschiedene Dinge bedeuten. Entweder passt für diesen Schein gar keine Regel, dann hilft auch kein anderes Credential. Oder das gewählte ist nicht zugelassen, dann nennt die Antwort, was stattdessen erlaubt wäre.
Automatisch gesiegelt wird pro Regel und nicht über einen globalen Schalter. Ein Labor kann das Firmensiegel nach der Freigabe von selbst setzen lassen und das Akkreditierungssiegel bewusst von Hand vergeben. Der Lauf hängt nicht in der Freigabe, sondern folgt ihr als eigener Job: fällt der Siegel-Dienst aus, bleibt die Freigabe gültig, und dass das Siegel fehlt, ist am Zustand ablesbar statt stillschweigend.
Ein Schein kann auch zwei Siegel tragen, Firmensiegel und Akkreditierungssiegel zusammen. Das zweite geht dabei über die Bytes des ersten und nicht über das Original, sonst wären es zwei Aussagen über zwei verschiedene Dokumentstände. Dasselbe Credential ein zweites Mal wird abgewiesen; das wäre dieselbe Aussage doppelt.
Gesiegelt wird, was freigegeben wurde¶
Das Siegel hängt am Freigabevorgang. Beim Einreichen wird der Schein einmal erzeugt, im DMS abgelegt und eingefroren, und die Prüfsumme steht ab da am Vorgang. Gesiegelt wird erst nach der Freigabe, und vorher prüft calServer, ob die Datei noch dieselbe ist. Weicht die Prüfsumme ab, entsteht kein Siegel: es trüge sonst etwas, das der Prüfer nie gesehen hat.
Das gesiegelte Dokument kommt als neue Version daneben, das freigegebene bleibt unverändert stehen. Der Nachweis hält beide Seiten fest, die freigegebenen und die gesiegelten Bytes, dazu eine Momentaufnahme des Zertifikats und das Signaturformat. Nach einem Zertifikatswechsel lässt sich damit immer noch sagen, was womit gesiegelt wurde.
Fehlversuche bleiben mit ihrem Grund im Protokoll stehen. Ein Fall wird eigens benannt: antwortet ein Vertrauensdiensteanbieter nicht, steht nicht fest, ob eine Signatur entstanden ist. calServer meldet das als unklar und rät vom Wiederholen ab, bis beim Anbieter nachgesehen wurde, weil ein zweiter Lauf sonst eine zweite Signatur über dasselbe Dokument erzeugt und in der Regel auch eine zweite Rechnung.
Wo die Grenzen liegen¶
Ein selbstsigniertes Siegel ist in Sekunden erzeugt und sieht in der Liste aus wie ein Siegel. Jeder PDF-Betrachter zeigt dafür „Gültigkeit unbekannt“, weil niemand außer dem Labor selbst für das Zertifikat bürgt. Zum Ausprobieren und für den internen Gebrauch ist es richtig, für einen Schein beim Kunden nicht.
Die Regel prüft den Akkreditierungsbereich auf der Ebene des Berichtstyps: dieser Bericht ist der akkreditierte Kalibrierschein, und nur er darf das Zeichen tragen. Ob eine konkrete Messgröße im akkreditierten Bereich liegt, prüft sie nicht, dafür fehlt das Datenmodell. Weist eine Regel ein Akkreditierungssiegel zu, verlangt die Freigabe deshalb eine ausdrückliche Erklärung der entscheidenden Person; Wortlaut und Person stehen anschließend im Protokoll. Das ist weniger, als eine automatische Prüfung verspricht, und mehr, als eine automatische Prüfung derzeit halten könnte.
Signaturen erzeugt calServer, prüfen tut es sie nicht. Ob ein Siegel gültig ist, entscheidet der Betrachter des Dokuments, und dafür genügt der PDF-Reader beim Empfänger.
Der private Schlüssel liegt als Datei beim Siegel-Dienst der eigenen Anlage und nicht in der Datenbank. Das hält ihn aus jedem Datenbank-Dump und jedem Backup heraus, verlagert aber Sorgfalt in den Betrieb: das Keystore-Passwort gehört in den Passwort-Manager, denn ohne dieses Passwort sind vorhandene Credentials verloren, auch aus einem Backup.
Das Siegel ist ein zubuchbares Modul. Ohne es läuft der Freigabevorgang unverändert weiter, die Liste der Credentials bleibt leer, und der Vorgang ist mit der Entscheidung vollständig.
Einrichtung und Betrieb: Siegel einrichten. Der Vorgang am Kalibrierschein: Freigabe des Kalibrierscheins.