Zeitstempel für Agenten-Belege: einfach, verankert, qualifiziert
Ein Beleg ohne Zeitpunkt lässt sich nachträglich neu schreiben. Ein Zeitstempel verhindert das – aber wie gut, hängt davon ab, wem man ihn glaubt.
Leutrim Miftaraj, Gründer, Innopulse Consulting GmbH
Veröffentlicht am
Das Wichtigste
- Ein RFC-3161-Zeitstempel fixiert einen Hash in der Zeit.
- Wie viel er beweist, entscheidet der Vertrauensanker der Prüfstelle.
- Qualifiziert ist ein Zeitstempel nur nach offizieller Vertrauensliste.
Das Wichtigste in Kürze
- Ein Zeitstempel nach RFC 3161 belegt, dass Daten zu einem Zeitpunkt existierten.
- Gestempelt wird nur der Hash; die Zeitstempelstelle sieht den Inhalt nie.
- Erst ein Vertrauensanker belegt, welcher Stelle ein Zeitstempel zuzuordnen ist.
- Qualifizierte Zeitstempel tragen eine gesetzliche Vermutung, einfache eignen sich für Tests.
Was ein Zeitstempel beweist
Ein Zeitstempel nach RFC 3161 ist die signierte Antwort einer Zeitstempelstelle auf einen Hash. Er bestätigt: Dieser Hash existierte spätestens zu diesem Zeitpunkt. Wer den Beleg danach ändert, erhält einen anderen Hash, und die Bindung bricht. Der Inhalt selbst verlässt das eigene System dabei nie; die Stelle sieht nur den Hash.
Drei Stufen der Aussagekraft
| Stufe | Was belegt ist | Was offen bleibt |
|---|---|---|
| Gültig signiert | Der Zeitstempel ist echt und unverändert | Wer die Stelle ist und ob man ihr traut |
| Auf einen Anker zurückgeführt | Die Stelle ist eine, der die Prüfstelle vertraut | Die rechtliche Einordnung |
| Qualifiziert | Die Stelle ist eine anerkannte Anbieterin, mit gesetzlicher Vermutung | – |
Warum der Anker entscheidet
Ein Zeitstempel bringt das Zertifikat seiner Stelle meist mit. Dieses Zertifikat kann nie sein eigener Beweis sein, denn jeder kann ein Zertifikat erzeugen, das «Zeitstempelstelle» heisst. Erst wenn sich der Pfad zu einem Vertrauensanker führen lässt, den die Prüfstelle ausdrücklich anerkennt, ist der Zeitstempel belegt. Deshalb verlangt die Stufe A4 einen Anker, den die prüfende Stelle selbst angibt.
Qualifizierte Zeitstempel
In der EU regelt die eIDAS-Verordnung qualifizierte elektronische Zeitstempel. Für sie gilt die Vermutung, dass Datum und Uhrzeit korrekt sind und die Daten seither unverändert. In der Schweiz kennt das Bundesgesetz über die elektronische Signatur (ZertES) qualifizierte Zeitstempel anerkannter Anbieterinnen von Zertifizierungsdiensten. Ob eine Stelle qualifiziert ist, lässt sich nur über die offiziellen Vertrauenslisten feststellen.
KYA lädt in dieser Version keine Vertrauensliste und weist den Qualifikationsstatus deshalb als «nicht geprüft» aus, auch auf Stufe A4. Eine Prüfung, die «qualifiziert» ohne Vertrauensliste behauptete, wäre eine Überbehauptung.
Was Betreiber tun sollten
- Den Zeitstempel über das Manifest oder den Kettenkopf setzen, nicht über jeden Einzelbeleg, wenn das Volumen gross ist.
- Den Eintragshash ohne das Zeitstempelfeld berechnen, sonst bricht jeder korrekt gestempelte Beleg seine eigene Bindung.
- Den Anker der Zeitstempelstelle veröffentlichen, damit Prüfer ihn übernehmen können.
- Für Fälle mit Rechtswirkung eine qualifizierte Anbieterin wählen.
Mandact setzt Zeitstempel nach diesen Regeln.
Zeitstempel in der Praxis
Ein Zeitstempel nach RFC 3161 entsteht in wenigen Schritten: Aus den Daten wird ein Hash berechnet, an eine Zeitstempelstelle gesendet und signiert zurückerhalten. Die Stelle sieht den Inhalt nie. Für Beleg-Ketten genügt es, regelmässig den aktuellen Hash der Kette zu stempeln; damit sind alle früheren Einträge mitgesichert.
Wie das konkret mit OpenSSL und dem frei zugänglichen Dienst FreeTSA funktioniert, zeigt die Anleitung zur Prüfung von Zeitstempeln.
Qualifizierte und einfache Zeitstempel
Technisch unterscheiden sich Zeitstempel kaum. Der Unterschied liegt in der Anerkennung des Anbieters. Ein qualifizierter Zeitstempel stammt von einem anerkannten Vertrauensdienst, in der EU nach der eIDAS-Verordnung, in der Schweiz nach dem Bundesgesetz über die elektronische Signatur. Für ihn vermutet das Recht die Richtigkeit von Zeitpunkt und Unversehrtheit.
Für interne Zwecke und Tests genügen oft einfache Zeitstempel. Für Streitfälle mit hohem Wert empfiehlt sich ein qualifizierter Anbieter. KYA prüft beide Arten gleich; welcher Anbieter vertrauenswürdig ist, entscheidet die Prüfstelle über den hinterlegten Anker.
Anker pflegen
Vertrauensanker sind keine einmalige Einstellung. Zertifikate laufen ab, Anbieter wechseln Schlüssel, und gelegentlich wird ein Anker ersetzt. Prüfstellen sollten ihre Anker dokumentieren, regelmässig überprüfen und alte Anker nur so lange behalten, wie ältere Nachweise geprüft werden müssen.
KYA lädt keine Anker selbst. Das ist bewusst so: Die Entscheidung, wem vertraut wird, bleibt bei der Prüfstelle und ist im Prüfschein nachvollziehbar.
Typische Fehler vermeiden
In der Praxis treten immer wieder dieselben Fehler auf. Zeitstempel werden über den Inhalt statt über einen stabilen Hash erzeugt und lassen sich später nicht mehr zuordnen. Das Stammzertifikat der Zeitstempelstelle wird nicht aufbewahrt, sodass eine Prüfung Jahre später scheitert. Oder es wird nur der Serverzeitpunkt protokolliert, der sich im Streitfall nicht unabhängig belegen lässt. Wer Hash, Zeitstempel und Anker gemeinsam aufbewahrt und regelmässig prüft, vermeidet alle drei Fehler.
Häufige Fragen
Warum braucht ein Zeitstempel einen Vertrauensanker?
Weil die Signatur allein nur zeigt, dass Zeitstempel und Schlüssel zusammenpassen. Wem der Schlüssel gehört, belegt erst der Pfad zu einem Anker, dem die Prüfstelle vertraut.
Wie oft sollte eine Beleg-Kette zeitgestempelt werden?
Das hängt vom Risiko ab. Bei Zahlungen ist ein Zeitstempel pro Vorgang oder pro Stunde üblich; je kürzer der Abstand, desto genauer lässt sich ein Zeitpunkt belegen.
Ist ein qualifizierter Zeitstempel teurer?
In der Regel ja, weil der Anbieter rechtliche Anforderungen erfüllen muss. Für interne Zwecke genügen oft einfache Zeitstempel, für Streitfälle lohnt sich ein qualifizierter Anbieter.
Was passiert, wenn ein Anker abläuft?
Neue Zeitstempel müssen gegen den neuen Anker geprüft werden. Ältere Nachweise bleiben prüfbar, solange der alte Anker dokumentiert und verfügbar ist.
Kann ich einen Zeitstempel ohne Internet prüfen?
Ja. KYA prüft lokal, sobald der Zeitstempel und der Anker vorliegen. Eine Verbindung zur Zeitstempelstelle ist für die Prüfung nicht nötig.
Kann ich eigene Zeitstempel erzeugen?
Technisch ja, aber ein Zeitstempel aus dem eigenen System belegt gegenüber Dritten wenig. Der Wert eines Zeitstempels liegt in der Unabhängigkeit der Stelle, die ihn ausstellt.
Quellen
- RFC 3161, Time-Stamp Protocol: https://www.rfc-editor.org/rfc/rfc3161