Kalibrierscheine siegeln: welches Siegel auf welchen Schein gehört

Ein Kalibrierschein als PDF sagt dem Empfänger nichts darüber, ob er wirklich aus dem Labor stammt, dessen Briefkopf oben steht. Die eingescannte Unterschrift darauf ist ein Bild und lässt sich austauschen. calServer siegelt deshalb den freigegebenen Schein: die Datei wird kryptografisch an ein Zertifikat Ihres Labors gebunden. Ihr Kunde öffnet das PDF in seinem gewohnten Betrachter und sieht, wer gesiegelt hat und ob seither ein Byte geändert wurde.

Das Siegel ist unsichtbar. Es gilt für das ganze Dokument und ist kein Stempel auf einer Seite. Ein nachträglich aufgestempeltes Bild würde die Datei neu schreiben und genau die Signatur zerstören, die es abbilden soll.

Vier Arten von Siegel

Ein Labor braucht selten nur eines. calServer unterscheidet deshalb, wofür ein Zertifikat da ist:

• Das Firmensiegel belegt, dass das Dokument aus Ihrem Labor kommt. Über eine Akkreditierung sagt es nichts. Es ist der Regelfall für Werkskalibrierscheine, Prüfprotokolle und Berichte.
• Das Akkreditierungssiegel zeichnet den Schein unter Ihrer Akkreditierung. Es gehört auf den akkreditierten Kalibrierschein und nur dorthin.
• Die persönliche Signatur steht für eine benannte Person statt für das Labor.
• Ein Zertifikat aus Ihrer eigenen Unternehmens-PKI, wenn die Empfänger im selben Konzern sitzen.

Ob dabei ein Siegel oder eine Signatur entsteht, kreuzt niemand an. calServer liest den Inhaber aus dem Zertifikat: eine juristische Person, also das Labor, erzeugt ein Siegel, eine natürliche Person eine Signatur.

Das DAkkS-Siegel ist in dieser Aufstellung kein eigener Fall, sondern ein Akkreditierungssiegel mit deutscher Akkreditierungsnummer. Die Nummer steht im Zertifikat an der Stelle, an der die Werkzeuge einer Begutachtung sie suchen. Ein Labor mit einer Akkreditierung aus einem anderen Land trägt seine Nummer an dieselbe Stelle und arbeitet genauso.

Der Schlüssel bleibt bei Ihnen

Für ein Akkreditierungssiegel ist der übliche Weg der, bei dem kein Schlüsselmaterial die Anlage verlässt: calServer erzeugt den Schlüssel selbst und gibt einen Zertifikatsantrag heraus, den Ihre Zertifizierungsstelle signiert. Danach wird das Zertifikat eingesetzt, der Schlüssel bleibt derselbe und hat Ihr Haus nie verlassen.

Daneben lässt sich ein bereits gekauftes Zertifikat einlesen, und für den internen Gebrauch genügt ein selbst erzeugtes. Wer ein qualifiziertes Siegel im Sinne der eIDAS-Verordnung braucht, bindet ein Credential bei einem Vertrauensdiensteanbieter ein. Das ist die einzige Konstellation, in der ein Siegel qualifiziert sein kann, weil der Schlüssel dort nicht als Datei vorliegt.

Was ein Siegel wert ist, entscheidet in allen Fällen das Zertifikat und kein Ankreuzfeld. calServer liest die Stufe aus und benennt sie: Selbstauskunft, von einer Zertifizierungsstelle ausgestellt, qualifiziertes Zertifikat oder qualifiziert.

Eine Regel entscheidet, welches Siegel auf welchen Schein darf

Der Fehler, der ein Labor teuer zu stehen kommt, ist nicht das fehlende Siegel. Es ist das falsche: das Akkreditierungssiegel auf einem Werkszertifikat.

calServer regelt das über eine sortierte Liste von Regeln. Jede Regel weist ein Siegel zu und lässt sich an den Berichtstyp, den Kunden sowie an Rolle und Gruppe der freigebenden Person binden. Solange Sie keine Regel angelegt haben, ändert sich nichts. Sobald eine Regel aktiv ist, ist die Auswahl gebunden, und niemand kann von Hand ein Siegel nehmen, das keine Regel zulässt. Wird ein Siegel abgelehnt, nennt die Meldung, was stattdessen erlaubt wäre.

Automatisch gesiegelt wird pro Regel und nicht über einen zentralen Schalter. Sie können also das Firmensiegel nach der Freigabe von selbst setzen lassen und das Akkreditierungssiegel bewusst von Hand vergeben. Und ein Schein kann beide tragen: das zweite Siegel deckt dabei das erste mit ab.

Gesiegelt wird nur, was freigegeben wurde

Das Siegel hängt am Freigabevorgang. Der Schein wird beim Einreichen einmal erzeugt und eingefroren, entschieden wird über genau diese Datei, und vor dem Siegeln prüft calServer, ob sie noch dieselbe ist. Weicht sie ab, entsteht kein Siegel. Der gesiegelte Schein kommt als neue Version daneben, das freigegebene Original bleibt unverändert.

Im Nachweis stehen beide Stände, dazu das verwendete Zertifikat und das Signaturformat. Auch nach einem Zertifikatswechsel lässt sich damit noch sagen, was womit gesiegelt wurde. Gescheiterte Versuche bleiben mit ihrem Grund im Protokoll stehen.

Was das Siegel nicht leistet

Ein selbst erzeugtes Siegel ist in Sekunden angelegt und sieht aus wie ein Siegel. Jeder PDF-Betrachter zeigt dafür „Gültigkeit unbekannt“, weil niemand außer Ihnen selbst für das Zertifikat bürgt. Zum Ausprobieren und für den internen Gebrauch ist das richtig, für einen Schein beim Kunden nicht.

Die Regel prüft den Akkreditierungsbereich auf der Ebene des Berichtstyps, nicht messpunktgenau. Weist eine Regel ein Akkreditierungssiegel zu, verlangt die Freigabe deshalb eine ausdrückliche Erklärung der entscheidenden Person, dass die Kalibrierung im akkreditierten Bereich liegt. Wortlaut und Person stehen anschließend im Protokoll.

Und calServer erzeugt Signaturen, es prüft sie nicht. Ob ein Siegel gültig ist, entscheidet der Betrachter des Dokuments beim Empfänger.

Das Siegel ist ein zubuchbares Modul. Ohne es läuft der Freigabevorgang unverändert weiter. Wie die Einrichtung im Einzelnen abläuft, steht auf der Seite Siegel und Signatur. Welcher Weg für Ihr Labor der passende ist, klären wir gern im Gespräch.