Digitale Signatur mit FPDF ?

[Chris]

Hallo zusammen,

ich suche nach einer Möglichkeit meine Rechnungen Digital zu signieren, dies sollte wenn möglich gleich mit Erstellung des Dokumentes auf dem Server passieren.

Ich habe aber keine Info gefunden wie man das mit FPDF machen kann, bzw. ob das damit überhaupt geht.

Ich habe nachgelesen das es dort verschiedene Standards gibt, ich benötige da nichts großes, hauptsache ist das die Rechnungen signiert sind und vom Finanzamt akzeptiert werden.

Wenn es mit FPDF nicht klappt, bin ich natürlcih auch für andere Lösungen offen, hoffe aber es nicht nötig alles umzustellen ;-(

Was anderes, hat vieleicht jemand den Sinn des ganzen verstanden ?
Ich kann nicht nachvollziehen warum eine Signatur Sicherheit bringen soll, die Rechnungen druckt sich doch eh jeder aus und gibt Sie so ans Finazamt weiter.

Viele grüße und danke,

Chris

[Sven Rautenberg]

Moin!

ich suche nach einer Möglichkeit meine Rechnungen Digital zu signieren, dies sollte wenn möglich gleich mit Erstellung des Dokumentes auf dem Server passieren.

Ich habe aber keine Info gefunden wie man das mit FPDF machen kann, bzw. ob das damit überhaupt geht.

Ich tendiere zu "geht nicht" - aber aus anderen Gründen, als du vielleicht denkst.

Eine digitale Signatur arbeitet immer auf Basis schon existierender Bytemengen, deren Unverändertheit durch die Signatur garantiert werden soll. Also als Beispiel: Du hast einen ASCII-Text mit gewissen Inhalten, und wenn der Empfänger dieses Textes wissen soll oder muß, ob der Text a) von dir ist und b) unverändert ist, dann signierst du ihn digital, indem du z.B. PGP oder GnuPG benutzt; dabei wird der Text eingelesen, eine Prüfsumme gebildet, diese mit deinem privaten Schlüssel codiert und zusätzlich an den Text mit drangehängt. Dadurch entsteht eine Textdatei, die man so komplett wieder in PGP einlesen und dann die Echtheit der Signatur prüfen kann.

Wenn du eine PDF-Datei erstellst, dann muß diese Datei zwingend unverändert bleiben, denn ansonsten wäre es kein gültiges PDF-Format mehr. Die Signatur dieser PDF-Datei müßte in einer separaten Datei mitgeliefert werden, d.h. du erstellst wie gewohnt dein PDF, weist dann PGP an, diese Datei zu signieren, und erhälst dann die "Unterschrift" separat - zumindest solltest du das, denn wenn PGP sich unter Umbenennung der Dateiendung mit in die Datei reinschreibt, und man erst mit PGP das PDF wieder von der Signatur trennen könnte, wäre das ein heftiger Hinderungsgrund für deine Rechnungsempfänger.

Abgesehen davon: PGP oder GnuPG erfüllen vermutlich nicht die Anforderungen an eine "qualifizierte digitale Signatur" gemäß Signaturgesetz.

Was anderes, hat vieleicht jemand den Sinn des ganzen verstanden ?
Ich kann nicht nachvollziehen warum eine Signatur Sicherheit bringen soll, die Rechnungen druckt sich doch eh jeder aus und gibt Sie so ans Finazamt weiter.

Richtig. Und genau deswegen finde ich dein Vorhaben auch ziemlich idiotisch. Es ist unmöglich, eine digitale Signatur in das PDF so einzubringen, dass diese beim Ausdruck mit gedruckt wird, und man mit dem Zettel in der Hand dann nachprüfen kann, ob die Signatur gültig ist. Um die Signatur prüfen zu können muß zwingend immer das digitale Original vorliegen.

Aber da das Finanzamt ohnehin oft auf die Vorlage der Rechnungsbelege verzichtet, und sowas eigentlich nur sehen möchte, wenn mal Betriebsprüfungen anstehen, würde ich es bei dem überall verbreiteten Hinweis "Diese Rechnung wurde elektronisch erstellt und trägt daher keine Unterschrift" belassen. Selbst die Steuerbescheide werden so erstellt! Und was das Finanzamt kann, solltest du auch dürfen. :)

- Sven Rautenberg

[Andreas Korthaus]

Hi!

Abgesehen davon: PGP oder GnuPG erfüllen vermutlich nicht die Anforderungen an eine "qualifizierte digitale Signatur" gemäß Signaturgesetz.

Ja, genau so ist es. An eine "qualifizierte digitale Signatur" werden noch erheblich höhere Anforderungen gestellt, in meinen Augen zu hohe damit sich das in absehbarer Zeit flächendeckend durchsetzen kann. Bei einer qualifizierte digitalen Signatur darf der geheime Schlüssel z.B. nicht auf Deinem Rechner sein, sondern auf sowas wie einer Chipkarte...

Grüße
Andreas

[Sven Rautenberg]

Moin!

Abgesehen davon: PGP oder GnuPG erfüllen vermutlich nicht die Anforderungen an eine "qualifizierte digitale Signatur" gemäß Signaturgesetz.

Ja, genau so ist es. An eine "qualifizierte digitale Signatur" werden noch erheblich höhere Anforderungen gestellt, in meinen Augen zu hohe damit sich das in absehbarer Zeit flächendeckend durchsetzen kann. Bei einer qualifizierte digitalen Signatur darf der geheime Schlüssel z.B. nicht auf Deinem Rechner sein, sondern auf sowas wie einer Chipkarte...

Und da die Chipkarte nicht in den Server gesteckt werden kann und sollte (was ist, wenn die jemand klaut, z.B. vom Providerpersonal), mal ganz abgesehen davon, dass man zum Signieren irgendeine Passphrase oder PIN eingeben müßte, erledigt sich die ganze Überlegung schon allein deshalb.

- Sven Rautenberg

[Siechfred]

Hallo Chris.

ich suche nach einer Möglichkeit meine Rechnungen Digital zu signieren [...]

Da du das ja "finanzamtssicher" tun willst, erstmal ein wenig Lektüre:
http://www.regtp.de (allgemeines zur Signatur)
http://bundesrecht.juris.de/bundesrecht/ustg_1980/__14.html (Ansatz 3 ist hier relevant)
http://www.bundesfinanzministerium.de/Anlage22502/BMF-Schreiben-vom-29.-Januar-2004-IV-B-7-S-7280-19/04-Adobe-Acrobat-3.x-4.x.pdf (Tz. 2 ff. ist hier interessant)

Ich habe mich mal mit Andreas (der dir ja auch schon geantwortet hat) über das Thema unterhalten: </archiv/2004/3/75839/>. Du wirst sehen, dass das, was du vorhast so nicht durchführbar ist.

Freundschaft!
Siechfred