Leitfaden zur technischen Prüfung

Eine Certif-Scope CO₂e-Bescheinigung wird als digital signiertes PDF-Dokument ausgestellt. Dieses PDF ist das zentrale Prüfobjekt. Es wird kein Online-Register, keine API, keine Blockchain und keine externe Datenbank benötigt.

Die Prüfung beruht auf einer deterministischen kryptografischen Signatur, die bei der Ausstellung erzeugt wird. Jede Änderung am Dokument, selbst auf Byte-Ebene, führt dazu, dass die Signatur nicht mehr zur geprüften Nutzlast passt.

Das Prüfmodell vermeidet nach der Ausstellung bewusst eine Abhängigkeit von Certif-Scope-Infrastruktur. Dadurch gilt:

• Das Dokument bleibt prüfbar, auch wenn Certif-Scope zeitweise nicht erreichbar ist.
• Die Prüfung kann offline durchgeführt werden.
• Es müssen keine personenbezogenen oder finanziellen Daten abgefragt werden.
• Dritte benötigen kein Konto und keine besondere Autorisierung.

Vertrauen wird über einen eindeutigen öffentlichen Prüfschlüssel hergestellt, den Certif-Scope veröffentlicht. Dieser Schlüssel ermöglicht es jeder empfangenden Stelle zu prüfen, ob:

• die Bescheinigung von Certif-Scope ausgestellt wurde,
• der Inhalt seit der Ausstellung nicht verändert wurde,
• die Dokument-ID mit der signierten technischen Nutzlast übereinstimmt.

Jede Certif-Scope-Bescheinigung wird durch asymmetrische Kryptografie geschützt. Der Aussteller signiert das Dokument mit einem privaten Schlüssel, während Dritte die Signatur mit dem passenden öffentlichen Schlüssel prüfen können.

Das kryptografische Modell ist bewusst einfach, deterministisch und auf breit etablierten Standards aufgebaut. Ziel sind langfristige Prüfbarkeit und eine robuste Interoperabilität.

Eingesetzte Algorithmen

• Hash-Funktion: SHA-256, um aus der kanonischen Nutzlast einen Fingerprint fester Länge zu erzeugen.
• Signaturalgorithmus: Ed25519, um den Fingerprint zu signieren und Echtheit sowie Integrität zu prüfen.
• Codierung: Base64 für die Darstellung des öffentlichen Schlüssels und der Signatur.

Diese Algorithmen wurden gewählt, weil sie:

• kryptografisch belastbar und breit geprüft sind,
• effizient und für eine Offline-Prüfung geeignet sind,
• von gängigen Kryptografie-Bibliotheken unterstützt werden,
• stabil sind und nicht kurzfristig als überholt gelten.

Deterministisches Signaturmodell

Certif-Scope verwendet einen deterministischen Signaturansatz. Eine identische kanonische Nutzlast erzeugt denselben Fingerprint und dieselbe Dokument-ID. Dadurch wird die Prüfung reproduzierbar und unabhängig von serverseitigem Zustand.

Die kryptografische Ebene stellt sicher, dass Änderungen am signierten Inhalt des Dokuments, einschließlich Daten, Metadaten oder signaturrelevanter Formatierung, bei der Prüfung sichtbar werden.

Certif-Scope signiert nicht beliebig das gesamte PDF. Signiert wird eine kanonische Nutzlast: eine streng definierte und normalisierte Datenstruktur, die aus dem Inhalt der Bescheinigung abgeleitet wird.

Dieser Ansatz ermöglicht eine deterministische Prüfung, unabhängig von Unterschieden in PDF-Renderern, Plattformen oder Programmiersprachen.

Definition der kanonischen Nutzlast

Die kanonische Nutzlast ist ein JSON-Objekt mit festen Schlüsseln, fester Reihenfolge und normalisierten Werten. Jede Änderung an Struktur, Reihenfolge oder Wertformat erzeugt einen anderen Fingerprint und macht die Signaturprüfung negativ.

{
  "issuer": "Certif-Scope",
  "standard": "CS-SB-v1",
  "attestationId": "CS-2026-XXXXXXXX",
  "companyName": "Example Company",
  "country": "DE",
  "year": "2026",
  "totalCO2e": "15.2",
  "issuedDate": "2026-01-25T14:32:10.000Z"
}

Alle Werte werden in der kanonischen Nutzlast als Zeichenketten behandelt, auch numerische Werte. Das vermeidet Mehrdeutigkeiten durch Gleitkommazahlen oder regionale Zahlenformate.

Hash-Prozess

Die kanonische Nutzlast wird in UTF-8 serialisiert und anschließend mit SHA-256 gehasht. Der resultierende Fingerprint beschreibt den exakten Zustand der signierten Daten.

Jede Änderung an:

• Feldwerten,
• Feldnamen,
• Feldreihenfolge,
• Leerzeichen oder Codierung,

erzeugt einen abweichenden Fingerprint und lässt die Signaturprüfung scheitern.

Beziehung zum PDF-Dokument

Die signierte Nutzlast entspricht sichtbaren Feldern des PDF-Dokuments: Aussteller, Unternehmen, Jahr, CO₂e-Gesamtwert, Dokument-ID und Ausstellungsdatum.

Visuelle Elemente, Layout, Schriftarten oder nicht signierte Erläuterungstexte gehören nicht zur kanonischen Nutzlast und beeinflussen die Prüfung nicht, solange die signierten Daten unverändert bleiben.

Die klare Trennung zwischen signierten Daten und ihrer Darstellung schützt die langfristige Prüfbarkeit, auch wenn PDF-Renderer oder Layouts sich im Laufe der Zeit ändern.

Certif-Scope verwendet ein asymmetrisches kryptografisches Modell auf Basis des digitalen Signaturalgorithmus Ed25519.

In diesem Modell werden Bescheinigungen mit einem privaten Schlüssel signiert, den ausschließlich Certif-Scope kontrolliert. Die Prüfung erfolgt mit dem zugehörigen öffentlichen Schlüssel, der frei verteilt werden kann.

Rolle des öffentlichen Schlüssels

Der öffentliche Schlüssel ermöglicht Dritten zu prüfen, dass:

• die Bescheinigung von Certif-Scope ausgestellt wurde,
• die signierten Daten seit der Ausstellung nicht verändert wurden,
• die Signatur exakt zur signierten Nutzlast passt.

Der öffentliche Schlüssel kann keine neuen Bescheinigungen erzeugen und keine Signaturen erstellen. Er dient ausschließlich der Prüfung.

Beständigkeit des Schlüssels und Kontinuität

Certif-Scope arbeitet mit einem eindeutigen und langfristigen öffentlichen Prüfschlüssel. Dieser Schlüssel ist:

• öffentlich zugänglich,
• für bereits ausgestellte Bescheinigungen nicht stillschweigend ersetzt,
• für Offline-Prüfungen und spätere Kontrollen nutzbar.

Nach der Ausstellung hängt die Prüfbarkeit einer Bescheinigung nicht mehr vom laufenden Betrieb von Servern, APIs oder Datenbanken von Certif-Scope ab.

Herstellung von Vertrauen

Vertrauen in eine Certif-Scope-Bescheinigung beruht auf:

• dem initialen Vertrauen in Certif-Scope als Aussteller,
• der unabhängigen Signaturprüfung mit dem öffentlichen Schlüssel,
• der Kohärenz zwischen den signierten Daten und den sichtbaren Dokumentinformationen.

Certif-Scope betreibt keine Certificate Authority, kein öffentliches Register und keine Widerrufsliste. Das Modell ist bewusst einfach und transparent.

Was der öffentliche Schlüssel nicht bestätigt

Wichtig ist die Trennung zwischen technischer Echtheit und inhaltlicher Bewertung.

• Der öffentliche Schlüssel prüft die Integrität des Dokuments.
• Er bestätigt nicht die Richtigkeit der Eingabedaten.
• Er bestätigt keine regulatorische Anerkennung.
• Er ersetzt keine externe fachliche Prüfung oder Assurance-Leistung.

Diese Grenzen sind ausdrücklich gewollt, damit der Prüfmechanismus robust, nachvollziehbar und klar abgegrenzt bleibt.

Kryptografisch geprüfte Elemente

Bei einer Prüfung mit öffentlichem Schlüssel und digitaler Signatur werden die folgenden Elemente streng technisch geprüft:

• Dokumentintegrität: Der relevante signierte Inhalt des PDF wurde seit der Signatur nicht verändert.
• Echtheit des Ausstellers: Die Bescheinigung wurde mit dem privaten Schlüssel von Certif-Scope ausgestellt.
• Datenkohärenz: Die signierte Nutzlast passt zu den sichtbaren Angaben im Dokument, etwa Unternehmen, Jahr, CO₂e-Wert, Dokument-ID und Ausstellungsdatum.
• Dokument-ID: Die ID ist kryptografisch mit den signierten Daten verbunden.

Diese Aussagen sind objektiv, reproduzierbar und unabhängig von Online-Systemen oder Datenbanken.

Nicht geprüfte Elemente

Der Prüfprozess bewertet bewusst nicht die folgenden Punkte:

• Richtigkeit oder Vollständigkeit der eingegebenen Finanzdaten,
• Gültigkeit der angegebenen Tätigkeit oder Branche,
• Vollständigkeit der Emissionsquellen,
• regulatorische CSRD-/ESRS-Berichterstattung oder andere Pflichten,
• Kohärenz mit Scope-1-, Scope-2- oder Scope-3-Inventaren,
• Vorliegen einer externen fachlichen Prüfung oder Assurance-Leistung.

Diese Ausschlüsse sind keine technischen Lücken, sondern bewusste funktionale Grenzen entsprechend dem vorgesehenen Einsatz der Bescheinigung.

Indikativer und nicht regulatorischer Charakter

Certif-Scope-Bescheinigungen sind eine indikative, ausgabenbasierte CO₂e-Schätzung. Sie sind für standardisierte Informationsanfragen gedacht und ersetzen keine regulatorische Berichterstattung und kein vollständiges Treibhausgasinventar.

Warum diese Grenzen bestehen

Ein klarer Prüfumfang hilft dabei:

• eine objektive und reproduzierbare Prüfung zu ermöglichen,
• implizite regulatorische Schlussfolgerungen zu vermeiden,
• Fehlinterpretationen durch Dritte zu begrenzen,
• eine sichere Nutzung in Beschaffung, Due Diligence und einfachen Dokumentationsprozessen zu unterstützen.

Diese Abgrenzung ist zentral für institutionelle Nachvollziehbarkeit und langfristiges Vertrauen.

Überblick über die Prüfmodi

Certif-Scope unterstützt mehrere Prüfmodi, damit sowohl nicht technische Empfänger als auch Institutionen und technische Teams mit dem Dokument arbeiten können.

• Standardprüfung im PDF-Reader für Einkauf, Banken, Versicherungen und Dossierprüfung.
• Manuelle kryptografische Prüfung für technische Prüfer und Sicherheitsteams.
• Automatisierte oder skriptbasierte Prüfung für Entwickler und interne Kontrollsysteme.

Ablauf A — Standardprüfung der PDF-Signatur

Dieser Ablauf ist für die meisten Empfänger einer Bescheinigung vorgesehen.

1. PDF-Datei in einem gängigen PDF-Reader öffnen.
2. Signatur- oder Sicherheitsbereich des Readers aufrufen.
3. Digitale Signatur prüfen.
4. Kontrollieren, dass das Dokument als signiert und unverändert angezeigt wird.

Der PDF-Reader führt die kryptografischen Kontrollen anhand der eingebetteten Signatur und der Schlüsselinformationen durch.

Ablauf B — Manuelle kryptografische Prüfung

Dieser Ablauf richtet sich an fortgeschrittene Nutzer, die den Prüfprozess ausdrücklich nachvollziehen möchten.

Typische Schritte:

1. Signierte Nutzlast aus dem PDF extrahieren.
2. Digitale Signatur extrahieren.
3. Hash der kanonischen Nutzlast erneut berechnen.
4. Ed25519-Signatur mit dem öffentlichen Schlüssel prüfen.

Dieser Prozess ist vollständig offline und auf verschiedenen Plattformen reproduzierbar.

Ablauf C — Automatisierte oder skriptbasierte Prüfung

Organisationen, die viele Bescheinigungen bearbeiten, können die Prüfung über Skripte oder interne Werkzeuge automatisieren.

Wichtige Eigenschaften:

• keine Abhängigkeit von Certif-Scope-Servern,
• Prüfung mehrerer Dokumente möglich,
• deterministische Ergebnisse,
• Integration in interne Kontroll- oder Dokumentationsprozesse möglich.

Beispielhafte Umsetzungen mit Python, Node.js und Kommandozeile werden im nächsten Abschnitt beschrieben.

Warum mehrere Abläufe unterstützt werden

Die parallele Unterstützung mehrerer Prüfmodi ermöglicht:

• eine einfache Prüfung für nicht technische Nutzer,
• eine detaillierte Kontrolle für Institutionen,
• technische Integration ohne Anbieterabhängigkeit,
• Prüfung auch ohne verfügbare Certif-Scope-Infrastruktur.

Alle Abläufe beruhen auf derselben kryptografischen Grundlage. Nur Werkzeuge und Benutzeroberfläche unterscheiden sich.

Voraussetzungen

• das originale PDF der Bescheinigung,
• Zugriff auf ein Terminal unter Linux, macOS, Windows oder Termux,
• Standard-Kryptografiewerkzeuge wie OpenSSL oder gleichwertige Tools,
• den öffentlichen Certif-Scope-Prüfschlüssel.

Schritt 1 — Originales PDF verwenden

Arbeiten Sie mit dem PDF in der ursprünglichen Form, in der es ausgestellt wurde. Jede Änderung, erneute Speicherung, Optimierung oder Konvertierung kann die Signaturprüfung beeinflussen.

Schritt 2 — Prüfung mit einem PDF-Reader

Öffnen Sie das PDF in einem Reader, der digitale Signaturen unterstützt, zum Beispiel Adobe Acrobat oder Foxit.

• Signatur- oder Sicherheitsbereich öffnen,
• bestätigen, dass das Dokument als signiert angezeigt wird,
• prüfen, ob der Signaturstatus als gültig angezeigt wird.

Dieser Schritt bestätigt, soweit vom PDF-Reader unterstützt, die Echtheit des Ausstellers und die Integrität des unveränderten Inhalts.

Schritt 3 — Integritätskontrolle per Hash (CLI-Beispiel)

Für eine explizite Integritätskontrolle kann der SHA-256-Hash der lokalen PDF-Datei berechnet und mit dem im Dokument oder Referenzsystem angegebenen Fingerprint verglichen werden.

Beispiel (Hash-Vergleich):

# SHA-256-Hash des PDF berechnen
sha256sum certif-scope-bescheinigung.pdf

Vergleichen Sie das Ergebnis mit dem erwarteten Fingerprint, sofern dieser im Dokument oder in einem Referenzprozess angegeben ist.

Schritt 4 — Kryptografische Signaturprüfung (fortgeschritten)

Die fortgeschrittene Prüfung kontrolliert die Ed25519-Signatur gegen die kanonische Nutzlast und den öffentlichen Certif-Scope-Schlüssel.

Dieser Ablauf umfasst typischerweise:

• signierte Nutzlast aus dem PDF extrahieren,
• Signatur auslesen und Base64-decodieren,
• Signatur mit dem öffentlichen Schlüssel prüfen.

Die Umsetzung kann je nach internen Anforderungen mit Python, Node.js oder spezialisierten Kryptografiewerkzeugen erfolgen.

Beispiel — Prüfung in Python (konzeptuell)

from nacl.signing import VerifyKey
import base64

public_key_b64 = "MCowBQYDK2VwAyEAbKp2pg4wmzE5Kqo9tEwv7JJjxQyT2cBmwiLLHp4cSac="
verify_key = VerifyKey(base64.b64decode(public_key_b64))

payload = b"...bytes der kanonischen Nutzlast..."
signature = base64.b64decode("...signature...")

verify_key.verify(payload, signature)

Ist die Prüfung erfolgreich, bestätigt dies, dass die Nutzlast von Certif-Scope signiert wurde und seitdem nicht verändert wurde.

Hinweise für Termux und mobile Umgebungen

Die gleichen Schritte gelten auch in Termux auf Android:

• PDF auf das Gerät übertragen,
• erforderliche Pakete installieren, etwa openssl, python, libsodium,
• dieselben Hash- und Signaturkontrollen ausführen.

Die Prüfergebnisse sind auf allen Plattformen gleich, wenn dieselben Eingabedaten und Algorithmen verwendet werden.

Ergebnis der Prüfung

Eine vollständig geprüfte Bescheinigung bestätigt technisch:

• Das Dokument wurde von Certif-Scope ausgestellt.
• Der signierte Inhalt wurde nicht verändert.
• Die Dokument-ID passt zur signierten Nutzlast.
• Die Prüfung ist unabhängig und offline durchführbar.

Zentrale Sicherheitsannahmen

• Der private Signaturschlüssel von Certif-Scope bleibt vertraulich und wird nicht kompromittiert.
• Der veröffentlichte öffentliche Prüfschlüssel ist authentisch und wurde nicht ersetzt.
• Die kryptografischen Standards Ed25519 und SHA-256 bleiben gegenüber praktischen Angriffen belastbar.
• Prüfende Stellen arbeiten mit dem unveränderten Original-PDF.

Vertrauensgrenzen

Certif-Scope setzt die Vertrauensgrenze auf Ebene des signierten PDF-Dokuments:

• Das PDF ist das zentrale Vertrauensobjekt.
• Kein Online-Register und kein Validierungs-Endpunkt ist autoritativ.
• Die Prüfung hängt nicht von der Verfügbarkeit von Certif-Scope ab.

Nach der Ausstellung besteht die Bescheinigung unabhängig vom laufenden Betrieb des Ausstellers fort.

Bedrohungsmodell

Die folgenden Szenarien werden ausdrücklich berücksichtigt:

• Änderung des PDF-Inhalts nach der Ausstellung,
• Verfälschung einer Bescheinigung durch veränderte Daten,
• Wiederverwendung einer bereits ausgestellten Bescheinigung,
• Verwechslung oder missbräuchliche Darstellung des Ausstellers.

Diese Risiken werden durch die kryptografische Signatur der Bescheinigungsnutzlast begrenzt.

Risiken außerhalb des Prüfumfangs

Die folgenden Risiken liegen bewusst außerhalb des technischen Prüfumfangs und werden durch das Bescheinigungssystem nicht bewertet:

• fehlerhafte oder irreführende Eingabedaten des Nutzers,
• unrichtige Buchhaltungs- oder Aktivitätsdaten an der Quelle,
• fehlerhafte Interpretation der Ergebnisse durch Dritte,
• regulatorische oder werbliche Nutzung außerhalb des erklärten Dokumentationsumfangs.

Schlüsselverwaltung und Rotation

Certif-Scope verwendet einen Aussteller-Signaturschlüssel pro Ausstellungsmodell oder Version.

• Der öffentliche Schlüssel wird veröffentlicht und bleibt für die jeweilige Version nachvollziehbar.
• Eine Schlüsselrotation führt zu einer neuen Bescheinigungsversion.
• Ältere Bescheinigungen bleiben weiterhin prüfbar.

Dieses Modell verhindert stillschweigende Vertrauensänderungen und erhält die langfristige Prüfbarkeit.

Einordnung in institutionellen Kontexten

Für Einkauf, Banken, Versicherungen und technische Prüfer bestätigt die Prüfung:

• Das Dokument ist technisch echt und nicht verändert.
• Der Aussteller ist eindeutig identifizierbar.
• Die Bescheinigung passt zu einem bestimmten Ausstellungsereignis.

Die Prüfung bedeutet nicht, dass der CO₂e-Wert regulatorisch anerkannt ist, eine externe Assurance-Leistung ersetzt oder ein vollständiges Emissionsreporting darstellt.