Simplifi
Zurück zur Hilfe
Lokales Signieren · SEAP

Abgesetzte .p7s-Signatur für SEAP/SICAP mit Simplifi Sign und EU DSS

Einige SICAP-Vergabeunterlagen verlangen, dass Angebotsdokumente von einer abgesetzten Signatur im .p7s-Format (CAdES) begleitet werden. Acrobat erzeugt nur PAdES (Signatur innerhalb des PDF), ebenso die Simplifi-Browsersignatur. Für .p7s verwenden Sie das von Simplifi Sign bereitgestellte Simplifi-Zertifikat in einer CAdES-Anwendung: der kostenlosen App EU DSS Standalone der Europäischen Kommission, unter Windows.

Von Simplifi geprüft am 17. Oktober 2026

Wann Sie .p7s brauchen und was es ist

HG 395/2016, Art. 60 Abs. (4), verlangt, dass Angebotsdokumente mit einer elektronischen Signatur auf Basis eines qualifizierten Zertifikats signiert werden. Das Format legt der öffentliche Auftraggeber in den Vergabeunterlagen fest: meist ein signiertes PDF (PAdES), manchmal eine ".p7s-Datei" oder "abgesetzte Signatur", insbesondere bei ZIP-Archiven.

Eine .p7s-Datei ist eine abgesetzte CAdES-Signatur: eine separate Datei, die ein beliebiges Dokument oder Archiv signiert, ohne es zu verändern. Sie wird zusammen mit dem Originaldokument in SICAP hochgeladen.

Simplifi Sign stellt Ihr qualifiziertes Zertifikat dem Betriebssystem bereit (Windows-Zertifikatspeicher). Jede CAdES-Anwendung, die diesen Speicher liest, kann damit signieren. Die von der Europäischen Kommission veröffentlichte App EU DSS Standalone tut genau das, kostenlos und offline (außer OCSP/CRL-Prüfungen).

Schritte (Windows)

  1. 01

    Prüfen Sie das Zertifikat in Windows

    Öffnen Sie bei laufendem und angemeldetem Simplifi Sign certmgr.msc > Eigene Zertifikate > Zertifikate. Ihr Simplifi-Zertifikat muss das Schlüsselsymbol zeigen (hat einen privaten Schlüssel). DSS liest genau diese Liste.

  2. 02

    Laden Sie EU DSS Standalone herunter

    Wählen Sie auf der Seite "Standalone application" der DSS-Demo (ec.europa.eu/digital-building-blocks) das Windows-x64-Archiv "Complete" (enthält Java). Entpacken Sie es in einen Ordner ohne Leerzeichen im Namen und führen Sie dss-run.bat aus. Windows SmartScreen kann eine Bestätigung verlangen.

  3. 03

    Konfigurieren Sie die Signatur

    Im Fenster Signature: Signature format CAdES, Packaging DETACHED, Level CAdES-BASELINE-B, Digest SHA256. Token: MS CAPI. Wählen Sie die zu signierende Datei (PDF, ZIP, beliebig).

  4. 04

    Signieren Sie mit dem Simplifi-Zertifikat

    Klicken Sie auf Sign, wählen Sie das von "Simplifi Qualified CA" ausgestellte Zertifikat und bestätigen Sie in Simplifi Sign, wenn Sie dazu aufgefordert werden. DSS speichert die Signatur als separate Datei, in der Regel mit dem Dokumentnamen plus der Erweiterung .p7s.

  5. 05

    Validieren

    Laden Sie im Tab Validation von DSS die .p7s-Datei und unter "Detached content" das Originaldokument hoch. Erwartetes Ergebnis: CAdES-BASELINE-B, QESig, TOTAL_PASSED. Beim ersten Lauf kann "indeterminate" erscheinen, bis DSS die EU-Vertrauensliste heruntergeladen hat; versuchen Sie es nach einer Minute erneut.

  6. 06

    In SICAP hochladen

    Laden Sie das Originaldokument und die .p7s-Datei zusammen in dem Schritt hoch, den die Vergabeunterlagen verlangen. Benennen Sie keine der beiden Dateien nach dem Signieren um und verändern Sie sie nicht.

Häufige Probleme

DSS zeigt das Simplifi-Zertifikat unter MS CAPI nicht an
Simplifi Sign läuft nicht oder Sie sind nicht angemeldet. Prüfen Sie in certmgr.msc, dass das Zertifikat mit privatem Schlüssel erscheint, und starten Sie DSS neu.
"Signatur ungültig" in SICAP oder beim Auftraggeber
Am häufigsten: Die Originaldatei wurde nach dem Signieren verändert oder umbenannt, oder die .p7s wurde für eine andere Datei erstellt (z. B. für das PDF, während in SICAP das Archiv hochgeladen wurde). Eine abgesetzte Signatur ist an die exakten Bytes der Datei gebunden.
Sie brauchen einen Zeitstempel (CAdES-T)
SEAP verlangt keinen Zeitstempel in der .p7s. Der Simplifi-Zeitstempel wird auf unseren Servern angebracht und nicht als RFC-3161-Dienst bereitgestellt, daher erzeugt DSS CAdES-B. Verwenden Sie keine kostenlosen öffentlichen Zeitserver: Sie sind nicht qualifiziert.

Häufige Fragen

Ist eine so erstellte .p7s qualifiziert?
Ja, das Zertifikat ist qualifiziert und der Schlüssel ist im QSCD von Simplifi geschützt; DSS formatiert lediglich die CAdES-Signatur. Der Validator meldet sie als QESig.
Eine .p7s pro Dokument oder eine pro Archiv?
So, wie es die Vergabeunterlagen verlangen. Falls nicht angegeben, ist eine .p7s für jede hochgeladene Datei am sichersten.
Funktioniert es unter macOS?
Für .p7s noch nicht: EU DSS Standalone gibt es nicht für macOS. Signieren Sie PDFs im Browser oder verwenden Sie für .p7s einen Windows-Computer.
Warum nicht die DSS-Web-Demo verwenden?
Die Web-Demo signiert auf dem Server der Kommission, verlangt eine .p12-Datei mit exportierbarem Schlüssel und lädt Ihre Dokumente dorthin hoch. Sie ist weder technisch (der Simplifi-Schlüssel ist nicht exportierbar) noch für die Vertraulichkeit des Angebots geeignet.

Verwandte Leitfäden