Gefälschte Dokumente erkennen: wie Unternehmen eingehende Dateien prüfen

Dokumente auf Echtheit prüfen heißt, drei Fragen zu beantworten. Stammt es wirklich von der Partei, die darauf steht? Hat es sich seither verändert? Und darf der Absender es überhaupt schicken? Eine Lieferantenrechnung, ein unterschrieben zurückgekommener Vertrag, ein ISO-Zertifikat im Ausschreibungspaket, das Zeugnis eines Bewerbers, die Ausweiskopie eines neuen Geschäftsführers: andere Unterlagen, dieselben drei Fragen.

Wer nach «gefälschte Dokumente erkennen» sucht, landet oft bei Ausweisen und Betrugsglossaren. Die Ausweisprüfung ist aber nur eine Zeile der Tabelle weiter unten. Die meisten Dokumente, die in einer Firma eingehen, durchlaufen nie einen KYC-Prozess, und gerade bei ihnen entscheidet sich, ob gezahlt wird.

Vorab ein Dämpfer: Eine Prüfung liefert Belege, keine Gewissheit. Ein Prüfbericht kann zeigen, dass ein PDF sich seit der Signatur nicht verändert hat. Dass die Rechnung darin ehrlich ist, zeigt er nicht. Sie schichten Prüfungen übereinander, bis das Restrisiko eines ist, das Sie tragen können. Bei einem signierten PDF dauert der erste Schritt zwei Minuten: die digitale Signatur eines PDFs online prüfen und den Bericht aufbewahren.

Beglaubigung und Apostille sind eine andere Prüfung

Wer ein Dokument im Ausland vorlegen muss, kennt die Beglaubigung: Eine Behörde bestätigt Unterschrift und Siegel einer öffentlichen Urkunde, damit sie dort verwendet werden kann. Zwischen den Mitgliedern des Haager Apostille-Übereinkommens übernimmt das die Apostille. Sie bescheinigt, wer unterschrieben hat, in welcher Eigenschaft und unter welchem Siegel. Ob der Inhalt stimmt, sagt sie nicht.

Die Arten der Prüfung unterscheiden sich weniger durch die Technik als dadurch, wo die Wahrheit liegt. Bei einem signierten PDF steckt der Beweis in der Datei. Bei einer Rechnung liegt er in Ihren eigenen Lieferantenstammdaten. Bei Zeugnis oder Zertifikat liegt er beim Aussteller, und nur eine Rückfrage dort zählt.

Die Prüfung eines Ausweisdokuments ist der Sonderfall. Das Dokument ist ein Reisepass oder Personalausweis, und die Frage lautet, ob die Person vor dem Bildschirm dazu passt. Das braucht Spezialwerkzeug, das die maschinenlesbare Zone (MRZ) und den Chip ausliest und eine Lebenderkennung durchführt. Deshalb setzen die meisten Firmen es nur bei der Person ein, die ein Geschäft mit hohem Wert unterschreibt.

Ein Validator beantwortet eine Frage: Hält diese Signatur, und nach welchen Regeln? Für qualifizierte Signaturen in der EU legt Artikel 32 der eIDAS-Verordnung die Liste fest. Die Validierung muss bestätigen, dass das Zertifikat qualifiziert war, von einem qualifizierten Vertrauensdiensteanbieter ausgestellt wurde und zum Zeitpunkt der Signatur gültig war; dass eine qualifizierte Signaturerstellungseinheit die Signatur erzeugt hat; dass die signierten Daten nicht beeinträchtigt sind; und dass die Angaben zum Unterzeichner bei Ihnen richtig ankommen, ein Pseudonym eingeschlossen, das als solches gekennzeichnet sein muss.

Europäische Validatoren, die DSS-Bibliothek der Europäischen Kommission eingeschlossen, folgen ETSI EN 319 102-1. Ein Verfahren deckt PAdES (Signaturen in PDFs), XAdES (XML), CAdES (.p7m- und .p7s-Dateien) und ASiC-Container ab und endet in einem von drei Urteilen. Die Werkzeuge formulieren sie unterschiedlich; darunter liegt immer eines dieser drei.

Wer nichts installieren will, hat Alternativen. Die österreichische Regulierungsbehörde RTR betreibt eine Signaturprüfung, die XAdES, CAdES, PAdES, ASiC und XMLDSig liest und für jeden Unterzeichner Signaturwert, Zertifikat und Manifest getrennt ausweist. Qualifizierte Zertifikate prüft sie nur, soweit das ausstellende Land eine technisch auswertbare Vertrauensliste führt. Für Deutschland führt die Bundesnetzagentur diese Liste.

Gültig heißt nicht qualifiziert

Ein Bericht kann TOTAL-PASSED für eine Signatur melden, die fortgeschritten, aber nicht qualifiziert ist. Ob sie qualifiziert ist, entscheidet ein Nachschlagen: Steht der Aussteller als qualifizierter Anbieter auf der EU-Vertrauensliste? Eine Anmerkung der ETSI selbst warnt, dass ein bestandener Test nicht zwingend bedeutet, dass die Signatur für einen bestimmten Zweck taugt. Lesen Sie also zwei Zeilen: Hat sie validiert, und auf welchem Niveau? Braucht Ihr Vertrag eine qualifizierte Signatur, können Sie neben PDFs auch XAdES-, CAdES- und ASiC-Dateien gegen die EU-Vertrauensliste prüfen.

Eine Gewohnheit zahlt sich aus: Speichern Sie den Bericht an dem Tag, an dem Sie ihn erzeugen. Sperrdaten von Signaturen, die sie nicht einbetten, können später verschwinden, und der Bericht von heute schlägt eine Wiederholung in zwei Jahren.

Ein Hashwert ist ein kurzer Fingerabdruck, der aus jedem Byte einer Datei berechnet wird. Der Secure Hash Standard des NIST nennt den Zweck nüchtern: Digests zeigen, ob sich eine Nachricht seit der Berechnung verändert hat. Ändern Sie ein Komma, und der SHA-256-Wert sieht völlig anders aus.

Damit ist der Hashwert-Vergleich der billigste Weg, die Echtheit zweier Kopien zueinander zu belegen. Lassen Sie sich vom Absender am Telefon den Hashwert der gesendeten Datei vorlesen und vergleichen Sie ihn mit dem aus Schritt zwei. Gleicher Wert, gleiche Datei. Auch US-Gerichte folgen dieser Logik: Die Anmerkungen des Ausschusses von 2017 zu den Federal Rules of Evidence sagen, dass identische Hashwerte verlässlich zeigen, dass Kopie und Original exakte Duplikate sind.

Die Grenze ist genauso klar. Ein gleicher Hashwert beweist, dass die Kopie identisch ist. Dass das Original ehrlich war, beweist er nicht.

Die beiden Marken hinter den meisten signierten PDFs lassen sich prüfen, ohne dass Sie bei einer von ihnen ein Konto brauchen.

DocuSign. Stellen Sie zuerst sicher, dass der Umschlag wirklich von DocuSign kommt. Die eigenen Sicherheitshinweise von DocuSign raten, zu prüfen, ob die E-Mail von einer offiziellen Domain wie @docusign.net stammt, und das Dokument mit dem Sicherheitscode aus der E-Mail auf der Seite von DocuSign zu öffnen, nicht über einen Link. Dann schauen Sie, was Sie bekommen haben:

• Das fertige PDF, das sich in jedem Validator öffnen lässt wie jedes andere signierte PDF.
• Das Certificate of Completion: DocuSigns eigener Nachweis zum Umschlag, mit Umschlag-ID, jedem Unterzeichner und den zeitgestempelten Ereignissen der Signatur. Es ist ein Protokoll und nicht die digitale Signatur des PDFs; behandeln Sie beides als getrennte Belege.
• Die Umschlag-ID auf den Seiten, ein Verweis, den Sie nennen, wenn Sie den Absender um das Zertifikat bitten.

Adobe Acrobat. Öffnen Sie den Bereich «Signaturen», wählen Sie die Signatur und validieren Sie sie. Acrobat entscheidet nach eigenen Vertrauenseinstellungen, die nicht mit denen eines EU-Validators übereinstimmen. Eine Signatur kann in Acrobat bestehen und anderswo als nicht qualifiziert erscheinen, oder umgekehrt. Wenn Sie auf ein gelbes Banner starren: Hier steht, was die gelben Warnungen in Acrobat bedeuten.

Ehrlich gesagt ist der häufigste Fehler hier kein Betrug. Es ist ein Dokument, das jemand nach dem Signieren aufgeräumt hat.

KYB (Know Your Business) ist das KYC auf Unternehmensebene. Für Verpflichtete nach dem Geldwäschegesetz ist es Pflicht: § 10 Absatz 1 GwG verlangt, den Vertragspartner zu identifizieren, abzuklären, ob er für einen wirtschaftlich Berechtigten handelt, und bei einer Gesellschaft deren Eigentums- und Kontrollstruktur zu klären. Ab 10. Juli 2027 gilt für Verpflichtete in der EU ein einheitliches Regelwerk, die Verordnung (EU) 2024/1624. Für alle anderen ist KYB gewöhnliche Vorsicht, und sie ist billiger, als sie klingt:

1. 1.
   Suchen Sie das Unternehmen selbst im amtlichen Register. Das Handelsregister und das Unternehmensregister sind öffentlich: Einträge und eingereichte Dokumente finden Sie über das Gemeinsame Registerportal der Länder und über unternehmensregister.de. Die Unternehmensregister aller EU-Länder sind seit Juni 2017 über das E-Justice-Portal gemeinsam durchsuchbar.
2. 2.
   Gleichen Sie Firma, Registernummer und Anschrift auf dem Dokument mit dem Register ab. Ein Handelsname auf der Rechnung und eine andere juristische Person im Vertrag verdienen eine Rückfrage.
3. 3.
   Klären Sie, wer zeichnen darf. Geschäftsführer und Prokuristen stehen im Register; ein «Head of Partnerships» meist nicht.
4. 4.
   Rechnen Sie nicht damit, im Transparenzregister die Eigentümer nachzulesen. Nach § 23 GwG sehen es Behörden und Verpflichtete; wer nur ein berechtigtes Interesse nachweist, bekommt eingeschränkte Daten.
5. 5.
   Hat die Firma einen Legal Entity Identifier (LEI), schlagen Sie ihn als zweiten Eintrag nach, den ein anderer führt.

Bei Gegenparteien im Ausland sieht es anders aus. In Großbritannien verlangt Companies House seit dem 18. November 2025 eine verifizierte Identität von Direktoren und Personen mit maßgeblicher Kontrolle. In den USA müssen Banken nach 31 CFR 1010.230 wirtschaftlich Berechtigte ab 25 Prozent und eine Kontrollperson feststellen; US-Gesellschaften sind seit März 2025 von der Meldung wirtschaftlich Berechtigter an FinCEN ausgenommen, ein Bundesregister dafür gibt es also nicht.

Dann die Person. Bei einem großen Geschäft kommt eine KYC-Prüfung des Unterzeichners dazu: Ausweisdokument, Lebenderkennung, Sanktions- und PEP-Abgleich. Wie Sie die unterzeichnende Person per KYC prüfen, steht auf der Produktseite. Unser Leitfaden zur Prüfung eines Kunden vor der Unterschrift klärt, wer dazu rechtlich verpflichtet ist und wer es einfach tun sollte.

Gefälschtes Papier bekommt die Aufmerksamkeit, aber die größten dokumentierten Schäden entstehen durch echte Dokumente oder echte Gespräche, in denen ein Detail geändert wurde. Der Internet Crime Report 2024 des US-amerikanischen FBI verzeichnete 21.442 Beschwerden wegen Business Email Compromise und 2,77 Milliarden US-Dollar Schaden, bei insgesamt 16,6 Milliarden gemeldeten. Innerhalb von Unternehmen läuft Betrug lange: Der Report to the Nations 2026 der ACFE, gestützt auf 2.402 Fälle weltweit, nennt einen Median-Schaden von 104.000 US-Dollar und typischerweise 12 Monate bis zur Entdeckung.

Muster, die Ihr Team kennen sollte:

• Geänderte Bankverbindung. Eine gefälschte Rechnung erkennen Sie selten am Layout. Ein echter Lieferantenverlauf, eine echt aussehende Rechnung, ein neues Konto: Das ist die ganze Masche. Als CEO-Fraud oder Fake President kommt sie mit einer Chefmail daher. Es ist das teuerste Muster und das am leichtesten zu stoppende, mit einem Anruf.
• Ein bearbeitetes PDF, das noch eine Signatur zeigt. Ein PDF kann nach der Signatur angehängte Revisionen tragen, sodass eine Signatur für eine frühere Fassung gültig ist, während die Seite, die Sie lesen, später entstand. Validatoren melden, welche Revision jede Signatur abdeckt. Lesen Sie diese Zeile.
• Ein eingefügtes Unterschriftsbild: sieht nach Signatur aus und enthält keine Kryptografie.
• Eine ähnliche Domain: ein getauschter Buchstabe in der Absenderadresse, oft in einem Verlauf, der echt begann.
• Ein echtes Zertifikat, das gar nicht dem Absender gehört, nachträglich auf einen anderen Firmennamen oder Geltungsbereich umgeschrieben. Das Register des Ausstellers fängt es ab.
• Gefälschte Zeugnisse: Steht auf einem Arbeits- oder Hochschulzeugnis als einzige Kontaktmöglichkeit eine Adresse, die auf dem Papier selbst gedruckt ist, führt die Rückfrage ins Leere. Rufen Sie die Hochschule über eine Nummer an, die Sie selbst gesucht haben.
• Erzeugte Ausweise und Gehaltsabrechnungen. Sie zu erkennen ist Aufgabe von Spezialwerkzeug, und wir haben was KI-Modelle bei einem gefälschten Ausweis prüfen gesondert behandelt.

Fälschen ist außerdem strafbar. Wer zur Täuschung im Rechtsverkehr eine unechte Urkunde herstellt, eine echte verfälscht oder eine gefälschte gebraucht, begeht Urkundenfälschung nach § 267 StGB, und § 269 StGB erfasst die Fälschung beweiserheblicher Daten: bis zu fünf Jahre Freiheitsstrafe oder Geldstrafe. Das hilft Ihnen hinterher, nicht davor.

Keines dieser Muster überlebt eine Routine, die den Weg und eine unabhängige Quelle prüft. Sie überleben Menschen in Eile.

Ein Prüfbericht ist ein Beleg über eine Signatur. Wie viel er wiegt, hängt davon ab, wo Sie ihn einsetzen und was mit der Datei geschah, bevor Sie sie geprüft haben.

In der EU sagt Artikel 25 Absatz 1 der eIDAS-Verordnung, dass einer elektronischen Signatur Rechtswirkung und Zulässigkeit als Beweismittel nicht allein deshalb abgesprochen werden dürfen, weil sie elektronisch ist oder die Anforderungen an qualifizierte Signaturen nicht erfüllt. Das öffnet die Tür. Artikel 33 setzt eine höhere Stufe darauf: Einen qualifizierten Validierungsdienst für qualifizierte Signaturen darf nur ein qualifizierter Vertrauensdiensteanbieter betreiben. Er validiert nach Artikel 32 und liefert das Ergebnis in automatisierter Form, versehen mit seiner eigenen fortgeschrittenen Signatur oder seinem Siegel. Ein solcher Bericht ist schwerer anzugreifen als der Screenshot eines grünen Häkchens.

Im deutschen Zivilprozess ist eine Datei zunächst Augenscheinsobjekt (§ 371 ZPO): Sie legen sie vor, und das Gericht würdigt sie frei (§ 286 ZPO). Trägt ein privates elektronisches Dokument eine qualifizierte elektronische Signatur, gelten nach § 371a Absatz 1 ZPO die Vorschriften über die Beweiskraft privater Urkunden entsprechend, und der Anschein der Echtheit, der sich aus der Prüfung der Signatur ergibt, lässt sich nur durch Tatsachen erschüttern, die ernstliche Zweifel begründen, dass die Erklärung von der verantwortlichen Person stammt. Ohne qualifizierte Signatur bleibt es bei freier Beweiswürdigung, und dann zählt, was Sie belegen können: Original, Hashwert, Prüfbericht, Eingangsverlauf.

In den USA beginnt es mit Regel 901(a) der Federal Rules of Evidence: Wer ein Beweisstück anbietet, muss genug vorlegen, um die Feststellung zu stützen, dass es ist, was er behauptet. Die Absätze 902(13) und 902(14) von Rule 902 lassen elektronische Beweise seit Dezember 2017 durch die Bescheinigung einer qualifizierten Person selbst authentisieren; die Anmerkungen nennen den Hashwert als übliche Methode.

Zwei Vorbehalte, beide wichtig. Echtheit ist nicht Wahrheit: Ein Bericht belegt die Datei und die Signatur, nicht die Tatsachen, die darin stehen, und die Gegenseite kann weiter über Inhalt und Relevanz streiten. Und nichts davon ist Rechtsberatung für Ihren Streit; es ist der Rahmen, von dem eine Anwältin ausgeht. Fairer Hinweis: Wurde das Original bearbeitet, bevor jemand den Hashwert bildete, repariert keine Vorschrift das. Deshalb beginnt die Prüfung in dem Moment, in dem die Datei eintrifft.

Chaindoc steht auf beiden Seiten des Prüfprozesses, deshalb lohnt Genauigkeit.

Für Dateien, die Sie erhalten, führt der Verifizierungsdienst von Chaindoc die Prüfungen aus dem Abschnitt zum Bericht für PDF-, XML-, CAdES- und ASiC-Signaturen aus. Vor der ersten Prüfung bestätigen Sie Ihre E-Mail-Adresse mit einem Einmalcode. Die Validierung läuft auf der DSS-Bibliothek der Europäischen Kommission, als Vertrauensanker dienen die EU-Vertrauensliste und die großen kommerziellen Zertifizierungsstellen, und Integrität und Vertrauen kommen als getrennte Ergebnisse zurück, sodass ein nicht vertrauter Aussteller nicht als manipuliertes Dokument erscheint. Eine qualifizierte Validierung im Sinne von Artikel 33 bekommen Sie bei einem qualifizierten Vertrauensdiensteanbieter, der sie anbietet.

Schicken Sie ein Dokument über Chaindoc, bildet der Server beim Hochladen den Hashwert der Datei. Wird es zum Signieren veröffentlicht, schreibt das den Hashwert dieser Version in eine öffentliche Blockchain, und der Nachweis jedes Unterzeichners wird dort festgehalten, sobald er abschließt. Identitätsprüfungen der Unterzeichner sind optional und gehören zu den bezahlten Tarifen. Sie können sie also für die Dokumente einschalten, die es rechtfertigen.

Was Chaindoc nicht übernimmt, sind der Anruf aus Schritt drei und die Registerabfrage aus Schritt fünf. Das bleibt bei Ihnen. Wer Prüfdienste vergleicht, hat damit einen fairen Test für jeden von ihnen: Welche Schritte deckt das Werkzeug ab, und welche überlässt es stillschweigend Ihrem Team?

Ausdrucken, in den Finanzkanal pinnen, anpassen. Eine Routine zum Erkennen gefälschter Dokumente taugt nur, wenn sie auch bei der langweiligen Dienstagsrechnung läuft und nicht nur beim großen Vertrag.

• Original unverändert gesichert, Hashwert notiert
• Absender, Domain und Anliegen für diese Gegenpartei normal, oder über einen bekannten Kontakt bestätigt
• Signatur validiert, Bericht gespeichert, Niveau gegen das geprüft, was das Geschäft braucht
• Inhalt an einer unabhängigen Quelle gemessen: Register des Ausstellers, Handelsregister, Lieferantenakte
• Unternehmen im amtlichen Register gefunden und Zeichnungsberechtigung geklärt
• KYC-Prüfung der unterzeichnenden Person, wo der Wert des Geschäfts es rechtfertigt
• Alles zusammen abgelegt, mit Vermerk, wer was wann bestätigt hat

Lässt sich ein Schritt nicht erledigen, schreiben Sie auf, warum. Eine dokumentierte Lücke ist eine Entscheidung. Eine Lücke, die keiner bemerkt hat, ist der Anfang der teuren Fälle.