Ein deutsches Berufungsgericht hat entschieden, dass ein digital bearbeitetes Dokument – das fotografiert und per E-Mail versendet wurde – rechtlich gesehen keine Fälschung darstellt, da es erkennbar nur ein Foto eines Dokuments und kein Original ist. Keine Unterschriftszeile. Keine strafrechtliche Abschreckung. Wenn Ihr Compliance-Programm "es sieht offiziell aus" immer noch als Echtheitsnachweis, diese Entscheidung sollte Ihnen mehr Sorgen bereiten als Ihre nächste Zero-Day-Warnung. Im Folgenden erfahren Sie, wie das bayerische Gericht entschieden hat, warum diese Lücke weit über Deutschland hinausreicht und wo Ihre Kontrollen zur Dokumentenprüfung stillschweigend von einer rechtlichen Absicherung ausgehen, die nicht mehr gilt. Die Lösung ist nicht rechtlicher Natur, sondern architektonischer Art.
Was das Gericht entschieden hat
Der Fall an sich war unspektakulär: Eine Frau hatte ein echtes Schreiben einer Anwaltskanzlei bearbeitet, es ausgedruckt, das Ergebnis fotografiert und das Bild über WhatsApp und per E-Mail verschickt. Das Bayerische Oberlandesgericht (BayObLG) sprach sie in beiden Anklagepunkten frei. Erstens erfordert ein "Dokument" nach deutschem Recht eine verkörperte Erklärung, die einen Aussteller identifiziert und hat einen Beweiswert - Eine Unterschrift ist dabei von zentraler Bedeutung. Ohne eine solche befand das Gericht, dass es sich lediglich um einen unverbindlichen Entwurf handelte, mit keine Beweiskraft. Zweitens traf auch der Straftatbestand der Fälschung von Beweismitteln nicht zu: Eine Bilddatei, die erkennbar lediglich ein Foto eines Dokuments ist, dient als sekundäres Beweismittel, kein ursprünglicher Erklärungsträger, sodass es auch nicht unter dieses Gesetz fällt.
Das ist nicht nur ein deutsches Problem
Das Ausmaß und die Raffinesse von Betrugsfällen nehmen bereits zu, unabhängig von der Argumentation einzelner Gerichte. Die weltweite Umfrage von PwC zu Wirtschaftskriminalität und Betrug Die Untersuchung ergab, dass etwas mehr als die Hälfte der befragten Unternehmen in den vergangenen zwei Jahren von Betrugsfällen betroffen war – dies ist die höchste Quote in der 20-jährigen Geschichte der Umfrage, wobei plattformbasierter Betrug sich als schnell wachsende Kategorie herauskristallisiert hat.
Kommt dann noch generative KI hinzu, verschlechtert sich die Lage noch weiter. Gartner prognostiziert dass bis 2026 etwa 30% Unternehmen aufhören werden, isoliert auf eigenständige Tools zur Identitätsprüfung zu vertrauen, insbesondere weil durch KI erzeugte Deepfakes mittlerweile die biometrische Gesichtserkennung überlisten – und Angriffe vom Typ „Injection“ auf diese Systeme innerhalb eines einzigen Jahres um 200% zugenommen haben.
Auch die US-Bundesbehörden kamen aus Sicht des Verteidigungsministeriums zu demselben Schluss. In einer gemeinsamen Stellungnahme der NSA, FBI und CISA beschreibt, wie sich Bedrohungen durch synthetische Medien branchenübergreifend ausgeweitet haben, und empfiehlt konkrete Maßnahmen zur Risikominderung für Organisationen, die nicht mehr davon ausgehen können, dass Medien – seien es Bild- oder Dokumentationsmaterial – das sind, was sie zu sein scheinen.
Zusammengefasst: Eine Gesetzeslücke in einem Rechtsraum plus ein weltweites Wettrüsten bei Fertigungswerkzeugen ergibt eine Compliance-Lücke, bei der es keine Rolle spielt, wo Ihr Unternehmen seinen Sitz hat.
Wie die Lösung aussehen könnte
Der zugrunde liegende Mechanismus ist in der Kryptografie seit langem etabliert und wird mittlerweile zunehmend zur Sicherung der Dokumentintegrität eingesetzt: Hash-Verfahren in Verbindung mit Zeitstempeln.
- Erstellen Sie einen Fingerabdruck der Datei, nicht des Inhalts. Ein kryptografischer Einweg-Hash reduziert jede Datei – sei es ein Vertrag, eine Akte, einen Scan oder einen Datensatz – auf einen eindeutigen Fingerabdruck. Der Fingerabdruck gibt keinen Aufschluss über den Inhalt der Datei; er ändert sich nur, wenn sich die Datei selbst ändert, und sei es auch nur um ein einziges Byte.
- Den Fingerabdruck extern verankern. Durch die Zeitstempelung dieses Fingerabdrucks in einer öffentlichen Blockchain (Bitcoin oder Ethereum sind gängige Optionen) entsteht ein Datensatz, den keine einzelne Organisation – auch nicht diejenige, die ihn erstellt hat – kontrolliert oder nachträglich bearbeiten kann. Der Inhalt der Datei wird niemals hochgeladen oder offengelegt; es wird lediglich der Fingerabdruck verankert, wodurch der Ansatz von Grund auf als „Zero-Knowledge“-Verfahren konzipiert ist.
- Kann später von jedermann unabhängig überprüft werden. Zu jedem späteren Zeitpunkt lässt sich durch erneutes Hash-Berechnen der Datei und deren Vergleich mit dem hinterlegten Fingerabdruck mit mathematischer Sicherheit feststellen, ob die Datei mit der versiegelten Datei übereinstimmt. Keine Übereinstimmung bedeutet, dass sie unverändert ist. Eine Abweichung ist sofort erkennbar – und zwar für jeden, der die Überprüfung durchführt, nicht nur für denjenigen, der die Datei versiegelt hat.
Nichts davon hindert jemanden daran, eine Datei zu bearbeiten – das kann nur durch den Entzug des Zugriffsrechte verhindert werden. Was es jedoch gewährleistet, ist, dass die Bearbeitung nicht unbemerkt bleiben und nicht plausibel geleugnet werden kann. Das ist der Punkt, den die Begründung des deutschen Gerichts nicht erfassen konnte: Ein fotografiertes, nicht unterzeichnetes Dokument hat keinen inhärenten Beweiswert, aber eine Datei mit einem extern verankerten, unabhängig überprüfbaren Zeitstempel liefert genau die Art von Beweismittel, die das Gericht vermisst hat – unabhängig davon, welche Gerichtsbarkeit danach fragt.
Argumente für die Verwertbarkeit digitaler Beweismittel
Hier handelt es sich um eine Lücke bei der Reife der Kontrollmechanismen, nicht um ein hypothetisches Szenario. - Sie verfügen nun über ein konkretes Gerichtsurteil, eine Betrugsstudie einer der „Big Four“-Wirtschaftsprüfungsgesellschaften und eine gemeinsame Empfehlung der US-Regierung, die alle in dieselbe Richtung weisen. Stellen Sie es Ihrem Vorstand oder Prüfungsausschuss so dar: Es geht nicht um einen großen neuen Haushaltsposten, sondern um eine Aktualisierung der Richtlinien – gestaffeltes Vertrauen in Dokumente und außerplanmäßige Überprüfungen –, die eine Lücke schließt, für deren Abdeckung Ihre bestehenden Kontrollen nie ausgelegt waren. Investitionen in entsprechende Tools können erfolgen, sobald die Richtlinie eingeführt und das Risiko dokumentiert ist.
.
Möchten Sie sehen, wie eine unabhängige Integritätsprüfung in der Praxis aussieht?
Probieren Sie es kostenlos aus – ganz unverbindlich:
Wahrheitsüberprüfer für IP-Schöpfer: https://truth-verifier.com/landing
Wahrheitsüberprüfer für Journalisten: https://truthverifier.news/landing
Kontaktieren Sie uns, um die Einführung von Truth Enforcer in Ihrem Unternehmen zu besprechen: https://www.connecting-software.com/truth-enforcer-sign-up/
Durch Francisco Rodrigues, Produktmanager
"Ich schreibe darüber, wie sich Software-Integrationen an Geschäftsumgebungen anpassen und auf branchenspezifische Anforderungen reagieren können. Ich möchte Unternehmen den Weg zeigen, wie sie Prozesse rationalisieren, Engpässe beseitigen und die Einhaltung von Vorschriften sicherstellen können, indem sie Teams und Führungskräfte mit den richtigen Tools ausstatten."