Een Duits hof van beroep heeft geoordeeld dat een digitaal gewijzigd document – dat is gefotografeerd en per e-mail is verzonden – juridisch gezien geen vervalsing is, omdat het herkenbaar slechts een foto van een document is en geen origineel. Er is geen ruimte voor een handtekening. Er zit geen strafrechtelijke afschrikkende werking achter. Als uw complianceprogramma "het ziet er officieel uit" nog steeds behandelt als bewijs van echtheid, deze uitspraak zou je meer zorgen moeten baren dan je volgende zero-day-waarschuwing. Hieronder: wat de Beierse rechtbank heeft beslist, waarom dit probleem veel verder reikt dan Duitsland, en op welke punten je controles voor documentverificatie stilletjes uitgaan van een juridische basis die niet langer standhoudt. De oplossing ligt niet op juridisch vlak, maar op architectonisch vlak.
Wat het Hof heeft beslist
De zaak zelf was alledaags: een vrouw had een echte brief van een advocatenkantoor bewerkt, deze afgedrukt, het resultaat gefotografeerd en de afbeelding via WhatsApp en e-mail verstuurd. Het Beierse Hoger Regionaal Gerechtshof (BayObLG) sprak haar vrij van beide mogelijke aanklachten. Ten eerste vereist een "document" volgens het Duitse recht een vastgelegde verklaring waarin de afzender wordt geïdentificeerd en heeft bewijskracht - een handtekening is daarbij van cruciaal belang. Zonder handtekening oordeelde de rechtbank dat er slechts sprake was van een niet-bindend ontwerp met geen bewijskracht. Ten tweede was het delict van het vervalsen van bewijsmateriaal evenmin van toepassing: een afbeeldingsbestand dat herkenbaar is als louter een foto van een document, fungeert als secundair bewijs, geen vervoerder die de oorspronkelijke aangifte heeft ingediend, dus valt het ook buiten de werkingssfeer van die wet.
Dit is niet alleen een Duits probleem
De omvang en de complexiteit van fraude nemen al toe, los van de motivering van welke rechtbank dan ook. PwC's wereldwijde enquête over economische criminaliteit en fraude uit het onderzoek bleek dat iets meer dan de helft van de ondervraagde organisaties in de afgelopen twee jaar te maken had gehad met fraude – het hoogste percentage in de twintigjarige geschiedenis van het onderzoek, waarbij platformgebaseerde fraude zich ontpopte als een snelgroeiende categorie.
Voeg daar generatieve AI aan toe en het beeld wordt nog somberder. Gartner-prognoses dat tegen 2026 ongeveer 30% bedrijven niet langer zullen vertrouwen op op zichzelf staande tools voor identiteitsverificatie, met name omdat door AI gegenereerde deepfakes inmiddels gezichtsbiometrische controles omzeilen – en het aantal injectie-achtige aanvallen op deze systemen in één jaar tijd met 200% is gestegen.
Ook Amerikaanse federale instanties kwamen vanuit defensieperspectief tot dezelfde conclusie. Een gezamenlijk advies van de NSA, FBI en CISA beschrijft hoe de dreiging van synthetische media zich over verschillende sectoren heeft uitgebreid en doet aanbevelingen voor concrete maatregelen ter beperking van de risico’s voor organisaties die er niet langer van uit kunnen gaan dat media – zowel visuele als documentaire – zijn wat ze lijken te zijn.
Kort samengevat: een juridische maas in de wet in één rechtsgebied plus een wereldwijde wapenwedloop op het gebied van fabricageapparatuur leidt tot een blinde vlek op het gebied van naleving, waarbij het niet uitmaakt waar uw onderneming is gevestigd.
Hoe de oplossing eruit zou kunnen zien
Het onderliggende mechanisme is een beproefde methode in de cryptografie, die tegenwoordig steeds vaker wordt toegepast om de integriteit van documenten te waarborgen: hashing in combinatie met tijdstempels.
- Controleer het bestand op vingerafdrukken, niet de inhoud. Een cryptografische hash die slechts in één richting werkt, reduceert elk bestand – contract, document, scan, dataset – tot een unieke vingerafdruk. De vingerafdruk zegt niets over de inhoud van het bestand; deze verandert alleen als het bestand zelf verandert, zelfs al is het maar één byte.
- Veranker de vingerafdruk extern. Door die vingerafdruk op een openbare blockchain (Bitcoin of Ethereum zijn veelgebruikte opties) te timestempelen, ontstaat er een registratie die door geen enkele organisatie – ook niet door degene die deze heeft aangemaakt – kan worden beheerd of achteraf kan worden gewijzigd. De inhoud van het bestand wordt nooit geüpload of openbaar gemaakt; alleen de vingerafdruk wordt vastgelegd, waardoor de aanpak per definitie ‘zero-knowledge’ blijft.
- Dit kan later door wie dan ook onafhankelijk worden gecontroleerd. Als je het bestand daarna op enig moment opnieuw verwerkt en vergelijkt met de opgeslagen vingerafdruk, weet je met wiskundige zekerheid of het bestand overeenkomt met wat er is verzegeld. Als er geen overeenkomst is, betekent dit dat het bestand ongewijzigd is gebleven. Een afwijking is onmiddellijk waarneembaar door iedereen die de controle uitvoert – niet alleen door degene die het bestand heeft verzegeld.
Dit alles belet niemand om een bestand te bewerken – alleen het intrekken van de toegangsrechten kan dat voorkomen. Wat het wel garandeert, is dat de bewerking niet onopgemerkt kan blijven en niet op geloofwaardige wijze kan worden ontkend. Dat is het punt waar de redenering van de Duitse rechtbank niet tot kon komen: een gefotografeerd, niet-ondertekend document heeft geen ingebouwde bewijskracht, maar een bestand met een extern verankerde, onafhankelijk verifieerbare tijdstempel bevat precies het soort bewijs dat de rechtbank miste – ongeacht welke rechtspraak hierom vraagt.
Pleidooi voor de verdedigbaarheid van digitaal bewijsmateriaal
Dit is een kloof tussen de looptijd van de controle en de looptijd van de vordering, geen hypothetisch scenario - je hebt nu een specifieke rechterlijke uitspraak, een fraudeonderzoek van een van de Big Four en een gezamenlijk advies van de Amerikaanse overheid die allemaal in dezelfde richting wijzen. Breng het op die manier onder de aandacht bij uw raad van bestuur of auditcommissie: het gaat niet om een grote nieuwe begrotingspost, maar om een beleidsaanpassing – gedifferentieerd vertrouwen in documenten en ‘out-of-band’-verificatie – die een lacune dicht waarvoor uw bestaande controles nooit zijn ontworpen. Investeringen in tools kunnen volgen zodra het beleid is ingevoerd en het risico is gedocumenteerd.
.
Wil je zien hoe onafhankelijke integriteitscontrole er in de praktijk uitziet?
Probeer het gratis uit – geheel vrijblijvend:
Waarheidscontroleur voor IP-makers: https://truth-verifier.com/landing
Waarheidscontroleur voor journalisten: https://truthverifier.news/landing
Neem contact met ons op om de implementatie van Truth Enforcer in uw organisatie te bespreken: https://www.connecting-software.com/truth-enforcer-sign-up/
Door Francisco Rodrigues, Product Manager
"Ik schrijf over hoe software-integraties zich kunnen aanpassen aan bedrijfsomgevingen en kunnen inspelen op branchespecifieke eisen. Ik wil ondernemingen de weg wijzen om processen te stroomlijnen, knelpunten te elimineren en compliance te garanderen door teams en C-suite executives te voorzien van de juiste tools."