Gefälschtes Signaturzertifikat erkennen: E-Signatur-Betrug

Ein gefälschtes Signaturzertifikat erkennt man, indem man drei Dinge prüft, statt der PDF-Seite selbst zu vertrauen: den im Zertifikat referenzierten Dokumenten-Hash gegen die tatsächlich vorliegende Datei abgleichen, die Angaben über das eigene Verifizierungsportal des Anbieters (DocuSign, Adobe Sign, HelloSign) gegenkontrollieren und die kryptografische Signaturkette im PDF selbst prüfen, statt sich auf das Layout der Zertifikatsseite zu verlassen. Ein Zertifikat, das nur als eingebettetes Bild oder als reiner Text vorliegt und keine überprüfbare digitale Signatur trägt, ist grundsätzlich verdächtig – unabhängig davon, wie professionell es aussieht.

Laut dem ACFE-Bericht 2024 (Report to the Nations) werden nur 37 % der Dokumentenbetrugsfälle durch manuelle Kontrollen aufgedeckt, mit einer durchschnittlichen Erkennungsverzögerung von 87 Tagen, Quelle: ACFE, Occupational Fraud 2024: A Report to the Nations – eine Verzögerung, die bei einem gefälschten Signaturzertifikat besonders teuer wird, weil die zugrunde liegende Finanzierung oder der Mietvertrag zu diesem Zeitpunkt oft längst ausgezahlt oder vollzogen ist.

Was ein E-Signatur-Zertifikat ist – und wie es gefälscht wird

Wenn eine Person über DocuSign, Adobe Sign oder HelloSign (heute Dropbox Sign) ein Dokument unterschreibt, erzeugt die Plattform zwei getrennte Artefakte: das unterschriebene Dokument selbst und ein sogenanntes Certificate of Completion – ein Prüfprotokoll, das auflistet, wer wann mit welcher IP-Adresse, welcher Authentifizierungsmethode und welchem Ergebnis den Unterschriftsprozess durchlaufen hat, inklusive eines kryptografischen Hashwerts des unterschriebenen Dokuments. In der Praxis wird dieses Zertifikat häufig als separate PDF-Seite an den eigentlichen Vertrag angehängt oder als eigene Datei im Kreditakt, in der Mietvertragsmappe oder in der Personalakte abgelegt.

Genau dieses Zertifikat wird zum Angriffsziel, weil es auf den ersten Blick wie ein amtliches Beweisdokument wirkt, tatsächlich aber nur eine PDF-Seite mit Text und Layout ist, solange niemand die zugrunde liegende kryptografische Signatur prüft. Drei Betrugsmuster tauchen in der Praxis wiederkehrend auf.

Ein fabriziertes Zertifikat entsteht, wenn ein Dokument nie tatsächlich elektronisch unterschrieben wurde oder von der falschen Person unterschrieben wurde – die betrügerische Partei baut ein überzeugend aussehendes Certificate of Completion per Screenshot, Bildbearbeitung oder mittlerweile auch per KI-Generierung nach und hängt es an einen Kreditvertrag, einen Mietvertrag oder eine Vollmacht an. Ein manipuliertes Zertifikat ist ein echtes, aus einem völlig anderen – legitimen – Vorgang stammendes Zertifikat, bei dem Name des Unterzeichners, Datum, IP-Adresse oder Dokumenten-Hash nachträglich verändert wurden, um es passend zu einem anderen Dokument erscheinen zu lassen. Ein wiederverwendetes oder wiedereingespieltes Zertifikat schließlich ist vollständig echt und unverändert, stammt aber aus einem abgeschlossenen, legitimen früheren Vorgang und wird einem anderen Dokument beigefügt – ein Betrug, der allein darauf setzt, dass niemand den im Zertifikat referenzierten Hash mit der tatsächlich vorliegenden Datei abgleicht.

Fabriziert, manipuliert oder wiederverwendet: die Betrugsmuster im Vergleich

Die drei Varianten unterscheiden sich stark darin, wie leicht sie mit bloßem Auge auffallen – und welche Prüfung sie letztlich entlarvt.

Rechtlicher Rahmen in Deutschland: eIDAS, VDG und § 267 StGB

Die eIDAS-Verordnung (EU) Nr. 910/2014 regelt europaweit elektronische Identifizierung und Vertrauensdienste und verleiht der qualifizierten elektronischen Signatur (QES) gemäß Artikel 25 eine der handschriftlichen Unterschrift gleichwertige rechtliche Vermutung der Zuverlässigkeit – vorausgesetzt, sie stammt tatsächlich von einem qualifizierten Vertrauensdiensteanbieter und lässt sich als solche verifizieren. In Deutschland setzt das Vertrauensdienstegesetz (VDG) diese Verordnung seit dem 29. Juli 2017 um und hat das bisherige Signaturgesetz abgelöst. Es regelt unter anderem die Aufsicht über qualifizierte Vertrauensdiensteanbieter durch die Bundesnetzagentur sowie die Pflicht, ein Zertifikat unverzüglich zu widerrufen, sobald Anhaltspunkte dafür vorliegen, dass es gefälscht oder nicht fälschungssicher ist (§ 19 Abs. 4 VDG).

Wer ein Signaturzertifikat fabriziert, verändert oder wissentlich einem falschen Dokument zuordnet, um im Rechtsverkehr zu täuschen, erfüllt in der Regel den Tatbestand der Urkundenfälschung nach § 267 StGB: Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, in besonders schweren Fällen – etwa bei gewerbsmäßigem oder bandenmäßigem Handeln – von sechs Monaten bis zu zehn Jahren. Ein elektronisches Zertifikat gilt dabei als Urkunde im strafrechtlichen Sinne, weil es eine verkörperte Erklärung mit Beweisfunktion und erkennbarem Aussteller enthält. Dieser Abschnitt ersetzt keine Rechtsberatung; die strafrechtliche und zivilrechtliche Einordnung eines konkreten Falls sollte immer durch eine Rechtsanwältin oder einen Rechtsanwalt erfolgen.

Sichtbare Warnsignale ohne technische Hilfsmittel

Eine aufmerksame Prüfung deckt einen erheblichen Teil der fabrizierten und manipulierten Zertifikate auf, noch bevor ein forensisches Werkzeug zum Einsatz kommt:

• Kein gültiges Signaturfeld im PDF-Reader: Das Zertifikat liegt nur als eingebettetes Bild oder Text vor, ohne dass Adobe Reader oder ein anderer PDF-Viewer ein prüfbares digitales Signaturfeld anzeigt.
• Fehlende oder nicht auffindbare Envelope-ID: Die Transaktionsnummer fehlt vollständig oder lässt sich beim genannten Anbieter nicht nachschlagen.
• Abweichendes Erscheinungsbild: Schriftart, Logo-Auflösung oder Seitenlayout weichen leicht vom aktuellen Design des Anbieters ab – Anbieter aktualisieren ihre Zertifikatsvorlagen regelmäßig, ältere Fälschungen bleiben oft auf einem veralteten Stand stehen.
• Widersprüchliche Zeitstempel: Das im Zertifikat genannte Signaturdatum und das Erstellungsdatum der PDF-Datei selbst (sichtbar in den Dateimetadaten) liegen Wochen oder Monate auseinander.
• Geografisch unplausible IP-Adresse: Die im Zertifikat vermerkte IP-Adresse passt nicht zum angegebenen Wohnort oder Firmensitz des Unterzeichners.
• Hash lässt sich nicht nachrechnen: Der im Zertifikat referenzierte Dokumenten-Hash stimmt nicht mit dem tatsächlichen Hashwert der vorliegenden Datei überein.

Reicht ein Screenshot des Zertifikats als Nachweis?

Nein. Ein Screenshot oder ein als Bild eingefügtes Zertifikat enthält per Definition keine kryptografische Signatur mehr, selbst wenn das Original einmal gültig war. Wer nur eine visuelle Kopie erhält, sollte grundsätzlich das Original beim Aussteller oder über dessen Verifizierungsportal anfordern, bevor er sich auf den Inhalt verlässt.

Woran scheitert die Prüfung in der Praxis am häufigsten?

Compliance-Teams in Fachforen berichten immer wieder, dass Zertifikate schlicht nicht gegengeprüft werden, weil die Datei "offiziell" aussieht und der Zeitdruck im Onboarding oder in der Kreditvergabe hoch ist. Genau diese Lücke – eine plausibel aussehende Seite wird als ausreichender Beleg akzeptiert – ist der gemeinsame Nenner aller drei oben beschriebenen Betrugsmuster.

Forensische und technische Prüfmethoden

Ein rechtsgültig qualifiziert signiertes Dokument trägt intern eine PAdES-Signatur (PDF Advanced Electronic Signatures) beziehungsweise, bei getrennt vorliegenden XML-Daten, eine XAdES-Signatur. Diese Signatur lässt sich in Adobe Acrobat oder jedem PDF-Reader mit Signaturprüfung anzeigen und zeigt an, ob das Dokument seit der Unterzeichnung verändert wurde und ob der Aussteller zu einem qualifizierten Vertrauensdiensteanbieter gehört. Die Vertrauensliste der Bundesnetzagentur sowie das permanente Verzeichnis DA:VE erlauben es, die Gültigkeit einer qualifizierten Signatur auch dann noch zu prüfen, wenn der ausstellende Anbieter seinen Betrieb inzwischen eingestellt hat.

Der zweite Baustein ist der Hash-Abgleich: Jedes Certificate of Completion referenziert einen kryptografischen Hashwert des unterschriebenen Dokuments. Wird dieser Wert mit einem einfachen Hash-Tool aus der tatsächlich vorliegenden Datei neu berechnet und weicht er vom im Zertifikat genannten Wert ab, ist das ein eindeutiges Signal für ein manipuliertes oder wiederverwendetes Zertifikat. Der dritte Baustein ist die direkte Gegenprüfung beim Anbieter: DocuSign, Adobe Sign und vergleichbare Plattformen bieten eigene Verifizierungsportale oder APIs an, über die sich eine Envelope-ID unabhängig vom vorgelegten PDF abrufen lässt. Ergänzend liefert die Metadatenforensik der Zertifikats-PDF selbst wertvolle Hinweise – mit welcher Software wurde die Datei zuletzt bearbeitet, sind Schriftarten oder eingebettete Zeitstempel in sich konsistent. Das sind dieselben Prinzipien, die auch bei der Erkennung einer kopierten oder eingefügten Unterschrift zum Einsatz kommen: Ein Zertifikats-PDF ist letztlich ein Dokument wie jedes andere und verdient dieselbe forensische Skepsis, nicht automatisches Vertrauen, nur weil es "Zertifikat" heißt.

KI-generierte Zertifikate als neues Risiko

Generative Modelle können mittlerweile eine Zertifikatsseite erzeugen, die Logo, Schriftbild und Feldstruktur eines bekannten Anbieters überzeugend imitiert, ohne dass ein realer Signaturvorgang stattgefunden hat. Solche synthetischen Zertifikate weisen weder die klassischen Bearbeitungsspuren einer manuell zusammengesetzten Fälschung noch einen erkennbaren Ebenenbruch auf, da sie direkt als fertiges Bild generiert werden. Sie erfordern eine eigene Erkennungsebene, die sich auf Artefakte generativer Modelle konzentriert statt auf Spuren einer klassischen Bildmontage.

Die Erkennung von KI-generierten Inhalten bei CheckFile ist eine zusätzliche Signalebene, die je nach Kundenkonfiguration eingesetzt wird und bestehende strukturelle und Metadatenkontrollen ergänzt, statt sie zu ersetzen. Für Teams, die regelmäßig Zertifikats-PDFs prüfen, ist das relevant, weil ein fabriziertes Zertifikat zunehmend seltener aus einer sichtbaren Bildmontage besteht und stattdessen als vollständig neu generiertes Dokument vorliegt.

Wo dieser Betrug in der Praxis auftritt

Gefälschte Signaturzertifikate tauchen überall dort auf, wo ein unterschriebenes Dokument über eine Distanz hinweg akzeptiert wird, ohne dass die Gegenpartei persönlich anwesend war. In der Finanzierung und im Leasing wird ein fabriziertes Zertifikat einem Kreditvertrag beigefügt, um eine Unterschrift vorzutäuschen, die nie geleistet wurde – oder um zu verschleiern, dass eine andere Person als der eigentliche Kreditnehmer unterschrieben hat. In der Immobilienbranche betrifft es vor allem Mietverträge: ein manipuliertes Zertifikat soll den Eindruck erwecken, der Vermieter habe einem befristeten Vertrag über einem Jahr mit qualifizierter elektronischer Signatur zugestimmt, obwohl das zugrunde liegende Zertifikat aus einem anderen Mietverhältnis stammt. Im Personalwesen werden Arbeitsverträge oder Zusatzvereinbarungen rückwirkend mit einem wiederverwendeten Zertifikat "belegt", um ein früheres Einstellungsdatum oder eine nie erfolgte Zustimmung zu behaupten. Anwaltskanzleien schließlich begegnen dem Muster bei Vollmachten und Mandatsvereinbarungen, bei denen ein fabriziertes Zertifikat die Zustimmung eines Mandanten vortäuscht, der von dem Dokument nie erfahren hat.

Wie CheckFile bestehende Kontrollen ergänzt

Ein Signaturzertifikat ist, aus forensischer Sicht, eine Behauptung wie jede andere in einer Dokumentenakte – kein Beweis, der sich selbst trägt. CheckFile wendet auf ein eingereichtes Zertifikats-PDF dieselbe strukturelle Analyse, Metadatenprüfung und dokumentübergreifende Konsistenzprüfung an wie auf jedes andere Nachweisdokument, ergänzt um eine zusätzliche Ebene von KI-Generierungssignalen für Fälle vollständig synthetisch erzeugter Zertifikate. Dieser Ansatz ist Teil unseres Leitfadens zur Dokumentenprüfung und lässt sich mit einer elektronischen Signaturlösung kombinieren, die neue Vorgänge von vornherein mit einem nicht duplizierbaren Zertifikat verknüpft, statt nachträglich vorgelegte Zertifikate prüfen zu müssen. Wer die KI-gestützte Erkennungsebene als Ergänzung zu bestehenden Kontrollen kennenlernen möchte, findet die Details unter KI-Erkennung von CheckFile.

Häufig gestellte Fragen

Wie kann ich ein DocuSign-Zertifikat unabhängig überprüfen?

DocuSign und vergleichbare Anbieter stellen eigene Verifizierungsportale oder APIs bereit, über die sich eine Envelope-ID unabhängig vom vorgelegten PDF abrufen lässt. Wer nur die PDF-Datei erhalten hat, sollte den Absender bitten, den Vorgang direkt über dieses Portal zu bestätigen, statt sich allein auf das Aussehen der Zertifikatsseite zu verlassen.

Ist ein gescanntes oder als Bild eingefügtes Signaturzertifikat rechtlich verwertbar?

Nein, jedenfalls nicht als Nachweis einer qualifizierten elektronischen Signatur. Sobald ein Zertifikat nur noch als Bild oder Screenshot vorliegt, fehlt die zugrunde liegende kryptografische Signatur, mit der sich seine Echtheit maschinell prüfen lässt – der Beweiswert sinkt auf den einer einfachen, nicht verifizierten Behauptung.

Was ist der Unterschied zwischen einem manipulierten und einem wiederverwendeten Zertifikat?

Bei einem manipulierten Zertifikat wurde ein echtes Zertifikat nachträglich verändert, etwa im Namen, Datum oder Hashwert. Bei einem wiederverwendeten Zertifikat bleibt das Dokument selbst unverändert und vollständig echt, wird aber einem anderen Dokument beigefügt als dem, für das es ursprünglich ausgestellt wurde – erkennbar allein durch den Abgleich des referenzierten Hashwerts mit der tatsächlich vorliegenden Datei.

Welche Strafe droht für die Verwendung eines gefälschten Signaturzertifikats in Deutschland?

Die Fälschung oder täuschende Verwendung eines Signaturzertifikats fällt in der Regel unter § 267 StGB (Urkundenfälschung): Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, in besonders schweren Fällen von sechs Monaten bis zu zehn Jahren. Diese Angabe ersetzt keine Rechtsberatung im Einzelfall.

Kann KI ein überzeugendes gefälschtes Signaturzertifikat erzeugen?

Ja. Aktuelle Bildgeneratoren können eine Zertifikatsseite erzeugen, die Logo, Schriftbild und Feldstruktur eines bekannten Anbieters nachbildet, ohne dass ein realer Signaturvorgang stattgefunden hat. Solche Zertifikate umgehen klassische Erkennungsmerkmale einer manuellen Bildmontage und erfordern eine eigene, auf KI-Generierungsartefakte spezialisierte Prüfungsebene.