Duplizierte Schadenfotos: wiederverwendete Beweise erkennen

Dieser Beitrag dient ausschließlich der Information. Er stellt keine Rechtsberatung und keine aufsichtsrechtliche Empfehlung dar und ersetzt nicht die Einschätzung eines qualifizierten Juristen oder Compliance-Verantwortlichen.

Ein recyceltes Schadenfoto ist dasselbe Bild — manchmal zugeschnitten, neu komprimiert oder leicht bearbeitet —, das in zwei getrennten Schadenfällen eingereicht wird, beim selben Versicherer oder bei zwei verschiedenen. Die Kontrolle, die dies erkennt, vergleicht die Datei nicht mit einer Liste bekannter Betrugsfälle: Sie vergleicht sie mit allen bereits eingereichten Fotos und sucht nach einer visuellen Übereinstimmung. Das ist eine andere Frage als bei der Manipulationserkennung: Statt "Wurde dieses Foto verändert?" lautet die Frage "Wurde dieses Foto schon einmal woanders verwendet?"

Was ist Schadenfoto-Recycling

Schadenfoto-Recycling bedeutet, ein bereits eingereichtes Schadenbild — das eigene aus einem früheren Vorgang, das eines Dritten aus dem Internet oder das eines Komplizen — für eine neue Meldung zu verwenden, ohne dass ein entsprechender realer Schaden vorliegt. Das Foto kann pixelgenau identisch oder leicht verändert sein: zugeschnitten, andere Helligkeit, zusätzliche Kompression, ein Filter. In beiden Fällen bleibt der visuelle Inhalt erkennbar, was das Problem für Bildvergleichstechniken lösbar macht — anders als eine einfache Datei-Hash-Prüfung, die schon bei einem einzigen veränderten Byte versagt.

Eine Verisk-Studie an einer Stichprobe von 768.000 Schadenfotos fand 1.967 Duplikate, darunter ein Foto, das in 44 verschiedenen Schadenfällen wiederverwendet wurde und mit rund 5,3 Millionen US-Dollar an ausgezahlten Entschädigungen verbunden war. Diese Zahl verdeutlicht die Lücke zwischen dem tatsächlichen Ausmaß des Problems und seiner Sichtbarkeit auf Fallebene: Kein Sachbearbeiter, der einen einzelnen Vorgang prüft, kann wissen, dass ein Foto anderswo im Portfolio bereits 43-mal aufgetaucht ist.

Warum Betrüger dasselbe Schadenfoto wiederverwenden

Ein glaubwürdiges Schadenfoto zu produzieren, kostet Aufwand — den richtigen Winkel, das richtige Licht, ein beschädigtes Fahrzeug oder Gebäude finden, das zur geschilderten Geschichte passt. Sobald ein Foto die Kontrollen eines ersten Versicherers überstanden hat, entfällt dieser Aufwand bei der Wiederverwendung vollständig: Der Betrüger muss nur den Namen des Versicherten, das Schadendatum und manchmal die geforderte Summe ändern, ohne den schwierigsten Schritt zu wiederholen.

Dies bleibt nicht auf einen einzelnen unehrlichen Versicherten beschränkt. Deutschland verzeichnete Anfang 2025 einen Anstieg von über 1.100 % bei Deepfake-Angriffen auf Versicherungen — gefälschte Schadenfotos, synthetische Identitäten und KI-generierte Gutachten eingeschlossen, ein Trend, der zunehmend organisierte Muster einschließt, bei denen dasselbe Foto — teils leicht angepasst — in mehreren Vorgängen auftaucht, auch bei unterschiedlichen Versicherern ohne Einblick in die Fälle des jeweils anderen.

Wie verbreitet das Problem ist

Der ACFE 2024 Report to the Nations beziffert die Aufdeckungsquote von Dokumentenbetrug durch ausschließlich manuelle Kontrolle auf 37 %, bei einer durchschnittlichen Entdeckungsverzögerung von 87 Tagen — eine Verzögerung, die reichlich Zeit lässt, damit dasselbe Foto durch mehrere Vorgänge zirkuliert, bevor ein manueller, oft zufälliger Abgleich das Muster aufdeckt.

Wie Perceptual Hashing recycelte Fotos erkennt

Perceptual Hashing (pHash) wandelt ein Bild in einen kompakten digitalen Fingerabdruck um, der auch nach Zuschneiden, erneuter Komprimierung, Größenänderung oder leichter Filterung stabil bleibt — anders als ein kryptografischer Hash (SHA-256), der sich bei einem einzigen geänderten Byte vollständig verändert. Zwei visuell ähnliche Fotos erzeugen eng beieinanderliegende Fingerabdrücke, wodurch ein System eine Ähnlichkeitsdistanz berechnen und alles oberhalb eines festgelegten Schwellenwerts zur menschlichen Prüfung markieren kann.

Dies läuft in drei Schritten innerhalb eines Schadenbearbeitungs-Workflows ab:

1. Extraktion — jedes eingereichte Foto wird beim Eingang in einen perzeptuellen Fingerabdruck umgewandelt.
2. Vergleich — der Fingerabdruck wird mit einer Referenzdatenbank bereits eingereichter Fotos abgeglichen, intern und, sofern ein branchenweiter Austauschmechanismus besteht, versicherungsübergreifend.
3. Markierung — oberhalb des gewählten Ähnlichkeitsschwellenwerts wird der Vorgang zur menschlichen Prüfung weitergeleitet, niemals zur automatischen Ablehnung.

Unsere Methodik kombiniert diesen perzeptuellen Vergleich systematisch mit Metadatenanalyse und dokumentenübergreifender Konsistenzprüfung, ein Punkt, der in unserem Beitrag zu den Beweisgrenzen von EXIF-Metadaten eines Kundenfotos vertieft wird: Eine nahe perzeptuelle Übereinstimmung hat nur im Zusammenspiel mit anderen Signalen Aussagekraft, nie allein.

Duplikaterkennung im Vergleich zu anderen forensischen Techniken

Duplikaterkennung beantwortet eine andere Frage als die übrigen forensischen Kontrollen, die auf ein Schadenfoto angewendet werden, und beide ergänzen sich, statt sich zu ersetzen.

Ein Foto kann bei drei der vier Prüfungen "sauber" erscheinen — keine Manipulation durch Kompressionsartefakt-Analyse festgestellt, konsistente Metadaten, kein synthetisches Signal — und dennoch pixelgenau identisch mit einem Foto sein, das sechs Monate zuvor bereits unter anderem Namen eingereicht wurde. Unser Beitrag zur Erkennung wiederverwendeter Betrugsdokumente und Serienbetrug behandelt dieselbe Logik, angewendet auf den gesamten Vorgang, über Fotos hinaus.

Was der Rechtsrahmen bei einer Duplikatmeldung verlangt

Eine Ablehnung oder Untersuchung aufgrund einer Duplikatübereinstimmung bleibt eine rechtlich folgenreiche Entscheidung, die anfechtbar bleiben muss. Die Verordnung (EU) 2024/1689 über künstliche Intelligenz verlangt in Artikel 14 eine wirksame menschliche Aufsicht für Hochrisiko-KI-Systeme, und ein perzeptuelles Ähnlichkeitssignal — von Natur aus probabilistisch, nie zu 100 % sicher — fällt in diese Nachvollziehbarkeitslogik, sobald es eine Entschädigungsentscheidung beeinflusst.

Die BaFin erwartet von Versicherungsunternehmen ein internes Kontrollsystem, das dem Risiko von Dokumentenbetrug angemessen ist, einschließlich der Erkennung wiederverwendeter Beweise. Die DSGVO, Artikel 22, regelt automatisierte Einzelentscheidungen mit Rechtswirkung: Eine Schadenablehnung, die allein auf einem algorithmischen Ähnlichkeitswert ohne dokumentierte menschliche Prüfung beruht, setzt den Versicherer dem Risiko einer Beschwerde beim Versicherungsombudsmann oder der zuständigen Datenschutzaufsicht aus.

Eine Duplikatprüfung in den Schadenworkflow einbauen

Der robusteste Ansatz nutzt ein dreistufiges Eskalationsmodell mit expliziten, in der internen Kontrollrichtlinie dokumentierten Schwellenwerten:

1. Keine Übereinstimmung gefunden — das Foto durchläuft die Standardbearbeitung ohne Markierung.
2. Teilweise Übereinstimmung (moderate Ähnlichkeit) — der Vorgang geht in die reguläre menschliche Prüfung, wobei das verdächtige Foto neben seinem früheren Treffer angezeigt wird, um eine informierte Entscheidung zu ermöglichen.
3. Starke Übereinstimmung kombiniert mit anderen Signalen (inkonsistente Metadaten, identischer Reparaturkostenvoranschlag) — Weiterleitung an die Betrugsermittlungsstelle gemäß interner Verfahrensvorgabe.

Dieser Aufbau vermeidet das Problem des vollständig automatisierten Urteils, das in unserem Beitrag zur Prüfung von Schadenfotos im großen Maßstab — Signale, keine Urteile behandelt wird: Das Signal ordnet die Bearbeitungswarteschlange neu, der Mensch entscheidet. Für Versicherer, die monatlich mehrere Tausend Fotodossiers bearbeiten, ist diese dreistufige Triage bei gleichbleibender Personalstärke die einzig realistische Option, wie unsere Analyse zur Beschleunigung der Schadenbearbeitung mit KI zeigt.

Was Schadensachbearbeiter tatsächlich fragen

"Reicht ein gefundenes Duplikat aus, um eine Ablehnung zu rechtfertigen?" Nein — eine perzeptuelle Übereinstimmung ist ein Priorisierungssignal, kein eigenständiger Betrugsbeweis. Derselbe Versicherte kann versehentlich legitim dasselbe Foto zweimal einreichen, oder ein Gutachter kann ein Bild für zwei Teile desselben Schadenfalls wiederverwendet haben. Das Signal löst eine dokumentierte Prüfung aus, nie eine automatische Ablehnung.

"Kann ein Betrüger, der die Technik kennt, das Foto einfach zuschneiden, um der Erkennung zu entgehen?" Perceptual Hashing toleriert geringfügige Veränderungen, aber ein aggressiver Zuschnitt, der den Großteil des visuell unterscheidenden Bereichs entfernt, kann den Ähnlichkeitswert unter den Erkennungsschwellenwert drücken — genau deshalb muss dieses Signal mit Metadatenanalyse und der Stimmigkeit der Schadenschilderung abgeglichen werden, statt sich allein darauf zu verlassen.

Häufig gestellte Fragen

Ist ein recyceltes Schadenfoto immer Betrug?

Nein. Ein Versicherter kann legitim dasselbe Foto zweimal in verknüpften Schadenfällen einreichen, oder ein Gutachter kann ein Bild wiederverwenden, um zwei Teile desselben Vorfalls zu dokumentieren. Das Duplikatsignal leitet den Vorgang zur menschlichen Prüfung; es ist allein kein Betrugsbeweis.

Funktioniert Perceptual Hashing noch, wenn das Foto bearbeitet wurde?

Ja, bei leichten Bearbeitungen — Zuschneiden, erneute Komprimierung, Helligkeitsanpassung —, weil der Fingerabdruck den visuellen Gesamtinhalt erfasst, nicht die exakten Dateibytes. Eine aggressive Bearbeitung kann die erkannte Ähnlichkeit verringern, weshalb dieses Signal mit anderen Kontrollen kombiniert werden muss.

Wie lange dauert es, ein Duplikat zwischen zwei Schadenfällen zu erkennen?

Der Fingerabdruckvergleich selbst läuft in Sekunden bei Einreichung ab. Die tatsächliche Erkennungsgeschwindigkeit hängt vom Umfang ab: Eine interne Datenbank des Versicherers erkennt Duplikate schneller als ein System, das branchenweiten Datenaustausch erfordert.

Ersetzt dies die EXIF- oder Manipulationsanalyse?

Nein, es ergänzt sie. Perceptual Hashing beantwortet "Wurde dieses Foto schon einmal gesehen?", während EXIF und Fehlerpegelanalyse "Wurde dieses Foto bearbeitet?" beantworten. Ein robuster Aufbau kombiniert beide Ansätze, statt sich auf einen allein zu verlassen.

Begrenzt die DSGVO den Aufbau einer Referenzdatenbank von Schadenfotos für diese Kontrolle?

Ja — jede automatisierte Entscheidungsfindung benötigt eine dokumentierte Rechtsgrundlage, und die Aufbewahrung personenbezogener Daten im Zusammenhang mit Schadenfotos muss dem Betrugspräventionszweck angemessen sein. Ein Compliance-Verantwortlicher sollte Rechtsgrundlage und Aufbewahrungsdauer dokumentieren, bevor eine solche Kontrolle eingeführt wird.

---

Duplikaterkennung bei Schadenfotos ist Teil eines breiteren Satzes ergänzender Signale — Metadaten, Dokumentenkonsistenz und, sofern die Kundenkonfiguration dies zulässt, Erkennung KI-generierter Inhalte neben bestehenden strukturellen Kontrollen. CheckFile integriert diesen perzeptuellen Vergleich in den Schadenaufnahme-Workflow; für einen breiteren Überblick über Dokumentenprüfung siehe unseren Leitfaden zur Dokumentenprüfung oder die Preise.