Gefälschter Reisepass: Betrugserkennung und KI im Überblick

Ein gefälschter Reisepass lässt sich über drei Kontrollebenen erkennen: die physischen Sicherheitsmerkmale des Dokuments (Hologramm, MRZ, RFID-Chip, Intagliodruck, UV-Tinte), die Konsistenz der eingetragenen Daten mit dem offiziellen ICAO-Format, und zunehmend die Analyse von Signalen, die auf eine KI-generierte oder digital manipulierte Vorlage hindeuten. Reisepassbetrug beschränkt sich längst nicht mehr auf handwerkliche Fälschung mit gestohlenen Rohlingen. Er umfasst heute auch vollständig synthetische Passseiten, die von einem Diffusionsmodell erzeugt wurden, sowie Injection-Angriffe, bei denen ein manipuliertes Bild direkt in den Datenstrom einer Verifizierungssitzung eingespeist wird, ohne dass ein physisches Dokument überhaupt existiert.

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechts- oder Regulierungsberatung dar.

Warum Reisepassbetrug an Bedeutung gewinnt

Der Reisepass bleibt das am häufigsten für grenzüberschreitende Identitätsprüfungen akzeptierte Dokument, was ihn zu einem bevorzugten Ziel für Betrüger macht, die Kontenrelegung, Kreditvergabe oder Mietverträge unter falscher Identität anstreben. Anders als ein nationaler Personalausweis wird er von privaten Prüfstellen selten gegen ein Echtzeitregister abgeglichen, sodass die Erkennung fast vollständig von der Qualität der Dokumentenprüfung selbst abhängt.

National ausgestellte Identitätsdokumente machten laut Entrust weltweit nahezu 46 Prozent aller betrügerischen Dokumenteneinreichungen aus, während gefälschte Selfies im Jahr 2025 um 58 Prozent zunahmen und Injection-Angriffe im Jahresvergleich um 40 Prozent stiegen, so der Entrust 2026 Identity Fraud Report, der über eine Milliarde Identitätsprüfungen in 195 Ländern und mehr als 30 Branchen auswertet. Der Bericht ordnet zudem etwa jeden fünften biometrischen Betrugsversuch einem Deepfake zu — ein Anteil, der binnen zweier Jahre von einer Randerscheinung zu einem festen Bestandteil des Bedrohungsbilds geworden ist.

In der EMEA-Region entfallen Berichten der Branche zufolge rund 45 Prozent der eingereichten Fälschungen auf Reisepässe und Personalausweise zusammen, wie solutions-numeriques.com unter Berufung auf Branchendaten berichtet. Für Deutschland kommt hinzu, dass der Reisepass zentral von der Bundesdruckerei im Auftrag der örtlichen Passbehörden — meist Bürgerämter oder Meldebehörden — hergestellt wird, was die physische Fälschungssicherheit hoch hält, die eigentliche Schwachstelle aber in die digitale Übermittlung von Scans und Fotos bei Online-Verifizierungen verlagert.

Wofür ein gefälschter Reisepass eingesetzt wird

Ein gefälschter Reisepass entfaltet seinen Wert erst dort, wo eine konkrete Kontrolle umgangen werden soll. CheckFile begegnet den folgenden drei Szenarien am häufigsten bei Kunden aus regulierten Branchen.

Kontoeröffnung und KYC im Banken- und Fintech-Sektor

Bei der Fernidentifizierung im Rahmen der Kontoeröffnung dient der Reisepass häufig als einziges vorgelegtes Ausweisdokument, insbesondere bei internationalen Kunden ohne deutschen Personalausweis. Ein Institut, das eine gefälschte oder manipulierte Passseite akzeptiert, verstößt gegen seine Sorgfaltspflichten nach dem Geldwäschegesetz und riskiert, ein Konto für Geldwäsche oder Betrug zu öffnen, dessen Rückverfolgung im Nachhinein erheblich erschwert ist. Der Onboarding-Prozess für Banken und Fintechs muss deshalb sowohl physische Sicherheitsmerkmale als auch digitale Manipulationssignale gleichzeitig prüfen können.

Versicherungsabschluss und Underwriting

Beim Abschluss einer Lebens-, Reise- oder Berufsunfähigkeitsversicherung dient der Reisepass oft der Altersverifizierung und der Identitätsfeststellung des Versicherungsnehmers. Eine gefälschte Identität kann hier sowohl der Umgehung eines Risikoausschlusses als auch der gezielten Vorbereitung eines späteren Betrugsschadens dienen. Versicherer, die im Underwriting-Prozess auf reine Sichtprüfung setzen, tragen ein strukturelles Risiko, das erst beim Schadensfall sichtbar wird — häufig zu spät, um die Police rückwirkend zu prüfen.

Autovermietung und Mieterprüfung

Autovermietungen, die ausländische Kunden ohne deutschen Führerschein oder Personalausweis annehmen, verlassen sich regelmäßig auf den Reisepass als primäres Identitätsdokument, häufig kombiniert mit einer internationalen Fahrerlaubnis. Ebenso verlangen Vermieter bei der Mieterprüfung zunehmend eine Ausweiskopie, um Identitätsbetrug bei der Mietvertragsanbahnung auszuschließen. In beiden Fällen fehlt ein Echtzeitzugriff auf ein amtliches Register, sodass die Dokumentenprüfung selbst die einzige verfügbare Kontrolle bleibt.

Wie man einen physisch gefälschten Reisepass erkennt

Ein echter Reisepass vereint mehrere sich überlagernde Sicherheitsschichten, von denen eine Fälschung selten alle gleichzeitig überzeugend reproduziert. Jede Schicht adressiert eine andere Prüfmethode — visuell, optisch, elektronisch — sodass das Überwinden einer einzelnen Ebene das gesamte Dokument nicht kompromittiert.

Die ICAO Doc 9303 Norm für maschinenlesbare Reisedokumente, deren überarbeitete Ausgabe am 1. Januar 2026 in Kraft trat, definiert sowohl das MRZ-Prüfziffernverfahren als auch die digitale Signaturprüfung des Chips: jede Veränderung der Chipdaten macht die Signatur des Ausstellerstaats ungültig und damit sofort erkennbar. Diese kryptografische Absicherung ist der Grund, warum ein manipulierter Chip technisch deutlich schwerer zu fälschen ist als eine gedruckte Seite — Fälscher weichen deshalb häufig auf Dokumente ohne funktionsfähigen Chip oder auf rein digital eingereichte Scans aus, bei denen der Chip gar nicht ausgelesen werden kann.

Kein einzelnes Merkmal ist für sich genommen beweiskräftig: Ein Hologramm kann nach Jahren im Portemonnaie sichtbar abgenutzt sein, ohne dass das Dokument deshalb unecht ist. Erst das Gesamtbild aus mehreren konsistenten Merkmalen erlaubt eine belastbare Einschätzung.

KI-generierte und Deepfake-Reisepässe: Was sich ändert

Ein KI-generierter Reisepass versucht nicht mehr, ein physisches Dokument zu fälschen, sondern erzeugt direkt eine digital überzeugende Datei, die per Foto-Upload oder PDF bei einer Fernprüfung eingereicht wird. Aktuelle Generierungsmodelle reproduzieren Layout, Schriftarten und die Feldstruktur eines Reisepasses mit einer Präzision, die eine rein visuelle Prüfung unzureichend macht.

Drei Manipulationsarten treten bei digital eingereichten Reisepässen am häufigsten auf: der Austausch des Lichtbilds auf einer echten, eingescannten Vorlage (Face-Swap), die vollständig synthetische Erzeugung einer Passseite nach einem gelernten MRTD-Vorlagenmuster ohne jedes reale Vorbild, und der Injection-Angriff, bei dem das manipulierte Bild nicht über die Kamera, sondern direkt über eine manipulierte Schnittstelle in den Prüfprozess eingespeist wird und so auch eine Liveness-Erkennung des Selfies umgeht.

Laut einer im März 2026 veröffentlichten Studie von Regula und Sapio Research unter 850 Entscheidungsträgern für Betrugsprävention und Finanzkriminalität in Deutschland, Großbritannien, den USA, Singapur, den VAE, Brasilien und Mexiko beunruhigen Deepfakes Unternehmen inzwischen fast ebenso stark wie klassische Dokumentenfälschung. Das ist ein bemerkenswerter Wandel gegenüber früheren Jahren, in denen physische Fälschungsmerkmale noch als das dominante Risiko galten, wie die Pressemitteilung zur Studie darlegt.

Die Erkennung gefälschter Reisepässe stützt sich auf eine mehrschichtige Analyse, die strukturelle Prüfung, Metadaten und dokumentübergreifende Kohärenz kombiniert. Eine zusätzliche Schicht von KI-Generierungssignalen kann je nach Kundenkonfiguration ergänzend zu den bestehenden strukturellen Kontrollen eingesetzt werden — ohne den Anspruch, jede denkbare Fälschung abzufangen, da sich Generierungsmethoden fortlaufend weiterentwickeln und kein Anbieter dies seriös garantieren kann. Verwandte Muster bei anderen Identitätsdokumenten beschreibt unsere Analyse synthetischer Identitätsdokumente ausführlicher.

Rechtlicher Rahmen in Deutschland

Wer einen Reisepass fälscht, verfälscht oder eine falsche Urkunde verwendet, macht sich nach deutschem Recht strafbar — unabhängig davon, ob die Fälschung physisch oder digital erzeugt wurde. Nach §267 StGB wird bestraft, wer zur Täuschung im Rechtsverkehr eine unechte Urkunde herstellt, eine echte Urkunde verfälscht oder eine unechte oder verfälschte Urkunde gebraucht; der Strafrahmen beträgt Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, in besonders schweren Fällen — etwa bei gewerbsmäßigem Handeln oder als Bandenmitglied — Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Ein Reisepass gilt als Urkunde im Sinne der Vorschrift, sodass sowohl die Herstellung eines gefälschten Dokuments als auch dessen bloßer Gebrauch bei einer Kontoeröffnung oder Mietanfrage erfasst ist.

Ergänzend regelt das Passgesetz die Ausstellung selbst: Der Antrag wird persönlich bei der örtlichen Passbehörde gestellt, die Herstellung erfolgt zentral durch die Bundesdruckerei im Auftrag dieser Behörde, wie das Bundesministerium des Innern in seinen FAQ zum Reisepass erläutert. Seit dem 1. Mai 2025 dürfen biometrische Passfotos zudem nur noch direkt in Behörden oder zertifizierten Fotostudios digital erfasst und auf gesichertem Weg übermittelt werden — eine Maßnahme, die gezielt die Einreichung KI-manipulierter Passfotos beim Antragsverfahren selbst erschweren soll.

Was sich Praktiker in Fachforen fragen

In Fachforen wie r/de oder r/finanzen fragen sich Praktiker häufig, ob ein Reisepass ohne Zugriff auf ein amtliches Register überhaupt zuverlässig geprüft werden kann, wenn das Unternehmen selbst keine Grenzbehörde ist. Die ehrliche Antwort lautet: ein Register-Abgleich ist für private Akteure in der Regel nicht verfügbar, weshalb sich die Prüfung auf die Konsistenz des Dokuments selbst — MRZ-Prüfziffern, Chipsignatur, Layout — sowie auf ergänzende digitale Signalanalyse stützen muss.

Eine zweite, ebenso wiederkehrende Frage betrifft die Abgrenzung zwischen einer beschädigten, aber echten Passseite und einer tatsächlichen Fälschung — etwa wenn ein Hologramm durch jahrelange Nutzung an Kontrast verloren hat. Hier hilft laut Praxiserfahrung nur der Abgleich mehrerer unabhängiger Merkmale gleichzeitig, da Abnutzung typischerweise nur einzelne, nicht aber alle Sicherheitsschichten gleichzeitig betrifft. Eine dritte Frage, die insbesondere im Fintech-Kontext auftaucht, betrifft die rechtliche Haftung: Muss ein Unternehmen, das eine Fälschung trotz sorgfältiger Prüfung übersehen hat, mit denselben Konsequenzen rechnen wie eines, das gar nicht geprüft hat? In der Praxis unterscheidet sich das Haftungsrisiko erheblich, sofern ein dokumentiertes, angemessenes Prüfverfahren nachgewiesen werden kann.

Manuelle Prüfung im Vergleich zur KI-gestützten Verifizierung

Die Kombination beider Ansätze bleibt entscheidend: Ein automatisiertes System liefert Konsistenz und Skalierbarkeit, ersetzt aber weder das geschulte Auge eines erfahrenen Prüfers noch den Zugriff auf amtliche Register, wo dieser tatsächlich besteht.

Prüfprotokoll für Banken, Versicherer und Vermieter

Ein strukturiertes Protokoll reduziert die Abhängigkeit von der individuellen Aufmerksamkeit eines einzelnen Sachbearbeiters, besonders in Phasen hohen Antragsvolumens. Erstens sollte die MRZ-Prüfsumme automatisch validiert und mit den im Klartext angegebenen Daten abgeglichen werden. Zweitens empfiehlt sich, bei elektronischen Reisepässen die Chipsignatur auszulesen und gegen die bekannten Zertifikate des Ausstellerstaats zu prüfen, sofern die technische Infrastruktur dies zulässt. Drittens sollten Metadaten der eingereichten Datei analysiert werden, um Bearbeitungsspuren zu erkennen, die auf ein Bildbearbeitungsprogramm statt auf einen einfachen Scan hindeuten. Viertens sollte jede Prüfung dokumentiert werden, um im Streit- oder Schadensfall einen belastbaren Nachweis vorlegen zu können.

Laut ACFE werden nur 37 Prozent der Betrugsfälle durch aktive Kontrollen aufgedeckt, bei einer durchschnittlichen Erkennungsdauer von 87 Tagen über alle Ursachen hinweg, so der ACFE Report to the Nations 2024 — eine Verzögerung, die mit der Geschwindigkeit einer Kontoeröffnung oder Mietvertragsunterzeichnung kaum vereinbar ist. Ein systematisches Prüfprotokoll, das strukturelle und digitale Signale kombiniert, verkürzt diese Lücke spürbar, ohne den manuellen Prüfschritt vollständig zu ersetzen.

Wie CheckFile Ihre Kontrollen ergänzt

Ein Verifizierungstool ersetzt weder den Zugriff auf amtliche Register, wo dieser besteht, noch das Urteilsvermögen eines geschulten Sachbearbeiters — es vereinheitlicht das Prüfniveau über alle eingehenden Fälle hinweg, auch dann, wenn die individuelle Aufmerksamkeit unter hoher Auslastung sinkt. Die CheckFile-Plattform prüft die Struktur des eingereichten Reisepasses, seine Metadaten und die Konsistenz mit weiteren Dossierunterlagen, mit dedizierten Modulen für Banken und Fintechs sowie für Versicherer.

Für Fälle, in denen ein Reisepass eher digital erzeugt als klassisch gefälscht wirkt, verweisen wir auf unsere Erkennung KI-generierter Dokumente und Deepfakes: Diese Schicht liefert ergänzende KI-Generierungssignale zu Ihren bestehenden Kontrollen und leitet risikobehaftete Fälle an den spezialisierten Partner Label4 zur forensischen Zusatzprüfung weiter — als Ergänzung, nicht als Ersatz für Ihre bereits etablierten Prüfverfahren. Details zu den Sicherheitsgarantien der Plattform finden sich auf der Sicherheitsseite, einen branchenübergreifenden Überblick bietet unser Leitfaden zur Branchenverifizierung. Die Preisübersicht steht Teams zur Verfügung, die einen Pilotversuch prüfen möchten.

Häufig gestellte Fragen

Woran erkenne ich einen gefälschten Reisepass ohne technisches Prüfgerät?

Prüfen Sie zunächst das Hologramm auf Bewegungseffekt und Farbwechsel je nach Blickwinkel sowie die MRZ auf gleichmäßigen Zeichenabstand. Ein tastbares Relief auf der Datenseite (Intagliodruck) lässt sich mit den Fingerspitzen erfühlen und ist mit Standarddruckern praktisch nicht reproduzierbar, während UV-Tinte nur mit einer UV-Lampe sichtbar wird.

Sind KI-generierte Reisepässe schwerer zu erkennen als klassische physische Fälschungen?

Häufig ja, insbesondere bei digital eingereichten Dokumenten im Rahmen einer Fernprüfung ohne physischen Kontakt. Die visuelle Prüfung allein reicht nicht mehr aus, da Generierungsmodelle Layout und Schriftarten eines echten Reisepasses überzeugend nachbilden; eine Analyse der Metadaten und typischer Generierungsartefakte liefert hier eine zusätzliche Kontrollebene.

Welche Strafe droht bei der Verwendung eines gefälschten Reisepasses in Deutschland?

Nach §267 StGB drohen Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, in besonders schweren Fällen — etwa bei gewerbsmäßigem Handeln oder Bandenmitgliedschaft — Freiheitsstrafe von sechs Monaten bis zu zehn Jahren. Sowohl die Herstellung als auch der bloße Gebrauch eines gefälschten Reisepasses sind erfasst, unabhängig vom konkreten Verwendungszweck.

Kann ein Unternehmen ohne Registerzugriff einen Reisepass überhaupt zuverlässig prüfen?

Ja, auch ohne Zugriff auf ein amtliches Register lässt sich ein Reisepass über die Konsistenz seiner physischen und digitalen Merkmale prüfen — MRZ-Prüfziffern, Chipsignatur, Layout und gegebenenfalls Metadaten der eingereichten Datei. Diese Kombination ersetzt keinen Registerabgleich, reduziert das Risiko aber erheblich gegenüber einer rein visuellen Prüfung.

Was ist ein Injection-Angriff bei der Reisepassprüfung?

Bei einem Injection-Angriff wird ein manipuliertes Bild nicht über die Kamera des Nutzers aufgenommen, sondern direkt in die Datenübertragung des Prüfprozesses eingespeist, wodurch auch eine Liveness-Erkennung des Selfies umgangen werden kann. Laut Entrust stiegen solche Angriffe im Jahresvergleich um 40 Prozent, was sie zu einer der am schnellsten wachsenden Betrugsformen bei Fernidentifizierungen macht.