Reisepass- und Ausweisdokument-Verifizierung: Leitfaden

Die Verifizierung von Reisepässen und Ausweisdokumenten bildet die erste Verteidigungslinie gegen Dokumentenbetrug und Identitätsmissbrauch. In Deutschland stellt die Bundesdruckerei jährlich rund 3,5 Millionen Reisepässe und über 6 Millionen Personalausweise her. Für Unternehmen, die dem Geldwäschegesetz (GwG) unterliegen, bestimmt die Zuverlässigkeit der Dokumentenverifizierung die Qualität des gesamten Identifizierungsprozesses.

Dieser Leitfaden behandelt die Sicherheitsmerkmale moderner Ausweisdokumente, die verfügbaren Verifizierungsmethoden, die ICAO-Normen, deutsche Dokumententypen und die häufigsten Betrugstechniken.

Sicherheitsmerkmale moderner Ausweisdokumente

Moderne Reisepässe und Ausweisdokumente enthalten mehrere überlappende Sicherheitsschichten. Jede Schicht richtet sich an eine andere Verifizierungsmethode -- visuell, optisch oder elektronisch -- sodass das Überwinden einer einzelnen Schicht das gesamte Dokument nicht kompromittiert.

MRZ (Machine Readable Zone)

Die MRZ ist ein strukturierter Textblock am unteren Rand des Dokuments, lesbar durch optische Scanner. Auf einem deutschen Reisepass besteht die MRZ aus zwei Zeilen mit je 44 Zeichen, die den Dokumententyp, den ausstellenden Staat (D), den Nachnamen, die Vornamen, die Passnummer, die Staatsangehörigkeit, das Geburtsdatum, das Geschlecht, das Ablaufdatum und Prüfziffern (Check Digits) kodieren. Jede Prüfziffer wird nach dem in ICAO Doc 9303 definierten Algorithmus berechnet.

Der deutsche Personalausweis verwendet das TD1-Format: drei Zeilen mit je 30 Zeichen. Der Aufenthaltstitel für Drittstaatsangehörige folgt ebenfalls dem TD1-Format.

RFID / NFC-Chip

Der deutsche biometrische Reisepass (ePass, ausgestellt seit 2005) enthält einen RFID-Chip mit einem digitalisierten Lichtbild, zwei Fingerabdrücken und den MRZ-Daten. Der Zugriff auf biometrische Daten wird durch BAC (Basic Access Control) und EAC (Extended Access Control) geschützt. Der neue Personalausweis (nPA, ausgestellt seit 2010) enthält einen NFC-Chip mit eID-Funktion (elektronische Identifizierung), die eine Online-Ausweisfunktion für digitale Verwaltungsdienste und privatwirtschaftliche Anwendungen ermöglicht.

Die technischen Anforderungen an den eID-Chip sind in der BSI TR-03127 (Technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik) spezifiziert.

Visuelle und optische Sicherheitsmerkmale

Wasserzeichen und Intagliodruck

Der deutsche Reisepass enthält ein Mehrtonwasserzeichen, das bei Durchlicht sichtbar wird (Bundesadler). Die Datenseite verwendet Intagliodruck (tastbares Relief), ein Merkmal, das mit handelsüblichen Tintenstrahl- oder Laserdruckern nicht reproduzierbar ist. Die Bundesdruckerei als Hersteller aller deutschen Ausweisdokumente setzt zudem proprietäre Sicherheitselemente ein, deren Spezifikationen nicht öffentlich zugänglich sind.

Verifizierungsmethoden: manuell versus automatisiert

Die Wahl zwischen manueller und automatisierter Verifizierung hängt vom Dokumentenvolumen, dem akzeptablen Risikoniveau und den regulatorischen Anforderungen ab. Das Geldwäschegesetz (GwG) in Verbindung mit den Auslegungshinweisen der BaFin setzt die Standards für die Kundenidentifizierung.

Vergleichstabelle der Verifizierungsmethoden

Manuelle Verifizierung

Die manuelle Verifizierung bleibt verbreitet bei Notaren, Rechtsanwaltskanzleien und kleineren Finanzinstituten. Sie beruht auf der visuellen Prüfung von Hologrammen, Wasserzeichen und Mikrodruck sowie dem Vergleich des Lichtbilds mit dem Dokumenteninhaber. Der Mitarbeiter kann die Gültigkeit des Dokuments über das Dokumentenregister prüfen, wobei der direkte Zugriff auf das Personalausweisregister Behörden vorbehalten ist.

Automatisierte Verifizierung

Die automatisierte Verifizierung kombiniert OCR (optische Zeichenerkennung), Bildanalyse, NFC-Chip-Auslesung und algorithmische MRZ-Validierung. Lösungen wie CheckFile analysieren ein Dokument in unter 10 Sekunden: Auslesung und Validierung der MRZ (einschließlich aller Prüfziffern), Erkennung visueller Sicherheitsmerkmale, Extraktion von Dateimetadaten und Gesichtsabgleich mit einem Live-Selfie.

Die Automatisierung ist besonders relevant für Branchen mit hohem Dokumentenvolumen: Finanzierung und Leasing, Privatkundenbanken, Versicherungen und Immobilienverwaltung. Konsultieren Sie unseren Leitfaden Branchenverifizierung für branchenspezifische Implementierungshinweise.

ICAO-Normen und maschinenlesbare Zonen

Die Internationale Zivilluftfahrtorganisation (ICAO) definiert die Standards für maschinenlesbare Reisedokumente in der Dokumentenreihe ICAO Doc 9303.

Struktur der Norm Doc 9303

Doc 9303 umfasst 13 Teile, die den gesamten Lebenszyklus maschinenlesbarer Reisedokumente abdecken:

• Teil 1: Einführung und Terminologie
• Teil 3: Gemeinsame Spezifikationen für maschinenlesbare Reisedokumente (MRTD) -- Formate TD1 (Karte), TD2 (Kleinformat) und TD3 (Reisepass)
• Teil 4: Spezifikationen für den maschinenlesbaren Reisepass (MRP)
• Teil 9: Einsatz biometrischer Identifizierung
• Teil 11: Sicherheitsmechanismen für MRTD
• Teil 13: Visible Digital Seal (VDS) Spezifikationen

MRZ-Format Reisepass (TD3)

Das TD3-Format verwendet zwei Zeilen mit je 44 Zeichen. Zeile 1 enthält den Dokumententyp (P), den Code des ausstellenden Staates (D), den Nachnamen und die Vornamen. Zeile 2 enthält die Passnummer, die Staatsangehörigkeit, das Geburtsdatum, das Geschlecht, das Ablaufdatum und die Prüfziffern. Jeder Datenblock wird von einer Prüfziffer gefolgt, die gemäß dem Algorithmus aus Teil 4 von Doc 9303 berechnet wird.

MRZ-Format Personalausweis (TD1)

Der deutsche Personalausweis verwendet das TD1-Format: drei Zeilen mit je 30 Zeichen. Zeile 1 enthält den Dokumententyp (ID), den Staatscode (D) und die Dokumentennummer mit Prüfziffer. Zeile 2 enthält das Geburtsdatum, das Geschlecht, das Ablaufdatum, die Staatsangehörigkeit und optionale Daten. Zeile 3 enthält den Namen. Eine zusammengesetzte Prüfziffer in Zeile 2 validiert den gesamten Datensatz.

Die ICAO-Konformität gewährleistet die Interoperabilität der Lesesysteme in allen 193 ICAO-Mitgliedstaaten. Die eIDAS-2.0-Verordnung und die Europäische Digitale Identitäts-Wallet wird diesen Rahmen durch die Einführung einer europäischen digitalen Identitäts-Wallet bis 2027 ergänzen.

Deutsche Ausweisdokumente: Typen und Kontrollpunkte

Deutschland gibt mehrere Ausweisdokumenttypen aus, jeder mit eigenen Sicherheitsmerkmalen und rechtlichen Besonderheiten. Die Ausweispflicht (Personalausweisgesetz, PAuswG) gilt für alle deutschen Staatsangehörigen ab 16 Jahren.

Personalausweis mit eID-Funktion (nPA)

Der neue Personalausweis (nPA), ausgestellt seit November 2010, ist ein kreditkartengroßes Polykarbonatdokument mit NFC-Chip. Die eID-Funktion ermöglicht die Online-Ausweisfunktion für Behördengänge und privatwirtschaftliche Dienste. Kernkontrollpunkte:

• NFC-Chip mit eID-Funktion (aktivierbar/deaktivierbar durch den Inhaber)
• Zertifikate gemäß BSI TR-03127 für die Online-Ausweisfunktion
• Hologramm mit Bewegungseffekt, Lasergravur des Lichtbilds, MRZ TD1
• Sperrkennwort und Sperrservice für verlorene/gestohlene Ausweise

Das Bundesministerium des Innern und für Heimat veröffentlicht Informationen zu den Sicherheitsmerkmalen und der eID-Funktion.

Deutscher Reisepass (ePass)

Der deutsche biometrische Reisepass (bordeauxrote Abdeckung, Aufschrift "REISEPASS" und biometrisches Chipsymbol) wird von den Bürgerämtern der Kommunen ausgegeben und von der Bundesdruckerei hergestellt. Er enthält 32 oder 48 Seiten. Der RFID-Chip ist durch BAC und EAC geschützt. Die Datenseite besteht aus Polykarbonat mit Lasergravur.

Aufenthaltstitel

Aufenthaltstitel für Drittstaatsangehörige werden von den Ausländerbehörden der Kommunen ausgestellt. Sie enthalten einen NFC-Chip, ein lasergraviertes Lichtbild und eine MRZ im TD1-Format. Die Sicherheitsmerkmale entsprechen dem EU-einheitlichen Format gemäß Verordnung (EG) Nr. 1030/2002.

Führerschein

Der EU-Kartenführerschein, ausgestellt von den Fahrerlaubnisbehörden, wird häufig als Identitätsnachweis verwendet, ist jedoch kein amtlicher Ausweis im Sinne des PAuswG. Er enthält keine MRZ und keinen NFC-Chip, verfügt aber über Sicherheitsmerkmale: UV-reaktive Elemente, Mikrodruck, taktile Oberfläche und holografische Beschichtung.

Verifizierungsreferenztabelle nach Dokument

Häufige Betrugstechniken und Erkennungsmethoden

Dokumentenbetrug bei Ausweisdokumenten in Deutschland lässt sich in vier Hauptkategorien einteilen, die jeweils spezifische Erkennungsmethoden erfordern. Das Bundeskriminalamt (BKA) berichtet, dass Urkundenfälschung und Identitätsbetrug weiterhin zu den wachsenden Kriminalitätsbereichen gehören.

Totalfälschung

Der Fälscher stellt ein vollständig fiktives Dokument her. Handwerkliche Fälschungen sind erkennbar am Fehlen eines funktionalen Hologramms, an typografischen Fehlern und am Fehlen eines Wasserzeichens. Industrielle Fälschungen, seltener und kostspieliger, erfordern eine Analyse der Mikrodrucke und eine Chip-Verifizierung (bei Fälschungen fehlend oder nicht konform).

Laut dem Bundeslagebild Urkundenkriminalität des BKA machen Totalfälschungen etwa 10 % der in Deutschland erkannten Dokumentenfälschungen aus -- ein vergleichsweise niedriger Anteil, der auf die hohe Sicherheitsqualität der Bundesdruckerei-Dokumente zurückzuführen ist.

Verfälschung eines echten Dokuments

Der Betrüger verändert ein authentisches Dokument: Austausch des Lichtbilds, Änderung von Daten oder Namen, Auskratzen und Neubedrucken. Die Erkennung stützt sich auf:

• Analyse der Klebezonen (ausgetauschtes Foto sichtbar unter Streiflicht)
• Konsistenzprüfung zwischen gedruckten Daten und MRZ-kodierten Daten
• Vergleich der MRZ-Daten mit den Chipdaten (jede Abweichung zeigt Manipulation an)

Identitätsmissbrauch (echtes Dokument, falscher Inhaber)

Der Betrüger nutzt ein echtes Dokument einer anderen Person mit ähnlichem Aussehen. Dieser Betrugstyp ist am schwierigsten allein durch Dokumentenverifizierung zu erkennen. Gegenmaßnahmen kombinieren:

• Gesichtsabgleich zwischen Inhaber und Dokumentenfoto (Gesichtsbiometrie)
• Verifizierung der biometrischen Chipdaten (sofern Lesegerät verfügbar)
• Liveness-Erkennung zum Ausschluss von Bildschirmpräsentationen und Deepfakes

Gestohlene oder verlorene Dokumente

Als gestohlen oder verloren gemeldete Dokumente werden gelegentlich von Dritten wiederverwendet. Der Sperrservice des Personalausweises (unter der Sperr-Hotline 116 116) ermöglicht die Sperrung der eID-Funktion. Für den physischen Ausweis führen die Polizeibehörden ein Fahndungsregister. Automatisierte Systeme sollten Dokumente mit auffälligem Kontext (ungewöhnliches Alter-Dokument-Verhältnis, untypischer Verwendungszweck) kennzeichnen.

Betrugserkennungsmatrix

Häufig gestellte Fragen

Ist die Reisepass-Verifizierung für deutsche Unternehmen verpflichtend?

Ja, für Verpflichtete nach dem Geldwäschegesetz (GwG): Kreditinstitute, Versicherungsunternehmen, Rechtsanwälte, Notare, Steuerberater, Wirtschaftsprüfer, Immobilienmakler und Güterhändler. Paragraf 10 GwG verpflichtet zur Identifizierung des Vertragspartners anhand eines gültigen amtlichen Ausweises vor Begründung der Geschäftsbeziehung. Die BaFin-Auslegungshinweise präzisieren die Anforderungen nach Risikoklasse.

Kann die eID-Funktion des Personalausweises für die geschäftliche Identifizierung genutzt werden?

Ja, Unternehmen können die Online-Ausweisfunktion (eID) für die Fernidentifizierung nutzen, sofern sie über ein Berechtigungszertifikat der Vergabestelle für Berechtigungszertifikate (VfB) beim Bundesverwaltungsamt verfügen. Die eID ermöglicht die Auslese von Name, Anschrift, Geburtsdatum und Geburtsort -- für GwG-Zwecke eine vollwertige Identifizierungsmethode gemäß Paragraf 12 Absatz 1 GwG.

Welche Dokumente akzeptiert das GwG zur Identifizierung?

Das GwG akzeptiert als gültigen Ausweis: den Personalausweis, den Reisepass, den vorläufigen Personalausweis, den vorläufigen Reisepass, Aufenthaltstitel und Aufenthaltserlaubnisse. Führerscheine sind als alleiniges Identifizierungsdokument nicht ausreichend. Für Staatsangehörige anderer EU-Mitgliedstaaten gelten nationale Personalausweise als gleichwertig.

Wie verifiziert man ein ausländisches Ausweisdokument?

Die Verifizierung ausländischer Dokumente stützt sich auf die ICAO Doc 9303-Normen, die für 193 Staaten gelten. MRZ und RFID-Chip folgen dem gleichen standardisierten Format. Visuelle Elemente (Hologramme, Wasserzeichen) variieren je nach ausstellendem Staat und erfordern eine Referenzdatenbank. Automatisierte Lösungen wie CheckFile integrieren Referenzdatenbanken mit über 6.000 Dokumententypen aus 200 Ländern.

Ist die automatisierte Dokumentenverifizierung DSGVO-konform?

Ja, sofern die Verarbeitung den Grundsätzen der Datenminimierung, Zweckbindung und Speicherbegrenzung entspricht. Die Verarbeitung biometrischer Daten (Gesichtsabgleich) fällt unter Artikel 9 DSGVO und erfordert die ausdrückliche Einwilligung der betroffenen Person oder eine spezifische Rechtsgrundlage. Konsultieren Sie unsere Seite zur Sicherheit für Details unserer Compliance-Architektur.

Umstieg auf automatisierte Reisepass- und Ausweisverifizierung

Die manuelle Verifizierung von Ausweisdokumenten genügt angesichts der zunehmenden Komplexität des Dokumentenbetrugs nicht mehr. Automatisierte Lösungen kombinieren MRZ-Auslesung, Bildanalyse, NFC-Chip-Verifizierung und Gesichtsbiometrie, um Erkennungsraten von über 95 % zu erreichen, bei Verarbeitungszeiten unter 10 Sekunden pro Dokument.

CheckFile unterstützt Unternehmen aller regulierten Branchen bei der Implementierung automatisierter Dokumentenverifizierung. Ob Sie im Bereich Finanzierung und Leasing, Bankwesen, Versicherung oder Immobilien tätig sind -- unsere Plattform integriert sich über REST API in bestehende Workflows. Prüfen Sie unsere Preise oder kontaktieren Sie unser Team, um eine Demonstration mit Ihren eigenen Dokumententypen und Prozessen zu vereinbaren.