Dokumentenfälschung erkennen: Urkundenfälschung, Dateiprüfung und Gutachten

Dokumentenfälschung erkennen heißt, Auffälligkeiten zu finden und sie von einem Beweis zu trennen. Rechtlich spricht das Strafgesetzbuch von Urkundenfälschung (§ 267 StGB) und, wenn nur Daten verändert werden, von der Fälschung beweiserheblicher Daten (§ 269 StGB). Wer zur Täuschung im Rechtsverkehr eine unechte Urkunde herstellt, eine echte Urkunde verfälscht oder eine unechte oder verfälschte Urkunde gebraucht, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft (§ 267 StGB). Ob ein konkretes Papier oder eine konkrete Datei darunterfällt, entscheiden Staatsanwaltschaft und Gericht, nicht die Stelle, bei der der Verdacht zuerst entsteht.

Wer gefälschte Dokumente erkennen will, muss drei Fragen trennen: was das Gesetz regelt, was die Prüfung eines Dokuments zeigen kann und wer eine Frage verbindlich klären kann, nämlich ein Schriftsachverständiger am Original, die forensische Dateiprüfung oder der Aussteller selbst. Dieser Ratgeber richtet sich an Teams aus Schadenbearbeitung, Compliance, Personal, Revision und Kreditorenbuchhaltung. Die Gesetzestexte wurden am 2. November 2026 geprüft; der Ratgeber ist keine Rechtsberatung.

Was als Urkundenfälschung gilt

Im Strafgesetzbuch heißt der zentrale Tatbestand nicht „Dokumentenfälschung“, sondern Urkundenfälschung. Das StGB regelt Urkundendelikte in einem eigenen Abschnitt; die wichtigsten Vorschriften auf einen Blick:

Ein besonders schwerer Fall der Urkundenfälschung liegt in der Regel vor, wenn die Täterin oder der Täter gewerbsmäßig oder als Mitglied einer Bande handelt, einen Vermögensverlust großen Ausmaßes herbeiführt, durch eine große Zahl gefälschter Urkunden die Sicherheit des Rechtsverkehrs erheblich gefährdet oder als Amtsträger seine Befugnisse oder Stellung missbraucht (§ 267 Abs. 3 StGB). Wer die Urkundenfälschung als Mitglied einer Bande, die sich zur fortgesetzten Begehung bestimmter Betrugs- und Urkundsdelikte verbunden hat, gewerbsmäßig begeht, wird nach Absatz 4 mit Freiheitsstrafe von einem Jahr bis zu zehn Jahren bestraft, in minder schweren Fällen mit sechs Monaten bis zu fünf Jahren.

Echtheit statt Wahrheit: was § 267 nicht erfasst

§ 267 knüpft an die Echtheit an: eine unechte Urkunde herstellen, eine echte verfälschen. Ob der Inhalt stimmt, fragt die Vorschrift nicht. Ein Dokument, das tatsächlich vom angegebenen Aussteller stammt, aber Falsches behauptet, ist daher nach herrschender Auslegung (sogenannte schriftliche Lüge) nicht ohne Weiteres eine Urkundenfälschung. Für unwahre Angaben gibt es Sondervorschriften, etwa § 271 für öffentliche Urkunden, Bücher und Register und §§ 277 bis 279 für Gesundheitszeugnisse. Für die Prüfpraxis folgt daraus, dass Sie zwei Fragen trennen: Stammt das Dokument vom Aussteller, und stimmt, was darin steht? Die erste beantwortet eine Rückfrage beim Aussteller, die zweite die zugrunde liegenden Belege.

Österreich und Schweiz in Kürze

In Österreich bestraft § 223 StGB, wer eine falsche Urkunde mit dem Vorsatz herstellt oder eine echte mit dem Vorsatz verfälscht, dass sie im Rechtsverkehr zum Beweis eines Rechtes, eines Rechtsverhältnisses oder einer Tatsache gebraucht werde, ebenso den Gebrauch; die Strafe beträgt bis zu einem Jahr Freiheitsstrafe oder Geldstrafe bis zu 720 Tagessätzen. Dieselbe Strafdrohung gilt nach § 225a StGB für die Datenfälschung.

In der Schweiz droht nach Art. 251 Ziff. 1 StGB Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, wer in Schädigungs- oder Vorteilsabsicht eine Urkunde fälscht oder verfälscht, die echte Unterschrift eines anderen zur Herstellung einer unechten Urkunde benützt oder eine rechtlich erhebliche Tatsache unrichtig beurkundet oder beurkunden lässt, und wer eine solche Urkunde zur Täuschung gebraucht. Anders als im deutschen Recht erfasst die Vorschrift also auch die unrichtige Beurkundung. Nach Art. 110 Abs. 4 StGB steht die Aufzeichnung auf Bild- und Datenträgern der Schriftform gleich, sofern sie demselben Zweck dient.

Merkmale gefälschter Dokumente: Anhaltspunkte, keine Beweise

Eine Fälschung verrät sich selten durch ein einzelnes Merkmal, und fast jedes Merkmal hat eine harmlose Erklärung. Die Tabelle stellt jedem Merkmal, auf Papier wie digital, die häufigste unverdächtige Erklärung und die Prüfung gegenüber, die weiterhilft.

Das Gesetz kennt die Grenze dieser Hinweise: Nach § 419 ZPO entscheidet das Gericht nach freier Überzeugung, wie sich Durchstreichungen, Radierungen, Einschaltungen oder sonstige äußere Mängel auf die Beweiskraft einer Urkunde auswirken (§ 419 ZPO). Ein Mangel ist also ein Anlass zur Prüfung, kein Urteil. Wie Sie Beträge, Bankverbindungen und Belege eines Vorgangs abgleichen, zeigt der Ratgeber Rechnung vor der Zahlung prüfen; welche Prüfung zu welchem Verdacht passt, zeigt der Ratgeber Gefälschte und KI-generierte Dokumente erkennen.

Digitale Dokumente: Was die Dateiprüfung zeigen kann und wo sie endet

Die forensische Prüfung einer Datei liest ihre inneren Aufzeichnungen statt ihres Aussehens. Sie kann zeigen, dass ein PDF nach seinem Ausstellungsdatum gespeichert wurde, dass eine frühere Fassung noch vorhanden ist oder dass eine elektronische Signatur den heutigen Inhalt nicht mehr abdeckt. Sie sagt nicht, wer die Datei geändert hat, mit welcher Absicht und ob der Inhalt stimmt.

Was eine Datei aufgezeichnet haben kann

• Software und Zeitangaben: das Programm, das die Datei erstellt und gespeichert hat, und die darin eingetragenen Daten. Sie lassen sich ändern, ohne den Inhalt zu berühren, und ein legitimer Export ändert sie ebenfalls.
• Fassungen: Ein PDF kann Änderungen an die ursprünglichen Bytes anhängen, statt sie zu ersetzen; eine gespeicherte frühere Fassung kann dann wiederherstellbar bleiben (Grundprinzip im Ratgeber zur PDF-Prüfung).
• Struktur und verborgene Inhalte: Anhänge, Anmerkungen und Aktionen in PDFs; Änderungsverfolgung, Kommentare und verborgene Inhalte in Word-Dokumenten und Präsentationen.

Elektronische Signaturen

Eine zertifikatsbasierte Signatur lässt sich validieren, das Bild einer eingescannten Unterschrift nicht. Die Validierung betrifft die Unversehrtheit des signierten Inhalts, die Zertifikatskette, verfügbare Sperrinformationen und zulässige spätere Änderungen. Das Ergebnis lautet gültig, ungültig oder unbestimmt, gemessen an den Vertrauensdaten des Prüfers; „unbestimmt“ ist kein Fälschungsbefund. Für den Beweiswert gilt: Auf private elektronische Dokumente mit qualifizierter elektronischer Signatur sind die Vorschriften über die Beweiskraft privater Urkunden entsprechend anzuwenden, und der Anschein der Echtheit, der sich aus der Prüfung der qualifizierten Signatur ergibt, lässt sich nur durch Tatsachen erschüttern, die ernstliche Zweifel daran begründen, dass die Erklärung von der verantwortenden Person abgegeben wurde (§ 371a Abs. 1 ZPO). Das gilt nur für qualifizierte elektronische Signaturen, nicht für jede zertifikatsbasierte Signatur, und setzt eine gültige Signatur voraus.

Gescannte Seiten und KI-typische Passagen

Auf einer gescannten Seite kann die Texterkennung Beträge und Daten miteinander abgleichen; eine Abweichung verlangt eine Erklärung und belegt für sich allein keine Veränderung. Ein mit einem KI-Assistenten geschriebener Text ist nicht von sich aus eine Fälschung: Entscheidend ist die Täuschung im Rechtsverkehr, nicht das Schreibwerkzeug. Der Hinweis auf KI-typische Formulierungen hilft, den Verfasser gezielt zu befragen, nicht, das Dokument rechtlich einzuordnen.

Was die Dokumentprüfung von Fileverity festhält

Die Dokumentprüfung von Fileverity automatisiert einen Teil dieser Prüfung für PDF-, Word- und PowerPoint-Dateien. Sie markiert KI-typische Passagen mit Seitenverweisen (Modell FVDOC V3) und hält die Aufzeichnungen der Datei fest: Software, Datumsangaben, wiederherstellbare Fassungen, Dateistruktur, Anhänge, Anmerkungen und Aktionen in PDFs, Kommentare und verborgene Inhalte. Sie bewertet digitale PDF-Signaturen (gültig, ungültig oder unbestimmt, gemessen an den konfigurierten Vertrauensdaten), liest gescannte Seiten per Texterkennung, prüft anwendbare Beziehungen zwischen Beträgen und Daten und analysiert geeignete eingebettete Fotos mit dem Bildmodell FVIMG V2. Der Bericht nennt eine Risikostufe von L0 bis L5, hält den SHA-256-Hashwert der Datei fest und, wenn die Validierung gelingt, einen vertrauenswürdigen Zeitstempel nach RFC 3161; er lässt sich auf der Prüfseite kontrollieren. Einen Beispielbericht können Sie vorab ansehen. Wie Dateien verarbeitet werden, steht unter Sicherheit und Datenschutz.

Was eine Dateiprüfung nicht leistet

Sie untersucht weder Handschrift noch Tinte, Papier oder physische Sicherheitsmerkmale. Sie bestätigt weder den Aussteller noch die Richtigkeit des Inhalts, stellt nicht jede gelöschte Fassung wieder her und ersetzt kein Gutachten vor Gericht. Ein unauffälliges Ergebnis entlastet ein Dokument nie.

Schriftsachverständige, Urkundenuntersuchung und IT-Forensik: Wer was beiträgt

Wählen Sie die Prüfung nach der Frage, nicht nach dem Werkzeug, das gerade zur Hand ist. Die Abbildung zeigt für fünf häufige Fragen, was Gutachter, Dateiprüfung und Aussteller klären können; die Tabelle nennt, wer antwortet und was dafür nötig ist.

Öffentlich bestellte Sachverständige

Für die öffentliche Bestellung als Sachverständige verlangt § 36 GewO einen Bedarf an Sachverständigenleistungen im Sachgebiet, den Nachweis besonderer Sachkunde und das Fehlen von Bedenken gegen die Eignung; bestellte Personen werden vereidigt. Die IHK beschreibt in ihren fachlichen Bestellungsvoraussetzungen die Handschriftenuntersuchung (Stand 06/2026) als Analyse handschriftlich gefertigter Schriften zur Beurteilung von Echtheit oder Urheberschaft. Dazu gehören die Authentizitätsprüfung von Unterschriften, die Prüfung auf Datumsechtheit und Verfälschungen sowie Verfahren der Urkundenprüfung. Das Sachgebiet IT-Forensik (Stand 12/2024) umfasst das Sichern und Analysieren digitaler Spuren und Beweismittel, um Straftaten gerichtsverwertbar aufzuklären; beauftragt werden diese Sachverständigen insbesondere von Ermittlungsbehörden, daneben von privaten und öffentlichen Auftraggebern, etwa bei Betriebsstörungen oder Sabotage. Im Zivilprozess sollen nach § 404 Abs. 3 ZPO, wenn für eine Art von Gutachten Sachverständige öffentlich bestellt sind, andere Personen nur gewählt werden, wenn besondere Umstände es erfordern.

Polizeiliche Kriminaltechnik

Das Bundeskriminalamt beschreibt, dass die Untersuchung von Dokumenten auf Echtheit mit mikroskopischen, spektroskopischen, materialanalytischen und elektronischen Methoden erfolgt und neben dem Vordruck auch Stempelabformungen, Ausfüllschriften und digitale Dateninhalte umfasst; dazu zählen auch Datumsechtheitsprüfungen (BKA, Untersuchung von Urkunden und weiteren Druckprodukten). Die Kriminaltechnik gehört zur Ermittlungsunterstützung der Polizei: In der Praxis erstatten Sie Anzeige und übergeben die gesicherten Unterlagen.

Beweis im Zivilprozess

Eine inländische öffentliche Urkunde hat die Vermutung der Echtheit für sich; bei Zweifeln kann das Gericht eine Erklärung der Behörde oder Person einholen, von der sie stammen soll (§ 437 ZPO). Bei einer nicht anerkannten Privaturkunde muss die Echtheit bewiesen werden; steht die Echtheit der Unterschrift fest, spricht die Vermutung auch für den darüberstehenden Text (§ 440 ZPO). Die Echtheit kann auch durch Schriftvergleichung bewiesen werden, wofür geeignete Vergleichsschriften vorzulegen sind (§ 441 ZPO); wie das Gericht das Ergebnis würdigt, entscheidet es nach freier Überzeugung, gegebenenfalls nach Anhörung von Sachverständigen (§ 442 ZPO).

Beweissicherung und Hashwert

Damit ein Ergebnis später trägt, muss belegbar sein, dass die eingegangene Datei geprüft wurde und keine unterwegs veränderte Kopie. Bewahren Sie das Original schreibgeschützt auf, arbeiten Sie mit Kopien und halten Sie fest, wer wann und warum Zugriff hatte. Der SHA-256-Hashwert belegt, dass zwei Dateien Byte für Byte gleich sind, sagt aber nichts über die Richtigkeit des Inhalts; ein Zeitstempel nach RFC 3161 belegt zusätzlich, dass der Hashwert zu einem bestimmten Zeitpunkt vorlag. Was beides belegt und was nicht, erklärt der Ratgeber Zeitstempel und SHA-256-Prüfsumme. Jede Kopie behält weniger, als das Original enthält: Die Abbildung zeigt, was in einem Papieroriginal, einem Scan oder Foto, einer Datei und einem Ausdruck oder Screenshot erhalten bleibt.

Vorgehen bei Verdacht

1. Nichts verändern. Arbeiten Sie mit einer Kopie. Ein Papieroriginal falten, beschriften oder heften Sie nicht; eine Datei öffnen Sie nicht, um sie erneut zu speichern.
2. Eingang dokumentieren. Halten Sie Absender oder Portal, Datum und Uhrzeit sowie den ursprünglichen Dateinamen fest und berechnen Sie den SHA-256-Hashwert vor jeder Bearbeitung.
3. Die Frage präzisieren. Welches Feld, welche Vermutung: ersetzter Betrag, hinzugefügte Unterschrift, ausgetauschte Seite oder echtes Dokument im falschen Zusammenhang?
4. Den Aussteller über einen unabhängigen Kontakt fragen. Nutzen Sie Kontaktdaten, die Ihrer Organisation bereits bekannt sind, nie die auf dem strittigen Dokument oder in der begleitenden E-Mail.
5. Die abhängige Entscheidung aussetzen. Zahlung, Einstellung, Regulierung oder Kreditzusage warten auf die Bestätigung oder einen anderen Beleg.
6. Das weitere Vorgehen mit Ihrer Rechtsabteilung klären. Je nach Gewicht: Gutachten beauftragen, zivilrechtlich vorgehen oder Strafanzeige erstatten. Eine Anzeige kann bei der Staatsanwaltschaft, bei der Polizei oder beim Amtsgericht angebracht werden; die aufnehmende Stelle dokumentiert sie, und auf Antrag erhalten Verletzte eine schriftliche Eingangsbestätigung (§ 158 Abs. 1 StPO).

Fallbeispiel (fiktiv): Arbeitszeugnis mit geänderter Tätigkeitsbeschreibung

Eine Personalabteilung erhält mit einer Bewerbung das PDF eines Arbeitszeugnisses. Es nennt als frühere Position „Teamleiterin Buchhaltung“ und trägt das Bild einer Unterschrift. Die Stelle, auf die sich die Bewerberin bewirbt, verlangt Führungserfahrung.

Die Personalabteilung speichert die E-Mail und das PDF, berechnet den Hashwert und speichert die Datei nicht neu. Die Dateiprüfung hält fest: Das PDF wurde aus Seitenbildern erzeugt und danach mit einem PDF-Editor gespeichert; eine frühere Fassung ist wiederherstellbar; die Unterschrift ist ein Bild ohne validierbare elektronische Signatur. Diese Befunde bestimmen, was zu fragen ist. Sie sagen nicht, wer das Dokument bearbeitet hat und ob die frühere Fassung das Original war.

Den Ausschlag gibt die Rückfrage: Die Personalabteilung ermittelt die Kontaktdaten des früheren Arbeitgebers unabhängig vom Zeugnis und bittet mit Einwilligung der Bewerberin um Bestätigung von Zeitraum und Position. Bestätigt der Arbeitgeber eine andere Position, dokumentiert sie diese Antwort und klärt mit der Rechtsabteilung, wie sie mit der Bewerberin weiter verfährt. Ein Schriftgutachten käme erst in Betracht, wenn ein Streit vor Gericht die Unterschrift betrifft; dafür braucht es das unterschriebene Original und Vergleichsschriften. Die Akte hält nur Beobachtungen fest.

Prüfprotokoll

Führen Sie je Dokument ein Protokoll, damit eine zweite Person oder ein Sachverständiger die Prüfung ohne Rückfrage nachvollziehen kann.

Häufige Fragen

Ist ein gefälschtes PDF eine Urkundenfälschung?

Möglicherweise. Das StGB erfasst nicht nur Papier: § 269 stellt die Fälschung beweiserheblicher Daten unter Strafe, die bei ihrer Wahrnehmung eine unechte oder verfälschte Urkunde ergäben, § 267 gilt für die Urkunde selbst. Welche Vorschrift passt und ob alle Merkmale erfüllt sind, etwa die Täuschung im Rechtsverkehr, entscheiden Staatsanwaltschaft und Gericht. Eine vom Aussteller korrigierte Fassung ist keine Fälschung.

Welche Strafe droht bei Urkundenfälschung?

Nach § 267 StGB droht Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe, in besonders schweren Fällen Freiheitsstrafe von sechs Monaten bis zu zehn Jahren; der Versuch ist strafbar. Für die Fälschung beweiserheblicher Daten nach § 269 StGB gilt derselbe Rahmen. Die Strafe legt das Gericht im Einzelfall innerhalb dieser Rahmen fest.

Wie erkennt man ein gefälschtes Dokument?

Selten an einem einzelnen Merkmal. Sammeln Sie Anhaltspunkte, etwa Schriftbild, nicht stimmige Beträge oder eine auffällige Dateihistorie, und bestätigen oder widerlegen Sie sie über den Aussteller, einen unabhängigen Kontakt und, wenn der Fall es rechtfertigt, einen Sachverständigen. Konservieren Sie das Dokument unverändert mit seinem Hashwert.

Wer stellt fest, ob eine Unterschrift gefälscht ist?

Das leisten Schriftsachverständige am Original mit Vergleichsschriften; die IHK nennt die Authentizitätsprüfung von Unterschriften ausdrücklich als Teil des Sachgebiets Handschriftenuntersuchung. Das Gericht würdigt das Ergebnis nach freier Überzeugung. Fileverity vergleicht keine Handschriften und untersucht weder Tinte noch Papier; es liest die Aufzeichnungen der Datei und zeigt den Status digitaler PDF-Signaturen.

Gilt das auch in Österreich und der Schweiz?

Beide Länder kennen eigene Vorschriften. In Österreich bestrafen § 223 StGB die Urkundenfälschung und § 225a StGB die Datenfälschung mit bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. In der Schweiz droht nach Art. 251 StGB Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Maßgeblich sind jeweils die Gesetze des Landes, in dem das Verfahren geführt wird.

Von Yang Zheng · Geprüft von Bill Liu