PDF auf Echtheit prüfen: So erkennen Sie, ob ein PDF verändert wurde

Um ein PDF auf Änderungen zu prüfen, vergleichen Sie es mit einer unabhängig beschafften Referenz, validieren vorhandene elektronische Signaturen und untersuchen die entscheidenden Felder. Metadaten und optische Auffälligkeiten helfen, die Prüfung einzugrenzen; allein beweisen sie keine Manipulation. Für die Echtheit der Angaben braucht es zusätzlich eine verlässliche Bestätigung des Ausstellers.

Legen Sie zuerst fest, welche Aussage Sie prüfen. „Das ist die Rechnung, die der Lieferant ausgestellt hat“ ist eine andere Frage als „Diese Datei ist seit der Signatur unverändert“. Ein PDF kann die eine Prüfung bestehen und an der anderen scheitern. Es kann außerdem legitime Änderungen enthalten: ein ausgefülltes Formular, eine nachträgliche Freigabe, eine Korrekturrechnung. Die Prüfung soll klären, was sich geändert hat, ob die Änderung befugt war und ob das aktuelle Dokument als Grundlage für die Entscheidung taugt.

Auf einen Blick: Wo Sie anfangen

Sichern Sie zuerst den Anhang so, wie er eingegangen ist. Wählen Sie dann den Weg, der zu den vorhandenen Nachweisen passt. Haben Sie sowohl eine verlässliche Referenz als auch eine elektronische Signatur, nutzen Sie beide Prüfungen: Sie beantworten unterschiedliche Fragen.

Geht es um die Frage, ob der Wortlaut mit KI geschrieben wurde, ist das eine eigene Prüfaufgabe. Die Dokumentprüfung von Fileverity bewertet zusammenhängenden Fließtext in PDF-, Word- und Textdateien auf Merkmale KI-generierten Textes. Die folgenden Schritte behandeln die Integrität des PDFs und den Abgleich mit dem Aussteller.

1. Datei sichern und Referenz festlegen

Bewahren Sie den Anhang oder Download exakt so auf, wie er eingegangen ist. Halten Sie Absender oder Portal, Eingangszeit, ursprünglichen Dateinamen und Belegnummer fest. Speichern Sie die Begleitnachricht, wenn sie Version oder Zweck erklärt. Legen Sie eine getrennte Arbeitskopie an, bevor Sie kommentieren, eine Texterkennung (OCR) laufen lassen oder einen Vergleichsbericht speichern.

Ein SHA-256-Hashwert identifiziert die empfangenen Bytes. Gleiche Hashwerte sprechen für identische Dateien; unterschiedliche Hashwerte bedeuten nur, dass sich Bytes unterscheiden – was genau, zeigt erst der Vergleich. Legen Sie den Hashwert mit der Datei im Prüfprotokoll ab. Warum ein Hashwert keine Echtheit belegt, erklärt der Ratgeber Rechnung vor der Zahlung prüfen.

Beschaffen Sie die Referenz über ein etabliertes Lieferantenportal oder einen Kontakt, der Ihrem Unternehmen bereits bekannt ist. Ein zweiter Anhang desselben unbekannten Absenders ist keine unabhängige Referenz. Prüfen Sie, ob die Referenz dasselbe Konto, denselben Zeitraum, dieselbe Rechnungsnummer und dieselbe Version betrifft. Fragen Sie nach, ob eine Korrekturrechnung ausgestellt wurde, bevor Sie eine ältere freigegebene Fassung mit einer aktuellen Datei vergleichen.

Die passende Referenz hängt von der Frage ab:

Fehlt eine verlässliche Referenz, halten Sie diese Einschränkung früh fest. Sie können das PDF trotzdem untersuchen, aber aus einem auffällig wirkenden Betrag lässt sich kein ursprünglicher Betrag ableiten.

2. Signaturen validieren: einfache, fortgeschrittene, qualifizierte elektronische Signatur

Eine eingescannte Unterschrift, ein getippter Name oder das Bild eines Firmenstempels ist ein grafisches Element – keine elektronische Signatur. Sein Aussehen sagt nichts darüber, ob das PDF eine zertifikatsbasierte Signatur enthält. Umgekehrt beweist das Fehlen eines sichtbaren Unterschriftsbilds nicht, dass das PDF unsigniert ist. Maßgeblich ist, was eine Validierungssoftware über die eingebettete Signatur meldet.

Im deutschsprachigen Raum wird zwischen einfacher, fortgeschrittener und qualifizierter elektronischer Signatur (QES) unterschieden. Rechtlich besonders bedeutsam ist die QES.

Rechtlicher Rahmen – Stand 28.10.2026, keine Rechtsberatung

• Deutschland, Schriftform: Soll die gesetzliche Schriftform durch die elektronische Form ersetzt werden, muss der Aussteller seinen Namen hinzufügen und das Dokument mit einer qualifizierten elektronischen Signatur versehen (§ 126a BGB).
• Deutschland, Beweiswert: Auf private elektronische Dokumente mit QES sind die Vorschriften über die Beweiskraft privater Urkunden entsprechend anzuwenden. Der Anschein der Echtheit kann nur durch Tatsachen erschüttert werden, die ernstliche Zweifel daran begründen, dass die Erklärung von der verantwortenden Person abgegeben worden ist (§ 371a Abs. 1 ZPO). Dieser Anschein setzt voraus, dass die QES tatsächlich gültig ist – eine Validierung ist deshalb kein Formalismus.
• Vertrauensanker: Die Bundesnetzagentur führt die Vertrauensliste der qualifizierten Vertrauensdiensteanbieter in Deutschland; sie wird unter anderem genutzt, um die Echtheit elektronischer Unterschriften zu prüfen, und Signaturen lassen sich grenzüberschreitend in der EU prüfen (Bundesnetzagentur zu elektronischen Vertrauensdiensten).
• Österreich: Die Rundfunk und Telekom Regulierungs-GmbH (RTR) bietet eine Signaturprüfung an; die frühere Adresse signaturpruefung.gv.at leitet dorthin weiter (RTR Signaturprüfung). Das ist der naheliegende Weg für PDFs, die mit ID Austria oder einer qualifizierten Signatur eines österreichischen Anbieters unterschrieben wurden.
• Schweiz: Qualifizierte elektronische Signaturen nach ZertES prüfen Sie mit dem Signaturvalidator der Bundesverwaltung unter www.validator.ch (BIT: Der Validator). Die Eidgenössische Steuerverwaltung weist darauf hin, dass eine Signaturprüfung eine Momentaufnahme darstellt (ESTV zu elektronischen Signaturen); halten Sie deshalb fest, wann Sie geprüft haben.

Ob ein bestimmtes Dokument der Schriftform bedarf oder welche Signaturstufe ein Vertrag verlangt, klärt Ihre Rechtsabteilung.

Die Validierung Schritt für Schritt

In Adobe Acrobat oder Acrobat Reader öffnen Sie den Unterschriftenbereich und lassen die Signaturen validieren; in den Signatureigenschaften sehen Sie das Zertifikat des Unterzeichners. Achten Sie darauf, ob die angezeigte Signaturzeit von der Uhr des signierenden Rechners stammt oder durch einen Zeitstempel eines Zeitstempeldienstes belegt ist. Die angezeigte Zeit ist nicht automatisch ein unabhängiger Nachweis, wann signiert wurde. Für qualifizierte Signaturen aus Österreich und der Schweiz liefern die oben genannten behördlichen Prüfdienste oft das klarere Ergebnis.

Gehen Sie bei jeder relevanten Signatur so vor:

1. Unterzeichner, Validierungsergebnis, Programm und Version sowie den Zeitpunkt der Validierung festhalten.
2. Die Begründung jeder Warnung lesen. Ein Problem mit dem Vertrauen in das Zertifikat ist etwas anderes als ein gemeldetes Integritätsproblem des Inhalts.
3. Feststellen, welche Revision die Signatur erfasst. Die signierte Fassung ebenso ansehen wie das aktuelle Dokument.
4. Klären, welche späteren Änderungen gemeldet werden und ob die Signaturregeln des Dokuments sie erlauben.
5. Bestätigen, dass dieser Unterzeichner für die benötigte Freigabe zuständig war.

Die Validierung von PDF-Signaturen berücksichtigt Berechtigungen. Eine Zertifizierungssignatur kann bestimmte spätere Schritte erlauben, etwa das Ausfüllen von Formularfeldern oder weitere Unterschriften. Ein gültiges Ergebnis kann deshalb neben späteren, zulässigen Änderungen bestehen. Ein grünes Häkchen heißt nicht, dass jedes Byte unverändert ist.

Die drei Prüfpunkte lauten Identität, signierter Umfang und zulässige Änderungen. Ob die Rechnung tatsächlich gelieferte Waren beschreibt, beantwortet keine Signatur; dafür brauchen Sie die Vorgangsunterlagen.

Ein ungültiges Ergebnis braucht seine Ursache: unzulässige Änderungen, eine beschädigte Datei, ein abgelaufenes oder gesperrtes Zertifikat oder eine Richtlinienvorgabe. Ein unbekannter Status kann bedeuten, dass die Validierung noch nicht gelaufen ist. Ist ein Zertifikat in Ihrer Umgebung nicht vertrauenswürdig, vermerken Sie „Vertrauen in den Unterzeichner in dieser Prüfumgebung nicht hergestellt“ zusammen mit der Warnung. Ändern Sie nicht die Vertrauenseinstellungen, nur um ein positives Ergebnis zu erhalten. Fragen zu Zertifikatskette, Sperrinformationen oder Zeitstempel klärt die IT-Administration. Eine solche Warnung ist für sich genommen kein Fälschungsbefund.

3. PDF-Metadaten und Dateisystemdaten trennen

Ein Datum, das Ihr Betriebssystem anzeigt, gehört zur lokalen Datei. Ein Datum in den Dokumenteigenschaften des PDFs ist in der Datei gespeichert. Das sind verschiedene Aufzeichnungen verschiedener Ereignisse. Herunterladen oder Kopieren kann die Zeitangaben im Dateisystem ändern, ohne das Rechnungsdatum zu berühren.

Ein Kontoauszug vom 1. Oktober kann zum Beispiel ein PDF-Erstellungsdatum vom 2. Oktober und ein lokales Erstellungsdatum vom 28. Oktober tragen – dem Tag Ihres Downloads. Das ist kein Widerspruch. Auch Zeitzonen oder fehlende Zeitzonenangaben machen eine scheinbare Reihenfolge unsicher. Notieren Sie die angezeigten Werte samt Zeitversatz, statt unsichere Zeiten stillschweigend umzurechnen.

PDF-Metadaten umfassen unter anderem Erstellungs- und Änderungsdatum, Angaben zur erzeugenden Software (Producer) und XMP-Metadaten. Sie lassen sich bearbeiten und sind vom sichtbaren Seiteninhalt getrennt. Ein geänderter Metadatenwert bedeutet daher keinen geänderten Betrag, und ein unauffälliger Wert ist kein unabhängiger Prüfpfad.

Halten Sie das genaue Feld und den Wert fest, etwa „PDF-Erzeuger nennt Programm X“. Eine Softwareangabe zeigt eine aufgezeichnete Verarbeitung, nicht die Person, die sie vorgenommen hat. Widerspricht sie dem Exportweg, den der Aussteller beschreibt, vergleichen Sie mit einem bekannten Muster oder bitten Sie den Aussteller um Erklärung.

4. Seiten, extrahierten Text und Struktur vergleichen

Beginnen Sie mit den entscheidungsrelevanten Feldern: Aussteller und Empfänger, Belegnummer, Datum, Beträge, Steuerausweis, Währung und Bankverbindung. Vergleichen Sie danach das Umfeld, die Seitenzahl und die Reihenfolge. Eine ausgetauschte Anlage oder eine fehlende Seite kann den Sinn ändern, auch wenn die erste Seite übereinstimmt.

Ein PDF kann digital erzeugten Text, gescannte Seitenbilder oder eine Mischung enthalten. Eine Texterkennung macht einen Scan durchsuchbar und markierbar. Dass sich Wörter markieren lassen, beweist also nicht, dass sie als digitaler Text entstanden sind. Die PDF Association weist darauf hin, dass die Genauigkeit von OCR von der Bildqualität und weiteren Faktoren abhängt und das PDF-Format sie in keiner Weise garantiert (PDF Association, Glossar: OCR).

Vergleichen Sie deshalb bei wichtigen Feldern die sichtbare Seite mit dem extrahierten Wert. Liest die Texterkennung eine Null als Buchstaben O oder verschluckt sie ein Komma, ist das ein Erkennungsfehler, keine Änderung des Dokuments.

Scannen und OCR im eigenen Haus verändern die Datei ebenfalls. Das ist für die Aufbewahrung relevant: Buchungsbelege dürfen als Wiedergabe auf einem Bild- oder Datenträger aufbewahrt werden, wenn dies den Grundsätzen ordnungsmäßiger Buchführung entspricht und die Wiedergabe mit dem Original bildlich übereinstimmt; sie sind grundsätzlich acht Jahre aufzubewahren (§ 147 Abs. 2 und 3 AO). Dokumentieren Sie daher, welche Schritte Ihr eigener Prozess vorgenommen hat, damit Artefakte aus Scan oder Konvertierung nicht dem Einreicher zugeschrieben werden.

Ein praktischer Vergleich besteht aus drei Durchgängen:

Zeigen zwei Programme ein entscheidendes Feld unterschiedlich an, halten Sie beide Beobachtungen fest und eskalieren Sie die Darstellungsabweichung. Wählen Sie nicht die Darstellung, die zum erwarteten Ergebnis passt. Dasselbe gilt, wenn Formularwert, extrahierter Text und sichtbare Seite voneinander abweichen.

5. Wie ein PDF neue Inhalte anzeigt und alte Bytes behält

Ein PDF-Programm zeigt nicht einfach jede Zeichenkette an, die in der Datei steht. Eine Seite verweist über Kennungen auf Objekte, etwa Inhaltsströme. Eine Querverweistabelle sagt dem Programm, wo diese Objekte liegen. Bei einer inkrementellen Aktualisierung werden Änderungen an das Dateiende angehängt, während der ursprüngliche Inhalt unverändert bleibt (PDF Association, Glossar: Incremental update, Cross-reference table, Indirect object). Welche Fassung angezeigt wird, bestimmt die jeweils neueste Verweiskette. Deshalb ist die Suche nach einem alten Betrag in den Rohdaten etwas anderes als die Feststellung, was die Seite aktuell zeigt.

Ein bewusst vereinfachtes Beispiel: Eine Seite verweist auf das Objekt 17 0 R. In Revision A liefert es einen Inhaltsstrom mit „Rechnungsbetrag: 9.996,00 €“. Eine inkrementelle Aktualisierung hängt eine neue Fassung von Objekt 17 mit „Rechnungsbetrag: 10.496,00 €“ und einen neuen Querverweisabschnitt an. Das Programm zeigt den neuen Betrag; wer frühere Revisionen untersucht, findet unter Umständen noch den alten.

Daraus folgen zwei Vorsichtsregeln. Erstens entstehen mehrere Speicherstände auch durch befugte Vorgänge wie Kommentieren oder Signieren; sie belegen keine Manipulation. Zweitens kann ein vollständiges Neuschreiben oder ein frischer Export frühere Fassungen verwerfen. Fehlt ein rekonstruierbarer Verlauf, ist das Dokument damit nicht entlastet. Auch ein wiedergefundener alter Betrag braucht eine Erklärung: Er kann zu einem veralteten Formularwert, einem Anhang oder einer legitimen früheren Version gehören.

Fileverity Dokumentenprüfung: Gültig, ungültig und unbestimmt werden getrennt. Signatur, Hash, Zertifikatskette, Sperrinformationen und zulässige Änderungen werden anhand konfigurierter Vertrauensdaten geprüft. Keine vollständige historische Langzeitvalidierung oder rechtliche Zertifizierung. Bei geeigneten Scanseiten erscheinen extrahierte Felder, Markierungen und nachvollziehbare Beziehungen. Unsichere Texterkennung und nicht anwendbare Regeln werden ausgewiesen. Eine Rechendifferenz beweist keine Manipulation. Textauszüge, erkannte Felder und verfügbare Bildbelege führen zur jeweiligen Fundstelle im Dokument. So lassen sich Befunde mit dem Original abgleichen.

E-Rechnung: XML und PDF sind zwei verschiedene Prüfgegenstände

Seit dem 1. Januar 2025 gilt in Deutschland eine neue Unterscheidung: Eine elektronische Rechnung wird in einem strukturierten elektronischen Format ausgestellt; eine Rechnung in einem anderen elektronischen Format oder auf Papier ist eine sonstige Rechnung (§ 14 Abs. 1 UStG). Ein per E-Mail versandtes PDF gilt seither nicht mehr als E-Rechnung (IHK Köln).

Für die Echtheitsprüfung heißt das:

• XRechnung ist rein strukturiert (XML). Die Leitstelle XRechnung (KoSIT) stellt einen konfigurierbaren Validator und eine Visualisierungskomponente bereit (xeinkauf.de: XRechnung). Was Sie am Bildschirm sehen, ist eine Darstellung der Daten, kein eigenständiges Dokument.
• ZUGFeRD ist ein hybrides Format: ein PDF mit eingebetteten XML-Daten. Bei Abweichungen gehen nach Auffassung der Finanzverwaltung die Daten des strukturierten Teils denen der Bilddatei vor (BMF-Schreiben vom 15.10.2025). Ein unverdächtig aussehendes PDF sagt deshalb nichts darüber, was im maßgeblichen XML steht.
• Die Validierung des XML (Schema und Geschäftsregeln) ist eine andere Aufgabe als die Frage, ob die PDF-Ansicht bearbeitet wurde. Sie brauchen beide: Das XML kann formal gültig sein und trotzdem eine falsche Bankverbindung enthalten.

Die Validierung der XML-Daten bleibt Aufgabe Ihrer E-Rechnungs-Software. Wie Sie bei E-Rechnungen Betrag, Bankverbindung und Belege vor der Zahlung abgleichen, beschreibt der Ratgeber Rechnung vor der Zahlung prüfen.

Historische Rechnung: Ein geänderter Saldo bricht die Rechnung

Diese Rechnung der Dowdeswell Galleries von 1912 weist 560-0-0 aus, zieht 400-0-0 ab und nennt einen Saldo von 160-0-0. Die Beträge folgen dem historischen britischen System aus Pfund, Schilling und Pence. Fileverity hat in einer getrennten Kopie mit KI den angezeigten Saldo auf 760-0-0 geändert; die beiden Ausgangsbeträge blieben unverändert.

Die Rechnung des Originals lautet 560 − 400 = 160 Pfund, mit null Schilling und null Pence in jeder Zeile. Der bearbeitete Saldo liegt 600 Pfund darüber. Dieser Sichtvergleich prüft die Arithmetik. Um Revisionen eines PDFs zu untersuchen, bräuchten Sie die PDF-Datei selbst; ein Scan als Bild lässt sich mit der Bildforensik von Fileverity auf lokal bearbeitete Bereiche prüfen.

Fallbeispiel (fiktiv): Rechnungsbetrag und Bankverbindung weichen ab

Die Rechnung RE-2026-1048 der fiktiven Hofmann Elektrotechnik GmbH weist im Lieferantenportal Leistungen von 8.000,00 € und Versand von 400,00 € aus, zusammen 8.400,00 € netto, zuzüglich 19 % USt von 1.596,00 €, also 9.996,00 € brutto. Das per E-Mail eingegangene PDF enthält dieselben Positionen und denselben Steuerbetrag, nennt aber einen Rechnungsbetrag von 10.496,00 €. Außerdem endet die IBAN auf „…7719“ statt auf „…1842“. Eine prüfbare elektronische Signatur ist nicht vorhanden.

Prüfen Sie zuerst, ob beide Dokumente dieselbe Rechnungsversion betreffen. Rechnen Sie dann: 8.400,00 € + 1.596,00 € = 9.996,00 €; das PDF nennt 10.496,00 €, also 500,00 € mehr. Damit steht eine rechnerische Unstimmigkeit im eingegangenen Dokument fest. Wer die Datei geändert hat oder ob dem Lieferanten ursprünglich ein Fehler unterlaufen ist, steht damit nicht fest.

Erfassen Sie Betrag und Bankverbindung als getrennte Abweichungen und leiten Sie die Zahlungsanweisung in Ihren Ausnahmeprozess. Die abweichende IBAN ist ein eigener Fall: Rückruf über eine bereits bekannte Nummer, Vier-Augen-Prinzip für die Stammdatenänderung und das Ergebnis der Empfängerüberprüfung gehören in den Ratgeber Rechnung vor der Zahlung prüfen. Bestätigt der Lieferant die Portalfassung und erklärt, keine Korrektur ausgestellt zu haben, lautet der Befund präzise: „Das eingegangene PDF weicht in Rechnungsbetrag und Bankverbindung von der vom Lieferanten bestätigten Rechnung ab.“ Der OCR-Fehler bleibt in den Notizen zur Texterkennung.

Prüfprotokoll: was ein Dritter nachvollziehen können muss

Nutzen Sie diese Liste, bevor Sie einen Ausnahmefall schließen:

• Eingang: Originaldatei, Herkunft, Eingangszeit, gegebenenfalls SHA-256-Hashwert.
• Referenz: genaue Datei oder Ausstellerunterlage, Bezugsweg und Begründung, warum es die richtige Version ist.
• Prüfungen: Programm und Version, Signaturdetails samt Prüfdienst, Vergleichseinstellungen, Seitenbereiche, manuell geprüfte Felder.
• Befunde: genau beobachtete Abweichungen, getrennt von Deutungen und unbestätigten Erklärungen.
• Abschluss: unabhängige Bestätigung, Entscheidung, verantwortliche Person, offene Fragen.

Ein sauber dokumentiertes Ergebnis kann lauten, dass eine Abweichung eine befugte Korrektur war, dass wesentliche Unterschiede offen bleiben oder dass die vorhandenen Nachweise den Verlauf nicht klären. Solche Aussagen sind nützlicher als ein pauschales „gefälscht“ oder „sauber“.

Welche Prüfung Ihr Dokument braucht

Für einen geänderten Betrag nutzen Sie Referenz und Vergleich wie oben beschrieben. Für eine Signaturfrage nutzen Sie einen Signaturvalidator und, bei QES, den behördlichen Prüfdienst. Für eine E-Rechnung validieren Sie das XML und prüfen die Bilddarstellung getrennt. Gescannte Belege und Fotos von Dokumenten als JPEG, PNG oder WebP prüft die Bildforensik von Fileverity auf lokal bearbeitete Bereiche.

SHA-256-Hashwerte verbinden die Befunde mit der geprüften Datei und den Berichtsdaten. Fundstellen, Belegnummern und der ausgewiesene Prüfumfang unterstützen den Abgleich mit dem Original. Ein vertrauenswürdiger Zeitstempel oder PDF-Siegel wird nur nach erfolgreicher entsprechender Validierung ausgewiesen. Fehlen Dienst oder Validierungsdaten, kann ein Bericht mit ausdrücklich fehlendem Nachweis geliefert werden. Der Zeitstempel belegt das Vorliegen von Daten zu einem Zeitpunkt, nicht die Wahrheit des Inhalts oder die Richtigkeit der Befunde.

Weitere Leitfäden: Gefälschte und KI-generierte Dokumente erkennen und Gefälschte Belege erkennen.

Datenschutz: Ihre Dateien werden nach der Analyse gelöscht und nie zum Training genutzt; die Analyse läuft auf von Entogo betriebenen Servern in Toronto, Kanada, und Enterprise-Kunden erhalten auf Anfrage eine private Bereitstellung. Alle Verarbeitungsorte stehen unter Sicherheit und Datenschutz, den Vertrag nach Art. 28 DSGVO finden Sie unter Auftragsverarbeitung.

Wenn Sie Prüfberichte in Ihren Kreditoren- oder Vorgangsprozess einbinden möchten, sprechen Sie mit unserem Team: API, Stapelverarbeitung und Systemanbindung gibt es über Enterprise auf Anfrage.

Private Belege bleiben ab Empfang höchstens 3 Stunden im Tab. Neuladen verlängert die Frist nicht. Schließen oder Abmelden kann sie früher löschen. Der Server löscht temporäre Belege nach bestätigter Übergabe; nicht übergebene Ergebnisse laufen ab. Originaldateien und erzeugte PDFs sind kein dauerhaftes Archiv; Zusammenfassungen und Verifizierungsdaten bleiben erhalten. Für E-Mail-Kopien gelten die Regeln von Maildienst und Postfach. Nach Ablauf kann nur eine Ergebniskopie ohne Auszüge oder Vorschauen verfügbar sein.

Von Yang Zheng · Geprüft von Bill Liu