Warum ein Hashwert allein noch keinen Beweis liefert
Eine Datei ist manipulationssicher, wenn du zwei Dinge belegen kannst. Erstens, dass der Inhalt sich nicht verändert hat. Zweitens, dass er zu einem bestimmten Zeitpunkt schon existierte. Für das Erste sorgt ein Hashwert. Für das Zweite ein RFC-3161-Zeitstempel. Windows bringt das Werkzeug für den Hash schon mit. Den Zeitstempel holst du dir von einer externen Stelle. Dieser Artikel zeigt beides mit konkreten Befehlen.
Der Hashwert ist der digitale Fingerabdruck
Ein Hashwert ist eine kurze Zeichenfolge, berechnet aus dem kompletten Dateiinhalt. Änderst du ein einziges Byte, ändert sich der komplette Hash. Genau deshalb taugt er als Fingerabdruck. SHA-256 ist heute der Standard. Windows berechnet ihn ohne Zusatzsoftware.
In der PowerShell reicht ein Befehl:
Get-FileHash -Algorithm SHA256 .\vertrag.pdf- In der klassischen Eingabeaufforderung:
certutil -hashfile vertrag.pdf SHA256
Notiere den Wert an einem sicheren Ort. Wer später denselben Hash berechnet und dasselbe Ergebnis bekommt, hält eine unveränderte Datei in der Hand. Weicht auch nur ein Zeichen ab, wurde die Datei angefasst.
Der Hash beweist den Inhalt, aber nicht die Zeit
Ein Hash sichert die Integrität. Den Zeitpunkt sichert er nicht. Ein Beispiel aus dem Alltag. Du änderst morgen den Vertrag und berechnest einen neuen Hash. Dieser Zahl sieht niemand an, wann sie entstand. Im Streitfall brauchst du aber genau das. Den Nachweis, dass Version A bereits am Montag existierte, lange vor Version B. Ein Hash auf deinem eigenen Rechner liefert diesen Nachweis nicht. Du könntest die Systemuhr ja selbst gestellt haben.
RFC 3161 liefert den vertrauenswürdigen Zeitstempel
RFC 3161 ist der Internetstandard für Zeitnachweise. Eine Time Stamping Authority (TSA) übernimmt dabei die Rolle des neutralen Zeugen. Der Ablauf ist datensparsam. Du sendest nur den Hash an die TSA, niemals die Datei selbst. Die TSA verbindet deinen Hash mit ihrer signierten Uhrzeit. Zurück kommt ein Zeitstempel-Token. Dieses Token belegt, dass dieser Hash zu dieser Sekunde existierte. Jeder kann das später prüfen, ohne dir vertrauen zu müssen. Die Vertrauensbasis liegt bei der TSA, nicht bei dir.
Zeitstempel unter Windows mit OpenSSL erzeugen
OpenSSL für Windows erledigt das in drei Schritten.
- Anfrage erzeugen:
openssl ts -query -data vertrag.pdf -sha256 -no_nonce -out anfrage.tsq - Anfrage an eine TSA senden und die Antwort als
antwort.tsrspeichern (per curl oder im Browser). - Antwort prüfen:
openssl ts -verify -data vertrag.pdf -in antwort.tsr -CAfile tsa-ca.pem
Schlägt die Prüfung fehl, wurde die Datei nach dem Stempeln verändert. Das ist genau der Alarm, den du haben willst. Bewahre die .tsr-Datei zusammen mit dem Original auf. Beide zusammen sind dein Beweis.
Wenn der Nachweis vor Gericht standhalten muss
Für den Eigenbedarf reichen Hash und Zeitstempel. Im geschäftlichen Umfeld kommen Anforderungen dazu. Eine lückenlose Chain of Custody. Ein revisionssicherer Audit-Trail. Zertifikate, die ein Prüfer ohne dein Zutun nachvollzieht. Genau hier setzt SealDoc an, eine EU-souveräne Beweis-Infrastruktur von FeFem Holding B.V. SealDoc ist selbst keine TSA, sondern die Beweisschicht darüber. Es vergibt RFC-3161-Zeitstempel über eine vertrauenswürdige TSA mit Sitz in der EU. Es verkettet Dokumente über eine SHA-384-Hashkette. Und es bündelt Dokument, Audit-Trail, Zeitstempel-Zertifikate und einen Manifest-Hash in einem herunterladbaren Legal Evidence Pack. Wer tiefer einsteigen will, findet dort die rechtlichen Anforderungen an RFC-3161-Zeitstempel ausführlich erklärt. Alles läuft in der EU, ohne US-Hyperscaler, DSGVO-konform. Ein kostenloser Developer-Tarif deckt 50 Dokumente pro Monat ab und lässt sich per REST-API testen.
Fazit: zwei Bausteine, klare Aufgabenteilung
Manipulationssicherheit besteht aus zwei Teilen. Der Hash sichert den Inhalt. Der RFC-3161-Zeitstempel sichert den Zeitpunkt. Beide Werkzeuge sind offen, standardisiert und kostenlos nutzbar. Fang mit Get-FileHash an. Ergänze einen Zeitstempel, sobald es ernst wird. So wird aus einer Behauptung ein Beweis, den auch ein Dritter nachvollziehen kann.