Gefälschte Gehaltsabrechnungen bestehen die Sichtprüfung – die strukturelle Forensik nicht
HR-Teams, Kreditanalysten und Mietprüfer akzeptieren Gehaltsabrechnungen als PDF zum Einkommensnachweis. Betrüger bauen diese Dokumente in Microsoft Word nach, tragen ein höheres Gehalt ein und exportieren sie als PDF. Die Sichtprüfung erkennt das nicht – die Strukturanalyse schon.
HTPBE? analysiert die Strukturschicht der PDF-Datei – also die Schicht, die jede Änderung festhält, auch die unsichtbaren. Wir prüfen weder Hologramme noch Handyfotos oder biometrische Merkmale. Wenn Ihr Betrugsproblem digital gefälschte oder nachträglich manipulierte Gehaltsabrechnungen als PDF betrifft, sind wir dafür das genaueste Werkzeug.
Wenn HTPBE? INCONCLUSIVE zurückgibt, hängt die Interpretation vom Kontext ab: Bei einem Großunternehmen (SAP HR, Sage HR, DATEV) ist INCONCLUSIVE ein Grund für eine manuelle Prüfung, kein Beweis für Betrug – echte Gehaltsabrechnungen tragen die Signatur der Lohnbuchhaltungssoftware.
Das Problem
Moderne Dokumentenfälschung ist optisch nicht erkennbar
Eine wachsende Klasse der Dokumentenfälschung öffnet ein echtes PDF, ändert einen Saldo, ein Datum oder einen Begünstigten und speichert es erneut. Optisch ändert sich nichts – das Dokument besteht die Sichtprüfung, die Layout-Prüfung und KYC.
Die strukturelle PDF-Analyse liest die Schichten, die Rendering-Engines nie offenlegen: Versionsverlauf, Objektstruktur, Signaturabdeckung. Genau dort hinterlassen Bearbeitungen Spuren, die sich nicht entfernen lassen.
Häufige Manipulationsmuster
- Veränderte Salden oder Summen nach dem Export
- Ausgetauschte IBAN oder Begünstigter bei Rechnungen
- Bearbeitungen nach der Unterschrift bei Verträgen
- Rückdatierte Erstellungs- und Änderungsdaten
- Mit Endkunden-Tools erzeugte Fälschungen
So sieht das in der Praxis aus
So sehen gefälschte Gehaltsabrechnungen in der Realität aus
Reale Betrugsmuster bei Gehaltsabrechnungen, die wir auf der PDF-Strukturebene erkennen.
Fälschung in Microsoft Word
Es gibt keinen realen Arbeitgeber. Der Antragsteller baut die Abrechnung in Word mit dem Logo des vorgetäuschten Unternehmens nach, trägt ein überhöhtes Gehalt ein und exportiert sie als PDF. Im Producer-Feld steht Microsoft Word – nicht die Lohnbuchhaltungssoftware (SAP, DATEV, Sage, Lexware, Personio).
Echte Abrechnung nachträglich verändert
Der Antragsteller besitzt eine echte Gehaltsabrechnung, aber das Gehalt reicht für den Kredit oder die Mietwohnung nicht aus. Er öffnet das PDF in einem Editor, ändert den Betrag und speichert es erneut. Die xref-Tabelle weist ein inkrementelles Update auf – ein unwiderlegbarer struktureller Beweis.
Online-Generator ohne realen Arbeitgeber
Webdienste erzeugen Gehaltsabrechnungen auf Anfrage mit beliebigem Arbeitgeber und Gehalt. Das Producer-Feld verrät Chrome Headless, Puppeteer oder wkhtmltopdf – niemals eine echte betriebliche Lohnbuchhaltung.
Das Ausmaß
Warum bestehende Prüfungen das übersehen
KYC-Plattformen prüfen die Identität – nicht die Datei
OCR liest die Beträge. OCR liest nicht die Herkunft des PDFs.
KYC-Plattformen (IDnow, WebID, Veriff) extrahieren Daten per OCR und gleichen Identitäten ab – sie können nicht feststellen, ob das PDF aus der Lohnbuchhaltungssoftware des Arbeitgebers stammt oder am Desktop erstellt wurde. Open-Banking-APIs (FinAPI, finleap connect) übertragen Kontodaten direkt von der Bank – ein Vorteil, der jedoch die Gehaltsabrechnung selbst nicht abdeckt. HTPBE? analysiert die Dateistruktur und liefert strukturelle Betrugssignale noch vor der Kreditentscheidung.
Was HTPBE? erkennt
Erkennungsleistung
Deterministische Struktursignale. Keine probabilistische Bewertung.
Producer-Signatur der Lohnbuchhaltungssoftware
Echte Abrechnungen tragen die Producer-Signatur von SAP HR, DATEV Lohn und Gehalt, Sage HR, Lexware, Personio oder vergleichbaren Systemen. Steht im Producer-Feld Word, LibreOffice oder Chrome Headless, deutet das auf eine Erstellung am Desktop hin.
Spur inkrementeller Updates
Ein sauberer Export aus einer Lohnbuchhaltungssoftware enthält nur eine einzige xref-Tabelle. Jedes Öffnen und erneute Speichern in einem PDF-Editor fügt eine zweite xref hinzu – der strukturelle Beweis einer nachträglichen Änderung.
Digitale Signaturkette
Viele deutsche Arbeitgeber signieren Gehaltsabrechnungen digital. Gefälschte Dokumente weisen entweder gar keine Signatur oder eine ungültige Signaturkette auf.
Abweichung der Zeitstempel
Bei einer echten Abrechnung stimmen CreationDate und ModDate überein oder liegen nur Sekunden auseinander. Ein Abstand von mehreren Tagen ist ein starkes Indiz für eine nachträgliche Bearbeitung.
Abweichende Schriftart-Subsets
Echte Abrechnungen verwenden durchgängig dieselben Schriftart-Subsets. Wurden Beträge nachträglich geändert, weichen die Subset-Präfixe häufig voneinander ab – ein Hinweis darauf, dass das Dokument aus mehreren Quellen zusammengesetzt wurde.
Bildartefakte bei eingefügten Logos
Logos, die von Websites kopiert und manuell eingefügt wurden, erscheinen als zusätzliche, redundante Bildobjekte mit abweichenden Komprimierungsmerkmalen – der typische Fingerabdruck einer Fälschung.
An das Entwicklungsteam weiterleiten
In unter einem Tag in Ihre Intake-Pipeline einbinden
Zwei API-Aufrufe – ein POST zum Einreichen des PDFs, ein GET zum Abrufen des Urteils. Leiten Sie diese Seite an Ihr Entwicklungsteam weiter; die vollständige API-Referenz, Kontingente und Copy-paste-Beispiele in cURL, JavaScript, Python, PHP, Go und Ruby sind nur einen Klick entfernt.
Preise
Self-Service-Tarife, kein Verkaufsgespräch
Alle Tarife enthalten dieselben forensischen Prüfungen. Wählen Sie das Kontingent passend zu Ihrem monatlichen Dokumentenvolumen.
manuellStarter
30 Credits/Monat
Manuelle Stichproben und Integrationstests
am häufigstenGrowth
350 Credits/Monat
Aktive Pipelines zur Dokumentenverarbeitung
hohes VolumenPro
1.500 Credits/Monat
Hochvolumige Automatisierung und API-Integrationen
Enterprise (unbegrenzt, On-Premise verfügbar) — vollständige Preise ansehen
API-Schlüssel bei Registrierung. Kostenlose Testumgebung in jedem Tarif. Keine Karte erforderlich.
Kundenstimmen
Teams, die Dokumentenbetrug gestoppt haben
Compliance-, Finanz- und Risikoteams setzen HTPBE? ein, um manipulierte PDFs zu erkennen, bevor sie zu teuren Fehlern werden.
Caught an invoice where the total had been changed by less than a thousand dollars. Without this I would have approved it without a second look.
Sarah M.
AP Manager
United States
We had three applicants in the same week with bank statements that looked completely fine. Two of them were flagged as modified. You simply cannot see this by reading the document — it is in the file structure.
Lars V.
Risk Analyst, Online Lending
Netherlands
Salary slips were coming with altered figures. We identified two problematic files before the placement was finalised.
Priya K.
HR Operations Lead
India
Since we started checking documents this way, we stopped two applications early in the process that would have been very difficult to reverse later.
Julien R.
Fraud Analyst, Fintech
France
Some applicants were sending PDFs that looked authentic but had been edited in ways not visible to the eye. We now ask for checked originals when something is flagged. Already saved us from a few bad decisions.
Marta S.
Compliance Coordinator
Spain
One invoice was caught because there was a mismatch between the document dates and structure. That particular case would have cost us significantly.
Tariq A.
Finance Manager
United Arab Emirates
FAQ
Häufig gestellte Fragen
Funktioniert das mit allen deutschen Lohnbuchhaltungssystemen?
Worin liegt der Unterschied zu Open-Banking-Schnittstellen?
Wird auch eine Gehaltsänderung auf einer ansonsten echten Abrechnung erkannt?
modified mit entsprechendem Marker.Was bedeutet INCONCLUSIVE bei einer Gehaltsabrechnung?
Sichern Sie Ihren Workflow ab
Konto erstellen – PDFs im Browser prüfen oder per API-Schlüssel; beide Wege stehen Ihnen ab der Registrierung offen.
Kein Verkaufsgespräch. Jederzeit kündbar.