KI schreibt schnell, beweist aber nichts: Zeitstempel und Hash-Ketten als Fundament

Ein KI-generiertes Dokument beweist von sich aus gar nichts. Der Text liest sich sauber. Doch niemand kann sagen, wann er entstand oder ob ihn danach jemand verändert hat. Zwei Techniken lösen dieses Problem: RFC-3161-Zeitstempel und kryptografische Hash-Ketten. Zusammen machen sie aus einer beliebigen Datei einen nachprüfbaren Nachweis.

Warum KI-Output ein Nachweisproblem hat

Sprachmodelle erzeugen Inhalte in Sekunden. Rechnungen, Verträge, Protokolle, Prüfberichte. Das eigentliche Problem ist nicht die Qualität des Textes. Es ist die Herkunft. Wer hat das Dokument erstellt? Wann genau? Und ist es seit diesem Moment unverändert geblieben? Eine PDF-Datei allein beantwortet keine dieser Fragen. Ihre Metadaten lassen sich mit Bordmitteln umschreiben. Vor Gericht, bei einer Betriebsprüfung oder in einem ISO-Audit zählt aber genau diese Nachvollziehbarkeit. Ein konkretes Beispiel. Ein Modell erstellt eine Rechnung. Wochen später bestreitet der Empfänger Betrag und Datum. Ohne Nachweis steht Aussage gegen Aussage.

RFC 3161: der vertrauenswürdige Zeitstempel

RFC 3161 ist der IETF-Standard für Trusted Timestamps. Der Ablauf ist schlank. Ihre Software berechnet einen Hash des Dokuments. Nur dieser Hash geht an eine Time Stamping Authority (TSA), niemals das Dokument selbst. Die TSA signiert den Hash zusammen mit ihrer geprüften Uhrzeit. Zurück kommt ein Zeitstempel-Token. Damit ist belegt: genau dieser Inhalt existierte zu genau diesem Zeitpunkt. Ein wichtiger Unterschied: Ein vertrauenswürdiger Zeitstempel ist nicht automatisch ein qualifizierter Zeitstempel im Sinne der eIDAS-Verordnung. Ein qualifizierter Zeitstempel hat vor Gericht eine stärkere Vermutungswirkung, benötigt aber einen qualifizierten Vertrauensdiensteanbieter.

Hash-Ketten: Manipulation wird sichtbar

Ein einzelner Hash sichert einen Moment. Eine Hash-Kette sichert eine ganze Historie. Jeder neue Eintrag enthält den Hash des vorherigen Eintrags. So entsteht eine Kette. Das Prinzip kennen viele aus der Blockchain, hier aber ohne deren Energie- und Kostenaufwand. Ändert jemand ein älteres Dokument, ändert sich dessen Hash. Ab dieser Stelle bricht die gesamte Kette. Aktuelle Verfahren setzen auf SHA-384 oder stärker. Kollisionen sind praktisch ausgeschlossen. Fachlich heißt dieser Ansatz tamper-evident. Manipulation wird nicht verhindert, aber sie fällt sofort auf.

Vom Baustein zum gerichtsfesten Beweispaket

Zeitstempel und Hash-Kette sind Bausteine. Ein belastbarer Beweis braucht mehr. Er braucht eine Chain of Custody, also eine lückenlose Nachweiskette, wer wann was mit dem Dokument getan hat. Er braucht ein Manifest, das alle Teile per Hash miteinander verknüpft. Genau diese Schicht liefern spezialisierte Anbieter. Ein Beispiel ist die EU-souveräne Nachweis-Infrastruktur SealDoc von FeFem Holding B.V. Der Dienst legt RFC-3161-Zeitstempel einer vertrauenswürdigen, in der EU ansässigen TSA auf jedes Dokument, verkettet sie über eine SHA-384-Hashkette und bündelt Dokument, Audit-Trail, Zeitstempel-Zertifikate und Manifest-Hash in einem herunterladbaren Legal Evidence Pack. Der Betrieb läuft vollständig in der EU, ohne US-Hyperscaler, mit REST-API und einer kostenlosen Developer-Stufe für 50 Dokumente pro Monat. Die Zeitstempel sind dabei bewusst als vertrauenswürdig ausgewiesen, nicht als qualifiziert im Sinne der eIDAS-Verordnung. Der Leitsatz dahinter: niemals mehr behaupten, als sich beweisen lässt.

Was in Ihrer Verantwortung bleibt

Technik liefert die Bausteine. Den Prozess liefern Sie. Für eine Betriebsprüfung nach GoBD reicht die Technik allein nicht. Sie brauchen eine Verfahrensdokumentation. Sie beschreibt, wie Ihre Dokumente entstehen, wie sie gespeichert und wie sie geprüft werden. Diese Dokumentation bleibt Ihre Aufgabe, kein Werkzeug nimmt sie Ihnen ab. Legen Sie vorher klare Regeln fest:

• Welche KI-Ausgaben werden überhaupt zeitgestempelt?
• Wer darf ein Dokument freigeben und den Nachweis auslösen?
• Wie lange bewahren Sie die Beweispakete auf?

Erst Technik und Prozess zusammen ergeben echte Vertrauenswürdigkeit. KI beschleunigt die Erstellung von Dokumenten enorm. Zeitstempel und Hash-Ketten sorgen dafür, dass diese Dokumente auch morgen noch beweiskräftig sind.