So weisen Sie nach, dass eine EXE-Datei unverändert ist

Wer eine ausführbare Datei im Jahres- oder Projektverlauf weitergibt, gespeichert oder von einem Drittanbieter übernimmt, stellt sich früher oder später eine einfache, aber entscheidende Frage: Ist diese EXE eigentlich noch exakt die Datei, die ursprünglich erstellt wurde, oder hat jemand auf dem Übertragungsweg etwas verändert? Der Gedanke ist naheliegend, denn sobald eine Binärdatei den sicheren Bereich des eigenen Servers verlässt, gibt es keine Garantie mehr, dass sie nicht durch einen Zwischenhändler, ein unsauberes Download-Portal oder Malware manipuliert wurde. Das nachweisliche Dokumentieren, dass eine EXE-Datei unverändert ist, bildet in der digitalen Forensik, in der Software-Distribution und in sicherheitskritischen Umgebungen die Grundlage für Vertrauen – nicht weil man jedem misstraut, sondern weil nachvollziehbare Prozesse eine Überprüfbarkeit verlangen. Was man in diesem Kontext benötigt, ist kein juristisches Gutachten, sondern die technische Bestätigung, dass die vorliegende Byte-für-Byte-Struktur der Datei einer bekannten Referenz entspricht.

Die Methode der Wahl für diesen Nachweis ist der kryptographische Hashwert, meist in Form des SHA-256-Algorithmus. Ein Hashwert fungiert als eine Art digitaler Fingerabdruck mit fester Länge: Er wird aus dem gesamten Inhalt einer Datei berechnet und ist so konstruiert, dass bereits die kleinste Veränderung – ein um ein einzelnes Bit gekipptes Byte im kompilierten Maschinencode, ein angehängter Schadcode oder ein nachträglich modifiziertes Ressourcen-Segment – einen völlig anderen Hashwert produziert. Wenn Sie also den SHA-256-Wert der EXE-Datei zum Zeitpunkt der Erstellung dokumentieren und später den Wert der erneut geladenen Datei berechnen, reicht ein einfacher Abgleich der Zeichenketten aus, um die Integrität zu belegen. MD5, ein älteres Verfahren, wird in der Praxis ebenfalls noch häufig ausgegeben und kann für den alltäglichen Dateivergleich dienen; für sicherheitsrelevante Nachweise ist der Widerstandsfähigkeit halber jedoch primär SHA-256 heranzuziehen. Die Kunst besteht nicht in der Berechnung selbst, sondern in der professionellen, nachvollziehbaren Dokumentation dieses Wertes.

Genau an dieser Stelle kommt eine strukturierte Herangehensweise ins Spiel. FilesAudit als Online-Plattform für digitale Forensik und Dateiverifikation automatisiert diesen Prozess, indem es eine hochgeladene Datei analysiert und die relevanten kryptographischen Fingerabdrücke in einem professionellen PDF-Bericht festhält. DerUpload einer solchen Datei dauert in der Regel nur wenige Sekenden; die Plattform berechnet im Hintergrund SHA-256, MD5 und CRC32 und legt die Ergebnisse zusammen mit den extrahierten Metadaten in einem formatierten Dokument ab, das sich archivieren oder an Kunden und Prüfer weiterleiten lässt. Was man erhält, ist nicht die Aussage, dass eine Datei rechtlich originalgetreu ist – so etwas lässt sich aus technischen Daten allein nicht ableiten –, sondern ein gerichtsverwertbares, zeitstempelbeglaubigtes Dokument, das belegt: Unter der Bezeichnung jener Datei wurde zu jenem Zeitpunkt exakt jener Hashwert festgestellt. Wer diese Dokumentation später nachvollziehen will, kann die Datei selbst erneut hochladen oder einen lokalen Hash-Rechner verwenden und die Werte selbstständig vergleichen.

Für den praktischen Gebrauch empfiehlt sich ein klarer Ablauf, der sich notfalls auch formelhaft zusammenfassen lässt, ohne die technischen Tatsachen zu verkomplizieren: Zunächst laden Sie die EXE-Datei in das Analyse-System hoch, dann erzeugt das System die Hashwerte, anschließend extrahiert es alle verfügbaren Metadaten, und schließlich erhalten Sie ein PDF-Dokument, das beide Informationen zusammenführt. Den Hashwert Ihrer Referenzdatei notieren Sie sich idealerweise bereits im Moment der Kompilierung oder des Builds, etwa direkt aus der Build-Pipeline Ihres Entwicklungsprozesses, und legen ihn zusammen mit dem später von FilesAudit erzeugten Bericht ab. Wenn eine zweite Person oder ein Prüfer später nachweisen möchte, dass die EXE-Datei unverändert ist, braucht sie lediglich die Datei erneut zu analysieren: Stimmen beide SHA-256-Werte überein, gilt die Datei kryptographisch als identisch mit der ursprünglichen Version. Stimmen sie nicht überein, wurde die Datei nachträglich verändert – sei es durch einen gezielten Eingriff, eine fehlerhafte Übertragung oder eine versehentliche Neukompilierung.

Ein Aspekt, der bei der reinen Hash-Betrachtung oft übersehen wird, ist die ergänzende Bedeutung der Metadaten. Eine EXE-Datei besteht nicht nur aus einem zusammenhanglosen Datenblock, sondern enthält strukturierte Felder wie den Zeitstempel der Kompilierung, Versionsnummern, den Namen des ursprünglichen Compilers, referenzierte DLLs, eingebettete Zertifikate und oft auch einen sogenannten Manifestabschnitt. Diese Metadaten erlauben es, den Lebenslauf der Datei zu rekonstruieren und Plausibilitätsprüfungen durchzuführen, die über einen bloßen Hash-Abgleich hinausgehen. Wenn etwa der Hash unverändert ist, der im Dateisystem notierte Änderungszeitstempel jedoch significante abweicht – etwa weil jemand die Datei kopiert und die Dateisystem-Metadaten neu gesetzt hat –, ändert das nichts am kryptographischen Identitätsnachweis, ist aber für die Rekonstruktion der Dateiübertragungshistorie wichtig. FilesAudit extrahiert diese Metadaten automatisch und integriert sie in den Bericht, so dass technische Prüfer ein vollständiges Bild erhalten, einschließlich des Dateinamens, der Dateigröße, des MIME-Typs und der binären Strukturmerkmale. Für einen tiefergehenden Blick auf solche strukturierten Dateiformate, die ähnliche Metadaten-Felder nutzen, lohnt sich auch ein Vergleich mit den Metadaten von DWG-Dateien, bei denen CAD-Werkzeuge ebenfalls detaillierte Herkunftsnachweise in die Datei einbetten.

Wer mit vielen Dateien arbeitet, etwa eine ganze Suite von Installern oder eine Historie von Build-Artefakten über mehrere Release-Zyklen, dem reicht ein einzelner Hashwert nicht aus. Man braucht eine Vergleichsmethode, die zeigt, welche Versionen sich wann wie verändert haben, und man braucht eine Ablage, die diese Zustände dokumentiert. Die Methode der Wahl besteht dann darin, jede Datei einzeln zu analysieren, die PDF-Berichte zu versionieren und bei Bedarf nebeneinander zu legen. FilesAudit bietet als webbasierte Umgebung die Möglichkeit, Dateien ad-hochzuladen und Berichte zu erstellen, ohne ein lokales Werkzeug installieren zu müssen – nützlich für Prüfer, die auf fremden Systemen arbeiten, oder für Mitarbeiter, die keinen direkten Zugriff auf Forensik-Software haben. Für umfassendere Szenarien, etwa das automatische Analysieren ganzer Build-Verzeichnisse oder das Prüfen von Hunderten Dateien in einer CI/CD-Pipeline, ist stattdessen die FilesAudit Desktop-App für lokale Bulk-Analysen die sinnvollere Wahl, denn sie ermöglicht die Verarbeitung großer Dateimengen ohne Upload-Beschränkungen und integriert sich besser in bestehende Workflow-Abläufe. Wer sich einen Überblick über die unterstützten Dateitypen verschaffen will, findet auf der Übersicht der von FilesAudit unterstützten Formate eine komplette Liste der über 200 Formate, darunter auch Archivformate wie ZIP oder 7Z, in denen EXE-Installpakete oft gebündelt ausgeliefert werden. Das ist insbesondere deshalb relevant, weil die Integritätsprüfung einer EXE im Inneren eines ZIP-Archivs einen anderen Hash ergibt als die entpackte Datei – die Analyse muss also auf der tatsächlich relevanten Dateiebene stattfinden.

In praktischen Szenarien zeigt sich der Wert dieses Vorgehens schnell. Angenommen, ein Software-Haus liefert eine PE32-Datei an einen Behördenkunden, der strengen Dokumentationspflichten unterliegt. Der Entwickler lädt die kompilierte EXE-Datei in FilesAudit hoch, lädt das PDF mit Zeitstempel, Hashwerten und Metadaten herunter und übermittelt es zusammen mit der Datei an den Kunden. Der kann – Jahre später, wenn eine Sicherheitsüberprüfung ansteht – die Datei erneut hochladen, den Hashwert vergleichen und nachweisen, dass die ausgelieferte Datei exakt derjenigen entspricht, die im Lieferprotokoll festgehalten ist. Ein vergleichbares Vorgehen gilt für IT-Forensiker, die Malware-Proben dokumentieren: Sie müssen nachweisen, dass die Probe, die sie untersuchen, identisch mit der Probe ist, die aus dem Feld gemeldet wurde. Auch hier liefert ein zeitlich dokumentierter Hash-Nachweis die nötige Sicherheit, und die begleitenden Metadaten helfen, Verwandtschaften zwischen Proben zu erkennen oder Compiler-Spuren auszuwerten.

Ein anderer Fall aus der Praxis betrifft die Auseinandersetzung um Urheberrechtsverletzungen. Eine Firma wirft einer anderen vor, eine vertraglich vereinbarte Software-Komponente nachträglich verändert zu haben, etwa durch das Entfernen einer Lizenzprüfung. Wenn beide Parteien einen Hashwert der ursprünglich übergebenen Datei vorliegen haben oder ihn zumindest nachträglich aus einem vertrauenswürdigen Archiv rekonstruieren können, liefert der Abgleich eine klare technische Aussage: Ist die Datei unverändert, ist der Hash identisch; wurde sie verändert, weicht der Hash ab. FilesAudit spielt in diesem Zusammenhang die Rolle eines neutralen Dokumentationswerkzeugs: Es bewertet nicht die rechtliche Frage, ob die Veränderung vertragswidrig war, sondern stellt objektiv fest, ob eine inhaltliche Abweichung vorliegt. Das ist ein feiner, aber entscheidender Unterschied, den man im Sprachgebrauch nicht verwischen sollte. Technischer Nachweis und rechtliche Qualifikation sind unterschiedliche Ebenen, und das Werkzeug deckt nur die erstere ab – die juristische Bewertung obliegt den beteiligten Parteien oder Gerichten. Wenn Ihr Fall auch andere Dateiformate betrifft – etwa Verträge als Word-Dokument, die im Rahmen des gleichen Streits geprüft werden müssen –, finden Sie einen ähnlichen Ansatz in unserem Artikel zum Nachweis von DOCX-Nachbearbeitung per SHA-256.

Wer tiefer in die Methodik der kryptographischen Dateiüberprüfung einsteigen möchte, findet im FilesAudit-Blog weiterführende Beiträge zu einzelnen Dateiformaten und Anwendungsfällen. Die Kernmechanik bleibt jedoch bei allen Formaten gleich: Dokumentation des Ausgangszustands durch Hash-Bildung, spätere erneute Hash-Bildung, Abgleich der Werte, ergänzt durch eine Plausibilitätsprüfung der Metadaten. Für EXE-Dateien spezifisch ist vor allem die Beachtung der PE-Struktur, die einen eigenen