So weisen Sie nach, ob eine DOCX nachträglich bearbeitet wurde

Wer im beruflichen oder rechtlichen Kontext mit Word-Dokumenten arbeitet, steht regelmäßig vor einer Frage, die auf den ersten Blick trivial wirkt, es aber nicht ist: Wurde diese DOCX-Datei nachträglich bearbeitet, oder liegt sie noch im Originalzustand vor? Die Antwort darauf lässt sich nicht durch bloßes Öffnen der Datei in Microsoft Word oder durch einen Blick auf die sichtbaren Textinhalte finden. Eine DOCX-Datei ist technisch gesehen ein ZIP-Archiv, das aus einer Vielzahl von XML-Dateien, Mediendaten und Metadaten besteht, die alle miteinander verknüpft sind. Jede noch so kleine Änderung – sei es das Korrigieren eines Tippfehlers, das Einfügen eines Leerzeichens, das Aktualisieren einer Formatvorlage oder das Modifizieren der Dokumenteigenschaften – verändert die binäre Struktur der Datei. Genau hier kommt die kryptografische Prüfung ins Spiel. Wenn Sie eine DOCX-Datei nach der Erstellung mit einem starken Hash-Algorithmus wie SHA-256 fingerprinten, entsteht ein einzigartiger digitaler Fingerabdruck. Dieser Fingerabdruck ist so spezifisch, dass bereits die Veränderung eines einzelnen Bits in der zugrunde liegenden XML-Struktur einen völlig anderen Hash-Wert erzeugt. Die Methode, die DOCX Nachbearbeitung nachweisen zu können, basiert also nicht auf einer inhaltlichen Textanalyse, sondern auf der rein mathematischen Tatsache, dass zwei verschiedene Datenmengen niemals denselben SHA-256-Hashwert aufweisen können. Wer diesen Hash-Wert im Moment der Dateiübergabe oder Veröffentlichung dokumentiert, schafft eine technisch belastbare Vergleichsbasis, mit der sich jede spätere Nachbearbeitung zweifelsfrei feststellen oder im umgekehrten Fall ausschließen lässt.

Um zu verstehen, warum die SHA-256-Hashwertbildung so zuverlässig funktioniert, muss man sich die interne Struktur einer Word-Datei genauer ansehen. Eine DOCX ist kein monolithischer Datenblock, sondern ein Behälter, der dem Open-Packaging-Conventions-Standard (OPC) folgt. Wenn Sie ein Dokument in Word speichern, komprimiert die Software die verschiedenen Bestandteile – den Haupttext in der document.xml, die Formatvorlagen in styles.xml, die eingebetteten Bilder, die benutzerdefinierten XML-Teile und die Core-Eigenschaften wie Autor, Erstelldatum und Änderungsdatum – in eine einzige ZIP-Datei mit der Endung .docx. Diese Architektur hat den großen Vorteil, dass sie Dateien leichter reparierbar und kompakter macht, sie bringt jedoch auch eine erhöhte Komplexität bei der forensischen Analyse mit sich. Wenn ein Benutzer nun das Dokument öffnet und speichert, ohne sichtbar etwas am Text zu ändern, kann sich dennoch der binäre Zustand der Datei verändern. Word aktualisiert im Hintergrund oft das Feld "Zuletzt gespeichert von", passt die Zeitstempel an, schreibt interne Cache-Dateien neu oder sortiert die Struktur der XML-Knoten leicht um. All diese unsichtbaren Prozesse reichen aus, um den SHA-256-Hash zu invalidieren. Der Hash-Wert ist daher ein absoluter Integritätsnachweis: Er zeigt nicht, was geändert wurde, aber er belegt mit mathematischer Sicherheit, dass die Datei nicht mehr mit dem Ursprungszustand identisch ist. Diese Unterscheidung ist entscheidend, um technischen Beweiswert von inhaltlichen Interpretationen zu trennen.

In der Praxis sieht der Nachweisprozess so aus, dass ein Dokument in einem definierten Meilenstein des Workflows gehasht wird. Beispielsweise ein Rechtsanwalt, der einen Vertragsentwurf an die Gegenseite verschickt, oder ein Unternehmen, das eine offizielle Stellungnahme veröffentlicht, lädt die jeweilige DOCX-Datei in FilesAudit hoch. Die Plattform liet die binären Daten der Datei ein und berechnet daraus den SHA-256-Hash. Dieser 64 Zeichen lange Hexadezimalstring – etwa a591a6d40bf420404a011733cfb7b3e6c1d7a92b8e35e4f5b2c539c6e9c9c9a – wird zusammen mit den extrahierten Metadaten in einem forensischen PDF-Bericht dokumentiert. Dieser Bericht dient als unabhängiges Protokoll des damaligen Dateizustands. Wenn nun Tage oder Wochen später die Frage nach einer Nachbearbeitung aufkommt, wird die potenziell veränderte DOCX-Datei ein zweites Mal analysiert. Der nun generierte Hash-Wert wird mit dem im PDF-Bericht dokumentierten Originalwert verglichen. Stimmen beide exakt überein, kann mit kryptografischer Sicherheit ausgeschlossen werden, dass die Datei imbinären Zustand auch nur ein einziges Byte verändert wurde. Weichen die Hash-Werte jedoch voneinander ab, beweist das technisch, dass eine Nachbearbeitung oder ein Eingriff stattgefunden hat. Diese Vorgehensweise ist besonders wertvoll, um Ketten von Missverständnissen aufzuklären, bei denen behauptet wird, ein Dokument sei gegenüber der Ursprungsversion abgeändert worden. Sie können tiefer in die Thematik einsteigen und den speziellen Leitfaden für DOCX-Metadaten konsultieren, um genau zu verstehen, welche internen Eigenschaften Word bei Nachbearbeitungen anpasst und wie diese Änderungen in den Datei-Eigenschaften sichtbar werden.

Es ist wichtig, den technischen Nachweis der binären Veränderung sauber von der rechtlichen oder inhaltlichen Bewertung zu trennen, da digitale Beweisführung stets klare Grenzen aufweist. Wenn der SHA-256-Hash vor und nach einem Vorfall unterschiedlich ist, beweist dies lediglich, dass die Datei technisch verändert wurde. Es kann sein, dass jemand einen ganzen Absatz gelöscht oder kritische Vertragsbedingungen umformuliert hat. Es kann aber genauso gut sein, dass jemand das Dokument nur geöffnet, einen Kommentar hinzugefügt und diesen direkt wieder gelöscht hat, oder dass Word beim Speichern lediglich das interne Thumbnail-Bild der ersten Seite neu generiert hat. Der Hash-Wert liefert Ihnen keine semantische Analyse der Inhalte und kann Ihnen nicht sagen, in welchem Umfang oder mit welcher Absicht die Nachbearbeitung stattfand. Er dokumentiert rein formal, dass eine Abweichung vorliegt. Um die Art der Änderung festzustellen, müssen Anschlussprüfungen der Metadaten durchgeführt werden. Hierbei werden die Metadaten der Originaldatei mit denen der verdächtigen Datei verglichen. Die Metadatenanalyse zeigt dann auf, ob sich der Wert von "modified" oder "lastPrinted" geändert hat, ob ein anderer Benutzer als letzter Speichernder eingetragen wurde, wie viele Revisionen stattfanden oder ob sich die Versionsgeschichte des Dokuments verschoben hat. Solche Vergleiche zwischen verschiedenen Dateiversionen oder Hash-Werten lassen sich hervorragend automatisiert durchführen; im Artikel über den Online-Vergleich von Datei-Hashes wird genau dieser Prozess für die Integritätsprüfung detailliert beschrieben, sodass Sie nicht mühsam manuell nach Differenzen suchen müssen.

Ein häufiges Missverständnis in der Praxis ist, dass die integrierte Versionsgeschichte von Microsoft Word oder die Funktion zum Nachverfolgen von Änderungen dieselbe Beweiskraft wie ein kryptografischer Hash haben könnten. Das ist jedoch nicht der Fall. Die Änderungsnachverfolgung in Word ist ein optionales Feature, das deaktiviert werden kann und dessen Status sich selbst durch die Nachbearbeitung manipulieren lässt. Ein Benutzer kann alle Änderungen akzeptieren, die Nachverfolgung ausschalten und das Dokument so speichern, dass es im Nachhinein wirkt, als sei es nie überarbeitet worden. Die Versionsgeschichte in SharePoint oder OneDrive kann ebenfalls durch Benutzer mit entsprechenden Berechtigungen gelöscht oder ausgeblendet werden. Der SHA-256-Hash hingegen ist immun gegen solche semantischen oder benutzerseitigen Manipulationen. Wenn die Datei einmal gehasht und dieser Wert sicher dokumentiert wurde – idealerweise zusammen mit einem Zeitstempel in einem forensischen PDF-Report –, kann dieser nicht im Nachhinein umgeschrieben werden. Es gibt kein Zurück. Selbst wenn ein Angreifer das Dokument manipuliert und anschließend die Metadaten in den Ursprungszustand zurücksetzt, um die Spuren zu verwischen, der SHA-256-Hash wird diese Täuschung aufdecken. Die mathematische Einwegfunktion des Hash-Algorithmus garantiert, dass selbst bei identischen Metadaten unterschiedlicher binärer Daten immer unterschiedliche Hashes entstehen. Wer also wirklich belastbar und manipulationssicher eine Nachbearbeitung einer DOCX-Datei nachweisen will, kommt an einem initialen Hash-Wert nicht vorbei.

Neben der reinen Hash-Berechnung bietet die Kombination mit einer detaillierten Metadatenextraktion zusätzliche Evidenz, die im Streitfall oft ausschlaggebend ist. Wenn Sie eine Datei untersuchen, lesen Sie nicht nur den Haupttext aus, sondern auch die versteckten Eigenschaften. Dazu gehören die Core Properties gemäß Dublin Core Standard, benutzerdefinierte Dokumenteigenschaften, die Liste der eingebetteten Objekte, die Referenzen auf externe Vorlagen und die Struktur der internen XML-Teile. Wenn eine DOCX-Datei nachbearbeitet wurde, finden sich in diesen tieferen Schichten oft Spuren, die der Bearbeiter im Textverarbeitungsprogramm gar nicht sieht. Ein Beispiel: Ein Nutzer kopiert Text aus einem anderen Dokument hinein und übernimmt dabei versehentlich die Formatvorlagen der Quelldatei. Die styles.xml der Ziel-DOCX wird daraufhin neue Einträge enthalten, die im Originaldokument nicht existierten. Das kann den Hash-Wert verändern und gleichzeitig in den Metadaten sichtbar gemacht werden. Ein weiteres Beispiel ist die Aktualisierung von Feldern oder Inhaltssteuerelementen. Wenn ein Datum oder ein Dropdown-Feld aktualisiert wird, schreibt Word diese Aktion in die XML-Struktur. Der Hash belegt dann die Veränderung, und die Übersicht der unterstützten Formate und Strukturmerkmale von FilesAudit zeigt, wie tiefgehend solche Analysen bei DOCX-Dateien und über 200 weiteren Dateitypen sein können. Die Metadaten liefern das erzählerische Detail zum kryptografischen Beweis, auch wenn sie für sich allein genommen nicht ausreichen.

Für Unternehmen, die regelmäßig große Mengen an Dokumenten prüfen müssen, ist eine Online-Analyse zwar komfortabel, aber nicht immer der effizienteste Weg. Gerade wenn es um den Abgleich von Vertragsordnern, Dossiers oder ganzen Projektarchiven geht, bei denen jederzeit der Nachweis der Integrität erbracht werden muss, ist eine lokale Lösung oft vorzuziehen. Hierfür ist die FilesAudit Desktop-App ausgelegt, die es ermöglicht, Hash-Werte und Metadaten unbegrenzt und im Bulk-Verfahren direkt auf dem eigenen Rechner zu berechnen, ohne dass die Dateien über das Internet übertragen werden müssen. Das ist nicht nur ein Frage des Datenschutzes, sondern auch der Geschwind