Gefälschtes Impfzertifikat erkennen: Signale für HR und Klinik

Ein gefälschtes Impfzertifikat ist jedes Dokument, das einen Impfschutz behauptet, der so nicht besteht: ein manipulierter Papier-Impfausweis, ein betrügerisch erzeugtes digitales COVID-Zertifikat mit falschem QR-Code, ein echtes Zertifikat einer anderen Person, das unter fremder Identität wiederverwendet wird, oder ein vollständig KI-generiertes Dokument. Für Personalabteilungen in Krankenhäusern, Pflegeheimen und Kitas ist das kein abstraktes Compliance-Thema, sondern eine konkrete Prüfaufgabe beim Onboarding: Wer stellt sicher, dass der vorgelegte Nachweis zur vorgelegten Identität gehört und tatsächlich von der ausstellenden Stelle stammt?

Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechts- oder Regulierungsberatung dar. Regulierungsverweise sind zum Veröffentlichungsdatum korrekt. Konsultieren Sie für die Anwendung auf Ihren Einzelfall Ihre Rechts- oder Compliance-Abteilung.

Welche gesetzliche Nachweispflicht 2026 in Deutschland gilt

Die zentrale und aktuell geltende Rechtsgrundlage ist das Masernschutzgesetz, das seit dem 1. März 2020 die Nachweispflicht in § 20 Abs. 8 ff. Infektionsschutzgesetz (IfSG) regelt. Personal in Gemeinschaftseinrichtungen (Kitas, Schulen) und in medizinischen Einrichtungen (Krankenhäuser, Pflegeheime, Arztpraxen), das nach 1970 geboren wurde, muss vor Beschäftigungsbeginn einen Nachweis über Masernschutz vorlegen — Impfausweis, Impfbescheinigung oder ärztliches Zeugnis über bestehende Immunität.

Die Übergangsfrist für Bestandspersonal endete am 31. Juli 2022, seither gilt die Nachweispflicht des § 20 IfSG unbefristet für jede Neueinstellung (Quelle: § 20 IfSG, Gesetze-im-Internet.de). Wichtig für die Praxis: Die einrichtungsbezogene COVID-Impfpflicht nach § 20a IfSG ist zum 31. Dezember 2022 ausgelaufen und im Gesetzestext seither als „weggefallen" markiert — sie wurde bis Redaktionsschluss dieses Artikels nicht wieder eingeführt (Quelle: § 20a IfSG, Gesetze-im-Internet.de). Wer heute nach einem COVID-Impfnachweis fragt, tut dies also freiwillig oder auf betriebsinterner Grundlage, nicht mehr aufgrund einer bundesgesetzlichen Pflicht.

Zwei Vorschriften greifen, wenn ein gefälschtes Zertifikat auftaucht. § 279 StGB stellt den Gebrauch eines unrichtigen Gesundheitszeugnisses zur Täuschung im Rechtsverkehr unter Strafe (Freiheitsstrafe bis zu einem Jahr oder Geldstrafe), seit der Gesetzesreform vom 24. November 2021 ausdrücklich auch gegenüber Apotheken und Arbeitgebern (Quelle: § 279 StGB, Dejure.org). Sobald jedoch ein digitales COVID-Zertifikat mit gefälschtem QR-Code vorgelegt wird, greift laut BGH-Rechtsprechung vorrangig § 267 StGB (Urkundenfälschung) mit einem Strafrahmen bis zu fünf Jahren, weil das digitale Zertifikat selbst als Urkunde gilt und §§ 277-279 StGB dahinter zurücktreten (Quelle: BGH, Urteil vom 10.11.2022 – 5 StR 283/22, LTO). Für Arbeitgeber reicht bereits ein begründeter Verdacht, gestützt auf konkrete Tatsachen, um eine fristlose Kündigung zu rechtfertigen (Quelle: rightmart, Kündigung bei falschem Impfnachweis).

Welche vier Fälschungstypen bei Impfzertifikaten vorkommen

Vier Erscheinungsformen decken den überwiegenden Teil der Fälle ab, die HR- und Compliance-Teams im Gesundheitswesen begegnen. Jede hinterlässt andere forensische Spuren und erfordert eine andere Prüfmethode.

Der manipulierte Papier-Impfausweis ist die am längsten bekannte Variante: Der gelbe internationale Impfausweis wurde nie als fälschungssicheres Ausweisdokument konzipiert, besitzt kein Wasserzeichen im Innenteil und keine serialisierte Nummerierung, was Nachträge und Blattaustausch erleichtert. Typische Signale sind ausgefranste Heftlöcher, unterschiedliches Papier zwischen den Seiten, wechselnde Stifte innerhalb eines Eintrags und zwei verschiedene Ärzte für aufeinanderfolgende Impfungen ohne nachvollziehbaren Praxiswechsel (Quelle: DEHOGA NRW, Fälschungsmerkmale erkennen).

Das betrügerische digitale Zertifikat entsteht meist, indem ein gefälschter Papiernachweis in einer Apotheke oder Arztpraxis vorgelegt wird, um daraus ein digitales Zertifikat mit gültig aussehendem QR-Code zu erzeugen. Der QR-Code selbst kann technisch korrekt signiert sein, weil er über einen legitimen, aber getäuschten Aussteller generiert wurde — die Fälschung liegt in der zugrunde liegenden Falschangabe, nicht im Code selbst. Eine reine Signaturprüfung des QR-Codes erkennt diesen Fälschungstyp deshalb nicht zuverlässig.

Die Identitätswiederverwendung nimmt ein echtes, gültiges Zertifikat einer dritten Person und legt es unter fremdem Namen vor — etwa das Zertifikat eines Familienmitglieds oder ein auf dem Schwarzmarkt erworbenes echtes Dokument. Hier stimmen alle technischen Merkmale des Zertifikats, aber Name, Geburtsdatum oder Lichtbild auf dem begleitenden Ausweisdokument passen nicht zur vorlegenden Person.

Die vollständige KI-Generierung erzeugt ein optisch überzeugendes Zertifikat oder einen Impfausweis-Scan ohne jedes echte Ausgangsdokument. Aktuelle Generatoren reproduzieren Layout, Stempeloptik und Schriftbild überzeugend, scheitern aber oft an Detailkohärenz: Chargennummern, die keinem realen Impfstoffhersteller zuzuordnen sind, Impfabstände, die medizinisch nicht plausibel sind, oder Metadaten, die auf ein Bildbearbeitungswerkzeug statt auf eine Scan- oder Druckkette hinweisen.

Diese vier Typen sind kein theoretisches Konstrukt: Eine Analyse der Rechercheorganisation CeMAS dokumentiert, dass in einschlägigen Telegram-Gruppen wiederholt gefälschte Impfausweise und Vorlagen für digitale Zertifikate gegen Bezahlung angeboten wurden, teils mit Anleitung zum Ausfüllen (Quelle: CeMAS, Gefälschte Impfausweise auf Telegram). Für die Praxis heißt das: Ein Fälschungsversuch ist selten ein Einzelfall einer einzelnen Person, sondern folgt oft einer Vorlage, die mehrere Bewerbende in leicht abgewandelter Form verwenden — ein weiterer Grund, warum der Abgleich gegen bereits gesehene Dokumente in der eigenen Bewerberdatenbank so wirksam ist.

Wie forensische Prüfung ein gefälschtes Zertifikat aufdeckt

Eine belastbare Prüfung stützt sich nie auf ein einzelnes Merkmal, sondern auf die Übereinstimmung mehrerer unabhängiger Datenpunkte. Drei Prüfebenen ergänzen sich in der Praxis.

Die strukturelle Ebene vergleicht Schriftbild, Stempelform und Papierstruktur mit bekannten, verifizierten Referenzdokumenten desselben Ausstellers und erkennt Abweichungen, die beim schnellen Sichtvergleich untergehen. Die Metadatenebene prüft bei digitalen Uploads die Erstellungs- und Bearbeitungshistorie der Datei — ein Bearbeitungsdatum nach dem angeblichen Ausstellungsdatum oder die Signatur eines Bildbearbeitungsprogramms statt einer Scan-Software ist ein starkes Warnsignal. Die dokumentenübergreifende Ebene gleicht Name, Geburtsdatum und Foto des Zertifikats mit dem vorgelegten Ausweisdokument ab, statt jedes Dokument isoliert zu bewerten.

Eine mehrschichtige Analyse aus struktureller Prüfung, Metadatenanalyse und dokumentenübergreifender Konsistenzprüfung deckt Unstimmigkeiten auf, die bei einer rein visuellen Kontrolle eines Impfzertifikats unentdeckt bleiben. Genau diese Kombination unterscheidet eine belastbare Prüfung von einer Stichprobe am Empfangsschalter, bei der ein geschulter Blick allein selten ausreicht.

Für KI-generierte Zertifikate reicht eine klassische Metadatenprüfung allein oft nicht aus, weil manche Generatoren plausible Metadaten mitliefern. Ergänzende Signale zur Erkennung synthetischer Inhalte — etwa charakteristische Artefakte in Stempeltextur oder Schriftkantenverlauf — werden zunehmend als zusätzliche, nicht als alleinige Prüfebene eingesetzt, weil kein einzelnes Signal für sich genommen beweiskräftig ist.

Wie HR-Teams im Gesundheitswesen die Prüfung organisieren sollten

Die Prüfung beim Onboarding sollte nicht bei der Sichtkontrolle des Papierausweises enden, sondern den Nachweis systematisch mit dem Ausweisdokument und, wo vorhanden, mit früheren Beschäftigungsnachweisen der Person abgleichen. Ein einmaliger Check beim Eintrittsdatum reicht nicht, wenn Zeitarbeitskräfte oder Springer-Personal wiederholt in verschiedenen Einrichtungen eingesetzt werden — hier hilft der Abgleich gegen zuvor gesehene Dokumente, um wiederverwendete oder in mehreren Bewerbungen identische Zertifikate zu erkennen.

Nach dem ACFE 2024 Report to the Nations werden nur 37 % des Dokumentenbetrugs durch rein manuelle Prüfung aufgedeckt, mit einer durchschnittlichen Erkennungsverzögerung von 87 Tagen (Quelle: ACFE 2024 Report to the Nations). Für ein Krankenhaus oder Pflegeheim mit hoher Personalfluktuation bedeutet diese Verzögerung, dass eine Fälschung oft erst bei einem unabhängigen Anlass — etwa einem Ausbruchsgeschehen mit Kontaktnachverfolgung — auffällt, lange nachdem die Person bereits im Patientenkontakt gearbeitet hat.

Ein strukturierter Prüfworkflow für Personalabteilungen im Gesundheitswesen sollte deshalb drei Elemente kombinieren: automatisierte Dokumentenprüfung bei jeder Neueinstellung, eine klare Eskalationsroute bei Auffälligkeiten an die Compliance- oder Rechtsabteilung, und eine Dokumentation der Prüfschritte für den Fall einer späteren behördlichen Nachfrage. Für HR-Teams außerhalb des Gesundheitswesens, die ähnliche Nachweise im Rahmen von Gesundheitsprüfungen verarbeiten, gilt dieselbe Logik.

Weil Impfdaten eine besondere Kategorie personenbezogener Daten nach Art. 9 DSGVO sind, muss die Prüfung selbst datenschutzkonform erfolgen — Zweckbindung, Speicherbegrenzung und eine dokumentierte Rechtsgrundlage sind Pflicht, nicht optional (Quelle: LDI NRW, Nachweis wirksamen Masernschutzes). Details zur technischen und organisatorischen Absicherung solcher Prüfprozesse finden sich auf der Sicherheitsseite.

In Fachforen und bei Personalverantwortlichen in Pflegeeinrichtungen wiederholt sich eine bestimmte Verunsicherung: Wie unterscheidet man eine legitime ärztliche Ausnahmebescheinigung, die statt einer Impfung ausgestellt wurde, von einem nachträglich erfundenen Attest. Die Antwort liegt nicht in einem einzelnen Blick auf das Dokument, sondern im Abgleich der Praxisdaten mit dem öffentlich einsehbaren Arztregister sowie in der Plausibilität von Ausstellungsdatum und Diagnosecode. Eine zweite, häufig gestellte Frage betrifft Springer- und Zeitarbeitskräfte, die denselben Nachweis nacheinander bei mehreren Einrichtungen vorlegen — hier hilft nur ein zentraler, einrichtungsübergreifender Abgleich, den einzelne Pflegeheime allein selten leisten können.

Welche Konsequenzen ein erkanntes gefälschtes Zertifikat auslöst

Wird eine Fälschung erkannt, bevor die Person eingestellt wird, entfällt in der Regel bereits die Einstellung mangels gültigem Nachweis nach § 20 IfSG. Wird sie erst nach Beschäftigungsbeginn entdeckt, kann sie eine fristlose Kündigung rechtfertigen, wenn ein auf konkrete Tatsachen gestützter, schwerwiegender Verdacht vorliegt — ein bloßes Bauchgefühl genügt nicht (Quelle: rightmart, Kündigung bei falschem Impfnachweis).

Parallel dazu besteht in vielen Bundesländern eine Meldepflicht der Einrichtung gegenüber dem zuständigen Gesundheitsamt, wenn ein Nachweis nach § 20 IfSG fehlt oder sich als unrichtig erweist — die Zuständigkeit liegt bei den Gesundheitsämtern vor Ort, fachlich begleitet vom Robert Koch-Institut über die STIKO-Empfehlungen. Für die Einrichtung selbst ist die dokumentierte, nachvollziehbare Prüfung der beste Schutz vor dem Vorwurf einer Sorgfaltspflichtverletzung, sollte sich im Nachhinein herausstellen, dass ungeprüftes Personal ohne gültigen Nachweis im Patientenkontakt gearbeitet hat.

Auch die zunehmende Verbreitung KI-generierter Fälschungen verändert die Bedrohungslage strukturell: Automatisierte Generatoren senken die Einstiegshürde für Fälscher, während die Erkennung mit klassischen, rein visuellen Methoden nicht mitwächst (Quelle: ENISA Threat Landscape 2024). Genau hier setzen ergänzende KI-Generierungssignale an, ohne den Anspruch, jede denkbare Fälschung allein zu erkennen.

Häufig gestellte Fragen

Ist ein handgeschriebener Eintrag im Impfausweis automatisch verdächtig

Nein, handschriftliche Einträge sind beim klassischen gelben Impfausweis normal, da er ursprünglich für handschriftliche Dokumentation durch die impfende Praxis konzipiert wurde. Verdächtig wird ein Eintrag erst durch Zusatzmerkmale wie wechselnde Stifte innerhalb eines Datensatzes, fehlende Praxisangaben oder zwei unterschiedliche impfende Ärzte ohne erkennbaren Praxiswechsel. Ein einzelnes handschriftliches Merkmal reicht für einen Fälschungsverdacht nicht aus.

Ist ein technisch gültiger QR-Code auf einem digitalen Zertifikat ein Beweis für Echtheit

Nein, ein technisch korrekt signierter QR-Code beweist nur, dass ein legitimer Aussteller das Zertifikat erzeugt hat — nicht, dass die zugrunde liegende Impfangabe wahr war. In Fachforen und bei Apotheken-Fällen tauchte wiederholt das Muster auf, dass ein gefälschter Papiernachweis vorgelegt wurde, um daraus ein formal gültiges digitales Zertifikat zu generieren. Die Prüfung muss deshalb auch die Ausstellungsgrundlage und nicht nur die Signatur betrachten.

Muss ein Arbeitgeber im Gesundheitswesen 2026 noch einen COVID-Impfnachweis verlangen

Nein, die einrichtungsbezogene COVID-Impfpflicht nach § 20a IfSG ist zum 31. Dezember 2022 ausgelaufen und bis Redaktionsschluss dieses Artikels nicht wieder eingeführt worden. Weiterhin verpflichtend bleibt der Masernschutz-Nachweis nach § 20 IfSG für Personal in medizinischen Einrichtungen und Gemeinschaftseinrichtungen, unabhängig vom COVID-Status.

Welche Strafe droht bei Vorlage eines gefälschten Impfzertifikats

Die Strafe hängt vom Dokumenttyp ab: Beim Papier-Impfausweis greift meist § 279 StGB (Gebrauch eines unrichtigen Gesundheitszeugnisses) mit bis zu einem Jahr Freiheitsstrafe oder Geldstrafe. Bei einem gefälschten digitalen COVID-Zertifikat mit manipuliertem QR-Code stuft der Bundesgerichtshof die Tat vorrangig als Urkundenfälschung nach § 267 StGB ein, mit einem Strafrahmen bis zu fünf Jahren.

Ergänzende KI-Signale als zusätzliche Prüfebene

Ein gefälschtes Impfzertifikat lässt sich selten an einem einzigen Merkmal festmachen — erst die Kombination aus struktureller Prüfung, Metadatenanalyse, Identitätsabgleich und rechtlichem Kontext ergibt ein belastbares Bild. Für Fälle, in denen ein Dokument vollständig oder teilweise KI-generiert sein könnte, bietet die Erkennung von KI-generierten Inhalten eine zusätzliche Signalquelle, die bestehende Kontrollen ergänzt, ohne sie zu ersetzen — CheckFile beansprucht nicht, jede denkbare Fälschung zu erkennen.

Ähnliche Muster aus manipulierter Ausstellungsgrundlage und formal gültiger Hülle finden sich auch bei gefälschten Rezepten, die zu Erstattungsbetrug bei Krankenversicherungen führen, und die zugrunde liegenden KI-Techniken zur Dokumentenbetrugserkennung lassen sich weitgehend auf Gesundheitsdokumente übertragen. Einen branchenübergreifenden Überblick über Verifizierungsanforderungen bietet der Leitfaden zur Branchenverifizierung.

Wer den eigenen Prüfprozess für Gesundheitsnachweise testen möchte, kann über Kontakt ein Gespräch mit dem CheckFile-Team vereinbaren.