Ein Antragsteller fotografiert eine Gehaltsabrechnung, öffnet eine Bild-App und bittet diese, das Nettogehalt zu ändern. Weniger als eine Minute später hat er für etwa vier Cent ein neues Bild derselben Gehaltsabrechnung mit einer besseren Zahl: gleicher Arbeitgeber, gleiches Layout, gleiche Schriftart, gleicher grauer Scanner-Hintergrund.
Es gibt keinen PDF-Editor, den man per Fingerprinting identifizieren könnte, keine Textebene, die man untersuchen könnte, keinen Revisionsverlauf. Die Datei ist kein bearbeitetes Dokument. Sie ist ein neues Bild, gezeichnet von einem Modell.
Holograin ist der Detektor, den wir für diesen Fall entwickelt haben. Er liest eine gescannte Seite oder ein Handyfoto und sagt, ob ein KI-Bildgenerator sie neu gezeichnet hat. Bei Seiten, die unsere Upload-Pipeline durchlaufen haben, erkennt er 90 % der KI-bearbeiteten Seiten und markiert dabei 1 von 100 echten Seiten. Er läuft innerhalb jeder Holofin-Betrugsanalyse für gescannte Finanzdokumente.
Dieser Artikel behandelt, wie er funktioniert und wie er im Vergleich zu Frontier-LLMs und offenen KI-Bilddetektoren abschneidet.
Drei Wege, um ein generiertes Dokument zu erkennen
Es gibt drei Ansatzpunkte, um nach Beweisen dafür zu suchen, dass ein Bild aus einem Generator stammt.
Provenienz-Metadaten. Einige Generatoren fügen ein C2PA manifest an, eine signierte Erklärung, dass das Bild von einer KI erstellt wurde. Wenn es vorhanden ist, ist es eindeutig, und Holofin verifiziert es beim ursprünglichen Upload vor jeglicher Konvertierung. Aber ein einziger Screenshot oder ein erneutes Speichern entfernt es, sodass sein Fehlen nichts beweist.
Unsichtbare Wasserzeichen. Einige Anbieter betten ein Wasserzeichen in die Pixel ein. Nicht jeder Generator tut dies, und jedes Wasserzeichen kann nur mit dem Tool des jeweiligen Anbieters gelesen werden. Es ist ein nützlicher Beweis, wenn es vorhanden ist, und ansonsten unauffällig.
Die Pixel selbst. Ein Scanner hinterlässt Sensorrauschen, eine bestimmte Unschärfe entlang der Zeichenkanten und eine Kompressionshistorie. Eine Handykamera hinterlässt ihre eigenen optischen Spuren. Ein Bildgenerator hinterlässt in jedem von ihm erzeugten Pixel eine eigene, für das Auge unsichtbare Textur. Wenn ein Generator ein Dokument bearbeitet, ändert er nicht nur eine Zeile: Er zeichnet die gesamte Seite neu, sodass diese Textur die gesamte Seite bedeckt.
Die dritte Quelle ist die einzige, die ein Fälscher nicht durch erneutes Speichern der Datei entfernen kann. Holograin baut darauf auf.
Warum ein allgemeines Modell nicht ausreicht
Der erste Ansatz, den die meisten Teams ausprobieren, besteht darin, die Seite einem Frontier-LLM zu zeigen und zu fragen, ob sie generiert wurde. Wir haben dies an 200 Seiten getestet, die unsere Upload-Pipeline durchlaufen hatten: 100 bearbeitet von fünf KI-Generatoren, 100 echte. Jedes Modell erhielt den Prompt eines Betrugsanalysten und lieferte ein Urteil mit einer Wahrscheinlichkeit.
Dieselben 200 Seiten, vier Detektoren
100 KI-bearbeitete Seiten und 100 echte, alle durch dieselbe Upload-Pipeline, keine davon im Training verwendet. Die letzte Spalte fixiert die False Positives auf 1 von 100 und berichtet, wie viele Fälschungen noch erkannt werden.
| Detektor | Fälschungen erkannt | Echte markiert | Erkannt bei 1 % False Positives |
|---|---|---|---|
| Gemini 4 Argon | 90 / 100 | 45 / 100 | 69% |
| GPT-6.1 Sol Pro | 40 / 100 | 0 / 100 | 40% |
| Offener KI-Bilddetektor, Standardmodell | 8 bis 21 / 100 | 0 bis 2 / 100 | 22% |
| Holograin | 84 / 100 | 1 / 100 | 89% |
Die beiden LLMs versagen in entgegengesetzte Richtungen. Gemini 4 Argon erkannte 90 der 100 Fälschungen und markierte 45 der 100 echten Seiten. GPT-6.1 Sol Pro markierte keine echte Seite und übersah 60 Fälschungen. Es erkannte nur 5 % der Seiten, die mit GPT-5.4 image, dem eigenen Generator von OpenAI, bearbeitet wurden.
Das ist zu erwarten. Ein LLM beurteilt, ob ein Dokument plausibel ist, und eine KI-bearbeitete Gehaltsabrechnung ist konstruktionsbedingt plausibel. Der Beweis liegt nicht darin, was auf der Seite steht, sondern darin, wie ihre Pixel erzeugt wurden. Ein allgemeines Modell sendet zudem jedes Dokument an seinen Anbieter; Holograin läuft auf den Servern von Holofin.
Offene KI-Bilddetektoren betrachten zwar Pixel, sind aber auf Fotografien trainiert: Gesichter, Landschaften, Szenen. Ein gescanntes Dokument ist größtenteils flachweiß mit scharfen schwarzen Glyphen und Kompressionsartefakten, was weit außerhalb dessen liegt, was sie bisher gesehen haben. In unseren ersten Tests bewertete ein beliebter Detektor echte Dokumente auf seiner "KI-generiert"-Skala zwischen 0.98 und 1.0. Ein anderer, der zu den stärksten offenen Modellen gehört, verkleinert die gesamte Seite auf 384 Pixel, bevor er sie bewertet, eine Größe, bei der eine Gehaltsabrechnung unlesbar ist; er bewertete fast alles nahe null. Kachel für Kachel in voller Auflösung ausgeführt, erkannte dieses zweite Modell 20 % der KI-bearbeiteten Seiten bei 1 % False Positives.
Trainiert auf Finanzdokumente
Holograin ist ein Vision-Modell, das speziell auf Finanzdokumente trainiert wurde: Hunderttausende Seiten von Gehaltsabrechnungen, Kontoauszügen und Jahresabschlüssen, sowohl echte als auch KI-bearbeitete. Jede Seite wird über die Kanäle betrachtet, über die Dokumente tatsächlich eintreffen, vom Rohscan bis hin zu Handyfotos, Screenshots und unserer Upload-Pipeline, sodass das Modell die Signatur des Generators selbst lernt und nicht die Artefakte eines einzelnen Dateiformats.
Drei Eigenschaften heben es von Allzweck-Detektoren ab:
- Analyse auf Regionsebene in voller Auflösung. Holograin untersucht jede Region der Seite in nativer Auflösung und isoliert den Bereich, der die stärkste Generator-Signatur aufweist, sodass eine Seite anhand ihrer verdächtigsten Beweise beurteilt wird und nicht anhand eines Durchschnitts.
- Robust gegenüber Rekompression. Seine Erkennung übersteht die Transformationen, die ein Dokument durchläuft, bevor es Sie erreicht: JPEG-Rekompression, Messaging-Apps, Screenshots und Formatkonvertierungen.
- Kalibriert pro Erfassungskanal. Jeder Kanal hat seinen eigenen Entscheidungsschwellenwert, der anhand echter Dokumente festgelegt wurde, die das Modell im Training nie gesehen hat, sodass die Falsch-Positiv-Rate unabhängig davon, auf welchem Weg ein Dokument eintrifft, konstant bleibt.
Ergebnisse bei 1 % False Positives
Jeder der folgenden Werte wird an einem einzigen Betriebspunkt gemessen: einem Schwellenwert, der höchstens 1 von 100 echten Seiten markiert. Eine Erkennungsrate ohne ihre Falsch-Positiv-Rate beschreibt keinen Detektor. Analysten hören auf, Warnungen eines Tools zu lesen, das regelmäßig ehrliche Antragsteller markiert, daher legen wir zuerst die Falsch-Positiv-Rate fest und berichten die Erkennungsrate, die sie zulässt.
Zum Vergleich: Ein führender offener KI-Bilddetektor erkennt 20 % derselben hochgeladenen Dokumente.
Erkannte KI-bearbeitete Dokumente
Nach Art, wie uns das Dokument erreicht hat. In jedem Fall wird nur 1 von 100 echten Dokumenten markiert.
Generatoren, auf die es nicht trainiert wurde
Jeden Monat werden neue Bildmodelle veröffentlicht, daher ist das wichtigste Ergebnis dasjenige bei Generatoren, die der Detektor noch nie gesehen hat. Eine Liste der Generatoren in einem Trainingsdatensatz beschreibt, was ein Modell bereits gesehen hat, nicht, wie es mit dem nächsten umgehen wird.
Wir haben GPT-5.4 image komplett aus dem Training herausgehalten. Holograin erkannte 95 % seiner Bearbeitungen nach dem Upload. Zwei weitere Generatoren, die es noch nie gesehen hatte:
Im Training nie gesehene Generatoren
Eine ganzseitige Bearbeitung pro Testdokument, Produktions-Schwellenwert.
| Bildmodell | Erkannt nach Upload zu Holofin |
|---|---|
| Nano Banana Pro | 84% |
| Gemini 3.1 Flash-Lite Image | 82% |
| GPT-5 Image | weigerte sich, Finanzdokumente zu bearbeiten |
Unsere heute gemessene Abdeckung umfasst die Bildmodelle von Google und OpenAI. Wir beanspruchen keine Ergebnisse für Familien, die wir nicht gemessen haben.
Teil jeder Betrugsanalyse
Holograin läuft automatisch bei gescannten Dokumenten und Fotos in jeder Holofin-Betrugsanalyse, neben der Provenienzprüfung, der Dateiforensik und inhaltlichen Prüfungen. Eine Markierung sendet das Dokument mit den Beweisen an einen Prüfer. Es lehnt einen Antrag niemals eigenständig ab.
Fragen
Welche Generatoren erkennt Holograin?
Die Gemini-Bildmodelle von Google, darunter Nano Banana, und die Bildmodelle von OpenAI. GPT-5.4 image, das aus dem Training herausgehalten wurde, wird nach dem Upload in 95 % der Fälle erkannt. Andere Familien wurden nicht gemessen.
Wie oft wird ein echtes Dokument markiert?
Etwa 1 von 100, für jeden Kanal, über den ein Dokument eintreffen kann. Eine Markierung geht an einen Prüfer und lehnt eine Datei niemals eigenständig ab.
Entfernt ein Screenshot oder eine Rekompression die Spuren?
Nein. Holograin erkennt 97 % der KI-bearbeiteten Seiten nach einem Handy-Screenshot und 90 % nach Upload und Konvertierung.
Prüft es Ausweisdokumente?
Nein. Es wurde weder darauf trainiert noch daran gemessen.
Wo läuft die Analyse?
Holograin läuft auf den eigenen Servern von Holofin. Die Bewertung einer Seite sendet diese an keinen Drittanbieter von Modellen.
Zusammenfassung
Holograin wurde auf Hunderttausenden von Seiten mit Finanzdokumenten trainiert, über dieselben Kanäle, über die sie uns erreichen, und jedes Ergebnis wird bei 1 False Positive von 100 berichtet. Es bewährt sich auch bei Generatoren, die es im Training nie gesehen hat.
Die Modellseite mit Vorher-Nachher-Beispielen an fiktiven Dokumenten finden Sie unter Holograin. Ein Bildmodell kann eine Gehaltsabrechnung so neu zeichnen, dass kein Prüfer sie mit bloßem Auge beanstanden kann. Es hinterlässt dennoch eine messbare Textur in den Pixeln, und Holograin ist darauf trainiert, diese zu finden.
Verwandte Artikel
Ein Deepfake kann echt aussehen. Er muss trotzdem wahr sein.
Ein Fälscher kann jede Spur davon verwischen, wie ein Dokument erstellt wurde: ausdrucken, neu einscannen, mit einem Bildmodell neu generieren. Was das Dokument behauptet, übersteht diese Wäsche, und eine Behauptung kann überprüft werden. Hier erfahren Sie, wie wir diese Behauptungen prüfen, wo wir uns an unseren eigenen Prüfungen zunächst die Finger verbrannt haben und welche zwei Zahlen uns ehrlich halten.
Ihr Tabellen-Extraktor hat den Test bestanden. Die Zahlen nicht.
Eine Wirtschaftsprüferin öffnet Ihr Extraktionsergebnis für eine Bilanz. Das Modell zeigt eine Genauigkeit pro Zelle von 99,2 %. Beeindruckend. Dann summiert sie die Aktiva-Spalte von Hand, wie es Prüfer eben tun, und erhält eine Zahl, die um eine Zeile verschoben ist. Die Aktiva entsprechen nicht mehr den Passiva plus Eigenkapital. Die Bilanz geht nicht auf.
Dokumentenbetrug erkennen: Was ein PDF nicht verbergen kann
Früher dachten wir, Dokumentenbetrug sei ein visuelles Problem. Falsche Schriftarten. Verschobene Spalten. Ein Logo, das nicht ganz stimmig wirkte. Wir bauten Prüfungen basierend auf dem, was Menschen sehen, denn das war alles, was wir hatten.