Die Dunkelmänner haben verloren. Wer auch immer durch Unterlagen über eine Scheinfirma in der Karibik Emmanuel Macron aufhalten wollte, ist gescheitert. In diesem Blog geht es immer wieder um Aktenfälschungen, auch um solche aus der ganz rechten Ecke. Grund genug für eine Autopsie der am 4. Mai veröffentlichten PDFs.

Diese Veröffentlichung ist nicht zu verwechseln mit der von 9 Gigabyte von den En marche!-Servern gestohlener Daten, die am Samstag folgte. Hier hat die technische Forensik bereits erste Ergebnisse erbracht, die als Urheber die die russische Hackergruppe APT 28 und damit letztlich die GRU vermuten lassen. Wikileaks hat beispielsweise Metadaten festgestellt, die in kyrillischen Zeichensätzen codiert sind. Der Deutschlandfunk hat dem Hack ein kurzes gutes Feature gewidmet. Diese Datenmasse fundiert einzuschätzen, wird aber dauern.

Hier soll es nur um die beiden PDFs gehen, die im /pol/-Board auf 4chan veröffentlicht wurden. Libération hat den Ablauf der Ereignisse zusammengefasst: Am Mittwochabend raunte Marine Le Pen im Fernsehduell mit Macron etwas von einem Konto auf den Bahamas. Einen Tag später tauchten dann auf:

1. ein angeblicher Gesellschaftsvertrag für eine in dem karibischen Inselstaat St. Kitts und Nevis ansässige Kapitalgesellschaft — wenn ich das richtig sehe — namens La Providence in der US-amerikanischen Rechtsform einer Limited Liability Company.
2. ein Begleitschreiben einer karibischen Bank zu einem an diese Gesellschaft zurückgereichten Scheck.

„La Providence“ ist der Name der Privatschule, die Macron besuchte.

Es handelt sich also vorgeblich um Scans von Papier-Originalen. Auf welchen Maschinen diese Scans hergestellt wurden, wurde schon ermittelt; Anschaffungspreis: mindestens 130 000 US-Dollar. Dafür sehen sie richtig schlecht aus: schief eingezogen, ungleichmäßig ausgeleuchtet, zahlreiche Artefakte. Die mangelnde Qualität ist natürlich ein Attribut des Anspruchs, allerstrengstgeheimste Geheimdokumente auf klandestinen Pfaden ans Licht der Öffentlichkeit gebracht zu haben. Beim Leser klickt in Gedanken leise die Minox — so man eben keine PDF-Metadaten auszulesen weiß.

Mit solchen Attributen muss sich eine zweifelhafte Quelle (und 4chan ist ein Medium für’s Zweifelhafte!) ausstaffieren, denn erst einmal sind die Seiten des PDFs nur Bilder, deren Beweiskraft gegen Null geht. Rein optisch kann jeder Photoshop-Philipp das zwischen zwei Folgen Game of Thrones schneller zusammenschustern als die Nachos kalt werden.

Der Vertrags ist effekthaschend auf Macrons Unterschrift ausgelegt. Beim Beglaubigungsmittel beginnt sinnvollerweise auch die Echtheitsprüfung. Im Netz tauchten umgehend definitiv echte, nämlich mit öffentlichen Glauben bezeugte Unterschriften Macrons auf, z. B. bei Libération oder Numerama. Während der Duktus des Nachnamens vergleichbar ist, unterscheiden sich die Schreibweisen des Vornamens drastisch. Bei anderen Schriftproben ist der Vorname der ähnlichere Teil. Hier fehlte wohl eine einheitliche vollständige Vorlage.

Dann ist die textimmanente Stimmigkeit zu beurteilen. Inhaltlich ist das beim juristischen Text ein hartes Stück Brot. Aktenkundlich halten wir uns aber zunächst an die Formularbestandteile und werden prompt fündig: Le Monde hat ähnliche Vertragsformulare in den veröffentlichten Panama Papers entdeckt. Sie könnten einem Fälscher als Vorlage gedient haben. Der Fälschungsverdacht wird durch die Entdeckung der aktenkundlich arbeitenden Journalisten erhärtet, dass die Datumsangaben im Unterschied zur Vorlage dem französischen, d. h. unserem, Stil folgen: Tag — Monat — Jahr statt, wie im Englischen verbreitet, Monat — Tag — Jahr. Der Flüchtigkeitsfehler eines Dilettanten?

Für die aktenkundliche Betrachtung von Digitalisaten kommen als zusätzliche Materialbasis gegenüber den Originalen die Metadaten der Dateien ins Spiel. So auch hier. Auf Numerama wurde gezeigt, dass das zweite Schreiben aus dem Scan eines (wohl echten) Briefkopfs und dem Textblock am Computer zusammengebaut wurde. Ein unsichtbarer, in der Datenstruktur des PDFs aber noch hinterlegter Rahmen bringt es an den Tag.

Diese Beweisführung lässt sich mit einfachsten Bordmitteln nachvollziehen — und auch auf den angeblichen Vertrag anwenden. Gerade auf der Unterschriftenseite ist hier gleichfalls ein Rahmen in die Datenstruktur eingeschrieben, der sich durch einfaches Anklicken im Dateibetrachter zu erkennen gibt. Im Rahmen befinden sich: der syntaktische Anschluss zum Vertragstext, der Vorname und die maschinelle Wiedergabe des Namens — also der Teil, der bei der Analyse des Beglaubigungsmittels bereits stutzig gemacht hat.

Für sich genommen, zieht noch keines dieser Indizien voll durch. Zusammen ergeben sie aber den deutlichen Befund einer Fälschung, einer kruden zumal. Umso schlimmer, dass die Dunkelmänner mit so wenig Können so weit kommen.