DocuNotary auf IOTA: Pilotprojekt und Identitätslücke

Das auf IOTA entwickelte Rechnungsprüfsystem DocuNotary hat nach seiner Auszeichnung beim MasterZ × IOTA Hackathon einen weiteren Entwicklungsschritt erreicht. Ende September 2026 präsentierte sich das Projekt beim MasterZ Next Builder Showcase in Berlin. Nun sollen erste Unternehmen die Lösung mit realen Lieferantenrechnungen erproben.

Gleichzeitig wird eine wesentliche technische Herausforderung deutlich: Während kryptografische Signaturen und Dokumentennachweise bereits zum Funktionsumfang gehören, ist die verlässliche Zuordnung eines Signaturschlüssels zu einem tatsächlich existierenden Unternehmen noch nicht vollständig umgesetzt.

Die Entwicklung zeigt sowohl das praktische Potenzial von IOTA im Dokumentenmanagement als auch die Grenzen rein kryptografischer Echtheitsnachweise.

Vom Hackathon zum Berliner Showcase

DocuNotary wurde im Rahmen des europäischen MasterZ × IOTA Hackathons 2026 entwickelt. Die IOTA Foundation bestätigte am 17. April, dass das Projekt zu den fünf Finalisten gehörte. Insgesamt waren aus 200 ausgewählten Entwicklern 66 eingereichte Produkte entstanden.

Ein zusätzlicher Nachweis liegt in Form eines öffentlich abrufbaren MasterZ-Zertifikats vom 28. April 2026 vor. Es wurde auf den Namen Paolo G. ausgestellt und bestätigt ausdrücklich, dass sein eingereichtes Produkt zu den besten Projekten des Hackathons gehörte. Das Zertifikat wird über die Plattform XNFT bereitgestellt und als Blockchain-verifiziert ausgewiesen.

DocuNotary konzentriert sich auf ein konkretes Problem im Geschäftsverkehr: die Manipulation und Fälschung von Rechnungen. Besonders gefährlich sind Änderungen an Bankverbindungen, bei denen Betrüger die Kontodaten eines echten Lieferanten durch eigene Zahlungsinformationen ersetzen.

Am 25. September war DocuNotary für den Berliner MasterZ Next Builder Showcase vorgesehen. Ein später veröffentlichter Rückblick des Projektteams bestätigt die Präsentation im Berliner w3.hub.

Im Anschluss wurden zwei Entwicklungsziele formuliert: die unabhängige Überprüfung der Identität hinter den verwendeten Signaturschlüsseln und eine weitere Vereinfachung des Zertifizierungsprozesses.

Parallel dazu sucht das Projekt einen Unternehmenspartner für einen einmonatigen, kostenlosen Piloten mit echten Rechnungen. Eine bereits erfolgreich abgeschlossene Erprobung mit einem solchen Partner ist öffentlich bislang nicht dokumentiert.

Rechnungen kryptografisch absichern

Die technische Grundlage von DocuNotary besteht aus mehreren Komponenten, die miteinander verbunden werden.

Beim Hochladen einer Rechnung analysiert eine KI nach Projektangaben das Dokument und extrahiert strukturierte Informationen. Dazu gehören Rechnungsnummer, Aussteller, Betrag, Umsatzsteuerangaben und Zahlungsinformationen.

Anschließend wird ein kryptografischer Fingerabdruck des Dokuments erstellt. Ein Move Smart Contract auf IOTA soll diesen Hashwert, die Identität des Ausstellerschlüssels und weitere Metadaten registrieren.

Empfänger können den Nachweis über einen QR-Code abrufen und mit den vorliegenden Rechnungsdaten abgleichen.

Wird beispielsweise die IBAN nach der Zertifizierung verändert, soll diese Abweichung bei der Prüfung erkennbar werden.

DocuNotary beschreibt außerdem die Möglichkeit, gedruckte Rechnungen mit einer Smartphone-Kamera zu erfassen. Die KI soll die sichtbaren Rechnungsfelder auslesen und mit den hinterlegten Nachweisen vergleichen.

Eine solche Prüfung kann auch dann hilfreich sein, wenn Rechnungen zunächst digital verarbeitet, anschließend ausgedruckt und innerhalb eines Unternehmens auf Papier freigegeben werden.

Die Angaben zur Erkennungsgeschwindigkeit und zur Zuverlässigkeit dieser Verfahren stammen bislang überwiegend vom Projekt selbst. Unabhängige Messungen oder veröffentlichte Ergebnisse einer Sicherheitsprüfung liegen nicht vor.

Die entscheidende Frage: Wem gehört der Signaturschlüssel?

Der wichtigste Punkt der weiteren Entwicklung betrifft die digitale Identität des Rechnungsausstellers.

Eine kryptografische Signatur kann nachweisen, dass bestimmte Daten mit einem bestimmten privaten Schlüssel signiert wurden. Sie bestätigt außerdem, ob die überprüften Daten seit der Signatur verändert wurden.

Allerdings beantwortet sie nicht automatisch die Frage, ob dieser Schlüssel tatsächlich zu dem Unternehmen gehört, dessen Name auf der Rechnung erscheint.

DocuNotary benennt diese Einschränkung in seinem Rückblick auf die Berliner Präsentation ausdrücklich. Die Identität hinter dem Schlüssel sei derzeit selbst deklariert und solle künftig verifiziert werden.

Das ist ein wesentlicher Unterschied.

Ein Betrüger könnte grundsätzlich selbst ein Schlüsselpaar erzeugen und unter dem Namen eines fremden Unternehmens Dokumente signieren. Der kryptografische Nachweis wäre technisch gültig, obwohl die behauptete Unternehmensidentität falsch ist.

Erst eine vertrauenswürdige Verbindung zwischen dem Schlüssel und einer überprüften juristischen Person kann diese Lücke schließen.

Für die angestrebte Bekämpfung von Rechnungsbetrug ist diese Erweiterung besonders wichtig. Denn entscheidend ist nicht allein, ob eine Rechnung unverändert geblieben ist, sondern auch, ob sie tatsächlich vom berechtigten Lieferanten ausgestellt wurde.

Die angekündigte Identitätsprüfung könnte deshalb für die praktische Einsetzbarkeit von DocuNotary wichtiger sein als zusätzliche Funktionen der Dokumentenanalyse.

IOTA Gas Station erleichtert den Zugang

Ein weiterer Bestandteil der Architektur ist die IOTA Gas Station.

Sie ermöglicht gesponserte Transaktionen, bei denen die erforderlichen Netzwerkgebühren nicht unmittelbar vom Benutzer getragen werden. Stattdessen übernimmt ein Sponsor die Zahlung.

Der Entwickler Paolo Galli dokumentierte öffentlich mehrere technische Entwicklungsschritte. Nach seinen Angaben wurde die Gas Station zunächst auf einem Raspberry Pi 5 betrieben und anschließend auf eine Railway-Infrastruktur mit Docker und Redis verlagert.

Damit sollte die Verfügbarkeit der Anwendung verbessert werden, ohne die zuvor verwendeten kryptografischen Schlüssel und Sponsoradressen zu ändern.

Für die Testnet-Version beschrieb Galli einen Ablauf, bei dem Nutzer eine IOTA Wallet verbinden, eine Rechnung hochladen und die Transaktion signieren. Die Gas Station übernimmt dabei die Gebühren.

Die Verifikation einer bereits zertifizierten Rechnung soll hingegen ohne Wallet, Tokenbestand oder Benutzerkonto möglich sein.

Diese Unterscheidung ist wichtig: Eine einfache Überprüfung durch den Rechnungsempfänger bedeutet nicht zwangsläufig, dass auch die Ausstellung der Rechnung bereits vollständig ohne Wallet funktioniert.

DocuNotary arbeitet nach eigenen Angaben daran, die technischen Anforderungen auch für Rechnungsaussteller weiter in den Hintergrund zu verlagern.

Wie belastbar sind die Angaben zum Rechnungsbetrug?

Die DocuNotary-Website begründet den Bedarf für ihre Lösung mit mehreren internationalen Betrugsstatistiken.

Eine davon lässt sich bestätigen: Laut der Association for Financial Professionals waren 79 Prozent der befragten Organisationen im Jahr 2024 von versuchtem oder tatsächlichem Zahlungsbetrug betroffen.

Problematisch ist dagegen die Darstellung einer weiteren Kennzahl.

DocuNotary nennt 89 Prozent aller beruflichen Betrugsfälle im Zusammenhang mit gefälschten Rechnungen und Scheinlieferanten.

Der zugrunde liegende Bericht Occupational Fraud 2024 der Association of Certified Fraud Examiners ordnet die 89 Prozent jedoch der gesamten Kategorie der Vermögensveruntreuung zu. Rechnungsbezogene Betrugsverfahren, sogenannte Billing Schemes, wurden in 22 Prozent der untersuchten Fälle festgestellt.

Die Website verwendet damit eine deutlich breitere Betrugskategorie zur Beschreibung eines engeren Problems.

Die grundsätzliche Gefahr manipulierter Rechnungen wird dadurch nicht infrage gestellt. Für eine belastbare Bewertung des Marktes sollten die unterschiedlichen Betrugsarten jedoch korrekt voneinander abgegrenzt werden.

Offene technische und organisatorische Fragen

Die bisherige Entwicklung zeigt, dass DocuNotary über eine reine Konzeptvorstellung hinausgeht. Der dokumentierte Testnet-Betrieb, die gesponserten Transaktionen und die Präsentation in Berlin liefern konkrete Hinweise auf praktische Entwicklungsarbeit.

Für eine unabhängige technische Bewertung fehlen jedoch weiterhin eindeutig zuordenbare und überprüfte Nachweise über den aktuellen Smart Contract, dessen Sicherheitsprüfung und das vollständige Verfahren zur Ausstellerregistrierung.

Auch die rechtliche Organisation hinter DocuNotary bleibt öffentlich unklar. Paolo Galli tritt als Entwickler des Projekts auf. Eine eindeutig bestätigte Betreibergesellschaft oder dokumentierte Eigentümerstruktur ließ sich daraus bislang nicht ableiten.

Auf der offiziellen Website wird das Testnet als betriebsbereit bezeichnet. Gleichzeitig werden Interessenten über eine Warteliste für einen späteren Mainnet-Start gesammelt.

Ein bereits gestarteter kommerzieller Betrieb im IOTA Mainnet oder eine nachgewiesene Zahl zahlender Kunden lässt sich daraus nicht ableiten.

Ebenso ist zwischen einer Blockchain-Notarisierung und einer qualifizierten elektronischen Signatur oder einem qualifizierten elektronischen Siegel nach der europäischen eIDAS-Verordnung zu unterscheiden. Eine entsprechende Qualifizierung von DocuNotary ist öffentlich nicht nachgewiesen.

Fazit: Die Technologie ist nicht die einzige Herausforderung

DocuNotary zeigt einen nachvollziehbaren Anwendungsfall für die Infrastruktur von IOTA. Kryptografische Dokumentennachweise, gesponserte Transaktionen und eine unkomplizierte Prüfung durch Rechnungsempfänger könnten dazu beitragen, Manipulationen im betrieblichen Rechnungsverkehr schneller zu erkennen.

Der Übergang vom Hackathon-Prototyp zu einer zuverlässig einsetzbaren Unternehmenslösung hängt jedoch von weiteren Schritten ab.

Besonders entscheidend sind die unabhängige Verifizierung der Ausstelleridentitäten, nachvollziehbare Sicherheitsnachweise und praktische Erfahrungen aus realen Unternehmensprozessen.

Mit der Suche nach einem ersten Pilotpartner beginnt für DocuNotary deshalb eine wichtige Phase. Sie wird zeigen müssen, ob sich die technisch demonstrierten Funktionen auch unter den organisatorischen und rechtlichen Anforderungen des Geschäftsalltags bewähren.