Unsichtbare Risiken, die in PDFs bleiben

PDFs wirken sicher, weil ihr Erscheinungsbild festgelegt ist.

In PDFs können jedoch Informationen bleiben, die nicht zum auf dem Bildschirm angezeigten Text gehören.

Dazu gehören Erstellername, Erstellungsprogramm, Änderungszeitpunkt, Anmerkungen, eingebettete Dateien, verborgener Text und Spuren des Ursprungsdokuments.

Wenn man Dokumente anonym teilt, ist es gefährlich zu denken: „Ich habe es in PDF umgewandelt, also ist es in Ordnung.“

Dieser Artikel ordnet unsichtbare Risiken in PDFs und Punkte, die vor der Veröffentlichung geprüft werden sollten.

PDFs lassen sich nicht nur nach dem Aussehen beurteilen

PDF ist ein praktisches Format, das sich wie Papier anzeigen lässt.

In einer PDF-Datei können jedoch Informationen enthalten sein, die über die angezeigten Seiten hinausgehen.

Auch wenn ein PDF sauber aussieht, ist die interne Information nicht unbedingt sauber.

Bei Anonymität prüft man angezeigte Seiten und interne Dateiinformationen getrennt.

Was bei PDF-Umwandlung verschwindet und was bleibt

Wenn Office-Dokumente oder Bilder in PDF umgewandelt werden, ändern sich manche Informationen.

Das bedeutet jedoch nicht, dass alle Risiken verschwinden.

PDF-Erstellung kann in bestimmten Situationen sinnvoll sein.

„In PDF umgewandelt“ ist aber nicht dasselbe wie „Anonymität geprüft“.

Schwärzung und verborgener Text

Besonders gefährlich ist es bei PDFs, wenn Informationen vermeintlich durch Schwärzung verborgen wurden.

Wenn nur ein schwarzes Rechteck darübergelegt wird, kann der darunterliegende Text in der Datei bleiben.

Auch wenn er optisch nicht lesbar ist, kann der ursprüngliche Text durch Kopieren, Suchen, Extrahieren oder interne Analyse sichtbar werden.

Bei Dokumenten, die Schwärzung brauchen, nutzt man eine dafür vorgesehene Funktion und prüft danach Suche, Kopieren und Metadaten.

Bei hochriskanten Dokumenten sollte man nicht allein anhand eines Artikels entscheiden, sondern auch Fachleute oder vertrauenswürdige Unterstützungsstellen einbeziehen.

Organisationsinformationen in PDFs

Bei Whistleblowing oder Recherchedokumenten können Organisationsinformationen im PDF ein großes Problem werden.

Nicht nur Erstellernamen, sondern auch Vorlagen, Abteilungsnamen, Dateipfade, Anmerkungen, Verteilnummern, Wasserzeichen und die Form der Seitennummerierung werden zu Hinweisen.

PDFs wirken wie „fertige Fassungen“.

Gerade weil sie wie fertige Fassungen wirken, können Spuren erhalten bleiben, die innerhalb einer Organisation entstanden sind.

Warum dies bei Whistleblowing und Recherchedokumenten besonders gefährlich ist

Bei Whistleblowing und Recherchedokumenten können Informationen in PDFs zeigen, „wer Zugriff auf diese Unterlagen haben konnte“.

Auch wenn im Dokument selbst kein Name steht, können Verteilbereich, Änderungszeit, Anmerkungen, Wasserzeichen, Seitennummern, Dokumentnummern oder abteilungsspezifische Vorlagen die Kandidaten eingrenzen.

Solche Informationen können für gewöhnliche Leser bedeutungslos sein, für Menschen innerhalb der Organisation aber starke Hinweise liefern.

Bei Anonymität denkt man nicht nur daran, wie etwas für Unbekannte aussieht, sondern auch daran, wie es für Menschen aussieht, die den Kontext kennen.

Auch Textextraktion aus PDFs beachten

PDFs können intern Text enthalten, auch wenn sie optisch wie Bilder wirken.

Bei mit OCR bearbeiteten PDFs kann hinter dem Scanbild Suchtext liegen.

Wenn Schwärzung oder Unschärfung nur auf dem Bild erfolgt, bleibt es gefährlich, wenn der ursprüngliche Text im Suchtext erhalten ist.

Vor der Veröffentlichung eines PDFs liest man es nicht nur optisch, sondern prüft auch Suche, Kopieren und Metadaten.

„Auf dem Bildschirm nicht sichtbar“ ist kein Sicherheitsbeweis.

Werkzeuge, die bei der Prüfung helfen können

Wenn PDF-Prüfung, Umwandlung, Schwärzung oder Metadatenentfernung über Online-Dienste erfolgt, können Originaldatei, Dateiname, interne Informationen und Zugriffsinformationen an den Dienst gelangen. Bei hochriskanten Dokumenten lädt man sie nicht zu externen Diensten hoch, sondern prüft lokal und kontrolliert das Ergebnis danach mit einer anderen Methode erneut.

Für die Metadatenprüfung von PDFs wird manchmal ExifTool verwendet.

URL: https://exiftool.org/

Für Strukturprüfung und Umwandlung von PDFs kommt auch qpdf infrage. qpdf ist ein Werkzeug zur Prüfung und Umwandlung der Struktur von PDF-Dateien; die Nutzung lässt sich in der offiziellen Dokumentation nachlesen.

URL: https://qpdf.readthedocs.io/

Ein Werkzeug macht eine Datei jedoch nicht automatisch sicher.

Man muss die angezeigten Informationen lesen und nach Löschung oder Neuerstellung erneut prüfen.

Prüfung vor der Veröffentlichung

Vor der Veröffentlichung eines PDFs prüft man in dieser Reihenfolge.

PDFs sind ein Format, das nach der Veröffentlichung leicht kopiert wird.

Deshalb ist die Prüfung vor der Veröffentlichung wichtig.

Die Entscheidung, ein PDF nicht zu veröffentlichen

Bei hochriskanten PDFs reichen Löschung oder Umwandlung nicht immer aus.

Der Inhalt der Unterlagen selbst kann die Informationsquelle eingrenzen.

Wenn zum Beispiel ein zeitlicher Ablauf enthalten ist, den nur Teilnehmende einer bestimmten Besprechung kennen, eine Abkürzung, die nur eine bestimmte Abteilung nutzt, oder je nach Empfänger unterschiedliche Formulierungen, kann der Kandidatenkreis auch nach Entfernung von Metadaten kleiner werden.

In diesem Fall ist eine Entscheidung nötig: das PDF nicht unverändert veröffentlichen, den Inhalt zusammenfassen, Eigennamen verallgemeinern, nur den notwendigen Umfang von einer vertrauenswürdigen Beratungsstelle prüfen lassen oder Fachleute beziehungsweise Unterstützungsstellen einbeziehen.

Bei Anonymität sind eine saubere Datei und eine veröffentlichbare Datei unterschiedliche Dinge.

Zusammenfassung

PDFs wirken sicher, weil ihr Erscheinungsbild festgelegt ist. Intern können jedoch Ersteller, Erstellungszeit, Anmerkungen, Einbettungen und verborgener Text bleiben.

Nur PDF-Erstellung vervollständigt Anonymität nicht.

Besonders auf Schwärzungen, Anmerkungen, Organisationsinformationen, Verteilnummern und Dateinamen ist zu achten.

Werkzeuge wie ExifTool und qpdf helfen bei der Prüfung, aber der Werkzeugname allein entscheidet nicht über Sicherheit.

Vor der Veröffentlichung prüft man Erscheinungsbild, interne Informationen, Dateiname und die erneute Kontrolle nach Entfernung zusammen.

Verwandte Werkzeuge

Verwandte Artikel