Risiken durch PDF-Metadaten

PDFs werden häufig als Veröffentlichungs- oder Einreichungsunterlagen verwendet.

PDFs lassen sich jedoch nicht nur nach ihrem Aussehen beurteilen. Auch wenn im Text kein Name steht, können in der Datei Erstellername, Erstellungssoftware, Erstellungszeit, Anmerkungen, eingebettete Dateien und Formularinformationen bleiben.

Bei Anonymität werden nicht nur die Inhalte eines PDFs zu Hinweisen, sondern auch die Umgebung, in der es erstellt wurde, und der Bearbeitungsverlauf.

Dieser Artikel ordnet Informationen, die leicht in PDFs bleiben, und die Prüfpunkte vor einer Veröffentlichung.

Informationen, die in PDFs bleiben

PDFs können Informationen enthalten, die über das Dokument selbst hinausgehen.

PDFs wirken wie „fertige Fassungen“.

Intern können jedoch Informationen aus dem Erstellungsprozess bleiben.

Fehler bei der Schwärzung

Besonders gefährlich sind bei PDFs fehlgeschlagene Schwärzungen.

Auch wenn optisch ein schwarzes Rechteck etwas verdeckt, kann die Zeicheninformation intern bleiben. Durch Kopieren, Suchen oder Entfernen von Ebenen lässt sich ursprünglicher Text manchmal herausziehen.

Bei hochriskanten Unterlagen ist es sicherer, Schwärzungen nicht nur mit einem einzelnen Augenpaar zu beurteilen.

Im rechtlichen, journalistischen oder Whistleblowing-Kontext kann die Prüfung durch Fachleute oder vertrauenswürdige Beratungsstellen nötig werden.

PDFs nach Aussehen und Innerem getrennt betrachten

Bei der PDF-Prüfung trennt man Aussehen und interne Informationen.

Zum Aussehen gehören Text, Bilder, Tabellen, QR-Codes, Seitenzahlen, Hintergrund und Wasserzeichen. Intern gibt es Metadaten, Anmerkungen, eingebettete Dateien, Formulare und Links.

PDFs sehen wie Drucksachen aus.

Tatsächlich sind sie digitale Dateien mit interner Struktur.

Prüfschritte

Vor Veröffentlichung eines PDFs ist es Grundsatz, nicht die Originaldatei direkt zu veröffentlichen.

Man erstellt eine Veröffentlichungskopie und lässt nur die nötigen Informationen darin.

Werkzeuge wie ExifTool oder qpdf helfen bei der Prüfung.

Auch wenn ein Werkzeug Metadaten entfernt, müssen Informationen im Text oder in Bildern getrennt geprüft werden. Wenn man die Original-PDF zu externen PDF-Konvertern, Online-Schwärzungsdiensten oder Online-Metadatenprüfern hochlädt, können Dokumentinhalt, Zugriffsinformationen und Verarbeitungszeit an diesen Dienst gelangen. Bei hochriskanten PDFs führt man Prüfung und Umwandlung möglichst lokal aus.

Auch den Empfängerweg des PDFs prüfen

Das Risiko eines PDFs liegt nicht nur im Dateiinneren.

Auch wohin man es hochlädt, an wen man es sendet und über welches Konto man es teilt, betrifft Anonymität. Bei Freigabe aus einer persönlichen Cloud können Eigentümername oder E-Mail-Adresse sichtbar sein. Bei E-Mail-Versand bleiben Absender, Betreff und Zeitpunkt.

Ein PDF sicherer zu machen bedeutet nicht nur, sein Inneres aufzuräumen.

Man betrachtet auch Freigabeweg, Konto, Sendezeit und Speicherung auf der Gegenseite.

Abgrenzung zu anderen Artikeln

Dieser Artikel behandelt Risiken durch Informationen, die in PDFs bleiben.

Der Ablauf zum tatsächlichen Entfernen von PDF-Metadaten wird in „Vorsicht beim Entfernen von PDF-Metadaten“ behandelt. Wenn ein PDF aus einer Office-Datei erstellt wird, prüft man auch Erstellerinformationen und Änderungsverlauf in der ursprünglichen Office-Datei.

Wichtig ist also, nicht beim PDF allein stehenzubleiben.

PDFs sind in vielen Situationen ein „leicht einzureichendes Format“.

Gerade deshalb werden sie bei Whistleblowing, Beratung in Schule oder Beruf und journalistischer Weitergabe leicht unverändert herausgegeben. Wenn Anonymität wichtig ist, trennt man, wo Informationen über die Person, die das PDF erstellt, bearbeitet, geteilt oder geöffnet hat, erhalten bleiben.

Auch bei erhaltenen PDFs vorsichtig sein

PDF-Risiken betreffen nicht nur selbst erstellte Dateien.

Auch PDFs, die man von anderen erhält, können Ersteller, Erstellungszeit, Erstellungssoftware, Anmerkungen und eingebettete Dateien enthalten. Wenn man ein PDF aus Recherche oder Beratung unverändert veröffentlicht, kann dadurch eine Linie zurück zur Quelle entstehen.

Gerade erhaltene PDFs prüft man aus der Perspektive des Quellenschutzes.

Auch Scan-PDFs behalten Hinweise

Es stimmt nicht, dass ein eingescanntes Papier als PDF automatisch sicher ist.

Scan-PDFs können Scannername, Erstellungssoftware und Erstellungszeit enthalten. Außerdem bleiben auf der Papierseite selbst Stempelabdrücke, Eingangsnummern, Handschrift, Knicke, Randnotizen und Merkmale des Kopiergeräts. Auch Bild-PDFs ohne Textinformation liefern über das Aussehen Hinweise.

Scan-PDFs tragen Risiken digitaler Dokumente und Papierdokumente zugleich.

Man prüft nicht nur Metadaten, sondern vergrößert auch das Aussehen der Papierseite.

Zusammenfassung

PDFs lassen sich nicht allein nach ihrem Aussehen als sicher beurteilen.

Erstellername, Erstellungszeit, Erstellungssoftware, Anmerkungen, eingebettete Dateien und Formularinformationen können bleiben.

Auch Schwärzung ist nach dem Aussehen allein unzureichend. Verfahren, bei denen ursprüngliche Zeichen intern bleiben, sind gefährlich.

Bei Anonymität prüft man PDF-Text, Aussehen, interne Informationen, Dateiname und Freigabeziel getrennt.

Bei hochriskanten Unterlagen erwägt man, nicht allein zu entscheiden, sondern vertrauenswürdige Beratungsstellen oder Fachleute einzubeziehen.

Verwandte Werkzeuge

Verwandte Artikel