SVG-Metadaten prüfen

SVG ist eine Bilddatei, aber ihr Inhalt ist Text.

Anders als Bilder, die wie PNG oder JPEG wirken, können SVG-Dateien als XML Formen, Text, Kommentare, Ebenennamen, Werkzeuginformationen, IDs und Beschreibungen unverändert enthalten.

Auch wenn die Darstellung unproblematisch aussieht, können beim Öffnen der Datei als Text Erstellernamen, Firmennamen, Projektnamen, ursprünglicher Text und Informationen zum Bearbeitungswerkzeug erhalten geblieben sein.

Wenn man Bilder oder Diagramme anonym veröffentlicht, muss SVG nicht als "Bild", sondern als "veröffentlichte Textdatei" geprüft werden.

Dieser Artikel ordnet, welche Informationen in SVG verbleiben können und was vor der Veröffentlichung zu prüfen ist.

SVG ist ein lesbares Bild

SVG steht für Scalable Vector Graphics und ist ein Format, das Vektorbilder in XML beschreibt.

Kreise, Linien, Text, Pfade, Farben und Positionen werden als Tags und Attribute geschrieben. Deshalb kann SVG im Browser als Bild angezeigt werden, während der Inhalt zugleich in einem Texteditor lesbar ist.

Die Gefahr bei SVG liegt darin, dass Aussehen und Inhalt nicht übereinstimmen.

Text, den man auf dem Bildschirm gelöscht zu haben glaubt, kann im XML erhalten bleiben.

Informationen aus Designwerkzeugen bleiben erhalten

SVG wird häufig aus Designwerkzeugen oder Zeichenprogrammen exportiert.

Dabei können Name des Erstellungswerkzeugs, Exporteinstellungen, Ebenennamen, Objektnamen und Vorlagennamen erhalten bleiben.

Der Werkzeugname allein ist nicht immer ein großes Problem.

Wenn jedoch Firmenname, Schulname, Fallname, interner Projektname oder Benutzername erhalten bleibt, betrifft das die Anonymität direkt.

Vorsicht bei unsichtbarem Text

In SVG können nicht sichtbare oder zu kleine Texte erhalten bleiben.

Wenn zum Beispiel ein Name aus der ursprünglichen Grafik nur außerhalb der Zeichenfläche verschoben, transparent gemacht oder eine Ebene lediglich ausgeblendet wurde, kann der Text im XML weiterhin vorhanden sein.

Auch wenn die Datei als Bild betrachtet unproblematisch wirkt, prüft man den Inhalt als Text.

Bei SVGs, die Anonymität brauchen, ist es wichtig, nicht allein nach dem Aussehen zu veröffentlichen.

Was geprüft wird

Vor der Veröffentlichung eines SVG prüft man die folgenden Informationen.

Die Prüfmethode ist einfach.

Man öffnet die SVG-Datei in einem Texteditor und sucht nach Namen, E-Mail-Adressen, Firmennamen, Schulnamen, Fallnamen, Ortsnamen, Kommentaren und unnötigen Zeichenketten.

Umgang mit SVG-Optimierungswerkzeugen

Für SVG gibt es Optimierungswerkzeuge, mit denen unnötige Metadaten und Attribute entfernt werden können.

SVGO ist ein verbreitetes Werkzeug zur Optimierung von SVG-Dateien. Im offiziellen Repository lässt sich prüfen, was entfernt werden kann und welche Plugins verfügbar sind.

URL : https://github.com/svg/svgo

Wenn man SVGO verwendet, geht man von der Verarbeitung als offizielles lokales Werkzeug aus. Wenn man ein Hochrisiko-SVG bei einem SVG-Optimierungsdienst im Web hochlädt, können Zeichenketten im XML und Dateinamen nach außen gelangen.

Ein Werkzeuglauf bedeutet jedoch nicht, dass die Datei sicher ist.

Welche Informationen bleiben, hängt von den Einstellungen ab. Werkzeuge entfernen vor allem unnötige Attribute und Metadaten; sie beurteilen nicht die Bedeutung von Text, Hintergründen oder Inhalten, die eigentlich im Bild gezeichnet sind.

Auch wenn SVGO verwendet wird, prüft am Ende ein Mensch den Inhalt.

Ist die Umwandlung in PNG sicher?

Wenn man SVG in ein Rasterbild wie PNG umwandelt, liegen die Textinformationen grundsätzlich nicht mehr als XML-Text vor.

Das bedeutet aber nicht, dass die Datei vollständig sicher ist.

Text, Hintergründe, Logos, Karten und Bildschirminformationen, die als Bild angezeigt werden, bleiben erhalten. Außerdem kann auch die umgewandelte Bilddatei neue Metadaten enthalten.

Die Umwandlung ist eine mögliche wirksame Maßnahme.

Nach der Umwandlung prüft man aber weiterhin das Aussehen und die Dateiinformationen.

Praktische Schritte vor dem Teilen

Vor der Veröffentlichung eines SVG sollte man die Prüfschritte festlegen und jedes Mal durchgehen.

Zuerst kopiert man die Originaldatei und erstellt eine getrennte Datei für die Veröffentlichung. Danach öffnet man den Inhalt in einem Texteditor und sucht nach Namen und Organisationsnamen. Anschließend zeigt man die Datei im Browser an und prüft, ob sichtbare Texte oder Logos geblieben sind. Zum Schluss prüft man, ob der Dateiname der Veröffentlichungskopie personenbezogene Informationen enthält.

Wenn man diese Schritte jedes Mal gleich ausführt, sinkt die Gefahr, etwas zu übersehen.

Gerade wenn es eilig ist, ist es wichtig, nicht nur nach dem Aussehen zu urteilen.

Bei Hochrisiko-SVGs das Veröffentlichungsformat überdenken

Bei Whistleblowing, Recherchematerial, Diagrammen mit Bezug zu Arbeitsplatz oder Schule und Grafiken, die Beteiligte schützen müssen, prüft man, ob eine Veröffentlichung als SVG wirklich nötig ist.

SVG ist praktisch, enthält aber eine editierbare Struktur und ist deshalb ein Format, in dem Informationen leicht zurückbleiben. Wenn Lesende die Grafik nicht vergrößern oder bearbeiten müssen, kann auch eine Umwandlung in PNG und anschließende Prüfung als Bild sinnvoll sein.

Auch nach einer PNG-Umwandlung bleiben jedoch Hintergründe und sichtbare Texte erhalten.

Das Format zu ändern, dient nicht dazu, Prüfungen zu reduzieren. Es ist eine Entscheidung, welche Arten von Informationen geprüft werden müssen.

Zusammenfassung

SVG wird als Bild angezeigt, besteht im Inneren aber aus Text.

Erstellername, Firmenname, Schulname, Ebenenname, ID, Kommentar, nicht sichtbarer Text und Arbeitsnotizen können erhalten bleiben.

Wenn man SVG anonym veröffentlicht, prüft man nicht nur die Bilddarstellung, sondern auch den Inhalt in einem Texteditor.

Optimierungswerkzeuge wie SVGO können helfen, sollten aber nicht allein die Entscheidung tragen.

Am Ende ist wichtig, Textinhalt, sichtbares Bild, XML-Inhalt und Dateiname gemeinsam zu prüfen.

Verwandte Werkzeuge

Verwandte Artikel