Metadaten

SVG-Metadaten prüfen

SVG ist lesbarer XML-Text und kann Ersteller, Firmenname, Ebenen, IDs, Kommentare, nicht sichtbaren Text, Werkzeuge und Dateinamen enthalten.

SVG ist eine Bilddatei, aber ihr Inhalt ist Text.

Anders als Bilder, die wie PNG oder JPEG wirken, können SVG-Dateien als XML Formen, Text, Kommentare, Ebenennamen, Werkzeuginformationen, IDs und Beschreibungen unverändert enthalten.

Auch wenn die Darstellung unproblematisch aussieht, können beim Öffnen der Datei als Text Erstellernamen, Firmennamen, Projektnamen, ursprünglicher Text und Informationen zum Bearbeitungswerkzeug erhalten geblieben sein.

Wenn man Bilder oder Diagramme anonym veröffentlicht, muss SVG nicht als "Bild", sondern als "veröffentlichte Textdatei" geprüft werden.

Dieser Artikel ordnet, welche Informationen in SVG verbleiben können und was vor der Veröffentlichung zu prüfen ist.

SVG ist ein lesbares Bild

SVG steht für Scalable Vector Graphics und ist ein Format, das Vektorbilder in XML beschreibt.

Kreise, Linien, Text, Pfade, Farben und Positionen werden als Tags und Attribute geschrieben. Deshalb kann SVG im Browser als Bild angezeigt werden, während der Inhalt zugleich in einem Texteditor lesbar ist.

Element in SVG	Informationen, die bleiben können	Hinweis für Anonymität
text-Element	Text im Bild	Auch nicht sichtbarer Text kann bleiben
metadata-Element	Ersteller, Werkzeug, Beschreibung	Die Produktionsumgebung wird sichtbar
Kommentare	Arbeitsnotizen, Namen	Werden leicht übersehen, weil sie nicht sichtbar sind
id und class	Ebenennamen, Bauteilnamen	Projektnamen oder interne Begriffe können bleiben
Dateiname	Name, Fallname, Datum	Wird beim Teilen unverändert sichtbar

Die Gefahr bei SVG liegt darin, dass Aussehen und Inhalt nicht übereinstimmen.

Text, den man auf dem Bildschirm gelöscht zu haben glaubt, kann im XML erhalten bleiben.

Informationen aus Designwerkzeugen bleiben erhalten

SVG wird häufig aus Designwerkzeugen oder Zeichenprogrammen exportiert.

Dabei können Name des Erstellungswerkzeugs, Exporteinstellungen, Ebenennamen, Objektnamen und Vorlagennamen erhalten bleiben.

Verbleibende Information	Beispiel	Hinweis
Erstellungswerkzeug	Illustrator, Figma, Inkscape usw.	Die Produktionsumgebung wird abschätzbar
Ebenenname	client-logo, school-map	Fallname oder Organisationsname wird sichtbar
Objekt-ID	user-name, draft-title	Der ursprüngliche Zweck wird sichtbar
Kommentar	TODO, Arbeitsnotiz	Interne Informationen bleiben erhalten
Vorlagenname	Vorlage mit Firmenname	Kann zu einer Zugehörigkeit führen

Der Werkzeugname allein ist nicht immer ein großes Problem.

Wenn jedoch Firmenname, Schulname, Fallname, interner Projektname oder Benutzername erhalten bleibt, betrifft das die Anonymität direkt.

Vorsicht bei unsichtbarem Text

In SVG können nicht sichtbare oder zu kleine Texte erhalten bleiben.

Wenn zum Beispiel ein Name aus der ursprünglichen Grafik nur außerhalb der Zeichenfläche verschoben, transparent gemacht oder eine Ebene lediglich ausgeblendet wurde, kann der Text im XML weiterhin vorhanden sein.

Zustand	Aussehen	Inhalt
Transparenter Text	Nicht sichtbar	Bleibt als text-Element erhalten
Text außerhalb der Zeichenfläche	Wird nicht angezeigt	Bleibt mit Koordinaten erhalten
Ausgeblendete Ebene	Nicht sichtbar	Ebeneninformationen können bleiben
Sehr kleiner Text	Leicht zu übersehen	Durch Vergrößerung oder XML-Prüfung lesbar

Auch wenn die Datei als Bild betrachtet unproblematisch wirkt, prüft man den Inhalt als Text.

Bei SVGs, die Anonymität brauchen, ist es wichtig, nicht allein nach dem Aussehen zu veröffentlichen.

Was geprüft wird

Vor der Veröffentlichung eines SVG prüft man die folgenden Informationen.

Prüfpunkt	Warum man ihn prüft
Erstellername	Personennamen oder Kontonamen können bleiben
Firmenname oder Schulname	Zugehörigkeit oder Fall wird sichtbar
Ebenenname und ID	Interne Projektnamen können bleiben
Kommentare	Arbeitsnotizen oder Informationen vor dem Löschen bleiben erhalten
Nicht sichtbarer Text	Text bleibt, obwohl er nicht angezeigt wird
Dateiname	Wird beim Teilen unverändert sichtbar

Die Prüfmethode ist einfach.

Man öffnet die SVG-Datei in einem Texteditor und sucht nach Namen, E-Mail-Adressen, Firmennamen, Schulnamen, Fallnamen, Ortsnamen, Kommentaren und unnötigen Zeichenketten.

Umgang mit SVG-Optimierungswerkzeugen

Für SVG gibt es Optimierungswerkzeuge, mit denen unnötige Metadaten und Attribute entfernt werden können.

SVGO ist ein verbreitetes Werkzeug zur Optimierung von SVG-Dateien. Im offiziellen Repository lässt sich prüfen, was entfernt werden kann und welche Plugins verfügbar sind.

URL : https://github.com/svg/svgo

Wenn man SVGO verwendet, geht man von der Verarbeitung als offizielles lokales Werkzeug aus. Wenn man ein Hochrisiko-SVG bei einem SVG-Optimierungsdienst im Web hochlädt, können Zeichenketten im XML und Dateinamen nach außen gelangen.

Ein Werkzeuglauf bedeutet jedoch nicht, dass die Datei sicher ist.

Welche Informationen bleiben, hängt von den Einstellungen ab. Werkzeuge entfernen vor allem unnötige Attribute und Metadaten; sie beurteilen nicht die Bedeutung von Text, Hintergründen oder Inhalten, die eigentlich im Bild gezeichnet sind.

Auch wenn SVGO verwendet wird, prüft am Ende ein Mensch den Inhalt.

Ist die Umwandlung in PNG sicher?

Wenn man SVG in ein Rasterbild wie PNG umwandelt, liegen die Textinformationen grundsätzlich nicht mehr als XML-Text vor.

Das bedeutet aber nicht, dass die Datei vollständig sicher ist.

Text, Hintergründe, Logos, Karten und Bildschirminformationen, die als Bild angezeigt werden, bleiben erhalten. Außerdem kann auch die umgewandelte Bilddatei neue Metadaten enthalten.

Was durch Umwandlung verringert wird	Was bleibt	Hinweis
XML-Kommentare	Text, der im Bild zu sehen ist	Sichtprüfung bleibt nötig
Ebenennamen	Logos und Hintergründe	Zugehörigkeit oder Ort wird sichtbar
Objekt-IDs	Metadaten des umgewandelten Bildes	Auch die Ausgabedatei prüfen

Die Umwandlung ist eine mögliche wirksame Maßnahme.

Nach der Umwandlung prüft man aber weiterhin das Aussehen und die Dateiinformationen.

Praktische Schritte vor dem Teilen

Vor der Veröffentlichung eines SVG sollte man die Prüfschritte festlegen und jedes Mal durchgehen.

Zuerst kopiert man die Originaldatei und erstellt eine getrennte Datei für die Veröffentlichung. Danach öffnet man den Inhalt in einem Texteditor und sucht nach Namen und Organisationsnamen. Anschließend zeigt man die Datei im Browser an und prüft, ob sichtbare Texte oder Logos geblieben sind. Zum Schluss prüft man, ob der Dateiname der Veröffentlichungskopie personenbezogene Informationen enthält.

Reihenfolge	Arbeitsschritt	Zweck
1	Originaldatei kopieren	Arbeitsmaterial und Veröffentlichungskopie trennen
2	Als Text öffnen	Informationen im XML prüfen
3	Nach Namen und Organisationsnamen suchen	Direkte Hinweise finden
4	Im Browser anzeigen	Sichtbare Lecks prüfen
5	Dateiname ändern	Äußere Informationen entfernen

Wenn man diese Schritte jedes Mal gleich ausführt, sinkt die Gefahr, etwas zu übersehen.

Gerade wenn es eilig ist, ist es wichtig, nicht nur nach dem Aussehen zu urteilen.

Bei Hochrisiko-SVGs das Veröffentlichungsformat überdenken

Bei Whistleblowing, Recherchematerial, Diagrammen mit Bezug zu Arbeitsplatz oder Schule und Grafiken, die Beteiligte schützen müssen, prüft man, ob eine Veröffentlichung als SVG wirklich nötig ist.

SVG ist praktisch, enthält aber eine editierbare Struktur und ist deshalb ein Format, in dem Informationen leicht zurückbleiben. Wenn Lesende die Grafik nicht vergrößern oder bearbeiten müssen, kann auch eine Umwandlung in PNG und anschließende Prüfung als Bild sinnvoll sein.

Auch nach einer PNG-Umwandlung bleiben jedoch Hintergründe und sichtbare Texte erhalten.

Das Format zu ändern, dient nicht dazu, Prüfungen zu reduzieren. Es ist eine Entscheidung, welche Arten von Informationen geprüft werden müssen.

Zusammenfassung

SVG wird als Bild angezeigt, besteht im Inneren aber aus Text.

Erstellername, Firmenname, Schulname, Ebenenname, ID, Kommentar, nicht sichtbarer Text und Arbeitsnotizen können erhalten bleiben.

Wenn man SVG anonym veröffentlicht, prüft man nicht nur die Bilddarstellung, sondern auch den Inhalt in einem Texteditor.

Optimierungswerkzeuge wie SVGO können helfen, sollten aber nicht allein die Entscheidung tragen.

Am Ende ist wichtig, Textinhalt, sichtbares Bild, XML-Inhalt und Dateiname gemeinsam zu prüfen.