PDF anonymisieren: So prüfst du Datei, Kommentare und Eigenschaften

Eine PDF ist erst dann anonymisiert, wenn sensible Angaben nicht nur unsichtbar aussehen, sondern tatsächlich aus Dateiinhalt, Kommentaren, Formularfeldern und Metadaten entfernt wurden. Erstelle zuerst eine Arbeitskopie und verwende für vertrauliche Textstellen eine echte Schwärzungsfunktion. Ein schwarzes Rechteck, eine weiße Schriftfarbe oder das Abschneiden des sichtbaren Seitenbereichs genügt nicht.

Welche Informationen eine PDF preisgeben kann

• Kommentare, Notizen, Stempel und andere Anmerkungen
• ausgefüllte oder ausgeblendete Formularfelder
• Dokumenteigenschaften wie Autor, Titel, Betreff und Schlüsselwörter
• eingebettete Dateien und Dateianhänge
• ausgeblendete Ebenen oder Inhalte außerhalb des sichtbaren Seitenbereichs
• unsichtbarer OCR-Text hinter eingescannten Seiten
• JavaScript, Aktionen, Links und gespeicherte Suchindizes
• digitale Signaturen und Zertifikatsinformationen

Auch der Dateiname kann eine Identität offenlegen. Eine technisch bereinigte Datei mit einem Namen wie Bewerbung_Max_Mustermann.pdf bleibt leicht zuzuordnen.

Die sichere Reihenfolge beim Anonymisieren

1. Original schützen: Arbeite mit einer Kopie. Eine angewendete Schwärzung lässt sich in der bereinigten Fassung normalerweise nicht sinnvoll rückgängig machen.
2. Sichtbare Inhalte erfassen: Suche nach Namen, Initialen, Adressen, Kennzeichen, Nummern und anderen eindeutigen Merkmalen. Kontrolliere zusätzlich Kopf- und Fußzeilen sowie gescannte Seiten.
3. Echte Schwärzung anwenden: Markiere die betroffenen Bereiche mit der Schwärzungsfunktion eines geeigneten PDF-Editors und wende die Markierungen endgültig an.
4. Kommentare und Formularinhalte entfernen: Prüfe die jeweiligen Seitenleisten oder Übersichten des Programms. Lösche nicht nur sichtbare Sprechblasen, sondern die zugehörigen Anmerkungsobjekte.
5. Versteckte Informationen bereinigen: Nutze eine Funktion zum Entfernen verborgener Daten, sofern das Programm sie anbietet. Prüfe dabei Metadaten, Anhänge, Ebenen und eingebettete Inhalte.
6. Unter neuem Namen speichern: Verwende einen neutralen Dateinamen und behalte das Original getrennt von der Versandfassung.
7. Ergebnis unabhängig kontrollieren: Schließe die Datei, öffne sie erneut und teste Suche, Textauswahl, Kommentare, Eigenschaften und Anhänge.

Schwärzen ist nicht dasselbe wie Überdecken

Eine gezeichnete Fläche liegt oft nur über dem ursprünglichen Text. Der verdeckte Inhalt kann dann weiterhin markiert, kopiert, durchsucht oder nach dem Entfernen der Fläche wieder gelesen werden. Dasselbe Risiko besteht bei weißen Rechtecken auf weißem Hintergrund und bei weiß eingefärbter Schrift.

Eine echte Schwärzungsfunktion markiert zunächst die Fundstelle und entfernt den darunterliegenden Inhalt erst beim Anwenden der Schwärzung. Gute Programme können zusätzlich nach wiederkehrenden Begriffen suchen. Diese Suche ersetzt keine Sichtprüfung: Namen können in Bildern, handschriftlichen Notizen, abweichenden Schreibweisen oder nicht erkannten Scans vorkommen.

In Adobe Acrobat gehört die dauerhafte Schwärzung zu den Bearbeitungswerkzeugen der kostenpflichtigen Acrobat-Ausgaben; der kostenlose Acrobat Reader ist dafür nicht als vollständiges Anonymisierungswerkzeug gedacht. Bezeichnungen und Anordnung können je nach Version abweichen. Suche in der Werkzeugübersicht nach Schwärzen beziehungsweise Redact. Funktionen wie Dokument bereinigen oder Verborgene Informationen entfernen dienen der zusätzlichen Dateiprüfung.

Kommentare, Formulare und Signaturen getrennt behandeln

Kommentare sind eigenständige PDF-Objekte. Das Ausblenden der Kommentaransicht oder der Druck ohne Markierungen entfernt sie nicht aus der Datei. Öffne die Kommentarübersicht, kontrolliere Autorennamen und Inhalte und lösche die nicht benötigten Einträge. Speichere die Datei, schließe sie und prüfe die Übersicht nach dem erneuten Öffnen.

Bei Formularen reicht es nicht immer, den sichtbaren Text zu löschen. Ein Feld kann einen gespeicherten Wert, eine Berechnung oder einen Standardwert enthalten. Prüfe jedes Feld und entferne personenbezogene Inhalte. Soll die Versandfassung nicht mehr ausfüllbar sein, kann das Reduzieren auf statische Seiteninhalte sinnvoll sein. Dabei können jedoch Formularfunktionen und Barrierefreiheitsmerkmale verloren gehen.

Eine digitale Signatur enthält absichtlich Informationen über die signierende Person und schützt den signierten Dokumentzustand. Jede nachträgliche Bearbeitung kann die Signatur ungültig machen oder als Änderung kennzeichnen. Benötigst du eine anonyme Fassung, sollte sie aus einer zulässigen unsignierten Ausgangsversion erstellt werden. Das Bild einer handschriftlichen Unterschrift ist keine digitale Signatur, muss aber als sichtbarer personenbezogener Inhalt ebenfalls entfernt werden.

Metadaten und Dateieigenschaften bereinigen

Öffne die Dokumenteigenschaften und kontrolliere mindestens Autor, Titel, Betreff, Schlüsselwörter sowie benutzerdefinierte Eigenschaften. Manche Programme zeigen nur einen Teil der eingebetteten XMP-Metadaten an. Eine spezielle Bereinigungsfunktion ist daher verlässlicher als das bloße Leeren weniger sichtbarer Felder.

Prüfe anschließend, ob das Dokument eingebettete Dateien, alternative Dateidarstellungen, Ebenen oder andere verborgene Elemente enthält. Entferne nur Bestandteile, deren Funktion du verstanden hast. Bei Formularen, barrierefreien Dokumenten, Portfolios oder technisch aufgebauten Geschäftsunterlagen kann eine pauschale Bereinigung Funktionen beeinträchtigen.

Die Eigenschaften des Betriebssystems und die Dokumenteigenschaften der PDF sind nicht dasselbe. Das Entfernen eines Autors im Datei-Explorer oder Finder belegt nicht, dass innerhalb der PDF keine Metadaten mehr gespeichert sind.

So kontrollierst du die fertige Versandfassung

Die Prüfung sollte an der neu gespeicherten Datei stattfinden, nicht an der noch geöffneten Arbeitsansicht. Gehe in dieser Reihenfolge vor:

• Suche nach vollständigen Namen, Namensbestandteilen, E-Mail-Adressen, Nummern und weiteren entfernten Begriffen.
• Versuche, Text an den geschwärzten Stellen auszuwählen und zu kopieren. In einem Texteditor darf dort kein vertraulicher Inhalt erscheinen.
• Öffne Kommentar-, Anlagen-, Ebenen- und Formularansichten, soweit dein Programm sie anbietet.
• Kontrolliere die Dokumenteigenschaften und den Dateinamen.
• Vergrößere jede geschwärzte Stelle. Achte auf stehen gebliebene Ränder, Initialen oder Textteile.
• Öffne die PDF testweise in einem zweiten PDF-Programm oder Browser. Dadurch fallen ausgeblendete Anmerkungen oder abweichend dargestellte Ebenen eher auf.

Ein reiner Ausdruck als neue PDF kann sichtbare Inhalte vereinfachen, ist aber keine allgemeine Garantie für Anonymität. Je nach Druckweg können Links, Formularfunktionen und Barrierefreiheit verloren gehen, während unzureichend überdeckter Inhalt im Druckbild erhalten bleibt. Verwende diesen Weg höchstens als zusätzliche Ausgabestufe nach einer echten Schwärzung und kontrolliere das Ergebnis erneut.

Bei vertraulichen Dateien lokal arbeiten

Online-Dienste erfordern meist das Hochladen des Dokuments auf einen fremden Server. Bei Personalunterlagen, medizinischen Dokumenten, Vertragsdaten oder internen Geschäftsunterlagen ist ein lokal installiertes und dafür freigegebenes PDF-Programm die sicherere Wahl. Entscheidend ist nicht allein, ob ein Dienst eine Datei später löscht, sondern ob du sie überhaupt an diesen Anbieter übermitteln darfst.

Eine anonymisierte PDF sollte nur die Informationen enthalten, die der Empfänger wirklich benötigt. Bewahre die unveränderte Originaldatei getrennt auf, versende ausschließlich die geprüfte Kopie und kontrolliere vor dem Hochladen oder Anhängen noch einmal Dateiname und Dateiversion.