Genügt es in den meisten Fällen, nur die Metadaten zu löschen?

Wenn das Dokument im Seiteninhalt keine sensiblen Informationen trägt, genügt es – etwa bei einem technischen Dokument, einer Anleitung oder einer Präsentation. Stehen auf den Seiten personenbezogene Daten, Kontonummern, Gesundheitsdaten oder Namen, nützt eine Metadatenbereinigung überhaupt nichts; diese Information steht im Seiteninhalt und ist lesbar. Um zu entscheiden, muss man zuerst prüfen, was auf den Seiten des Dokuments steht.

Ist es nicht am sichersten, das Dokument auszudrucken und neu einzuscannen?

Datenschutzrechtlich ist es wirksam – Metadaten verschwinden, verborgene Ebenen verschwinden, die Versionsgeschichte verschwindet. Doch der Preis ist hoch: Die Dateigröße vervielfacht sich, der Text wird unsuchbar, die Bildqualität sinkt, die Barrierefreiheit fällt auf null, und der Vorgang dauert Minuten. Zudem entstehen für den neuen Scan eigene Metadaten. Schwärzung und Metadatenbereinigung bieten denselben Schutz zu weit geringeren Kosten.

Löst das erneute Erzeugen aus Word das Metadatenproblem?

Nur zum Teil. Sie werden die Metadaten des alten PDFs los, doch das neue PDF übernimmt die Angaben von Word und Ihrem Betriebssystem – in das Autorenfeld wird Ihr Benutzername geschrieben. Sie lösen das Problem also nicht, sondern erzeugen lediglich einen neuen Metadatensatz. Auch nach dem Neuerzeugen ist eine Metadatenbereinigung erforderlich.

In welcher Reihenfolge soll ich diese drei Schritte durchführen?

Zuerst die Schwärzung (sensible Informationen aus dem Seiteninhalt entfernen), dann das Reduzieren (falls Formulardaten vorhanden sind), dann Komprimieren oder Neuschreiben (das bereinigt die Versionsgeschichte) und zuletzt die Metadatenbereinigung. Diese Reihenfolge ist wichtig, weil Komprimieren und Neuschreiben Metadaten neu erzeugen können; setzen Sie die Bereinigung ans Ende, bleibt sie dauerhaft.

Metadaten löschen, schwärzen oder neu erzeugen? Ein Datenschutzvergleich

Sie wollen ein sensibles Dokument nach außen geben. Sie haben den Rat "Bereinige die Metadaten" gehört und befolgt. Aber genügt das? Die Antwort hängt vollständig davon ab, was in dem Dokument gespeichert ist, und meist genügt es allein nicht. In diesem Beitrag vergleichen wir drei verschiedene Bereinigungsmethoden für den PDF-Datenschutz und stellen klar, welche was löst.

Wo in einem PDF Informationen stecken können

Bevor wir zum Vergleich kommen, zeichnen wir die Landkarte. In einem PDF können sich Informationen an sechs verschiedenen Stellen befinden:

Sichtbar im Seiteninhalt – der Text, den Sie lesen, die Bilder, die Sie sehen.
Verborgen im Seiteninhalt – überdeckter Text, Bereiche außerhalb der Zuschneidebox.
In den Metadaten – Autor, Titel, Daten, erzeugendes Programm.
In Formularfeldern – die ausgefüllten Werte.
In eingebetteten Dateien – angehängte Excel-Tabellen, Quelldateien.
In der Versionsgeschichte – frühere Zustände, die sich durch inkrementelle Aktualisierungen angesammelt haben.

Jede Bereinigungsmethode zielt auf andere Zeilen dieser Liste. Um richtig zu entscheiden, müssen Sie zuerst wissen, welche Zeilen in Ihrem Dokument gefüllt sind.

Die Abdeckungstabelle der Methoden

| Ort der Information | Metadaten löschen | Schwärzung | Reduzieren | Neuschreiben | Drucken + scannen | |---|---|---|---|---|---| | Sichtbarer Seitentext | Nein | Ja | Nein | Nein | Nein | | Verborgener Seitentext | Nein | Ja | Nein | Nein | Ja | | Metadaten | Ja | Nein | Nein | Teilweise | Ja | | Daten in Formularfeldern | Nein | Nein | Ja | Nein | Ja | | Eingebettete Dateien | Nein | Nein | Nein | Manchmal | Ja | | Versionsgeschichte | Nein | Nein | Nein | Ja | Ja |

Aus der Tabelle folgen zwei Erkenntnisse: Keine einzelne Methode deckt alles ab, und Drucken und Scannen deckt alles ab, ist aber die teuerste Methode.

Szenario 1: Ich veröffentliche ein technisches Handbuch

Auf den Seiten stehen keine sensiblen Informationen, nur technische Inhalte. Es soll auf der Website veröffentlicht werden.

Nötig: Metadaten bearbeiten (nicht löschen).

In diesem Szenario ist das Datenschutzrisiko gering. Was Sie tun sollten, ist nicht, die Metadaten zu bereinigen, sondern sie richtig auszufüllen: ein echter Titel im Titelfeld, der Organisationsname im Autorenfeld. So erscheint das Dokument im Browser-Tab und in Suchergebnissen ordentlich.

Nur auf eines sollten Sie achten: Steht im Autorenfeld Ihr persönlicher Name oder Benutzername, ersetzen Sie ihn durch den Organisationsnamen. Das verhindert die Weitergabe persönlicher Angaben und sorgt für Einheitlichkeit nach außen.

Szenario 2: Ich sende einen Vertrag an einen Dritten

Im Vertrag stehen die Namen der Parteien (das ist nötig), doch einige Zusatzklauseln und Preisangaben sollen entfernt werden.

Nötig: Schwärzung plus Metadatenbereinigung.

Die Schwärzung kommt zuerst, denn sie ist die eigentliche Arbeit: die zu entfernenden Passagen wirklich zu löschen. Einen schwarzen Kasten darüberzulegen genügt nicht – der Text darunter bleibt in der Datei und tritt beim Markieren, Kopieren oder mit Werkzeugen zur Textextraktion zutage. Dieser Fehler hat im wirklichen Leben schon zu Offenlegungen in Unternehmen geführt.

Die Metadatenbereinigung folgt an zweiter Stelle: Aus welcher Vorlage das Dokument erzeugt wurde, wer es erstellt und wann es geändert hat, muss während einer Verhandlung nicht unbedingt bekannt sein.

Szenario 3: Ein ausgefülltes Antragsformular

Sie haben Ihre persönlichen Daten in ein Formular eingetragen und senden es an eine Behörde.

Nötig: Reduzieren plus Metadatenbereinigung.

Hier geht es nicht darum, Informationen zu verbergen – die Formulardaten sollen ja übermittelt werden. Es geht darum, dass die Angaben korrekt und unveränderbar ankommen.

Das Reduzieren wandelt die Feldwerte in Seiteninhalt um. So sehen sie in jedem Betrachtungsprogramm und auf jedem Drucker gleich aus, und der Empfänger kann sie nicht ändern.

Die Metadatenbereinigung verhindert die Weitergabe unnötiger Angaben: Von welchem Rechner aus Sie ausgefüllt und welches Programm Sie verwendet haben, muss die Behörde nicht wissen.

Szenario 4: Ich gebe einen Teil eines internen Berichts weiter

Sie geben 5 Seiten eines 100-seitigen vertraulichen Berichts nach außen.

Nötig: Seiten extrahieren plus Schwärzung plus Neuschreiben plus Metadatenbereinigung.

Das ist das Szenario, das die größte Sorgfalt verlangt, weil mehrere Risiken zugleich bestehen:

Das Extrahieren der Seiten ist der erste Schritt – trennen Sie nur die Seiten heraus, die weitergegeben werden. Aber Vorsicht: Der Extraktionsvorgang überträgt die Dokument-Metadaten in die neue Datei, und dort steht womöglich der Titel des Originalberichts.

Die Schwärzung entfernt auf den verbleibenden 5 Seiten die Details, die vertraulich bleiben müssen.

Das Neuschreiben (Komprimieren oder ein anderer Vorgang, der die Datei vollständig neu erzeugt) bereinigt die Versionsgeschichte. Wurde der Originalbericht mit inkrementellen Aktualisierungen erstellt, können auf den extrahierten Seiten frühere Entwurfsstände zurückbleiben.

Die Metadatenbereinigung erfolgt zuletzt, weil die vorherigen Schritte Metadaten neu erzeugen können.

Szenario 5: Ich sende eine anonyme Rückmeldung

Ihre Identität darf auf keinerlei Weise erkennbar sein.

Nötig: Neuerzeugung plus Metadatenbereinigung – oder ein anderes Format.

In diesem Szenario lautet der sicherste Rat: Verwenden Sie kein PDF. Eine reine Textdatei trägt keinerlei verborgene Ebenen. Ist das Format zwingend, erzeugen Sie das Dokument mit einem minimalen Werkzeug von Grund auf neu und bereinigen die Metadaten.

Zu versuchen, ein vorhandenes PDF zu "anonymisieren", ist riskant, weil Sie nicht genau wissen können, was wo abgelegt wurde. Eine neue Datei zu erzeugen ist weit besser kontrollierbar.

Auch nach der Neuerzeugung ist eine Metadatenbereinigung nötig – denn die neue Datei übernimmt die Angaben des von Ihnen verwendeten Programms und Ihres Betriebssystems. Die Annahme "ich habe es neu erzeugt, also ist es sauber" ist falsch.

Die tatsächlichen Kosten von Drucken und Scannen

Weil diese Methode alles löst, wirkt sie verlockend. Zählen wir ihren Preis klar auf:

Dateigröße. Ein Dokument von 500 KB wird nach dem Scannen 10–30 MB groß. Es stößt an E-Mail-Grenzen, und die Archivkosten steigen.

Textverlust. Das Dokument ist nun ein Bild. Es lässt sich nicht durchsuchen, nicht kopieren und nicht automatisiert verarbeiten. Der Empfänger muss die Informationen von Hand abtippen.

Qualität. Scanrauschen, Schieflage, Farbverschiebungen. Das Dokument wirkt amateurhaft.

Barrierefreiheit. Wer einen Screenreader verwendet, kann das Dokument überhaupt nicht lesen. Bei Dokumenten von Unternehmen und Behörden ist das ein ernstes Problem.

Neue Metadaten. Die Scansoftware fügt ihre eigenen Metadaten hinzu – Gerätemodell, Scandatum, Benutzername. Das Metadatenproblem verschwindet also nicht vollständig, es ändert nur seine Gestalt.

Zeit. Die körperliche Arbeit dauert Minuten.

Fazit: Drucken und Scannen bietet denselben Schutz wie Schwärzung und Metadatenbereinigung, jedoch zu weit höheren Kosten. Es ist nur dann sinnvoll, wenn Sie keinen Zugang zu anderen Werkzeugen haben oder das Dokument ohnehin auf Papier weiterläuft.

Die richtige Reihenfolge

Wenn Sie mehrere Schritte durchführen, ist die Reihenfolge wichtig:

1. Seitenauswahl. Extrahieren Sie nur die nötigen Seiten. Weniger Seiten bedeuten weniger Risiko.

2. Schwärzung. Entfernen Sie sensible Informationen aus dem Seiteninhalt. Das ist der kritischste Schritt.

3. Reduzieren. Schreiben Sie vorhandene Formulardaten fest.

4. Neuschreiben / Komprimieren. Das bereinigt die Versionsgeschichte und übrig gebliebene Objekte.

5. Metadatenbereinigung. Zuletzt. Denn die vorherigen Schritte können Metadaten neu erzeugen.

6. Überprüfung. Öffnen Sie das Ergebnis und kontrollieren Sie es: Versuchen Sie, Text zu markieren (an geschwärzten Stellen darf sich nichts markieren lassen), sehen Sie sich die Dokumenteigenschaften an und öffnen Sie die Datei in einem Texteditor, um nach sensiblen Wörtern zu suchen.

Überspringen Sie den letzten Schritt nicht. Es gibt zahlreiche Fälle von Offenlegungen in Unternehmen, in denen man eine Bereinigung vorgenommen, sie aber nicht überprüft hat.

Die Entscheidung im Überblick

Keine sensiblen Informationen auf den Seiten → Metadaten bearbeiten genügt.
Zu verbergende Informationen auf den Seiten → Schwärzung ist zwingend, Metadaten zusätzlich.
Sie haben ein Formular ausgefüllt → Reduzieren plus Metadaten.
Sie geben einen Teil eines vertraulichen Dokuments weiter → Extrahieren plus Schwärzung plus Neuschreiben plus Metadaten.
Anonymität ist entscheidend → statt PDF eine reine Textdatei oder eine Neuerzeugung von Grund auf.
Sie haben keinen Zugang zu anderen Werkzeugen → Drucken und Scannen erfüllt den Zweck, aber im Bewusstsein des Preises.

Und in jedem Fall gilt: Überprüfen Sie nach der Bereinigung. Versuchen Sie, Text zu markieren, kontrollieren Sie die Eigenschaften und durchsuchen Sie die Datei.