Was in Ihrer PDF verborgen ist: Metadaten erklärt

Sie senden einem neuen Kunden ein Angebot. Das Dokument wirkt sauber und professionell. Doch wenn er Datei → Eigenschaften öffnet, sieht er womöglich den Namen des letzten Kunden, dem Sie es geschickt haben, die Vorlage, die Sie für alle wiederverwenden, dass Sie es um 2:14 Uhr nachts exportiert haben, und einen Dateipfad mit Ihrem vollen Namen. Nichts davon haben Sie getippt. Ihre Software hat es für Sie hinzugefügt, und es ist mit der Datei gereist.

Was Metadaten eigentlich sind

Eine PDF ist ein Container. Neben den sichtbaren Seiten trägt sie strukturierte Informationen über das Dokument. Einiges davon ist tatsächlich nützlich — ein Titel für die Fensterleiste, ein Sprachhinweis für Screenreader. Das meiste wird jedoch automatisch von dem Programm hinzugefügt, das die Datei erzeugt hat, ohne Sie zu fragen, und bleibt für die gesamte Lebensdauer des Dokuments erhalten.

Das ist kein Fehler und keine Böswilligkeit. Es ist ein Nebeneffekt der Arbeitsweise von Dokument-Werkzeugen. Das Problem ist schlicht, dass fast niemand nachsieht, sodass die Daten mit der Datei an Menschen gehen, die sie nie sehen sollten.

Die drei Orte, an denen sie sich versteckt

Diesen Teil überspringen die meisten Erklärungen, und er ist der Grund, warum „Ich habe das Autorenfeld geleert" oft nicht reicht. PDF-Metadaten leben in mindestens drei getrennten Schichten, und eine zu leeren leert die anderen nicht.

1. Das Dokumentinformations-Wörterbuch. Der klassische Satz an Feldern: Title, Author, Subject, Keywords, Creator, Producer, CreationDate, ModDate. Das zeigt Ihr PDF-Reader unter Eigenschaften. Es ist die Schicht, die man kennt.
2. XMP-Metadaten. Ein separates, in die Datei eingebettetes XML-Paket, aus Adobes Extensible Metadata Platform. Es dupliziert häufig die Dokumentinfo-Felder — was bedeutet, dass ein Werkzeug, das eines leert und das andere nicht, Ihren Namen an einer Stelle in der Datei lässt, die der Eigenschaften-Dialog nicht zeigt. XMP kann außerdem Bearbeitungsverläufe, Rechteangaben und anwendungsspezifische Einträge tragen.
3. Metadaten in eingebetteten Bildern. Enthält Ihre PDF Fotos oder Scans, kann jedes eingebettete Bild seinen eigenen EXIF-Block tragen: Kamera- oder Handymodell, Aufnahmezeitpunkt und — bei Fotos mit aktivierten Ortungsdiensten — GPS-Koordinaten. Die eigenen Felder der PDF zu entfernen tut nichts gegen das EXIF, das drei Schichten tiefer in einem JPEG steckt.

Kurzfassung: „Autor" ist nur die Spitze. Eine PDF kann dieselben identifizierenden Angaben in drei verschiedenen Schichten tragen, und die meisten Werkzeuge reinigen nur die, die Sie sehen.

Was in der Praxis tatsächlich durchsickert

In echten Dokumenten sind die wiederkehrenden Übeltäter langweilig konstant:

Ihr Name oder der einer anderen Person. Das Feld Author erbt meist vom Konto, das die Software installiert hat — oft ein persönlicher Name auf einem Dokument, das von einer Firma kommen soll. Wird eine Vorlage wiederverwendet, kann sie die Angaben eines früheren Kunden tragen.
Ihre Software und deren Version. Creator hält die Ursprungsanwendung fest; Producer die Bibliothek, die die PDF tatsächlich geschrieben hat. Zusammen bewerben sie Ihre Werkzeugkette — für sich genommen belanglos und für jemanden, der nach bekannten Schwachstellen sucht, durchaus nützlich.
Dateipfade. Manche Exporter schreiben den Quellpfad in die Datei. /Users/vorname.nachname/Kunden/Acme/Entwuerfe/ verrät Ihren echten Namen, Ihre Ordnerstruktur und manchmal Ihre Kundenliste — alles aus einem Feld.
Zeitstempel. CreationDate und ModDate halten fest, wann das Dokument erstellt und zuletzt angefasst wurde. Unangenehm, wenn ein Dokument angeblich letzte Woche fertig war oder zeigt, dass Sie ein Kündigungsschreiben in der Arbeitszeit verfasst haben.
Frühere Versionen des Dokuments. Das PDF-Format unterstützt inkrementelle Aktualisierungen: Änderungen können an eine Datei angehängt werden, während der vorherige Inhalt in den Bytes darüber bleibt. Ein bearbeitetes und neu gespeichertes Dokument kann noch enthalten, was es vorher sagte.

Der letzte Punkt verdient Betonung, denn er ist der Mechanismus hinter einer ganzen Kategorie öffentlicher Peinlichkeiten — Dokumente, die mit Änderungen veröffentlicht wurden, die nie wirklich entfernt, sondern nur überschrieben waren.

Wie Sie sehen, was in Ihrer eigenen Datei steckt

Nicht raten. Nachsehen. Sie können die Metadaten einer PDF prüfen, ohne sie irgendwohin zu senden:

Öffnen Sie das Metadaten-Audit. Gehen Sie zu Metadaten-Audit. Es läuft in Ihrem Browser — das Dokument wird auf Ihrem Gerät gelesen, statt zur Analyse hochgeladen.
Wählen Sie die PDF, die Sie senden wollen. Idealerweise genau diese Datei, nicht einen früheren Entwurf — die Felder, die Sie interessieren, werden beim Export geschrieben.
Lesen Sie den Bericht. Achten Sie auf alles, was Sie dem Empfänger nicht laut sagen würden: einen persönlichen Namen, einen Pfad, einen früheren Kunden, einen Zeitstempel, der Ihrer Geschichte widerspricht.
Entscheiden Sie, was zählt. Ein Titel ist harmlos. Ihr Home-Verzeichnis nicht.

Metadaten-Audit öffnen

Wie Sie sie entfernen

Sobald Sie wissen, was drin ist, ist das Entfernen schnell:

Öffnen Sie „Metadaten entfernen". Gehen Sie zu Metadaten entfernen.
Laden Sie die fertige PDF. Tun Sie das zuletzt, nach jeder anderen Bearbeitung. Jedes Werkzeug, das die Datei danach neu schreibt, stempelt frische Metadaten wieder hinein.
Exportieren Sie die bereinigte Kopie. Sie erhalten eine neue Datei mit gelöschten identifizierenden Feldern.
Prüfen Sie nach. Lassen Sie die bereinigte Datei erneut durch das Metadaten-Audit laufen. Vertrauen Sie dem Bericht, nicht der Absicht.

„Metadaten entfernen" öffnen

Was das Entfernen von Metadaten nicht tut

Hier verfallen Menschen in ein falsches Sicherheitsgefühl, deshalb lohnt Deutlichkeit über die Grenzen.

Es schwärzt nichts, was Sie sehen. Das Entfernen von Metadaten betrifft die Daten über das Dokument, nicht das Dokument. Vertraulicher Text auf Seite 3 steht weiterhin auf Seite 3.
Es behebt kein schwarzes Kästchen über Text. Ein über Wörter gezeichnetes Rechteck ist eine Grafik, die darüber liegt; der Text darunter ist weiterhin markierbar, kopierbar, vorhanden. Metadaten zu entfernen ändert daran nichts. Echtes Schwärzen muss den Inhalt selbst entfernen, nicht verdecken.
Es anonymisiert das Geschriebene nicht. Ihr Briefkopf, Ihre Formulierungen und der Kundenname im ersten Absatz sind weiterhin Ihre.
Es ist nicht dauerhaft für die Zukunft. Das nächste Werkzeug, das die Datei anfasst, schreibt seinen eigenen Producer und ein frisches ModDate. Zuletzt reinigen, dann senden.

Wann das wirklich zählt

Nicht jedes Dokument braucht eine Bereinigung, und etwas anderes zu behaupten ist nur Lärm. Für eine Speisekarte oder einen Newsletter sind Metadaten belanglos. Es beginnt zu zählen, wenn ein Dokument eine Grenze zwischen Menschen überschreitet, die nicht dieselben Informationen teilen:

Alles, was in die Welt eines Wettbewerbers geht — Angebote, Ausschreibungen, Kostenvoranschläge. Wiederverwendete Vorlagen verraten frühere Empfänger.
Alles Veröffentlichte. Sobald eine Datei auf einer Website liegt, kann sie von jedem heruntergeladen und in aller Ruhe untersucht werden, für immer.
Alles mit Fotos oder Scans, wegen der EXIF-Schicht. Ein zu Hause fotografiertes gescanntes Dokument kann die Koordinaten Ihres Zuhauses tragen.
Alles, wo Sie bewusst anonym sind — Whistleblowing, sensible Berichterstattung, eine Beschwerde. Hier kann das Feld Author das ganze Unterfangen zunichtemachen.

Eine vernünftige Gewohnheit: prüfen Sie alles, was Ihre Organisation verlässt, bereinigen Sie alles Veröffentlichte, und verlieren Sie über den Rest keinen Schlaf.

Warum auf dem eigenen Gerät?

Es liegt eine offensichtliche Ironie darin, ein vertrauliches Dokument auf den Server eines Fremden hochzuladen, um herauszufinden, welche vertraulichen Informationen es enthält. Wenn Sie prüfen, gerade weil die Datei sensibel ist, dann haben Sie mit dem Aushändigen einer vollständigen Kopie an einen Dritten — mit welcher Aufbewahrung und Protokollierung er auch immer praktiziert — den Punkt bereits verspielt, bevor Sie den Bericht gelesen haben. Die Datei dort zu prüfen und zu reinigen, wo sie bereits liegt, vermeidet diesen Handel ganz. In CyvoDocOps laufen unterstützte Vorgänge dieser Art lokal in Ihrem Browser, und das Dokument wird nicht auf einen Server hochgeladen.

Häufige Fragen

Ändert das Entfernen von Metadaten das Aussehen meiner PDF?

Nein. Die sichtbaren Seiten bleiben unberührt. Sie löschen Informationen, die über das Dokument gespeichert sind, nicht dessen Inhalt.

Kann ich Metadaten aus einer PDF entfernen, die mir jemand geschickt hat?

Ja, wenn Sie die Datei öffnen können. Die Bereinigung ändert Ihre Kopie — auf das Original, das der Absender noch hat, hat sie keinen Einfluss.

Warum zeigt das Autorenfeld einen Namen, den ich nie gehört habe?

Fast immer eine wiederverwendete Vorlage oder ein geteilter Rechner: Das Feld wurde von dem übernommen, der das Originaldokument erstellt hat, und nie aktualisiert.

Sind Metadaten dasselbe wie eine digitale Signatur?

Nein. Metadaten sind beschreibende Informationen über die Datei. Eine Signatur ist eine kryptografische Aussage über deren Integrität und Herkunft. Metadaten aus einem signierten Dokument zu entfernen kann die Signatur ungültig machen — zuerst reinigen, zuletzt signieren.

Werden meine Dateien zum Prüfen hochgeladen?

Nein. Bei diesen Werkzeugen wird die PDF lokal in Ihrem Browser verarbeitet und nicht an einen Server gesendet.