Vertrauliche Daten im PDF schwärzen

Personenbezogene Daten in einer PDF so verbergen, dass sie nicht zurückzuholen sind

Die Geschichte wiederholt sich etwa einmal im Jahr und schafft es in die Nachrichten. Eine Organisation veröffentlicht ein Dokument, in dem Namen und Adressen sauber mit schwarzen Rechtecken abgedeckt sind. Eine Stunde später markiert jemand den Text mit der Maus, fügt ihn in einen Editor ein und hat alles Abgedeckte im Klartext.

Der Grund ist einfach, und ihn zu verstehen zählt mehr, als sich eine Klickfolge zu merken.

Warum ein Rechteck über dem Text nichts verbirgt

Eine PDF ist aus Ebenen gebaut. Text liegt im Seiteninhalt als Text, mit Koordinaten und Schriftart. Ein im Editor darübergelegtes Rechteck ist ein weiteres Inhaltselement, das später gezeichnet wird und deshalb obenauf zu sehen ist.

Der Text verschwindet dabei nirgendwohin. Er steht weiter in der Datei, wird von der Suche gefunden, mit der Maus markiert und kopiert. Das Rechteck deckt ihn nur optisch ab, genau wie ein Blatt Papier auf einem Bildschirm.

Echte Schwärzung arbeitet anders: der Inhalt unter der Fläche wird zuerst aus der Seite herausgeschnitten, und erst danach kommt eine Füllung auf den frei gewordenen Platz.

Drei Stile und was jeder mit dem Inhalt macht

Die ersten beiden sind echtes Entfernen. Nachgeprüft an einem Dokument, in dem eine Zeile mit einer Kennnummer von einer schwarzen Fläche verdeckt wurde: nach der Verarbeitung findet man diese Zeile weder über die Suche noch durch Kopieren, während sich die Nachbarzeilen weiter als gewöhnlicher Text markieren lassen.

Weichzeichnen maskiert, es entfernt nicht

Der dritte Stil steht für sich, und er kostet zweifach.

Erstens: er entfernt nicht. Weichzeichnen verschlechtert das Bild der Fläche, doch die Information darin ist durch Nachbearbeitung teilweise wiederherstellbar. Für personenbezogene Daten ist das nicht hinnehmbar, und das Werkzeug sagt es klar: bei Wahl des Weichzeichners hängt dem Ergebnis eine Warnung an, die zu Schwarz oder Weiß rät.

Der zweite Preis misst sich in Bytes und in Möglichkeiten. Weichzeichnen arbeitet an einer gerasterten Kopie des ganzen Dokuments, nicht einer Fläche. Eine einseitige Testdatei mit zwanzig Textzeilen wog rund ein Kilobyte. Nach einer schwarzen Schwärzung war sie immer noch dieses eine Kilobyte. Nach dem Weichzeichnen wuchs sie auf neunzig und verlor die Textebene vollständig: ein solches Dokument lässt sich nicht durchsuchen.

Weichzeichnen ergibt in genau einem Fall Sinn: ein Gesicht auf einer Fotografie oder einen Bildausschnitt zu verbergen, wo ein Ausschneiden ein unpassendes schwarzes Loch hinterließe.

Wie Sie eine Schwärzung ausführen

1. Öffnen Sie redact-pdf und laden Sie das Dokument hoch. 2. Markieren Sie die Flächen direkt auf der Seite: das Werkzeug zeigt das Dokument und lässt Sie die Stellen umranden. 3. Wählen Sie den Stil. Für Daten Schwarz oder Weiß. 4. Lassen Sie das Entfernen der Metadaten eingeschaltet. 5. Starten Sie den Auftrag. 6. Öffnen Sie das Ergebnis, versuchen Sie die abgedeckte Stelle mit der Maus zu markieren, und suchen Sie dann im Dokument nach dem gelöschten Wort.

Punkt sechs ist keine Formsache. Er ist die einzige Prüfung, die echtes Entfernen von einem gemalten Rechteck unterscheidet, und er kostet zehn Sekunden.

Flächen sind Pflicht

Das Werkzeug versucht nicht zu erraten, was zu verbergen ist. Ohne angegebene Flächen startet der Auftrag gar nicht und gibt eine direkte Meldung zurück, dass mindestens eine Fläche nötig ist.

Das ist eine bewusste und richtige Entscheidung. Eine Fläche zu raten ist in einer Aufgabe, in der ein Fehler ein Datenleck bedeutet, gefährlicher als eine Absage: hätte das Werkzeug die falsche Stelle abgedeckt, würde es Erfolg melden, während die Daten offen liegen.

Aus demselben Grund werden Flächen auf Sinn geprüft: Koordinaten außerhalb der Seite oder eine Breite von null erzeugen einen Fehler statt still übergangen zu werden.

Metadaten werden standardmäßig geleert

Ein eigener Schalter regelt das Leeren der Dokumenteigenschaften, und er ist voreingestellt an.

Das ist keine Kleinigkeit. In den Eigenschaften steht regelmäßig der Name der Person, die das Dokument erstellt hat, ein interner Arbeitstitel, mitunter ein Ordnerpfad von einer Festplatte. Ein Dokument, aus dem der Nachname einer Kundin sorgfältig herausgeschnitten wurde, das aber in den Eigenschaften den Autorennamen und einen Titel wie „Fall Ivanov, Entwurf“ behält, löst die Aufgabe nicht.

Schalten Sie das Leeren ab, kommt eine eigene Warnung: die ursprünglichen Metadaten bleiben erhalten und können Angaben enthalten, die Personen identifizieren. Still geschieht das nicht.

Für feinere Arbeit an den Eigenschaften gibt es set-pdf-metadata, wo Felder nicht nur geleert, sondern mit gewünschten Werten gefüllt werden können.

Ein Vermerk über die erfolgte Schwärzung

Unter den Parametern steht ein Feld für eine kurze Notiz, die in die Eigenschaften der fertigen Datei geschrieben wird, in das Betrefffeld.

Ihr Zweck ist verwaltungstechnisch: der Empfänger sieht, dass das Dokument absichtlich geschwärzt wurde und nicht beschädigt ankam. Formulierungen wie „personenbezogene Daten entfernt“ oder „zurückgehalten nach Ziffer soundso“ sparen eine Runde Schriftverkehr.

Die Länge ist auf fünfhundert Zeichen begrenzt. Längerer Text wird gekürzt, und eine Warnung sagt das, die Notiz verschwindet also nicht stumm, kommt aber auch nicht vollständig an.

Wo sich Daten außerhalb des Fließtextes verstecken

Ein vollständiger Durchgang durch das Dokument gelingt mit einer Liste besser als aus dem Gedächtnis. Die vergessenen Stellen wiederholen sich von Dokument zu Dokument.

Kopf- und Fußzeilen. Sie wiederholen sich auf jeder Seite, und steht dort ein Nachname oder ein Aktenzeichen, müssen alle Seiten abgedeckt werden, nicht nur die erste.

Unterschriften und Stempel. Eine Unterschrift ist ein personenbezogenes Datum und zeigt sich auf einem Scan vollständig. Ein Stempel trägt den Namen der Organisation und oft ihre Anschrift.

Tabellen in Anlagen. Der Haupttext wird aufmerksam gelesen, Anlagen werden durchgeblättert, und gerade Anlagen enthalten Verzeichnisse mit Namen und Telefonnummern.

Rückseiten. In einem beidseitigen Scan liegen die Rückseiten zwischen den Vorderseiten, und die Hälfte wirkt meist leer, weil auf dem Vorschaubild nur der Schatten des Textes zu erkennen ist.

Randvermerke. Handschriftliche Verfügungen, Eingangsstempel, Aufkleber mit Nummern.

Ein praktischer Kniff: öffnen Sie das Dokument vor dem Start und durchsuchen Sie es nach dem Nachnamen, der Telefonnummer und der Adresse. Die Suche zeigt jedes Vorkommen, auch die, die das Auge überspringt.

Was das Werkzeug nicht leistet

Es sucht personenbezogene Daten nicht für Sie. Das Werkzeug entfernt, was Sie umrandet haben, und nichts sonst. Die Verantwortung, das ganze Dokument abzugehen, bleibt bei einem Menschen.

Daraus eine praktische Regel: gehen Sie das Dokument vollständig durch, einschließlich Kopf- und Fußzeilen, Bildunterschriften unter Tabellen und Rückseiten. Genau dort werden Daten vergessen, weil die Aufmerksamkeit dem Haupttext gilt.

Und getrennt: eine Seite mit crop-pdf zu beschneiden ist keine Schwärzung. Es ändert den sichtbaren Bereich des Blattes, während der Inhalt dahinter in der Datei bleibt und beim Zurücksetzen des Beschnitts wiederkehrt.

Ist das Dokument ein Scan, liegt unter der Fläche womöglich gar kein Text und es gibt nichts herauszuschneiden; dort ist schlicht ein Bild. Dann ist das Ergebnis aus einem anderen Grund verlässlich: ein Stück Bild wird entfernt. Lief der Scan aber zuvor durch ocr-pdf, ist unter dem Bild eine Textebene entstanden, und auch sie muss von der Fläche abgedeckt werden.