Wie man sensible Informationen aus einer PDF richtig schwärzt

Ein PDF zu schwärzen ist eine dieser Aufgaben, die einfach aussehen und spektakulär schiefgehen. Ein schwarzes Rechteck über einen Namen in Acrobat oder Preview zu ziehen, versteckt den Namen visuell, lässt aber den ursprünglichen Text im Dokument zurück, in Sekunden wiederherstellbar von jedem mit einem kostenlosen PDF-Reader. Hochkarätige Lecks bei den Vereinten Nationen, beim US-Justizministerium und im Anwaltsteam von Manafort beruhten allesamt genau auf diesem Fehler. Richtiges Schwärzen entfernt den Text dauerhaft aus dem Dokument, was schwerer ist, als es klingt, und von einem dafür gebauten Werkzeug profitiert.

Eine kurze Geschichte gescheiterter PDF-Schwärzungen

PDF-Schwärzungsfehler sind seit über zwanzig Jahren wiederkehrende Nachrichten. Im Mai 2005 veröffentlichte das US-Militär einen Bericht über die Tötung des italienischen Journalisten Nicola Calipari im Irak mit «geschwärzten» sensiblen Abschnitten durch schwarze Überlagerungen; italienische Journalisten, die das PDF herunterluden, konnten den darunterliegenden Text in Minuten markieren und kopieren. 2009 veröffentlichte das US-Justizministerium ein Memorandum über verstärkte Verhöre mit demselben Fehler. 2019 reichte das Anwaltsteam von Paul Manafort ein Gerichtsdokument mit eckigen schwarzen Schwärzungen ein, die sich als durchsichtige Kästen herausstellten und Details seiner Kontakte mit Konstantin Kilimnik enthüllten. Im selben Jahr erreichte eine vertrauliche Boeing-Eingabe an die FAA über das 737-MAX-MCAS-System Reporter in voll lesbarer Form, weil die Schwärzungen nur Formen waren.

Das Muster ist so konsistent, dass die NSA Ende 2005 den Leitfaden «Redacting with Confidence» veröffentlichte, und Adobe und Foxit in den folgenden Jahren dedizierte Schwärzungsmodi auslieferten. Die zentrale Lektion: ein Schwärzungswerkzeug muss den darunterliegenden Text löschen und durch eine undurchsichtige Markierung ersetzen; visuelle Abdeckung mit einem Rechteck ist nie ausreichend.

Warum visuelles Abdecken versagt

Ein PDF speichert eine Seite als Content Stream: eine Folge von Zeichenoperatoren, die Text, Linien, Rechtecke und Bilder auf der Seite platzieren. Wenn Sie in Acrobat ein schwarzes Rechteck über einen Namen ziehen, enthält das PDF nun sowohl den Textoperator (den Namen schreiben) als auch den Rechteckoperator (die Box darüber zeichnen). Der Viewer rendert beides in Reihenfolge und erzeugt eine Seite, auf der der Name visuell verdeckt ist. Der Textoperator ist weiterhin in der Datei, indizierbar, kopierbar und von jedem PDF-Parser wiederherstellbar. Adobes eigener Reader lässt Sie den verdeckten Text mit Strg+A markieren und in Notepad einfügen.

Formularfelder, Kommentare und Metadaten werden in vollständig getrennten Wörterbüchern im PDF gespeichert und sind von visuellen Überlagerungen überhaupt nicht betroffen. Ein «geschwärztes» PDF, das immer noch den Autornamen in den Metadaten, Kommentare mit Bezug auf den geschwärzten Text mit Namen oder Formularfeldwerte mit den Originaldaten hat, ist genauso undicht wie eines mit Text unter einem Rechteck.

Wie ein richtiges Schwärzungswerkzeug funktioniert

Eine echte Schwärzung tut drei Dinge:

1. Entfernt den Textinhalt aus dem Content Stream an den geschwärzten Regionen, sodass jeder zukünftige Parser die Schwärzungsmarkierung sieht, nicht den Originaltext.
2. Entfernt alle Metadaten, die auf den Originalinhalt verwiesen, einschließlich Dokumentautor, letzter Editor, Software, Originaldateiname und alle benutzerdefinierten XMP-Metadatenfelder.
3. Entfernt Formularfelder, Kommentare und Anhänge, die mit den geschwärzten Regionen überlappen oder darauf verweisen.
4. Ersetzt den Bereich durch eine undurchsichtige Markierung (normalerweise ein schwarzes Rechteck, manchmal mit einem Schwärzungsgrund wie «[FOIA exemption b6]»), gezeichnet über dem nun leeren Inhalt.

Browser-basierte Schwärzungswerkzeuge, die pdf-lib oder PDF.js verwenden, können all das in JavaScript erledigen, ohne die Datei hochzuladen. Das geschwärzte PDF wird lokal neu aufgebaut und als Download angeboten. Da das Original Ihr Gerät nie verlässt, ist die Datenschutzgarantie total.

Wie man ein PDF schwärzt, Schritt für Schritt

1. PDF hochladen. Datei auf die Seite ziehen. Das Werkzeug liest sie in den Speicher und zeigt die erste Seite zur Vorschau. Nichts wird hochgeladen.
2. Finden, was zu schwärzen ist. Mit der Textsuche Namen, Kontonummern, Geburtsdaten, Adressen oder andere wiederkehrende sensible Zeichenketten finden. Das Werkzeug hebt jedes Vorkommen hervor.
3. Schwärzungsregionen markieren. Klicken und ziehen, um ein Rechteck zu zeichnen, oder «Alle Treffer schwärzen» klicken, um die Markierung auf alle gefundenen Instanzen auf einmal anzuwenden.
4. Optional ein Begründungslabel hinzufügen. Behörden-Workflows (FOIA, DSGVO Artikel 17, HIPAA) erfordern oft, dass die Schwärzung mit der Rechtsgrundlage gekennzeichnet wird. Label eingeben und es wird ins Rechteck gezeichnet.
5. Schwärzung anwenden. Das ist der Schlüsselschritt: er löscht den Text unter den Rechtecken dauerhaft aus dem Content Stream, entfernt Metadaten und speichert ein neues PDF mit eingebrannten Markierungen.
6. Ergebnis verifizieren. Geschwärztes PDF öffnen, Strg+A dann Strg+C versuchen und in einen Texteditor einfügen. Sie sollten die Schwärzungslabels (oder nichts) sehen, wo der Originaltext war, niemals den Originaltext selbst.

Was zu schwärzen ist

Die offensichtlichen Fälle sind Namen, Adressen, Telefonnummern, E-Mails und Kontonummern. Die weniger offensichtlichen verursachen die meisten realen Lecks:

Die letzte Zeile ist besonders wichtig: ein Screenshot eines CRM mit einem Kundendatensatz, als Rasterbild in das PDF eingebettet, wird von Textebenenwerkzeugen nicht geschwärzt. Das Bild selbst muss übermalt werden.

Häufige Fallen

• Schwarze Box in Word und Re-Export zu PDF. Der Text unter der Box ist weiterhin im Word-Dokument und übersteht den Export. Auch wenn Ihre sichtbare Seite sauber aussieht, enthält der PDF Content Stream das Original.
• Markierung + Farbe auf Schwarz ändern. Die Markierung ist eine Kommentar-Anmerkung, keine Content-Stream-Änderung. Jeder kann die Anmerkung entfernen, um das Original freizulegen.
• Metadaten vergessen. Ein geschwärztes Memo mit «Autor: Hans Müller» in den Dokumenteneigenschaften verrät, wer es geschrieben hat, auch wenn jeder Name im Body geschwärzt ist.
• Kommentare vergessen. Adobe- und PDFelement-Gutachter fügen oft Kommentare hinzu, die Namen referenzieren, die im Body geschwärzt werden. Alle Kommentare entfernen.
• Formularfeld-Historie vergessen. Ausgefüllte PDF-Formulare können Werte früherer Einreichungen in ihrem AcroForm-Wörterbuch tragen. Flatten entfernt das Feld, aber der Wert kann in der Dokumenthistorie bleiben.
• Bilder mit Text nicht schwärzen. OCR auf das Dokument anwenden, Text-Begrenzungsrahmen identifizieren, dann diese Regionen im Bild selbst übermalen, nicht nur in der OCR-Textebene.
• Drucken-in-PDF mit Schwärzung verwechseln. Drucken in PDF rastert die Seite, was die Textebene entfernt, aber eine viel größere Datei produziert und die Suche verliert. Ein grober Umweg, keine Schwärzung.
• Original versehentlich teilen. Geschwärzte Datei immer mit klarem Suffix umbenennen (-geschwaerzt.pdf), damit Sie nicht versehentlich das Original anhängen.
• Nur auf visuelle Prüfung vertrauen. Das geschwärzte PDF kann perfekt aussehen und trotzdem lecken. Immer testen mit Alles markieren und Kopieren, Metadaten mit pdfinfo oder exiftool extrahieren und Dateigröße mit Original vergleichen.
• «Schwärzung» per Berechtigung. Ein PDF mit Passwort sperren oder Kopieren beschränken ist keine Schwärzung. Die Daten sind weiterhin in der Datei und die Beschränkungen sind beratend; PDF-Passwortentferner sind einen Klick entfernt.

Alternative Werkzeuge und Abläufe

Für einen einmaligen Gerichtsschriftsatz oder eine Bewerbung ist das Browser-Tool die richtige Antwort. Für die Batch-Schwärzung von hunderten FOIA-Anfragen zahlt sich Acrobat Pro oder eine geskriptete qpdf + pdftotext Pipeline aus. Für bildlastige Scan-Schwärzungen zuerst OCR laufen lassen und dann die Begrenzungsrahmen sowohl in der OCR-Textebene als auch im darunterliegenden Raster schwärzen.

Verifizierungscheckliste vor dem Teilen

Bevor Sie ein geschwärztes PDF außerhalb Ihres Teams versenden, gehen Sie diese Liste durch:

• Gesamten Text markieren (Strg+A) und in einen Texteditor kopieren. Die geschwärzten Zeichenketten sollten nicht auftauchen.
• Metadaten öffnen: exiftool datei.pdf oder Eigenschaftsdialog des PDF-Viewers verwenden. Autor, Ersteller, letzter Editor, Originaldateiname, benutzerdefinierte XMP-Felder sollten alle leer oder anonym sein.
• Kommentare und Anmerkungen explizit prüfen. Acrobats Kommentar-Panel, Previews Anmerkungsliste oder pdftotext -layout bringen sie alle ans Licht.
• Bestätigen, dass die Dateigröße spürbar kleiner als das Original ist (entfernter Text und Metadaten sollten die Größe reduzieren). Ein geschwärztes PDF mit gleicher Byte-Größe wie das Original ist verdächtig.
• Bei Dokumenten mit Bildern: in einem Bildbetrachter öffnen und in die geschwärzten Bereiche zoomen. Manche Betrachter zeigen Bildinhalt unter Überlagerungen.
• Bei mehrseitigen Dokumenten: mindestens die erste, letzte und drei zufällige mittlere Seiten stichprobenartig prüfen. Erneut nach den geschwärzten Namen suchen, um sicherzustellen, dass kein Vorkommen übersehen wurde.

Datenschutz und der Schwärzer

Der Browser-PDF-Schwärzer läuft vollständig im Arbeitsspeicher Ihres Geräts. Die Datei, die Sie ablegen, wird von der File-API gelesen, von pdf-lib oder PDF.js in JavaScript geparst, mit den angewendeten Schwärzungen neu gerendert und als Download angeboten. Nichts wird hochgeladen, nichts wird protokolliert, nichts wird serverseitig zwischengespeichert. Für sensibles Material (Gerichtsakten, medizinische Unterlagen, FOIA-Antworten, Datenleck-Benachrichtigungen) ist dieser strikt lokale Ablauf der Unterschied zwischen einer Schwärzung, die Sie kontrollieren, und einer Schwärzung, die Sie jemand anderem anvertrauen müssen. Das gesamte Werkzeug kann offline laufen, sobald die Seite geladen ist, was Sie überprüfen können, indem Sie das Netzwerk trennen und eine andere Datei schwärzen.