Versteckte Informationen in PDFs: Was gibst du eigentlich alles weiter?

Ein schwarzes Kästchen über einer Sozialversicherungsnummer ist keine Schwärzung. Wir erklären, welche versteckten Informationen in PDFs stecken und wie du sie wirklich bereinigst, bevor das Dokument das Haus verlässt.

Du bekommst eine E-Mail von deinem Lieferanten mit einer PDF-Rechnung. Du öffnest sie, schaust kurz auf den Betrag und buchst sie ein. Erledigt. Aber wusstest du, dass so eine PDF weit mehr preisgibt als das, was du auf dem Bildschirm siehst? Für KMU ist das selten ein großes Problem — bis es das doch ist. In diesem Beitrag erklären wir, welche versteckten Informationen in PDFs stecken, wann das zum Risiko wird und was du praktisch dagegen tun kannst.

Was steckt alles in einer PDF, das du nicht siehst?

Eine PDF ist kein flaches Bild. Sie ist ein Container mit Ebenen. Darin befinden sich Dinge, die beim normalen Öffnen in einem Viewer nicht sichtbar sind:

• Metadaten: Autor, Name des Programms, mit dem die PDF erstellt wurde, Erstellungsdatum, manchmal sogar der Benutzername des PCs.
• Versteckte Textebenen: Bei gescannten Dokumenten liegt oft eine OCR-Ebene unter dem Bild. Manchmal enthält sie Text, den niemand mehr geprüft hat.
• Anhänge innerhalb der PDF: Ja, eine PDF kann andere Dateien als Anhang enthalten.
• Ältere Versionen (Revisionen): Bei PDFs, die mehrfach bearbeitet wurden, können ältere Versionen des Inhalts noch im Dokument stecken.
• Unsichtbare Anmerkungen: Kommentare, Stempel oder Notizen, die versehentlich auf „ausgeblendet" gesetzt wurden.
• Geschwärzter Text, der gar nicht wirklich geschwärzt ist: Ein schwarzes Rechteck über Text zu legen ist keine Schwärzung. Der Text darunter ist noch immer vorhanden.

Warum das auch für KMU relevant ist

„Wir verschicken doch nur Rechnungen und Angebote — wen interessiert das schon?" Stimmt, in 95 % der Fälle. Aber es gibt einige Szenarien, in denen es doch eine Rolle spielt:

1. Du teilst ein Dokument mit einer externen Partei — einem potenziellen Kunden, einem Lieferanten, einem Anwalt — und hast etwas entfernt, weil es vertraulich war. Wenn diese „Schwärzung" nicht korrekt durchgeführt wurde, ist der Inhalt trotzdem zugänglich.
2. Du veröffentlichst eine PDF auf deiner Website. Broschüre, Jahresbericht, Preisliste. Metadaten können dabei unbeabsichtigt den Namen eines Mitarbeiters, einen internen Projektnamen oder die Ordnerstruktur deines Netzwerklaufwerks preisgeben.
3. Du leitest einen gescannten Vertrag weiter, der eine Sozialversicherungsnummer, ein Gehalt oder eine Bankverbindung enthält. Ein schwarzes Kästchen in Word darüberlegen und als PDF exportieren ist keine Lösung.
4. Du schickst Kunde B ein Angebot, das du ursprünglich für Kunde A erstellt hast. Wenn du den „Erstellt für"-Block überschrieben hast, die alte Version aber noch im Revisionsverlauf steckt, lässt sie sich auslesen.

Der Klassiker: schwarzes Kästchen über Text

Das ist mit Abstand der häufigste Fehler. Jemand öffnet eine PDF in einem Viewer, legt ein schwarzes Rechteck über eine Sozialversicherungsnummer, und speichert die Datei. Es sieht einwandfrei aus. Aber der darunterliegende Text wurde nicht entfernt — es liegt lediglich eine Ebene darüber. Wer die Datei in einem anderen Editor öffnet oder den Text markiert und kopiert, sieht die Nummer ganz normal.

Das ist kein theoretisches Szenario. In der Praxis ist es bei Behörden, Anwaltskanzleien und Notaren bereits mehrfach schiefgegangen. Bei KMU passiert es genauso — es macht nur weniger Schlagzeilen.

Was ist echtes Schwärzen?

Echtes Schwärzen bedeutet: den Text oder die Pixel aus der Datei entfernen und durch etwas Neutrales ersetzen (meistens einen schwarzen oder grauen Block). Danach speicherst du das Dokument neu, sodass auch der Revisionsverlauf gelöscht ist. Dafür entwickelte Tools erledigen das zuverlässig; allgemeine PDF-Editoren oft nicht.

Ein paar Faustregeln:

• Verwende ein Tool mit einer expliziten Redact-Funktion, keine Zeichenfunktion.
• Prüfe nach dem Schwärzen, ob du den Text an der entsprechenden Stelle noch markieren kannst. Klappt das: nochmal von vorne.
• Bereinige auch die Metadaten. Viele PDF-Tools haben eine Schaltfläche „Dokumenteigenschaften bereinigen" oder „Dokument bereinigen" (Sanitize Document).
• Bei Scans: Seite ausdrucken, mit einem echten schwarzen Marker abdecken und erneut einscannen. Klingt umständlich, ist aber wasserdicht.
• Stichprobe machen: Öffne die geschwärzte PDF in einem anderen Viewer als dem, mit dem du sie erstellt hast. Versuche, Text zu markieren und in den Editor zu kopieren.

Metadaten unkompliziert bereinigen

Bei PDFs, die nach außen gehen — Angebote, Broschüren, zum Download bereitgestellte Dokumente auf deiner Website — ist es sinnvoll, Metadaten standardmäßig zu bereinigen. In Adobe Acrobat findest du das unter „Werkzeuge > Schwärzen > Dokument bereinigen". In kostenlosen Alternativen wie PDF24 oder vielen Online-Tools gibt es in der Regel eine vergleichbare Option.

Möchtest du schnell zwei PDFs zusammenführen, ohne dass unerwünschte Daten darin verbleiben? Dafür haben wir ein einfaches Tool: PDFs zusammenführen. Praktisch, wenn du einzelne Seiten zu einem Dokument für einen Kunden zusammenstellen möchtest.

Wann holst du dir Unterstützung?

Für einzelne Dokumente kannst du das gut selbst erledigen. Sobald du aber regelmäßig Dokumente mit sensiblen Inhalten nach außen gibst — HR-Unterlagen, juristische Akten oder Kundenverträge, die du mit Dritten teilen möchtest — lohnt es sich, einmal einen festen Ablauf dafür festzulegen. Wer schwärzt, welches Tool verwenden wir, und wer prüft das Dokument, bevor es das Haus verlässt?

Wir unterstützen KMU-Kunden dabei regelmäßig. Nicht mit teurer Software, sondern mit einem einfachen Prozess, der zu deinem Team passt. Du möchtest besprechen, wie du das bei dir regelst, oder einmal kritisch prüfen lassen, was aktuell nach außen geht? Melde dich gerne über unsere Leistungsseite — wir schauen gerne gemeinsam drauf.