Was eine PDF-Datei über Sie verrät: Metadaten

Ein Architekturbüro in Chur schickt einer Bauherrschaft eine Offerte als PDF. Die Bauherrin öffnet die Datei, klickt aus Neugier auf «Eigenschaften» und liest: Titel «Offerte Müller_v3_günstiger», Autor ein Praktikant, der das Büro vor zwei Jahren verlassen hat, erstellt mit einer Vorlage, deren Name einen anderen Kunden enthält. Nichts davon ist geheim. Aber nichts davon war für sie bestimmt.

Ein PDF zeigt, was auf den Seiten steht. Darüber hinaus trägt es Angaben über sich selbst — wer es erstellt hat, womit, wann, unter welchem Namen. Diese Angaben heissen Metadaten, und sie reisen mit jeder Datei mit.

Was Metadaten sind

Adobe beschreibt Dokumenteigenschaften als eine Reihe von Attributen, die eine PDF-Datei beschreiben und einordnen, ohne dass man ihren Inhalt öffnen muss. Dazu zählt Adobe grundlegende Informationen wie Titel, Autor, Thema und Schlüsselwörter, dazu Sicherheitseinstellungen, Angaben zu Schriften, zur Anfangsansicht und benutzerdefinierte Eigenschaften.

Die Metadaten gehen weiter: Standardfelder wie Erstellungs- und Änderungsdatum, erweiterte Schemata wie Dublin Core und IPTC sowie anwendungsspezifische Angaben. Adobe nennt als Standard dafür unter anderem XMP, die Extensible Metadata Platform.

Metadaten haben einen Zweck. Sie helfen, Dateien zu ordnen und zu finden. Adobe weist aber auch darauf hin, dass es bei sensiblen Dokumenten nötig sein kann, Metadaten vor der Weitergabe zu entfernen.

Woher die Angaben stammen

Die meisten Metadaten tippt niemand bewusst ein. Sie entstehen unterwegs.

Aus dem Ausgangsdokument. Wird ein Word-Dokument als PDF gespeichert, bietet Word die Option, die Dokumenteigenschaften in die PDF-Datei aufzunehmen. Microsoft beschreibt, dass Dokumenteigenschaften Details wie Autor, Betreff und Titel enthalten, aber auch Angaben, die Office-Programme automatisch verwalten: den Namen der Person, die das Dokument zuletzt gespeichert hat, und das Erstellungsdatum.

Aus dem System. Ein Merkblatt eines US-Gerichts zur Schwärzung hält fest, dass PDF- Dateien automatisch einige Angaben enthalten können: den ursprünglichen Dateinamen samt Pfad, den Anmeldenamen der Person, die das Dokument erstellt hat, und das Erstellungsdatum.

Aus der Bearbeitung. Wer ein PDF nachträglich ändert, hinterlässt Spuren anderer Art — dazu gleich mehr.

Die unsichtbare Geschichte einer Datei

Die PDF Association, die Fachorganisation hinter dem Format, beschreibt eine Funktion, die im Alltag kaum jemand kennt: die inkrementelle Aktualisierung. Änderungen an einem PDF können als Nachtrag ans Ende der Datei angehängt werden. Neue Objekte kommen dazu, bestehende werden als gelöscht markiert — und bleiben dabei in der Datei.

Ein PDF-Programm zeigt, was nach allen Nachträgen übrig ist. Die PDF Association gibt ein Beispiel: Eine Aktualisierung fügt eine Datei hinzu, eine spätere markiert sie als gelöscht. Ein gewöhnlicher PDF-Betrachter zeigt dann keine Datei mehr an, obwohl das Objekt noch im PDF steckt. Für Schwärzung und Forensik sei das hoch relevant.

Für das Architekturbüro heisst das: Eine Offerte, die dreimal im PDF-Programm überarbeitet und jeweils gespeichert wurde, kann Reste der früheren Fassungen enthalten. Wer sicher sein will, dass nur die letzte Fassung weitergeht, erstellt das PDF neu aus dem Ausgangsdokument, statt die alte Datei weiter zu bearbeiten.

Was in Word vorher geschieht

Viele PDFs entstehen aus Word-Dokumenten, und manche Angaben stammen von dort. Microsoft listet in seiner Anleitung zur Dokumentprüfung auf, was ein Word-Dokument an ausgeblendeten Daten und persönlichen Informationen enthalten kann:

Art	Beispiele nach Microsoft
Kommentare und Überarbeitungen	Kommentare, nachverfolgte Änderungen, Versionen, Freihandanmerkungen
Dokumenteigenschaften	Autor, Titel, zuletzt gespeichert von, Vorlagenname, Benutzername
Kopf- und Fusszeilen, Wasserzeichen	Informationen, die man beim Bearbeiten nicht mehr sieht
Ausgeblendeter Text	Als ausgeblendet formatierter Text
Benutzerdefinierte XML-Daten	Daten, die im Dokument nicht sichtbar sind

Die Dokumentprüfung in Word findet und entfernt diese Angaben. Microsoft weist auf zwei Grenzen hin: Text, der auf andere Weise versteckt ist, etwa weisse Schrift auf weissem Grund, erkennt sie nicht, ebenso wenig Objekte, die von anderen verdeckt werden. Und Microsoft empfiehlt, die Prüfung an einer Kopie durchzuführen, weil sich entfernte Daten nicht immer wiederherstellen lassen.

Beim Speichern als PDF lässt sich zudem wählen, ob die Dokumenteigenschaften in die PDF-Datei aufgenommen werden und ob nachverfolgte Änderungen als Markups erscheinen.

So sehen Sie nach

Die einfachste Prüfung dauert eine Minute:

1. Das PDF öffnen und die Dokumenteigenschaften aufrufen — in den meisten PDF-Programmen über das Menü «Datei». Titel, Autor, Thema, Stichwörter, Programm und Daten ansehen.
2. Prüfen, ob es Anhänge oder Kommentare gibt; viele Programme zeigen sie in einer Seitenleiste.
3. Den Dateinamen ansehen. Er ist die sichtbarste Metainformation von allen und landet in jedem Posteingang.

Drei Wege, Metadaten loszuwerden

Welcher Weg passt, hängt davon ab, woher das PDF stammt.

Vor dem Speichern in Word. Die Dokumentprüfung entfernt Kommentare, Überarbeitungen und persönliche Informationen im Ausgangsdokument. Beim Speichern als PDF lässt sich die Option abwählen, die Dokumenteigenschaften mitzunehmen. Das ist der sauberste Weg, weil die Angaben gar nicht erst ins PDF gelangen.

Im PDF selbst. Programme mit einer Bereinigungsfunktion entfernen ausgeblendete Daten aus einem bestehenden PDF. Adobe beschreibt die Bereinigung in Acrobat Pro als das Entfernen von Metadaten, eingebetteten Inhalten, Skripten und anderen nicht sichtbaren Elementen.

Neu erzeugen. Das Merkblatt des US-Gerichts empfiehlt als bewährte Praxis, Dokumente als PDF auszugeben und nicht die ursprünglichen Word-Dateien weiterzugeben. Ein frisch aus dem Ausgangsdokument erzeugtes PDF enthält zudem keine inkrementellen Nachträge aus früheren Bearbeitungen.

Nach jedem der drei Wege lohnt der Blick in die Eigenschaften, ob das Ergebnis dem entspricht, was man erwartet.

Was sinnvoll bleiben darf

Nicht jede Angabe muss weg. Ein Titel, der beschreibt, was das Dokument ist, hilft der Empfängerin beim Ablegen. Ein Autor «Architekturbüro Beispiel» ist eine sachliche Angabe. Die Frage ist nicht, ob Metadaten existieren, sondern ob sie das sagen, was man sagen möchte.

Ein kleines Büro kann dafür eine einfache Regel festlegen: Vorlagen tragen neutrale Eigenschaften — den Namen des Betriebs als Autor, keinen Kundennamen im Titel —, und vor dem Versand an Externe geht ein Blick in die Eigenschaften. Das kostet wenig und verhindert, dass ein Arbeitstitel wie «v3_günstiger» die Verhandlung begleitet.

Für Privatpersonen

Auch private PDFs tragen Metadaten: der Lebenslauf mit dem Autorennamen des Computers, auf dem er entstand, das Mietformular mit dem Titel der Vorlage. Wer sich bewirbt, sieht sich die Eigenschaften seines Lebenslaufs besser einmal an — sie erscheinen unter Umständen bei der Person, die ihn liest, im Fenstertitel.

Die PDF-Werkzeuge, die wir entwickeln, werden Dateien in der Schweiz im Arbeitsspeicher verarbeiten und nicht speichern. Beim Zusammenfügen, Teilen und Umwandeln entsteht dabei jeweils eine neue Datei — ein guter Moment, um sich zu fragen, welche Angaben diese Datei mitnehmen soll.