PDF schwärzen: warum ein schwarzer Balken nicht genügt

Eine Liegenschaftsverwaltung in Basel erhält eine Beschwerde über Lärm im Treppenhaus. Die Eigentümerin möchte sie sehen. Im Schreiben stehen aber auch die Namen und Wohnungsnummern anderer Mieterinnen und Mieter, die dort nichts zu suchen haben. Die Sachbearbeiterin öffnet das PDF, zieht über die Namen schwarze Rechtecke und verschickt die Datei.

Auf dem Bildschirm sieht das tadellos aus. Ob die Namen tatsächlich weg sind, hängt davon ab, wie die Rechtecke entstanden sind. In vielen Fällen liegen sie einfach über dem Text — und der Text ist darunter noch da.

Warum ein Balken nicht genügt

Eine PDF-Seite besteht aus Ebenen: dem eigentlichen Inhalt und, darüber, Kommentaren, Markierungen und Zeichnungen. Ein Rechteck aus dem Kommentar- oder Zeichenwerkzeug gehört zur oberen Ebene. Es verdeckt den Text, löscht ihn aber nicht.

Ein Gericht in den USA hat diesen Fehler in einem Merkblatt zur Schwärzung ausführlich beschrieben. Es zitiert einen Fall, in dem in einem als PDF veröffentlichten Urteil schwarze Balken über vertraulichen Passagen lagen: Die Balken hätten den Text nur verdeckt, nicht gelöscht, und mit einfachem Kopieren und Einfügen sei er lesbar geworden. Als häufigen Fehler nennt das Merkblatt, Text mit dem Markierungswerkzeug oder einem Zeichenwerkzeug abzudecken; das Ergebnis sei Text, der verdeckt, aber nicht aus dem Dokument entfernt ist.

Dasselbe gilt für schwarz hinterlegten Text in einem Word-Dokument, das anschliessend als PDF gespeichert wird: Die Farbe ändert sich, die Buchstaben bleiben.

Was echtes Schwärzen bedeutet

Programme mit einer eigentlichen Schwärzungsfunktion arbeiten anders. Adobe beschreibt die Schwärzung in Acrobat Pro so: Geschwärzte Inhalte wie Text oder Bilder werden durch farbige Kästchen ersetzt, sodass die Informationen nicht wiederhergestellt oder angezeigt werden können. Der Unterschied zum Rechteck liegt im Wort «ersetzt» — der Text wird aus dem Inhalt der Seite entfernt, das Kästchen nimmt seinen Platz ein.

Adobe nennt dazu zwei Einschränkungen:

• Dauerhaft. Eine Schwärzung lässt sich nach dem Anwenden und Speichern nicht rückgängig machen. Deshalb gehört die Schwärzung in eine Kopie, nie ins Original.
• Nur Sichtbares. Die Schwärzung entfernt sichtbaren Text und Grafiken. Ausgeblendete Daten wie Metadaten oder eingebettete Inhalte müssen separat entfernt werden.

Den zweiten Schritt nennt Adobe «Bereinigung»: das Entfernen ausgeblendeter Daten wie Metadaten, eingebetteter Inhalte, Skripte und anderer nicht sichtbarer Elemente. In Acrobat Pro wird beim Anwenden einer Schwärzung angeboten, diese ausgeblendeten Informationen gleich mit zu entfernen.

Wo sich Angaben verstecken

Was man auf der Seite sieht, ist nicht alles, was in der Datei steht. Das Merkblatt des US-Gerichts weist darauf hin, dass PDF-Dateien automatisch einige Angaben enthalten können: den ursprünglichen Dateinamen samt Pfad, den Anmeldenamen der Person, die das Dokument erstellt hat, und das Erstellungsdatum. Sie sind in den Dokumenteigenschaften sichtbar.

Weitere typische Orte:

Ort	Was dort stehen kann
Dokumenteigenschaften	Autor, Titel, Programm, Dateipfad, Erstellungsdatum
Kommentare und Notizen	Bemerkungen, die jemand beim Prüfen angebracht hat
Lesezeichen	Überschriften, die Namen oder Fallnummern enthalten
Formularfelder	Eingetragene Werte, auch in ausgeblendeten Feldern
Dateianhänge	Eingebettete Dateien, etwa das ursprüngliche Word-Dokument

Schon 2005 hat die amerikanische NSA in einem Leitfaden zum Veröffentlichen von bereinigten Dokumenten festgehalten, dass das blosse Umwandeln eines Word-Dokuments in PDF nicht alle Metadaten automatisch entfernt. Die Bereinigung ist deshalb kein Zusatz, sondern der zweite Teil derselben Arbeit.

Der einfachste Weg: im Original entfernen

Das Merkblatt des US-Gerichts nennt als besten und sichersten Weg, den Text im ursprünglichen Dokument zu löschen — nicht zu verdecken — und danach neu als PDF zu erstellen. So existiert der unerwünschte Text im PDF gar nicht erst.

Für die Liegenschaftsverwaltung heisst das: Liegt die Beschwerde als Word-Datei vor, werden die Namen dort durch «[Mieterin, 2. OG]» ersetzt, und erst dann entsteht das PDF. Ist die Beschwerde als Brief eingegangen und gescannt, ist sie ein Bild; hat der Scan eine Texterkennung durchlaufen, liegt unter dem Bild zusätzlich unsichtbarer Text, und für diesen gilt dasselbe wie für jedes andere PDF.

So lässt sich das Ergebnis prüfen

Ein paar Handgriffe zeigen, ob eine Schwärzung hält, bevor die Datei das Haus verlässt:

1. Suchen. Den geschwärzten Namen in der Suchfunktion des PDF-Programms eingeben. Findet es ihn, ist er noch da.
2. Markieren und kopieren. Den Bereich des Balkens markieren und in einen Texteditor einfügen. Erscheint Text, war der Balken nur darübergelegt.
3. Eigenschaften ansehen. In den Dokumenteigenschaften prüfen, welcher Autor, Titel und Pfad dort stehen.
4. Ebenen und Kommentare. Kommentarliste und Lesezeichen durchsehen.

Wenn der Name weg ist, aber die Person erkennbar bleibt

Eine saubere Schwärzung entfernt Zeichen. Ob die Person danach nicht mehr zu erkennen ist, ist eine andere Frage. Das Datenschutzgesetz versteht unter Personendaten alle Angaben, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen (Art. 5 Bst. a DSG). Bestimmbar kann eine Person auch ohne Namen sein.

In einem Mehrfamilienhaus mit sechs Wohnungen genügt «Mieterin, 2. OG links», um zu wissen, wer gemeint ist. In einem Arbeitszeugnis verrät die Kombination aus Funktion, Eintrittsdatum und Abteilung oft mehr als der geschwärzte Name. Wer schwärzt, um eine Person zu schützen, liest das Dokument deshalb ein zweites Mal mit der Frage: Könnte jemand, der den Betrieb kennt, die Person trotzdem erkennen?

Manchmal ist die Antwort, mehr zu schwärzen — die Wohnungsnummer, das Datum, die Abteilung. Manchmal ist sie, das Dokument gar nicht weiterzugeben und stattdessen in eigenen Worten zusammenzufassen, was die Empfängerin wissen muss.

Ein Ablauf für den Betrieb

Im Alltag geschieht Schwärzen selten geplant, sondern kurz vor dem Versand. Ein fester Ablauf hilft, weil er dieselben Schritte jedes Mal in dieselbe Reihenfolge bringt:

1. Eine Kopie anlegen und eindeutig benennen.
2. Wo möglich im Originaldokument ersetzen und neu als PDF erstellen; sonst mit einer echten Schwärzungsfunktion arbeiten.
3. Ausgeblendete Inhalte bereinigen: Eigenschaften, Kommentare, Anhänge.
4. Die Prüfung von oben durchführen: suchen, kopieren, Eigenschaften ansehen.
5. Eine zweite Person liest das Ergebnis mit der Frage nach der Erkennbarkeit.

Das kostet einige Minuten. Ein Dokument, das einmal verschickt ist, lässt sich nicht mehr zurückholen.

Weniger weitergeben, von Anfang an

Hinter der Technik steht eine einfache Frage: Was braucht die Empfängerin wirklich? Das Datenschutzgesetz verlangt, dass eine Bearbeitung verhältnismässig ist (Art. 6 Abs. 2 DSG), und die Bekanntgabe an Dritte ist eine Form der Bearbeitung (Art. 5 Bst. d und e DSG). Oft ist ein Auszug oder eine kurze Zusammenfassung die bessere Antwort als ein geschwärztes Gesamtdokument.

Wo das ganze Dokument weitergegeben werden soll, ist eine sorgfältige Schwärzung mit anschliessender Prüfung der verlässliche Weg. Bei den PDF-Werkzeugen, die wir entwickeln, wird für jede Bearbeitung derselbe Grundsatz gelten: Die Datei wird in der Schweiz im Arbeitsspeicher verarbeitet und nicht gespeichert, und für vertrauliche Dokumente wird ein Modus ausgewählte Arbeiten ganz auf dem eigenen Gerät erledigen.