PDF schwärzen: Stellen wirklich entfernen

Warum ein schwarzes Rechteck nicht reicht

Wer in einem PDF-Betrachter ein schwarzes Rechteck über eine Kontonummer legt, verdeckt sie nur. Der Text liegt unverändert in der Datei und lässt sich markieren, kopieren, durchsuchen oder in einem anderen Programm sichtbar machen.

Die PDF-Norm sagt das ausdrücklich: Beim Anwenden einer Schwärzung sind alle Spuren des Inhalts zu entfernen, und Beschnitt oder Masken dürfen dafür nicht verwendet werden (ISO 32000-1, Abschnitt 12.5.6.23). Der Bayerische Landesbeauftragte für den Datenschutz fasst denselben Grundsatz als „entfernen statt überdecken“.

Was dieses Werkzeug stattdessen tut

Jede Seite wird neu gezeichnet, die markierten Stellen werden in das Bild hineingemalt, und daraus entsteht eine neue Datei. Im Ergebnis gibt es keine Textzeichen, keine eingebetteten Schriften, keine Formularfelder, keine Kommentare, keine Ebenen, keine Anhänge und keine früheren Fassungen — nicht weil sie entfernt wurden, sondern weil sie nie entstehen.

Ein PDF kommt als PDF zurück, ein Bild als Bild. Was du hineingibst, bekommst du in derselben Art wieder — nur ohne das, was weg sollte.

Das Britische Nationalarchiv und die britische Datenschutzaufsicht empfehlen genau diesen Weg: Die Information muss aus dem Bytestrom verschwinden, nicht nur aus der Anzeige.

Was es kostet

In einem geschwärzten PDF lässt sich nicht mehr suchen und nichts mehr herauskopieren, und ein Screenreader findet keinen Text. Das ist der Preis dafür, dass auch nichts anderes mehr darin zu finden ist.

Behalte die Ausgangsdatei. Die geschwärzte Fassung ist zum Weitergeben gedacht, nicht als Ersatz für das Original.

Die Prüfung nach dem Speichern

Nach dem Schreiben wird die fertige Datei noch einmal geöffnet und ausgelesen. Steht dort ein einziges Zeichen, wird sie nicht gespeichert, sondern gemeldet.

Eine Suche nach der Zeichenfolge in der Datei wäre dafür kein Ersatz: Text liegt in einem PDF komprimiert, und selbst entpackt zerlegen viele Programme ein Wort in einzelne Stücke. Die Suche findet dann nichts, obwohl der Text bequem auslesbar ist.

Bilder

Ein JPEG oder PNG läuft denselben Weg und kommt als PNG zurück. Dabei verschwinden zwei Dinge, an die kaum jemand denkt: das kleine Vorschaubild in den EXIF-Daten, das oft noch das unbeschnittene Original zeigt, und zusätzliche Bilder, die manche Kameras hinter das eigentliche Foto hängen.

Geprüft wird hier anders als beim PDF: Die fertige Datei wird aufgeteilt und nachgesehen, ob darin etwas anderes steckt als die Bildpunkte — auch hinter dem Dateiende, wo manche Programme Reste liegen lassen.

Die Drehung aus den EXIF-Daten wird vorher angewendet, damit ein Hochformat-Foto nicht gekippt herauskommt.