Ein PDF richtig schwärzen — und warum die übliche Methode unsicher ist

Alle paar Monate erhalten wir eine E-Mail von jemandem, der gerade auf die harte Tour gelernt hat, dass die „Schwärzungen" in einem von ihm geteilten PDF in Wirklichkeit gar keine Schwärzungen waren. Ein Journalist kopiert und fügt ein Dokument ein, und die schwarzen Balken verwandeln sich in markierte Namen. Ein Anwalt öffnet eingereichte Schriftsätze in einem Texteditor, und die vermeintlich geschwärzten Passagen erscheinen im Klartext. Eine Behörde veröffentlicht eine Anfrage nach öffentlichen Akten, und ein Praktikant enthüllt mit Strg+A alles.

Das passiert immer wieder, weil die meisten Menschen — darunter die meisten, die täglich mit sensiblen PDFs arbeiten — beim Schwärzen etwas falsch machen. Die Methode, die sie verwenden, sieht auf dem Bildschirm richtig aus und ist darunter völlig fehlerhaft. Wir wollen erklären, was tatsächlich in einem PDF passiert, wenn Sie etwas „schwärzen", warum der übliche Ansatz Ihre Daten ungeschützt lässt und was Sie stattdessen tun sollten.

Der häufige Fehler: einen schwarzen Kasten zeichnen

Die erste Intuition ist nachvollziehbar. Sie haben ein PDF. Sie wollen eine Zeile verbergen. Sie öffnen Preview, Acrobat oder ein beliebiges Anmerkungswerkzeug, platzieren ein schwarzes Rechteck über dem Text, speichern und versenden. Optisch ist der Text weg.

Darunter hat sich nichts verändert. Ein PDF ist ein strukturiertes Dokument — Text, Bilder, Schriftarten und grafische Objekte werden als separate Einträge im internen Objektbaum der Datei gespeichert. Wenn Sie ein Rechteck über den Text zeichnen, haben Sie ein neues grafisches Objekt über der bestehenden Textebene hinzugefügt. Der Text darunter ist noch vorhanden, vollständig intakt, vollständig indexiert.

Probieren Sie es aus: Nehmen Sie ein PDF, das Sie mit einem schwarzen Kasten „geschwärzt" haben, öffnen Sie es in einem beliebigen Viewer und markieren Sie mit Strg+A alles auf der Seite. Die Auswahl-Hervorhebung wird den unter jedem Kasten verborgenen Text enthüllen. Kopieren Sie ihn und fügen Sie ihn in einen Texteditor ein — und der vermeintlich geschwärzte Inhalt ist wieder da. Noch besser: Öffnen Sie das PDF in einem Text-Viewer (die meisten Betriebssysteme tun das mit einem Rechtsklick), und Sie können die internen Textströme oft direkt auslesen.

Das ist kein theoretisches Problem. Es war im letzten Jahrzehnt die Ursache mehrerer prominenter Lecks — Gerichtsdokumente, in denen sich Namen von Parteien wiederherstellen ließen, Geheimdienstdokumente, in denen Quellennamen über denselben Copy-Paste-Trick aufgedeckt wurden, Unternehmensoffenlegungen, in denen Finanzzahlen perfekt lesbar unter ihren schwarzen Balken lagen.

Warum Overlay-Schwärzung strukturell unsicher ist

Die Rendering-Pipeline eines PDF ist darauf ausgelegt, Objekte zusammenzusetzen — sie behandelt Ihr schwarzes Rechteck und den Text darunter als zwei getrennte Dinge, die zufällig dieselbe Bildschirmposition einnehmen. Das ist kein Fehler. So funktioniert jedes moderne Dokumentformat, weil Sie die meiste Zeit wollen, dass Ebenen-basierte Bearbeitung umkehrbar ist. „Rückgängig" wäre sonst unmöglich.

Die Folge: Jedes Tool, das die Struktur des PDFs untersucht, statt es nur zu rendern, sieht beide Schichten:

• Kopieren-Einfügen holt aus dem Textstrom, nicht aus dem gerenderten Bild.
• Suche indexiert den Textstrom, nicht die sichtbare Seite.
• Screenreader lesen den Textstrom vor, nicht das, was sehende Nutzer sehen.
• PDF-Parser (von Pythons pypdf bis zu Acrobat Pros eigenen Werkzeugen) können jedes Objekt einer Seite auflisten, einschließlich des versteckten.

Wenn ein Dokument nur Text enthält, der sichtbar sein darf, ist dieses Schichtenmodell ein Feature. In dem Moment, in dem Sie es nutzen, um sensible Daten zu „schwärzen", wird es zu einem Leck, das nur darauf wartet, einzutreten.

Der sichere Ansatz: Rasterung

Echte Schwärzung zerstört die zugrunde liegenden Daten. Die zuverlässigste Methode dafür ist, die Seite zu rastern — sie von einer strukturierten PDF-Seite in ein flaches Bild zu verwandeln — nachdem die schwarzen Balken gezeichnet wurden. Sobald die Seite ein Bild ist, gibt es keine separate Textschicht, keinen versteckten Objektbaum, keine Möglichkeit, „unter" die Schwärzung zu lesen, weil darunter nichts ist. Die Schwärzung ist in Pixel eingebrannt.

Ein zweiter, chirurgischerer Ansatz besteht darin, die zugrunde liegenden Textobjekte direkt zu löschen und anschließend den Rest der Seite zu verflachen. Das erhält die Textauswahl in den nicht geschwärzten Bereichen, ist aber deutlich schwieriger korrekt umzusetzen — wenn das Schwärzungswerkzeug ein Objekt übersieht (etwa ein in zwei getrennten Durchläufen gespeichertes Textfragment), sickern einige der sensiblen Daten durch die Lücke. Rasterung hat diesen Fehlermodus nicht.

Rasterung hat einen Nachteil, der ehrlich erwähnt werden sollte: Die geschwärzte Seite ist nicht mehr durchsuchbar. Der Text in den nicht geschwärzten Teilen der Seite wird ebenfalls in ein Bild umgewandelt, sodass Strg+F auf dieser Seite nicht mehr funktioniert. Für die meisten Schwärzungs-Anwendungsfälle — ein gefiltertes Dokument extern freigeben — ist das nicht nur akzeptabel, sondern erwünscht. Sie wollen nicht, dass die veröffentlichte Datei maschinell durchsuchbar ist wie das Original, denn das erleichtert partielle Extraktionsangriffe.

So schwärzen Sie sicher in weniger als einer Minute

Unser PDF schwärzen-Tool verwendet standardmäßig den Rasterungsansatz. Der Ablauf:

• Öffnen Sie PDF schwärzen auf PDF Genie.
• Ziehen Sie Ihre Datei in den Upload-Bereich. Der gesamte Vorgang läuft in Ihrem Browser — die Datei verlässt Ihr Gerät nie.
• Zeichnen Sie schwarze Rechtecke über Text, Namen oder Bereiche, die Sie verbergen möchten.
• Klicken Sie auf „Schwärzungen anwenden."
• Laden Sie die Ausgabe herunter.

Hinter den Kulissen wird jede geschwärzte Seite in Druckqualität gerastert, die ursprünglichen Textobjekte werden verworfen, und das Ergebnis wird als flaches PDF neu verpackt. Die Ausgabe sieht aus wie eine sorgfältige Schwärzung mit schwarzem Kasten — aber Strg+A, Kopieren-Einfügen und jeder strukturelle Parser liefern unter den Balken nichts zurück, weil es nichts zurückzugeben gibt.

Probieren Sie es selbst an einem Dokument aus, das Sie mit der naiven Overlay-Methode geschwärzt haben: Öffnen Sie es in einem PDF-Viewer, markieren Sie den Bereich mit dem schwarzen Kasten, kopieren Sie und fügen Sie in einen reinen Texteditor ein. Wenn der Text wieder auftaucht, ist die Schwärzung unecht. Mit unserem PDF schwärzen-Tool ergibt dasselbe Einfügen einen leeren Bereich — weil die gerasterte Seite den ursprünglichen Textstrom buchstäblich nicht mehr enthält. Das Dokument sieht gleich aus. Seine Innereien sind fundamental anders.

Zwei Schwärzungsdetails, die gerne vergessen werden

Selbst mit dem richtigen Tool machen zwei praktische Fehler die meisten verbleibenden Lecks aus:

Metadaten. PDFs enthalten versteckte Metadaten — Autorennamen, Bearbeitungssoftware, Revisionszeitstempel, manchmal sogar umbenannte Dokumententitel. Den Inhalt zu schwärzen und die Metadaten stehen zu lassen, ist ein häufiger Leckvektor. Bereinigen Sie sie mit unserem Tool Metadaten bearbeiten, bevor Sie etwas Sensibles teilen.

Angehängte Dateien und eingebettete Objekte. Ein PDF kann eingebettete Excel-Tabellen, Schriftarten, die Autorennamen durchsickern lassen, oder angehängte Originale enthalten. Diese überstehen eine naive Schwärzung vollständig. Reduzieren Sie das Dokument durch eine Pipeline wie unsere (schwärzen → rastern → neu exportieren), um sie zu entfernen.

Wann doppelt prüfen

Wenn das Dokument, das Sie schwärzen, vor Gericht eingereicht, im Rahmen einer Akteneinsichtsanfrage veröffentlicht oder an Gegner weitergegeben wird, die es aktiv prüfen werden, behandeln Sie selbst den sicheren Ansatz als notwendig-aber-nicht-hinreichend. Überprüfen Sie die Ausgabe selbst:

• Öffnen Sie die geschwärzte Datei und versuchen Sie Strg+A auf jeder Seite. Die Auswahl sollte an den geschwärzten Bereichen enden.
• Öffnen Sie sie in einem PDF-Inspektor (Acrobat Pros Preflight-Panel reicht; ebenso Kommandozeilenwerkzeuge wie pdfinfo und pdftotext). Der geschwärzte Text sollte im Textstrom-Dump nicht erscheinen.
• Prüfen Sie Dateimetadaten und Anhänge. Entfernen Sie beide, wenn Sie sie nicht teilen wollten.

Das sind fünf Minuten Verifikation pro versandtem Dokument. Es ist eine günstige Versicherung gegen ein Leck, das Sie jahrelang verfolgen könnte.

Schwärzen Sie Ihr PDF sicher

PDF schwärzen ausprobieren — kostenlos →