PDF richtig schwärzen: Warum ein schwarzer Balken oft nichts löscht

Sie möchten ein PDF weitergeben, aber vorher Namen, Gehälter oder Kontodaten unkenntlich machen. Der schnelle Griff ist ein schwarzes Rechteck über der Stelle. Das Ergebnis sieht sicher aus. In vielen Fällen ist es das nicht: Der Text liegt weiter in der Datei und lässt sich mit wenigen Klicks wieder sichtbar machen.

Dieser Leitfaden erklärt, warum das passiert, welchen zweiten Leck-Weg viele übersehen und was echtes Schwärzen bedeutet. Am Ende finden Sie eine Checkliste für die Weitergabe und einen kurzen Blick auf die Datenschutz-Grundverordnung, kurz DSGVO.

Der klassische Fehler: Balken drüber, Text bleibt drin

Ein PDF speichert Inhalte in getrennten Objekten. Der Text ist ein Objekt, ein gezeichnetes Rechteck ist ein anderes. Legen Sie mit einem Kommentar- oder Formen-Werkzeug einen schwarzen Balken über eine Textstelle, dann liegt der Balken nur optisch darüber. Der Text darunter bleibt vollständig in der Datei gespeichert.

Jeder Empfänger kann ihn dann auslesen. Es reicht, den Bereich mit der Maus zu markieren und zu kopieren. Auch die Suchfunktion findet den verdeckten Text. Programme, die PDFs vorlesen oder automatisch auswerten, geben ihn ebenfalls aus.

Solche Pannen passieren immer wieder, auch erfahrenen Organisationen. Es sind Fälle öffentlich geworden, in denen sich geschwärzte Passagen aus Gerichtsunterlagen, Untersuchungsberichten und Verträgen einfach herauskopieren ließen. Der Fehler liegt dabei fast nie an einem Angriff von außen, sondern am falschen Werkzeug für die Aufgabe.

Die gleiche Falle steckt in Textprogrammen. Wer in Word eine Passage schwarz hervorhebt oder die Schriftfarbe auf Schwarz vor schwarzem Hintergrund stellt, überdeckt den Text nur. Auch nach dem Export als PDF bleibt er markierbar, kopierbar und durchsuchbar.

Der zweite Leck-Weg: Metadaten und versteckte Inhalte

Selbst wenn der sichtbare Text sauber entfernt ist, kann die Datei mehr verraten, als Ihnen lieb ist. PDFs enthalten Metadaten, also Angaben über das Dokument selbst: Autor, Firmenname, Titel, Bearbeitungsprogramm und Erstellungsdatum. Ein Beispiel: Sie schwärzen den Namen eines Mitarbeiters im Text, doch im Feld Autor steht er weiterhin.

Dazu kommen Inhalte, die im normalen Lesemodus nicht auffallen und deshalb gern vergessen werden:

• Kommentare und Anmerkungen, etwa interne Hinweise aus der Abstimmung
• Ausgeblendete Ebenen, in denen ältere Fassungen oder Zusatzinformationen liegen
• Angehängte oder eingebettete Dateien, zum Beispiel die ursprüngliche Word-Datei
• Lesezeichen und Verknüpfungen, die auf interne Namen oder Ablagepfade zeigen
• Der Dateiname selbst, etwa wenn er den Namen einer Person enthält

Was echtes Schwärzen bedeutet

Echtes Schwärzen heißt: Der Inhalt wird aus der Datei entfernt, nicht nur überdeckt. Nach dem Vorgang existiert der Text an dieser Stelle schlicht nicht mehr. Kein Kopieren, keine Suche und kein Spezialwerkzeug kann ihn wiederherstellen, weil nichts mehr da ist.

Dafür gibt es zwei bewährte Wege. Erstens: Eine Redigier-Funktion, also eine spezielle Schwärzungsfunktion, löscht die markierten Textobjekte aus der Datei und setzt an ihre Stelle eine leere Fläche. Zweitens: Die Seite wird gerastert. Rastern bedeutet, dass die Seite in ein Pixelbild umgewandelt und als Bild neu in das PDF eingebaut wird. Der entfernte Inhalt steckt in diesen Pixeln nicht mehr drin.

Beide Wege haben einen ehrlichen Preis. Eine gerasterte Seite enthält keinen auswählbaren Text mehr. Sie können auf dieser Seite nichts markieren oder durchsuchen, und die Datei kann etwas größer werden. Für vertrauliche Dokumente ist dieser Nachteil meist gut verkraftbar.

Wichtig ist außerdem: Auch nach echtem Schwärzen bleiben die Metadaten ein eigenes Thema. Bereinigen Sie beides, den Seiteninhalt und die Dokumenteigenschaften.

Checkliste: Das prüfen Sie vor der Weitergabe

Nehmen Sie sich vor dem Versand fünf Minuten Zeit. Diese Prüfung ist deutlich schneller als jede Aufarbeitung einer Panne. Erst wenn alle Punkte bestanden sind, ist die Datei bereit für die Weitergabe.

• Kopiertest: gesamten Inhalt markieren, kopieren und in einen leeren Texteditor einfügen. Der geschwärzte Inhalt darf dort nicht erscheinen.
• Suchtest: mit der Suchfunktion gezielt nach einem geschwärzten Begriff suchen. Kein Treffer ist das Ziel.
• Metadaten: Dokumenteigenschaften öffnen und Autor, Titel, Betreff und Stichwörter prüfen oder bereinigen.
• Kommentare, Anmerkungen, Ebenen und angehängte Dateien anzeigen lassen und entfernen.
• Dateiname prüfen: keine Namen und keine vertraulichen Angaben im Dateinamen.
• Immer eine neue Datei erzeugen. Das ungeschwärzte Original bleibt getrennt und geschützt abgelegt.
• Bei sensiblen Fällen eine zweite Person gegenprüfen lassen, Stichwort Vier-Augen-Prinzip.

Was die DSGVO damit zu tun hat

Sobald in einem Dokument Namen, Adressen, Gehälter, Gesundheitsangaben oder Kontodaten stehen, geht es um personenbezogene Daten. Das sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Wer solche Daten weitergibt, obwohl der Empfänger sie nicht braucht, gerät schnell in Konflikt mit dem Grundsatz der Datenminimierung aus Art. 5 Abs. 1 DSGVO.

Geht ein schlecht geschwärztes PDF an Unbefugte, liegt in der Regel eine Verletzung des Schutzes personenbezogener Daten vor, umgangssprachlich eine Datenpanne. Dann greift Art. 33 DSGVO: Sie müssen die zuständige Aufsichtsbehörde, also die staatliche Datenschutzbehörde Ihres Bundeslandes, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden informieren. Die Meldung entfällt nur, wenn die Panne voraussichtlich kein Risiko für die betroffenen Personen mit sich bringt.

Besteht ein voraussichtlich hohes Risiko, müssen Sie nach Art. 34 DSGVO zusätzlich die betroffenen Personen selbst benachrichtigen. Unabhängig davon gilt: Dokumentieren Sie jede Panne intern, auch die, die Sie nicht melden müssen. Verstöße gegen diese Pflichten können Bußgelder nach sich ziehen.

Die gute Nachricht: Mit einem sauberen Schwärz-Prozess kommen Sie gar nicht erst in diese Lage. Legen Sie einmal fest, wer schwärzt, wer prüft und mit welchem Werkzeug. Das ist auch in einem kleinen Team in einer halben Stunde geregelt und erspart im Ernstfall viel Aufwand.