Dokumenten-Forensik

Eine Prüfung der Dokumenten-Forensik liest, was eine Datei jenseits ihres sichtbaren Inhalts mit sich trägt: wen die Metadaten als Autor nennen, welches Werkzeug sie erzeugt hat, wann ihre Zeitstempel eine Änderung behaupten, welche früheren Revisionen, eingebetteten Dateien oder unsichtbaren Texte noch in ihr stecken. Legen Sie unten ein PDF, PNG oder JPEG ab, und diese Seite meldet diese Fakten lokal in Ihrem Browser, jeden mit den konkreten Werten, aus denen er gelesen wurde. Zwei Grenzen vorab: Die Datei wird nie hochgeladen — sie wird auf diesem Gerät und nirgendwo sonst analysiert — und dieses Werkzeug meldet Fakten, keine Urteile: Strukturelle Belege können nicht beweisen, wer eine Datei erstellt hat, daher gibt es hier keine Punktzahl und kein Urheberschaftsurteil. Der Begleitartikel PDF-Metadaten und versteckte Daten erklärt, wo sich jede Datenart versteckt und wie echte Lecks entstanden sind; der PDF-Barrierefreiheit-Checker deckt die Lesestruktur eines PDF ab, und der Binary Inspector deckt ausführbare Dateien ab.

Zuletzt aktualisiert:

Oder legen Sie die Datei irgendwo in diesem Feld ab. Die Datei wird auf diesem Gerät gelesen und nie hochgeladen. Limit: 20 MB.

Fakten, keine Urteile — was diese Seite Ihnen nicht sagen kann

Metadaten sind Aussagen, kein Beweis. Ein Autorenfeld sagt, was ein Programm in die Datei geschrieben hat, und jeder dieser Werte kann bearbeitet, aus einem anderen Dokument kopiert oder aus einer Vorlage übernommen worden sein — ein bekannter Name in den Metadaten beweist also nicht, dass diese Person die Datei erstellt hat, und ein unbekannter Werkzeugname beweist nichts darüber, wie der Inhalt entstanden ist. Insbesondere gilt: Strukturelle Belege können keine Urheberschaft beweisen, und diese Seite behauptet nichts darüber, ob ein Inhalt von einem Menschen oder von Software erzeugt wurde: Sie meldet die vorhandenen Werte, die überlebenden Revisionen und die Zeitstempel, die sich widersprechen, und überlässt Ihnen die Deutung. Behandeln Sie jeden Befund als Spur, die zu prüfen ist, nicht als Schlussfolgerung.

Was dieses Werkzeug meldet

  • Felder des PDF-Info-Wörterbuchs — Titel, Autor, Ersteller, Erzeuger und beide Datumsangaben — als Beleg wörtlich zitiert.
  • Das XMP-Metadatenpaket, sofern vorhanden, mit extrahiertem Titel, Erzeuger und Erstellungs-/Änderungsdatum.
  • Die Struktur inkrementeller Updates: wie viele %%EOF-Markierungen und startxref-Abschnitte die Datei trägt und wie tief die /Prev-Trailerkette ist.
  • Hinweise auf eingebettete Dateien, mit Render-Modus 3 gezeichneter versteckter Text und die Verschlüsselungsmarkierung.
  • PNG-Blockinventar mit dekodierten Textblöcken und dem tIME-Zeitstempel; JPEG-Segmentinventar mit JFIF-, Exif- und XMP-Feldern und Kommentartext — plus alle Bytes nach der Endmarkierung in beiden Formaten.

Was ein Dokument neben seinem Inhalt noch trägt

Jedes hier erfasste Dokumentformat ist ein Container, nicht nur ein Bild des Inhalts. Ein PDF trägt ein Info-Wörterbuch — Titel, Autor, Ersteller, Erzeuger und zwei Datumsangaben — geschrieben von der Anwendung, die es exportiert hat, meist ohne dass der Autor des Dokuments es je gesehen hätte. Daneben betten die meisten modernen Erzeuger ein XMP-Paket ein: einen XML-Metadatenblock, der dieselben Felder wiederholen, ein Ersteller-Werkzeug hinzufügen oder dem Info-Wörterbuch still widersprechen kann. PNG-Bilder tragen benannte Blöcke, von denen einige freien Text halten — Programmnamen, Kommentare, Copyright-Zeilen, manchmal ganze XML-Dokumente — und JPEG-Fotos tragen von der Kamera geschriebene Exif-Blöcke: Marke, Modell, das Datum des Auslösens und die Software, die die Datei zuletzt berührt hat. Nichts davon ist sichtbar, wenn das Dokument normal geöffnet wird, und alles reist mit der Datei, wenn sie veröffentlicht, per E-Mail verschickt oder vor Gericht eingereicht wird.

PDFs haben eine zweite, tiefere Schicht: inkrementelle Updates. Das PDF-Format wurde so entworfen, dass ein Editor eine Änderung speichern kann, indem er eine neue Revision ans Dateiende anhängt, statt die Datei neu zu schreiben — die früheren Bytes, einschliesslich der früheren Fassung eines Absatzes, bleiben physisch vorhanden und lesbar. Eine Datei mit mehreren %%EOF-Markierungen wurde so mehrfach gespeichert, und alles, was in einer späteren Revision “gelöscht” wurde, lässt sich aus einer früheren womöglich wiederherstellen. Dieser Mechanismus ist legitim und für Signaturen und schnelles Speichern nützlich, aber er ist auch der Grund, warum naive Schwärzung scheitert: Einen Absatz mit einem schwarzen Rechteck zu überdecken oder den Text gar in einem Editor zu löschen, der dann inkrementell speichert, kann die Originalworte für jeden, der hinschaut, in der Datei belassen. Diese Seite zählt die Dateiende-Markierungen und die Trailer-Kette, damit Sie sehen, ob die Datei vor Ihnen eine Vergangenheit hat.

Dieselbe Container-Logik erklärt die übrigen Prüfungen. Ein PDF kann eingebettete Dateien tragen — vollständige Anhänge, die im Dokument selbst gespeichert und in seinem Namensbaum für eingebettete Dateien aufgelistet sind — die ein Leser vielleicht nie bemerkt, ein Empfänger aber extrahieren kann. Es kann auch versteckten Text tragen: PDF-Text wird mit einem Render-Modus gezeichnet, und Modus 3 zeichnet gar nichts, lässt die Zeichen aber im Inhaltsstrom — kopierbar und durchsuchbar, doch auf der Seite unsichtbar — ein klassischer Ort für Text, der entfernt werden sollte, und gelegentlich für Text, der nie gesehen werden sollte. PNG- und JPEG-Dateien haben ihre eigene Version derselben Geschichte: Bytes, die nach der Endmarkierung angehängt wurden, ignoriert jeder Betrachter, doch sie bleiben in der Datei, und Textblöcke und Kommentarsegmente überleben regelmässig die Bearbeitungssitzung, die sie geschrieben hat.

Zeitstempel sind die Stelle, an der sich Dokumente widersprechen. Ein PDF hält mindestens zwei Datumsangaben in seinem Info-Wörterbuch und oft zwei weitere in seinem XMP-Paket, geschrieben von verschiedenen Werkzeugen zu verschiedenen Zeitpunkten — dem Exporteur, dem Editor, dem Optimierer, der es beim Hochladen neu komprimiert hat. Wenn das Erstellungsdatum nach dem Änderungsdatum liegt, wenn die XMP-Daten vom Info-Wörterbuch abweichen oder wenn ein Datum in der Zukunft liegt, hat etwas in der Kette keine konsistente Geschichte erzählt: Eine Uhr ging falsch, ein Feld wurde bearbeitet, oder die Datei wurde aus Teilen mit unterschiedlicher Geschichte zusammengesetzt. Keine dieser Erklärungen ist automatisch verdächtig, und diese Seite wählt nicht zwischen ihnen — sie zeigt beide Werte nebeneinander, damit der Widerspruch sichtbar wird, statt begraben zu bleiben. Dasselbe gilt für das Exif-Datum einer Kamera und den Letzte-Änderung-Block eines PNG: Ein Zeitstempel ist eine Behauptung der Datei, und Behauptungen gegenzuprüfen ist der ganze Zweck dieses Werkzeugs.

Nutzen Sie die Ergebnisse vor dem Veröffentlichen, nicht nachdem jemand anderes es getan hat. Führen Sie interne Berichte, Screenshots und Fotos durch eine Prüfung wie diese und lesen Sie, was mit ihnen entweichen würde: Autorennamen und Benutzernamen, interne Werkzeugnamen, die Originaldaten, die Anhänge, die Sie vergessen haben, die Revision, die noch immer den Absatz enthält, den die Rechtsabteilung entfernt hat. Das Bereinigen wird dann ein bewusster Schritt — aus der Quelle mit entfernten Metadaten neu exportieren, die Datei vollständig abflachen und neu schreiben statt inkrementell zu speichern — und die Kopie, die Sie tatsächlich versenden, erneut prüfen. Und behalten Sie die Ehrlichkeitsgrenze die ganze Zeit im Blick: Ein sauberes Ergebnis bedeutet, dass an den Stellen, an denen diese Seite hinschaut, keine strukturellen Überraschungen gefunden wurden; es bescheinigt nicht die Herkunft eines Dokuments, und ein überraschender Befund ist eine Frage, die man stellt, keine Anklage, die man erhebt.

Häufige Fragen

Wird meine Datei irgendwohin hochgeladen?

Nein. Die Datei wird auf dieser Seite, auf Ihrem Gerät, geöffnet und analysiert, und nichts wird hochgeladen, übertragen oder gespeichert. Das Analysieren einer Datei stellt keine Netzwerkanfrage, sodass die Seite nach dem Laden offline funktioniert — was zählt, denn die Dokumente, die eine Prüfung am meisten lohnen, sind genau die, die Sie nicht an den Server eines Fremden schicken sollten.

Kann dieses Werkzeug mir sagen, wer eine Datei erstellt hat oder ob eine KI sie gemacht hat?

Nein — und seien Sie bei jedem Werkzeug misstrauisch, das das Gegenteil behauptet. Metadatenfelder sind Text, den ein Programm in die Datei geschrieben hat; sie können bearbeitet, aus einer Vorlage übernommen oder aus einem anderen Dokument kopiert worden sein, also sind sie Aussagen, kein Beweis. Strukturelle Belege können keine Urheberschaft begründen. Diese Seite meldet die vorhandenen Werte und die Stellen, an denen sich eine Datei widerspricht, und überlässt Urheberschaftsfragen den Belegen, die sie tatsächlich beantworten können.

Was ist ein inkrementelles Update, und warum ist es wichtig?

PDF-Editoren können Änderungen speichern, indem sie eine neue Revision anhängen, statt die Datei neu zu schreiben. Jedes Speichern hinterlässt eine %%EOF-Markierung, also bedeuten mehrere Markierungen mehrere angehängte Revisionen — und frühere Revisionen bleiben in den Bytes lesbar, einschliesslich des Inhalts, den spätere Revisionen zu löschen scheinen. Deshalb entfernt das Überdecken von Text mit einem Rechteck oder das Löschen in einem inkrementellen Speichern ihn nicht aus der Datei. Ein vollständiges Neuschreiben oder ein Neu-Export ist das, was die alten Bytes wirklich verwirft.

Ich habe versteckten Text in einem PDF gefunden. Bedeutet das, dass jemand betrogen hat?

Nicht für sich allein. Mit Render-Modus 3 gezeichneter Text ist unsichtbar, aber vorhanden, und es gibt legitime Gründe dafür: OCR-Ebenen liegen hinter den Bildern gescannter Seiten, damit die Seite durchsucht und kopiert werden kann, und einige Erzeuger geben unsichtbaren Text zur Indexierung aus. Zum Problem wird er, wenn der unsichtbare Text hätte verschwinden sollen — ein geschwärzter Name, der kopierbar bleibt, ist ein Leck, was auch immer die Absicht war. Lesen Sie den Befund als “hier hinschauen”, nicht als Urteil.

Wie entferne ich diese Metadaten vor dem Veröffentlichen?

Arbeiten Sie wo möglich an der Quelle: Löschen Sie die Dokumenteigenschaften im Autorenwerkzeug, exportieren Sie mit deaktivierten Metadatenoptionen und bevorzugen Sie bei PDFs ein vollständiges Neuschreiben — Drucken nach PDF oder ein dedizierter Bereiniger — gegenüber einem inkrementellen Speichern. Exportieren Sie Bilder über ein Werkzeug neu, das Exif und Textblöcke entfernt, statt sie an Ort und Stelle zu bearbeiten. Führen Sie die bereinigte Kopie danach erneut durch diese Seite und bestätigen Sie, dass die Befunde, die Ihnen wichtig waren, wirklich verschwunden sind.