Als Teil einer rechtlichen Offenlegungsantwort landet ein PDF auf Ihrem Schreibtisch. Der Bereich mit den Dokumenteigenschaften ist leer. Die Felder „Autor“, „Erstellungsdatum“ und „Änderungsverlauf“ wurden absichtlich oder versehentlich entfernt. Sie müssen feststellen, wann und von wem dieses Dokument erstellt wurde. Die Metadaten, die diese Fragen normalerweise beantworten, sind nicht mehr vorhanden, aber das PDF enthält möglicherweise immer noch wiederherstellbare Beweise für seine Herkunft.
PDF-Metadaten Das Entfernen kommt häufig vor, wenn Dokumente Bereinigungstools durchlaufen, die darauf ausgelegt sind, potenziell vertrauliche Informationen vor der Weitergabe zu entfernen. Diese Tools löschen das Dokumentinformationswörterbuch, die Standardmetadatenfelder und häufig den XMP-Metadatenstrom. Der sichtbare Seiteninhalt bleibt erhalten. Der dokumentarische Kontext wird entfernt.
Wo Metadaten nach dem Entfernen verborgen bleiben können
Das Dokumentinformationswörterbuch, in dem Autor, Titel, Betreff, Schlüsselwörter, Ersteller, Produzent, Erstellungsdatum und ModDatum gespeichert sind, ist das Hauptziel der Metadatenentfernung. Nach dem Entfernen geben diese Felder bei der Abfrage leere oder Standardwerte zurück.
XMP-Metadaten, die in einem separaten Stream innerhalb der PDF-Datei gespeichert sind, werden von einfachen Metadaten-Entfernern, die nur auf das Informationswörterbuch abzielen, häufig übersehen. XMP kann dieselben Felder sowie benutzerdefinierte Eigenschaften enthalten. Ein Repair PDF Inspektionstool, das die gesamte Dateistruktur untersucht, kann XMP-Metadaten aufdecken, die das Entfernen überstanden haben.
Metadaten auf Seitenebene, einschließlich der ursprünglichen Seitenabmessungen, der Software, die jede Seite generiert hat, und in Seiteninhaltsströmen eingebettete Änderungszeitstempel, werden selten entfernt, da die Entfernungstools den Seiteninhalt nicht auf metadatenähnliche Daten untersuchen.
Versuchen Sie es mit „PDF reparieren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Technische Methoden zur Wiederherstellung entfernter Metadaten
Untersuchen Sie die PDF-Datei in einem Texteditor, der Binärdateien verarbeiten kann. Suchen Sie im Dateiheader und in einzelnen Objektströmen nach Ersteller- und Produzentenzeichenfolgen. Diese Zeichenfolgen identifizieren die Software, die das PDF ursprünglich erstellt hat, und die Software, die es zuletzt geändert hat. Die Zeichenfolgen bleiben auch dann bestehen, wenn das Dokumentinformationswörterbuch geleert wurde.
Überprüfen Sie die eingebetteten Schriftartmetadaten. In die PDF-Datei eingebettete Schriftarten behalten ihre eigenen Metadaten, einschließlich der Erstellungsdaten der Schriftarten und der zum Erstellen oder Ändern der Schriftartdateien verwendeten Software. Diese Daten geben einen Hinweis darauf, dass das Dokument nicht erstellt worden sein kann, bevor seine eingebetteten Schriftarten vorhanden waren.
WukongPDF bietet PDF-Versionskontrolle eine Inspektion über den Browser, mit der Dokumenteigenschaften untersucht und wiederherstellbare Metadatenelemente innerhalb der Dateistruktur identifiziert werden können.
Was die Metadatenwiederherstellung offenbaren kann und was nicht
Wiederherstellbare Metadaten können die erstellende Software, das Betriebssystem und häufig den Erstellungsdatumsbereich identifizieren. Ein im Sommer 2023 von Microsoft Word 2016 unter Windows 10 erstelltes PDF schränkt den Ursprung deutlich ein. Wiederherstellbare Metadaten können den spezifischen Benutzer, der das Dokument erstellt hat, oder den spezifischen Computer, auf dem es erstellt wurde, nicht identifizieren, es sei denn, diese Informationen wurden in benutzerdefinierten Metadatenfeldern gespeichert.
Der Änderungsverlauf ist schwieriger wiederherzustellen als Erstellungsinformationen. Bei jedem Speichervorgang einiger PDF-Editoren wird ein neues Änderungsdatum geschrieben, die vorherigen Daten bleiben jedoch nicht erhalten. Der wiederherstellbare Änderungsverlauf ist der Verlauf der Speicherungen durch Editoren, bei denen inkrementelle Sicherungsinformationen erhalten blieben.
Metadatenverlust in zukünftigen Dokumenten verhindern
Bevor Sie PDFs extern teilen, überprüfen Sie die Metadaten, um festzustellen, ob sie beibehalten oder entfernt werden sollen. Durch das Entfernen aller Metadaten wird der dokumentarische Kontext entfernt, der später möglicherweise benötigt wird. Durch die Aufbewahrung von Metadaten werden möglicherweise vertrauliche Informationen geteilt. Die Entscheidung sollte bewusst getroffen werden.
Führen Sie ein Dokumentregister außerhalb der PDF-Datei, das Erstellungsdaten, Autoren und Versionsverlauf für wichtige Dokumente aufzeichnet. Das externe Register ist von PDF-Metadatenoperationen nicht betroffen und bietet eine unabhängige Aufzeichnung der dokumentarischen Herkunft.
Die Metadaten des PDF-Dateisystems, also die vom Betriebssystem in der Datei selbst gespeicherten Erstellungs- und Änderungsdaten, sind unabhängig von den PDF-internen Metadaten. Selbst wenn das interne PDF-Erstellungsdatum entfernt wurde, zeichnet das Dateisystem möglicherweise immer noch auf, wann die Datei zum ersten Mal an ihrem aktuellen Speicherort gespeichert wurde.
E-Mail-Anhänge behalten das E-Mail-Datum in den Metadaten des E-Mail-Systems. Wenn das PDF als E-Mail-Anhang empfangen wurde, liefert das E-Mail-Datum ein spätestmögliches Erstellungsdatum für das Dokument. Das PDF kann nicht nach dem Versenden per E-Mail erstellt worden sein.
Dokumentenverwaltungssysteme, die den Dokumentverlauf unabhängig von den Dateimetadaten verfolgen, haben möglicherweise das ursprüngliche Erstellungsdatum, den Autor und Änderungsereignisse aufgezeichnet, bevor die Metadaten entfernt wurden. Durch Durchsuchen des Dokumentenverwaltungssystems nach der Dokument-ID oder dem Dateinamen können die Metadaten vor dem Entfernen wiederhergestellt werden.
Bei der inkrementellen PDF-Speicherstruktur bleiben frühere Versionen des Dokumentinformationswörterbuchs erhalten, wenn die Datei inkrementell gespeichert und nicht vollständig neu geschrieben wurde. Eine forensische Untersuchung der inkrementellen Speicherdaten kann Metadatenwerte aufdecken, die in früheren Versionen vorhanden waren, in der aktuellen Version jedoch überschrieben wurden.
Die im PDF eingebetteten Schriftarten tragen ihre eigenen Erstellungs- und Änderungsdaten in den Metadaten der Schriftartdatei. Diese Daten sind von der PDF-Metadatenentfernung nicht betroffen. Das neueste Schriftartdatum stellt eine Untergrenze für das Erstellungsdatum des Dokuments dar.
In die PDF-Datei eingebettete Bilder enthalten EXIF-Metadaten aus den Originalbilddateien, einschließlich Aufnahmedaten, Kamerainformationen und zur Bearbeitung verwendeter Software. In PDF-Bilder eingebettete EXIF-Daten sind von PDF-Metadaten-Entfernungsvorgängen nicht betroffen.
Wiederhergestellte Metadaten sollten mit der Wiederherstellungsmethode und einer Vertrauensbewertung dokumentiert werden. Metadaten, die aus Zeitstempeln des Dateisystems wiederhergestellt wurden, weisen eine geringere Zuverlässigkeit auf als Metadaten, die aus Erstellungsdaten eingebetteter Schriftarten wiederhergestellt wurden. Mithilfe der Dokumentation können zukünftige Benutzer die Zuverlässigkeit der wiederhergestellten Informationen beurteilen.
Die Wiederherstellung von Metadaten aus einer bereinigten PDF-Datei ist eine forensische Übung, die eine technische Untersuchung der Dateistruktur mit einer kontextbezogenen Recherche über den Ursprung des Dokuments kombiniert. Die wiederhergestellten Informationen sind in der Regel eher teilweise als vollständig.
Die Entscheidung, Metadaten vor der Freigabe aus einer PDF-Datei zu entfernen, sollte im Bewusstsein getroffen werden, dass die entfernten Informationen möglicherweise später benötigt werden und dass die Wiederherstellungsmöglichkeiten begrenzt und unsicher sind.
Die Wiederherstellung von Metadaten aus einer bereinigten PDF-Datei kombiniert technische Analyse mit Kontextrecherche, um die Entstehungsgeschichte des Dokuments zu rekonstruieren.
Die Zeitstempel des Dateisystems in der PDF-Datei selbst sind unabhängig von den internen PDF-Metadaten.
Die Wiederherstellung von Metadaten aus einem entfernten PDF erfordert die Untersuchung sowohl der Dateistruktur als auch externer Quellen.
Die Wiederherstellung von Metadaten ist ein Untersuchungsprozess, der technische und kontextbezogene Analysen kombiniert.
Das Feld „PDF-Produzent“ im Dokumentinformationswörterbuch identifiziert die Software, die die Datei erstellt hat, eine Information, die die meisten Metadatenentfernungen übersteht.
Bei der Untersuchung der Roh-PDF-Datei mit einem Hex-Editor können Metadatenfragmente aufgedeckt werden, auf die das Dokumentinformationswörterbuch nicht mehr verweist.
Das in Schriftartdateien im PDF eingebettete Erstellungsdatum bietet einen terminus post quem für die Dokumenterstellung.
XMP-Metadatenströme im PDF sind vom Dokumentinformationswörterbuch getrennt und können das Entfernen überleben, wenn das Tool nur auf das Wörterbuch abzielt.
Der Änderungsverlauf einer PDF-Datei kann manchmal aus den inkrementellen Speicherabschnitten rekonstruiert werden, die sich bei jeder Bearbeitung ansammeln.
In die PDF-Datei eingebettete Bild-EXIF-Daten behalten die ursprünglichen Bilderfassungsdaten unabhängig von PDF-Metadatenoperationen bei.
Protokolle des Dokumentenverwaltungssystems können die ursprünglichen Metadatenwerte aufzeichnen, bevor die PDF-Datei für die Verteilung verarbeitet wurde.
E-Mail-Header aus der Nachricht, die das PDF übermittelt hat, können ein spätestmögliches Erstellungsdatum für das Dokument angeben.
Die Seitenzahl und die Seitenabmessungen können dabei helfen, die Erstellungssoftware zu identifizieren, da verschiedene Anwendungen unterschiedliche Standardseitengrößen haben.
Die PDF-Versionsnummer 1.4, 1.7, 2.0 gibt an, welche Spezifikationsfunktionen zum Zeitpunkt der Erstellung des Dokuments verfügbar waren.
Die Analyse von Querverweistabellen kann die Reihenfolge aufdecken, in der Objekte zur Datei hinzugefügt wurden, und so eine relative Chronologie liefern.
Die Objektnummerierung im PDF erfolgt fortlaufend, und Objekte mit niedrigeren Nummern wurden normalerweise vor Objekten mit höheren Nummern erstellt.
Die Einstellung der Dokumentsprache im PDF-Katalog gibt möglicherweise die ursprüngliche Sprache und das Gebietsschema des Autors an.
Benutzerdefinierte Metadatenfelder, die von der erstellenden Organisation definiert werden, können Namenskonventionen verwenden, die die Dokumentquelle identifizieren.
Die PDF-Ausgabeabsicht, falls vorhanden, identifiziert die Zieldruckbedingung und kann die beabsichtigte Verwendung des Dokuments angeben.
Eingebettete Farbprofile geben Auskunft über die Farbmanagementumgebung, in der das Dokument erstellt wurde.
Die anfänglichen Ansichtseinstellungen für das Seitenlayout können angeben, ob das Dokument für die Bildschirm- oder Druckansicht konzipiert wurde.
Anmerkungen und Kommentare im PDF tragen in den Anmerkungseigenschaften ihre eigenen Erstellungsdaten und Autoreninformationen.
Formularfelder in interaktiven PDFs können Standardwerte oder JavaScript enthalten, die auf Organisationssysteme oder Datumsangaben verweisen.
Der in der Titelleiste des PDF-Viewers angezeigte Dokumenttitel ist möglicherweise anders eingestellt als das Metadatentitelfeld.
Lesezeichen und die Dokumentgliederung behalten die Abschnittsstruktur bei, auch wenn Metadaten entfernt werden.
Hyperlinks im Dokument können auf URLs verweisen, die Datumsinformationen oder Organisationskennungen enthalten.
Die Liste der im Dokument verwendeten Schriftarten kann aus den Seiteninhaltsströmen wiederhergestellt werden und kann auf die Erstellungssoftware hinweisen.
Seitenbeschriftungen, die im PDF-Viewer angezeigten logischen Seitenzahlen, können von den physischen Seitenzahlen abweichen und die Dokumentstruktur verraten.
In den Seiteninhalt eingebetteter Wasserzeichentext kann Datums- oder Autoreninformationen enthalten, die bei der Dokumenterstellung angewendet wurden.
Die Prüfsumme oder der Hash des Dokuments kann mit bekannten Dateien verglichen werden, um die Originalquelle zu identifizieren.
Dateigrößenmuster, große Bilder, viele Schriftarten und komplexe Vektorgrafiken können auf den Dokumenttyp und die Erstellungssoftware hinweisen.
Das Vorhandensein bestimmter PDF-Funktionen, Ebenen, Portfolios und Rich Media weist darauf hin, welche Softwareversion verwendet wurde.
Durch die Textextraktion aus dem Dokument können Kopf- und Fußzeilentext angezeigt werden, der Datumsangaben, Dokument-IDs oder Autorennamen enthält.
Die Dokumentverschlüsselungsmethode gibt, wenn sie passwortgeschützt ist, die Sicherheitsfunktionen der Erstellungssoftware an.
Metadaten zu Papiergröße und Ausrichtung auf jeder Seite können Aufschluss darüber geben, ob das Dokument in einem metrischen oder imperialen Maßbereich erstellt wurde.
Die Plattform zur Dokumentenerstellung, Windows, Mac oder Linux, lässt sich häufig anhand der PDF-Erstellerzeichenfolge identifizieren.
Das Zusammenfügen dieser forensischen Hinweise kann ein einigermaßen vollständiges Bild der Herkunft eines Dokuments ergeben, selbst nach bewusster Entfernung der Metadaten.
Die Wiederherstellung entfernter Metadaten erfordert die Untersuchung sowohl der internen PDF-Struktur als auch externer Kontextquellen.
| Beweisquelle | Was es verrät | Zuverlässigkeit | Abisolierwiderstand |
|---|---|---|---|
| XMP-Metadaten-Stream | Autor, Daten, benutzerdefinierte Felder | Hoch | Wird von einfachen Stripperinnen oft übersehen |
| Eingebettete Schriftartdaten | Erstellungsdatum der Schriftart | Medium | Sehr hoch (in der Schriftartdatei) |
| Bild-EXIF-Daten | Aufnahmedatum, Kamera, Software | Medium | Sehr hoch (in Bilddaten) |
| Zeitstempel des Dateisystems | Dateierstellung/-änderung | Niedrig | N/A (extern als PDF) |
Versuchen Sie es mit „PDF reparieren“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.