Kreditkartennummern, Bankkontodaten und Zahlungsinformationen tauchen in PDFs häufiger auf, als den meisten Menschen bewusst ist. Eine Rechnung enthält die Zahlungsdetails des Kunden. In einem Vertrag sind Bankleitzahlen aufgeführt. Eine in PDF konvertierte E-Mail-Quittung zeigt die letzten vier Ziffern der verwendeten Karte. Die Weitergabe dieser Dokumente ohne Schwärzung der Zahlungsinformationen setzt die Einzelperson oder das Unternehmen der Gefahr von Finanzbetrug aus.
Zahlungsdaten sind die gefährlichsten Informationen, wenn sie nicht geschwärzt werden. Im Gegensatz zu einem Namen oder einer Adresse kann es sofort für einen Diebstahl verwendet werden.
Das Schwärzen von Zahlungsinformationen durch PDF-Schwärzung bedeutet, jede Instanz von Kartennummern, Kontonummern und Bankleitzahlen im gesamten Dokument zu finden, eine echte Schwärzung anzuwenden, die die zugrunde liegenden Daten entfernt, und zu überprüfen, dass keine wiederherstellbaren Spuren zurückbleiben. Das Schwärzungstool PDF-Sicherheit von WukongPDF übernimmt die dauerhafte Datenentfernung.
Die spezifischen Muster, die Zahlungsinformationen identifizieren
Kreditkartennummern folgen vorhersehbaren Mustern, die sie durchsuchbar machen. Visa-Karten beginnen mit 4 und sind 16-stellig. Mastercard beginnt mit 5 und ist 16-stellig. American Express beginnt mit 3 und ist 15-stellig. Die Zahlen werden häufig in Vierergruppen formatiert, die durch Leerzeichen oder Bindestriche getrennt sind. Suchen Sie mit regulären Ausdrücken in der Suchfunktion des Schwärzungstools nach diesen Mustern.
Bankkontonummern sind weniger standardisiert als Kartennummern, was es schwieriger macht, sie allein anhand des Musters zu finden. Suchen Sie nach Beschriftungen in der Nähe der Nummer: Kontonummer, Kontonummer, Bankkonto, Bankleitzahl, ABA-Nummer, SWIFT, IBAN. Suchen Sie nach diesen Beschriftungszeichenfolgen und schwärzen Sie die darauf folgende Nummer. Das Etikett ist der Wegweiser. Die Zahl daneben ist das Ziel.
Versuchen Sie es mit Redact PDF
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Suchen nach Kartennummern in Kopf- und Fußzeilen von Dokumenten
Zahlungsinformationen in Kopf- und Fußzeilen wiederholen sich auf jeder Seite. Eine einzelne nicht redigierte Kartennummer in einer Kopfzeile, die auf 20 Seiten erscheint, bedeutet 20 verschiedene Redaktionsorte. Durchsuchen Sie Kopf- und Fußzeilen gezielt, indem Sie den ersten und letzten Zoll jeder Seite untersuchen. Die Suche des Schwärzungstools scannt möglicherweise nicht automatisch Kopf- und Fußzeilenbereiche, wenn diese als separate Seitenelemente in der PDF-Struktur gespeichert sind.
Scrollen Sie nach dem Schwärzen durch jede Seite in Miniaturbildgröße und überprüfen Sie die Kopf- und Fußzeilenbereiche auf verbleibende sichtbare Ziffern. Eine Kartennummer in einer Kopfzeile ist häufig kleiner und heller als der Haupttext, sodass sie bei einer auf den Haupttext ausgerichteten Überprüfung leicht übersehen werden kann. Der Miniaturbild-Scan erfasst Kopf- und Fußzeileninhalte, die bei der detaillierten Überprüfung übersehen werden.
Umgang mit teilweise maskierten Kartennummern
Viele Dokumente zeigen bereits teilweise maskierte Kartennummern, wie zum Beispiel **** **** **** 1234. Die letzten vier Ziffern allein reichen möglicherweise nicht für einen Betrug aus, können aber in Kombination mit dem Namen des Karteninhabers und den Händlerinformationen an anderer Stelle im Dokument für Social-Engineering-Angriffe verwendet werden. Entscheiden Sie anhand der Sensibilität des Dokuments, ob auch teilweise maskierte Zahlen geschwärzt werden sollen. Bei Dokumenten, die öffentlich oder an unbekannte Empfänger weitergegeben werden, schwärzen Sie alle Ziffern.
Die Mustersuche des Schwärzungstools sollte sowohl vollständige als auch teilweise maskierte Zahlen finden. Ein Suchmuster, das nach durch Leerzeichen oder Sternchen getrennten Gruppen von 4 Ziffern sucht, findet sowohl 4111 2222 3333 4444 als auch **** **** **** 1234. Wenden Sie die Schwärzung auf alle Übereinstimmungen an und überprüfen Sie sie dann manuell, um sicherzustellen, dass es sich bei dem geschwärzten Inhalt um Zahlungsinformationen handelte und nicht um eine harmlose Zahl, die zufällig mit dem Ziffernmuster übereinstimmte.
| Zahlungsdatentyp | Suchmuster | Wo es erscheint |
|---|---|---|
| Kreditkartennummer | 4 Gruppen mit je 4 Ziffern oder 15–16 aufeinanderfolgenden Ziffern | Rechnungen, Quittungen, Zahlungsformulare |
| Bankleitzahl | 9 Ziffern, oft mit Routing oder ABA bezeichnet | Verträge, Direkteinzahlungsformulare, Rechnungen |
| Bankkontonummer | Variable Länge, beschriftet mit Konto oder Konto | Gleiche Dokumente wie Routing-Nummern |
| Letzte 4 Ziffern der Karte | Mit der Bezeichnung „Letzte 4“ oder XXXX-XXXX-XXXX-NNNN | Quittungen, Auftragsbestätigungen |
| CVV oder Sicherheitscode | 3-4 Ziffern, normalerweise in der Nähe der Kartennummer | Zahlungsformulare, selten im PDF-Format, sofern sie nicht falsch ausgefüllt sind |
Überprüfung, ob die redigierte Datei keine wiederherstellbaren Zahlungsdaten enthält
Führen Sie nach dem Anwenden der Schwärzungen dieselben Überprüfungstests durch, die für jedes geschwärzte Dokument beschrieben wurden: Textauswahltest, Test zum Kopieren und Einfügen, Test zum Exportieren in Text und Metadatenprüfung. Bei Zahlungsdaten steht besonders viel auf dem Spiel. Fügen Sie daher einen zusätzlichen Test hinzu: Öffnen Sie das redigierte PDF in einem Hex-Editor oder Texteditor auf Binärebene und suchen Sie nach Fragmenten der redigierten Zahlen. Bei einer echten Schwärzung werden die Daten auf binärer Ebene entfernt.
Testen Sie eine Zufallsstichprobe geschwärzter Orte, anstatt sich bei großen Dokumenten auf einen Scan des gesamten Dokuments zu verlassen. Wählen Sie 10 geschwärzte Bereiche auf verschiedenen Seiten aus und versuchen Sie, die zugrunde liegenden Daten von jedem wiederherzustellen. Wenn alle 10 nicht wiederherstellbar sind, funktioniert der Schwärzungsprozess ordnungsgemäß und den verbleibenden Schwärzungen kann vertraut werden. Wenn einer der zehn Punkte wiederhergestellt werden kann, ist der Schwärzungsprozess fehlgeschlagen und muss erneut auf das gesamte Dokument angewendet werden.
PCI-DSS-Konformitäts- und Redaktionsanforderungen
Organisationen, die Zahlungskartendaten verarbeiten, unterliegen den PCI-DSS-Anforderungen, die das Speichern vollständiger Kartennummern, CVV-Codes oder Magnetstreifendaten nach der Autorisierung verbieten. Das Schwärzen dieser Daten aus PDFs, die für Geschäftsunterlagen aufbewahrt werden müssen, wie z. B. unterzeichnete Bestellformulare, die vollständige Kartendetails enthalten, ist eine Möglichkeit, die gespeicherten Dokumente in Übereinstimmung zu bringen. Bei der Schwärzung muss es sich um eine dauerhafte, echte Inhaltsentfernung und nicht um eine visuelle Verdeckung handeln.
PCI DSS verlangt außerdem, dass Kartennummern überall dort, wo sie gespeichert sind, unlesbar gemacht werden müssen. Ein PDF-Archiv alter Bestellformulare, bei denen die Kartennummer nie geschwärzt wurde, stellt eine Compliance-Lücke dar. Ein einmaliges Schwärzungsprojekt zur Bearbeitung des gesamten Archivs bringt es in Konformität. Das Projekt ist zeitaufwändig, aber endlich. Sie endet, wenn die letzte Kartennummer im letzten PDF endgültig entfernt wurde. Budgetieren Sie die Zeit basierend auf der Archivgröße und der Anzahl der Dokumente pro Stunde, die redigiert und überprüft werden können.
Sichere Entsorgung des ungeschwärzten Originals
Das ungeschwärzte Original enthält alle Zahlungsdaten, die Sie gerade entfernt haben. Löschen Sie es oder speichern Sie es an einem zugriffskontrollierten, verschlüsselten Ort getrennt von der redigierten Version. Ein nicht redigiertes Original, das sich im selben Ordner wie die redigierte Version oder, schlimmer noch, in einem Cloud-Speicherordner befindet, der mit mehreren Geräten synchronisiert wird, macht den Zweck der Redigierung zunichte. Jeder, der das ungeschwärzte Original findet, verfügt über alle Daten, die Sie sorgfältig aus der freigegebenen Version entfernt haben.
Wenn das nicht redigierte Original zu Archivierungszwecken aufbewahrt werden muss, benennen Sie es deutlich, um es von der redigierten Version zu unterscheiden. Ein Dateiname wie Invoice-1234-UNREDACTED-ORIGINAL-DO-NOT-SHARE.pdf macht seinen Status für jeden, der darauf stößt, eindeutig. Die Namenskonvention ist eine verfahrenstechnische und keine technische Absicherung, aber sie ist der einfachste und wirksamste Schutz davor, versehentlich die falsche Version weiterzugeben.
Versuchen Sie es mit Redact PDF
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.