PDF anonymisieren: So geht es sicher und DSGVO-konform
Ein schwarzer Balken über dem Namen sieht sicher aus – ist es aber oft nicht. Dieser Leitfaden zeigt, was beim Anonymisieren von PDFs tatsächlich passieren muss, welche Daten gern übersehen werden und wie Sie das Ergebnis prüfen.
Warum Überdecken nicht reicht
Ein PDF besteht aus mehreren Schichten: dem sichtbaren Seitenbild, einer Textebene, Metadaten und oft weiteren Bestandteilen wie Kommentaren oder Lesezeichen. Wer ein schwarzes Rechteck auf eine Seite legt oder Text mit einer schwarzen Markierung versieht, verändert nur die oberste Schicht. Der Text darunter bleibt in der Datei – er lässt sich markieren, kopieren, mit der Suchfunktion finden oder von Programmen auslesen.
Eine echte Schwärzung (englisch: redaction) entfernt die betroffenen Zeichen aus dem Inhalt des Dokuments und ersetzt sie durch eine Fläche oder einen Platzhalter. Danach ist an dieser Stelle schlicht nichts mehr vorhanden, das sich wiederherstellen ließe.
Welche Daten in einem PDF stecken
Für eine wirksame Anonymisierung reicht es nicht, die offensichtlichen Namen zu entfernen. Prüfen Sie vier Ebenen:
- Direkte Kennungen im Text: Namen, Anschriften, Geburtsdaten und -orte, Telefonnummern, E-Mail-Adressen, IBAN und Kontonummern, Ausweis-, Steuer- und Sozialversicherungsnummern, Kfz-Kennzeichen, Flurstücke, Aktenzeichen und Geschäftszeichen.
- Unsichtbare Bestandteile: Metadaten wie Autor, Titel und Erstellungsprogramm, XMP-Daten, Kommentare und Notizen, Lesezeichen, Links (etwa
mailto:), eingebettete Dateien und Formularfelder. - Bilder und Scans: Eingescannte Seiten, Briefköpfe, Stempel und Unterschriften enthalten Text als Bild – eine reine Textsuche findet ihn nicht.
- Der Dateiname: „Klage Mustermann gegen Beispiel AG.pdf“ verrät mehr als jede geschwärzte Seite.
Schwärzen oder pseudonymisieren?
Beide Verfahren entfernen die Originalangabe. Sie unterscheiden sich darin, was an ihre Stelle tritt:
| Schwärzen | Pseudonymisieren | |
|---|---|---|
| Ersetzt durch | schwarzen Balken | einheitlichen Platzhalter, z. B. „Kläger A“ |
| Lesbarkeit | Bezüge gehen verloren | Text bleibt verständlich |
| Für KI-Auswertung | eingeschränkt | gut geeignet |
| Umkehrbar | nein | nur mit dem Zuordnungsschlüssel |
Für die Weitergabe an Dritte, die den Inhalt nicht auswerten sollen, ist Schwärzen die richtige Wahl. Soll das Dokument dagegen analysiert werden – etwa von einer KI –, ist Pseudonymisieren meist sinnvoller: Aus „Max Mustermann“ wird im ganzen Dokument „Kläger A“, und die Zusammenhänge bleiben erhalten. Rechtlich ist das ein wichtiger Unterschied, den wir im Beitrag Pseudonymisierung oder Anonymisierung? erklären.
Schritt für Schritt: ein PDF sicher anonymisieren
- Beteiligte erfassen. Legen Sie eine Liste aller Personen und Firmen an, die im Dokument vorkommen – Mandanten, Gegner, Zeugen, Dritte. Denken Sie an Schreibweisen in Großbuchstaben, mit Umlaut-Umschrift (Müller/Mueller) und an den Genitiv.
- Weitere Kennungen suchen. IBAN, Telefonnummern, Geburtsdaten, Anschriften, Aktenzeichen und Kennzeichen folgen festen Mustern und lassen sich systematisch finden.
- Funde prüfen. Nicht jeder Treffer ist richtig: Ein Datum kann ein Geburtsdatum oder ein Fristablauf sein. Gehen Sie die Fundliste durch, bevor Sie schwärzen.
- Echt schwärzen oder pseudonymisieren – mit einem Werkzeug, das den Text aus der Datei entfernt, und unter einem neuen Dateinamen ohne Klarnamen.
- Unsichtbares bereinigen: Metadaten, Kommentare, Lesezeichen, Anhänge und Links.
- Gegenprobe machen (siehe unten) und den Vorgang dokumentieren.
Gescannte Dokumente und PDF/A aus der eAkte
Viele Schriftsätze und Akten liegen als Scan vor, häufig im Format PDF/A aus der elektronischen Akte. Solche Seiten haben oft keine Textebene – für ein Programm ist die Seite nur ein Bild. Damit die Namen darauf gefunden werden, muss das Bild zuerst per Texterkennung (OCR) gelesen werden; geschwärzt wird anschließend im Bild selbst.
Texterkennung ist nie fehlerfrei. Bei schlechter Scanqualität können Fundstellen übersehen werden. Prüfen Sie deshalb gescannte Seiten im Ergebnis besonders sorgfältig, und schwärzen Sie Unterschriften, Stempel oder Fotos zusätzlich von Hand.
So prüfen Sie das Ergebnis
- Suche: Öffnen Sie das Ergebnis und suchen Sie nach jedem Namen und jeder Nummer, die verschwunden sein soll.
- Kopieren: Markieren Sie den Bereich einer Schwärzung und fügen Sie ihn in ein Textprogramm ein. Erscheint dort Text, war die Schwärzung nur eine Abdeckung.
- Dokumenteigenschaften: Prüfen Sie Autor, Titel und Programm in den Eigenschaften des PDFs.
- Lesezeichen und Kommentare: Öffnen Sie die Seitenleiste des PDF-Programms und kontrollieren Sie beide.
Gute Werkzeuge erledigen diese Gegenprobe automatisch und halten das Ergebnis in einem Protokoll fest. Das hilft auch bei der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.
Vorsicht bei Online-Tools
Es gibt zahlreiche Webdienste, die PDFs „kostenlos anonymisieren“. Für Dokumente mit Mandatsdaten sind sie ungeeignet: Um das Dokument zu bearbeiten, muss es zuerst vollständig – also ungeschwärzt – auf den Server des Anbieters hochgeladen werden. Damit ist genau die Übermittlung erfolgt, die vermieden werden sollte. Für Berufsgeheimnisträger kommen deshalb Werkzeuge infrage, die vollständig auf dem eigenen Rechner arbeiten.
Fazit
Ein PDF ist erst dann anonymisiert, wenn die Daten tatsächlich aus der Datei verschwunden sind – im Text, in den Bildern, in den Metadaten und im Dateinamen. Ob das Ergebnis auch im Rechtssinn anonym ist, hängt zusätzlich davon ab, ob der verbleibende Inhalt Rückschlüsse auf Personen zulässt. Diese abschließende Einschätzung kann Ihnen keine Software abnehmen.