PDF bearbeitet? So erkennen Sie Änderungen in 7 Schritten

Ob ein PDF bearbeitet wurde, lässt sich oft anhand von fünf Merkmalen erkennen: den Dateieigenschaften, der erzeugenden Software, der Anzahl gespeicherter Revisionen, dem Status digitaler Signaturen sowie der Textebene samt Schriftarten. Keines dieser Merkmale beweist, dass ein Dokument echt ist. Jedes kann aber zeigen, dass eine Datei nach ihrer Erstellung durch den Aussteller verändert wurde. Zusammen dauert die Prüfung etwa zehn Minuten.

Dieser Leitfaden richtet sich an die Person, die die Datei erhält: Geldwäschebeauftragte, Sachbearbeiter in der Kreditprüfung, Hausverwaltungen, Personalabteilungen. Forensische Spezialwerkzeuge sind nicht nötig. Wo ein Kommandozeilenbefehl hilft, liefert meist auch der kostenlose Acrobat Reader dieselbe Information.

Was eine Änderungsprüfung leisten kann und was nicht

Eine Änderungsprüfung findet Spuren einer Bearbeitung; sie bestätigt niemals die Echtheit. Das PDF-Format ist in ISO 32000-2 beschrieben. Die Norm erlaubt jeder Anwendung, eine Datei neu zu schreiben, Metadaten zu entfernen oder Seiten in Bilder umzuwandeln. Eine Datei ohne Auffälligkeiten bedeutet deshalb „keine Bearbeitung festgestellt“, nicht „verifiziert“.

Drei Ergebnisse sind realistisch:

• Eindeutige Spuren: ein Consumer-Editor im Feld „Producer“, ein Änderungsdatum nach dem Datum des Dokuments oder eine gebrochene Signatur. Eskalieren.
• Uneindeutige Spuren: ein inkrementelles Speichern oder ein neu exportiertes PDF. Viele legitime Abläufe erzeugen das. Das Original anfordern.
• Keine Spuren: eine saubere Datei eines erwartbaren Erzeugers. Weiter mit dem Abgleich zwischen Dokumenten, denn ein sorgfältiger Fälscher hinterlässt in der Datei selbst nichts.

In Fachforen taucht immer dieselbe Frage auf: „Kann man wirklich erkennen, ob ein PDF bearbeitet wurde, oder ist das Bauchgefühl?“ Ehrlich gesagt: Metadaten und Struktur entlarven nachlässige Änderungen schnell und übersehen sorgfältige. Deshalb vergleicht der letzte Schritt Inhalte statt Dateieigenschaften.

Schritt 1: Dateieigenschaften lesen

Öffnen Sie die Dokumenteigenschaften und vergleichen Sie Erstellungs- und Änderungsdatum. Im Adobe Acrobat Reader mit Strg+D (Cmd+D am Mac), im Browser über das Informationsfenster des Betrachters. Im Terminal geben pdfinfo datei.pdf oder exiftool -a -G1 datei.pdf dieselben Felder und den XMP-Block aus.

Eine Falle erwischt Einsteiger regelmäßig. Die Metadatendaten zeigen, wann die Datei erzeugt wurde, nicht das auf dem Dokument aufgedruckte Datum. Viele Bank- und Lohnportale erzeugen das PDF erst beim Klick auf „Herunterladen“. Eine Gehaltsabrechnung für März mit einem Erstellungsdatum im Juni kann daher völlig normal sein. Vergleichen Sie mit dem bekannten Verhalten des Ausstellers, am besten mit einem anderen echten Dokument desselben Ausstellers.

Schritt 2: Erzeugende Software prüfen

Das Producer-Feld muss dazu passen, wie dieser Aussteller seine Dokumente tatsächlich erzeugt. Lohnabrechnungssysteme, Banken und Finanzämter nutzen serverseitige Bibliotheken (etwa iText, Apache FOP, Skia/PDF, Adobe PDF Library oder herstellereigene Engines). Ein „Kontoauszug“ mit einem Consumer-PDF-Editor, einer Online-Bearbeitungsseite oder einem Textverarbeitungsprogramm als Producer ist ein starkes Signal.

Warnkombinationen:

• Producer ist ein Online-PDF-Editor, obwohl der Aussteller nie einen einsetzt.
• Creator nennt Microsoft Word oder Canva bei einem angeblich systemgenerierten Auszug.
• Producer unterscheidet sich zwischen Info-Dictionary und XMP-Block, was passiert, wenn ein Werkzeug nur eines von beiden aktualisiert.
• Producer und Creator sind beide leer. Das tun manche Datenschutzwerkzeuge, aber auch gezieltes Löschen.

Wie diese Felder gefälscht werden und welche Spuren das Löschen hinterlässt, beschreibt der Beitrag zur Manipulation von PDF-Metadaten.

Schritt 3: Revisionen zählen

Ein inkrementell gespeichertes PDF behält die frühere Fassung in der Datei; die Zahl der Dateiende-Marker zeigt, wie oft gespeichert wurde. Das Format erlaubt Anwendungen, Änderungen hinter dem ursprünglichen %%EOF anzuhängen, statt die Datei neu zu schreiben (ISO 32000-2, Abschnitt 7.5.6).

Im Terminal liefert grep -a -c '%%EOF' datei.pdf die Anzahl. Ein Marker bedeutet einmaliges Schreiben. Zwei sind bei „linearisierten“ Dateien für schnelle Webanzeige normal. Drei oder mehr bedeuten mindestens eine inkrementelle Aktualisierung, und eine Bibliothek wie qpdf oder pdf.js kann jede frühere Revision extrahieren, sodass Sie lesen, was das Dokument vorher sagte.

Inkrementelle Updates beweisen keinen Betrug. Ausgefüllte Formulare, gegengezeichnete Verträge und kommentierte Dateien erzeugen sie ebenfalls. Entscheidend ist die Plausibilität: Ein unterschriebener Mietvertrag mit nachträglich ergänzten Paraphen ist unauffällig; eine Gehaltsabrechnung mit drei Revisionen entspricht keinem Vorgehen eines Abrechnungssystems.

Schritt 4: Jede digitale Signatur validieren

Eine gültige Signatur versiegelt die Datei; eine gebrochene beweist, dass sie nach dem Signieren geändert wurde. Öffnen Sie im Acrobat Reader das Signaturfenster. Ein grünes Häkchen heißt: seit der Signatur unverändert und Zertifikatskette vertrauenswürdig. „Das Dokument wurde seit dem Signieren geändert oder beschädigt“ ist der klarste Bearbeitungsnachweis, den Sie bekommen können.

In der EU regelt die eIDAS-Verordnung (EU) Nr. 910/2014 in der Fassung der Verordnung (EU) 2024/1183 elektronische Signaturen und Siegel. Für qualifizierte Signaturen gilt die Vermutung der Unversehrtheit. Eine vom Betrachter unabhängige Zweitmeinung liefert das kostenlose DSS-Validierungstool der EU-Kommission.

Zwei Vorbehalte. Die Anzeige „Gültigkeit der Signatur unbekannt“ bedeutet meist, dass dem Betrachter die Vertrauensliste fehlt, nicht dass die Datei schlecht ist. Und ein Dokument ganz ohne Signatur sagt nichts aus: Die meisten Gehaltsabrechnungen und Kontoauszüge sind nie signiert.

Schritt 5: Textebene und Schriftarten testen

Markieren Sie den gesamten Text (Strg+A) und beobachten Sie, was aufleuchtet. Bei einem systemgenerierten PDF erscheint der Text in sauberen, ausgerichteten Blöcken. Bei einem bearbeiteten sieht man oft eine einzelne geänderte Zahl in einem separaten Kasten, einen Pixel neben der Grundlinie, oder Text, der sich gar nicht markieren lässt, weil er als Bild eingefügt wurde.

Öffnen Sie danach die Schriftenliste (Dokumenteigenschaften, Reiter Schriften, oder pdffonts datei.pdf):

• Zwei Untergruppen derselben Schrift (ABCDEF+Arial und GHIJKL+Arial) deuten oft darauf hin, dass ein Teil der Seite mit einem anderen Werkzeug neu getippt wurde.
• Eine Schrift, die nur bei Betragsfeldern auftaucht (Gehalt, Saldo, Miete), ist das klassische Muster.
• Kein Text, nur ein großes Bild, bedeutet, dass die Seite gedruckt oder abfotografiert und neu verpackt wurde. Damit fehlen die Indizien, auf die dieser Schritt baut.

Kopieren Sie den Text zusätzlich in einen einfachen Texteditor: Versteckte Textebenen, weiße Schrift auf weißem Grund und Text außerhalb der Seite werden dort sichtbar. Beispiele finden Sie in den Beiträgen zur versteckten Textebene in PDFs und zur Schriftart-Forensik.

Schritt 6: Optik bei starker Vergrößerung prüfen

Zoomen Sie auf 400 Prozent in Logos, Stempel, Zahlen und Tabellenränder. Vektorlogos bleiben scharf; ein Logo, das unscharf wird, während der Text daneben scharf bleibt, wurde als Rasterbild eingefügt. Achten Sie auf abweichende Kantenglättung um Zahlen, ungleiche Abstände in rechtsbündigen Beträgen und einen anderen Grauton in einer Tabellenzeile.

Bei Scans oder Fotos kann die Error Level Analysis ein weiteres Signal liefern, erzeugt aber bei stark komprimierten Scans Fehlalarme. Sie ist Anlass für Rückfragen, kein Urteil.

Schritt 7: Inhalt gegenprüfen

Vergleichen Sie Zahlen und Kennungen mit einer Quelle, die der Antragsteller nicht kontrolliert. Dieser Schritt funktioniert auch bei sauberer Datei: Wer Metadaten löscht und Schriften anpasst, muss seine Zahlen trotzdem mit allen anderen Unterlagen der Akte in Einklang bringen.

Rechnen ist der billigste Test: Addieren Sie die Zeilen eines Kontoauszugs nach, Anfangssaldo plus Gutschriften minus Belastungen ergibt den Schlusssaldo. Veränderte Beträge bestehen das selten.

Für Verpflichtete nach dem Geldwäschegesetz verlangt § 12 GwG die Überprüfung der Identität anhand geeigneter Dokumente. Deshalb darf die Prüfung nicht bei „sieht gut aus“ enden. Erwartungen der Aufsicht beschreibt die BaFin.

Kostenlose Werkzeuge oder automatisierte Prüfung

Kostenlose Werkzeuge genügen für Einzelfälle, doch laden Sie Kundendokumente nicht auf beliebige Webseiten hoch. Wer Ausweise und Finanzunterlagen an einen unbekannten „PDF-Checker“ sendet, übermittelt personenbezogene Daten. Nach der DSGVO müssen Sie wissen, wohin diese Daten gehen und zu welchen Bedingungen; die Bundesbeauftragte für den Datenschutz weist regelmäßig darauf hin. Bevorzugen Sie lokale Werkzeuge (Acrobat Reader, pdfinfo, exiftool, qpdf) oder einen Auftragsverarbeiter mit Vertrag.

Bei hohem Volumen stößt der manuelle Weg an Grenzen. Automatisierte Prüfungen wenden dieselben Eigenschafts-, Struktur- und Konsistenztests auf jede Datei an und leiten nur Auffälliges an Menschen weiter. Die Signale zu KI-Erzeugung und Manipulation von CheckFile ergänzen Ihre bestehenden Kontrollen und ersetzen nicht das Urteil der Prüfer. Zu Vollständigkeit und Abgleich zwischen Dokumenten beschreibt die Lösung für Banken und KYC, was verglichen wird (Felder, Daten, Register); Pakete stehen auf der Seite Preise.

Legitime Änderung oder Eskalation

Nicht jedes veränderte PDF ist betrügerisch. Antragsteller führen Seiten zusammen, komprimieren Dateien für Upload-Limits, schwärzen eine Kontonummer oder füllen Formulare aus. Fordern Sie das Original und eine Erklärung an, bevor Sie böse Absicht unterstellen, und dokumentieren Sie, was Sie erhalten haben.

Eskalieren Sie, wenn zu einer Spur eine Abweichung kommt: unerwarteter Producer plus eine Zahl, die nicht aufgeht, oder eine gebrochene Signatur auf einem als Original vorgelegten Dokument. Das Herstellen oder Gebrauchen einer unechten Urkunde ist nach § 267 StGB mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe bedroht. Über die weiteren Schritte entscheidet die Geldwäschebeauftragte oder der Geldwäschebeauftragte, nicht der Sachbearbeiter der ersten Stufe.

Den Gesamtprozess beschreibt der Leitfaden zur Dokumentenprüfung.

Häufig gestellte Fragen

Kann man erkennen, ob ein PDF bearbeitet wurde?

Oft ja, aber nicht immer. Metadaten, Revisionszahl, Signaturen und Schriften verraten nachlässige Änderungen in Minuten. Wer ein PDF neu druckt oder von Grund auf neu aufbaut, hinterlässt kaum Spuren; dann muss der Inhalt mit anderen Dokumenten abgeglichen werden.

Verändert Öffnen und Speichern ein PDF?

Speichern in den meisten Editoren aktualisiert Änderungsdatum und Producer und kann eine Revision anhängen. Bloßes Öffnen und Ansehen verändert die Datei nicht. Ein Änderungsdatum nach dem Erstellungsdatum ist deshalb Anlass für Rückfragen, kein Betrugsbeweis.

Gibt es ein kostenloses Online-Tool zur Prüfung?

Es gibt mehrere, doch das Hochladen von Kundendokumenten ist ein Datenschutzrisiko. Nutzen Sie lokale Werkzeuge für Metadaten und Struktur und Online-Dienste nur mit Auftragsverarbeitungsvertrag oder für Testdateien ohne personenbezogene Daten.

Kann eine KI erkennen, ob ein PDF bearbeitet wurde?

Automatisierte Systeme vergleichen Metadaten, Struktur, Schriften und Bildartefakte in großem Maßstab und markieren Kombinationen, die Menschen übersehen. Sie liefern Signale statt Gewissheit; die Entscheidung bleibt bei der prüfenden Person.

Was bedeutet es, wenn ein PDF gar keine Metadaten hat?

Fehlende Metadaten sind ein Hinweis, kein Urteil. Manche Datenschutzwerkzeuge entfernen sie, ebenso Drucken-als-PDF. Fordern Sie das Original aus dem Portal des Ausstellers an und vergleichen Sie es mit einem Dokument, das dieser Aussteller üblicherweise erzeugt.

Um diesen Risikobereich im CheckFile-Angebot einzuordnen, siehe unseren Ansatz zur KI- und Deepfake-Erkennung.