Online-PDF-Editoren: Spuren in einem bearbeiteten Dokument

Ein Online-PDF-Editor schreibt fast immer die gesamte Datei neu, statt sie an Ort und Stelle zu ändern, und dieses Neuschreiben hinterlässt Spuren: ein geändertes Producer-Feld, ein neues Änderungsdatum, eine neu erzeugte Datei-ID, neu eingebettete Schriften und, falls das Original signiert war, eine ungültige oder fehlende Signatur. Keine dieser Spuren beweist Betrug. Zusammen zeigen sie, dass ein Web-Tool das Dokument bearbeitet hat, nachdem der Aussteller es erzeugt hatte. Genau das muss ein Prüfer wissen, bevor er sich darauf stützt.

Dieser Beitrag richtet sich an die Person, die die Datei erhält: KYC-Analysten, Immobilienmakler, Personalsachbearbeiter, Kreditsachbearbeiter. Er erklärt, was Web-Editoren typischerweise verändern, wo man es sieht und warum fehlende Spuren nichts beweisen.

Warum Web-Editoren andere Spuren hinterlassen als Desktop-Software

Browserbasierte Editoren erzeugen das Dokument meist auf dem Server neu, das Ergebnis ist also eine neue Datei und keine geänderte Kopie. Das PDF-Format, festgelegt in ISO 32000-2, kennt zwei Wege: ein inkrementelles Update hinter dem ursprünglichen Dateiende anhängen oder eine vollständige neue Datei schreiben. Desktop-Programme hängen häufig an; viele Web-Dienste bauen die Datei neu auf, führen zusammen, komprimieren und speichern in einem Durchgang.

Praktische Folge: Das Zählen von %%EOF-Markierungen zur Ermittlung von Revisionen funktioniert bei inkrementell gespeicherten Dateien gut, bei Dateien aus einem Web-Dienst schlecht. Eine einzige Revision bedeutet nicht „unverändert".

Sieben Spuren, auf die Sie achten sollten

Die verlässlichsten Spuren liegen in den Producer-Feldern, der Datei-ID, der Schriftenliste, der Objektstruktur und im Signaturstatus. Prüfen Sie sie in dieser Reihenfolge.

1. Die Felder Producer und Creator

Das Feld Producer nennt die Software, die die endgültige Datei geschrieben hat; Creator die Anwendung, die die Quelle erstellt hat. Ein Kontoauszug aus dem Online-Banking nennt normalerweise das Berichtssystem der Bank. Steht stattdessen ein allgemeiner Web-Editor oder eine fachfremde PDF-Bibliothek darin, lief die Datei durch ein zweites Werkzeug. Nutzen Sie exiftool -a -G1 datei.pdf oder die Dokumenteigenschaften (Strg+D im Acrobat Reader).

Legen Sie eine eigene Referenzliste an: Nehmen Sie von jedem häufigen Aussteller ein echtes Dokument, notieren Sie dessen Producer-Zeichenfolge und vergleichen Sie eingehende Dateien damit. Verlassen Sie sich nicht auf öffentliche Listen „verdächtiger" Werte: Dienste wechseln ihre Bibliotheken, und die PDF Association weist darauf hin, dass der Producer-Schlüssel in ISO 32000-2 als veraltet gilt und Metadaten optional und leicht änderbar sind (PDF-Association-Vortrag zu PDF-Forensik und Metadaten).

2. Erstellungs- und Änderungsdatum

Ein Änderungsdatum Stunden oder Tage nach dem Erstellungsdatum deutet auf erneutes Speichern hin. Liegt es nach dem auf dem Dokument aufgedruckten Datum, etwa bei einer im Oktober geänderten Gehaltsabrechnung für September, lohnt eine Rückfrage. Identische Zeitstempel sind bei Dateien aus einem Durchgang üblich und für sich genommen nicht beruhigend.

3. Datei-ID und XMP-IDs

Der Trailer eines PDF kann ein /ID-Array mit zwei Zeichenfolgen enthalten: Die erste wird bei der Erstellung gesetzt, die zweite ändert sich bei jedem Speichern. XMP-Metadaten ergänzen DocumentID und InstanceID. Erzeugt ein Neuschreiben beide neu, geht die Verbindung zum Original des Ausstellers verloren; ein Vergleich ist nur mit einer bekannten echten Kopie möglich.

4. Schriften und Textobjekte

Bearbeiteter Text nutzt oft ein anderes Schrift-Subset als der umgebende Text. Eingebettete Subsets tragen ein sechsstelliges Präfix (zum Beispiel ABCDEF+Arial). Eine Seite, die zwei Subsets derselben Schriftfamilie mischt, oder ein Betrag in einer Ersatzschrift ist ein klassisches Zeichen für einen ersetzten Wert. Markieren Sie den verdächtigen Wert im Viewer: Bearbeiteter Text steht häufig in einem eigenen Textblock mit abweichendem Abstand.

5. Überdeckungen, weiße Kästen und verflachte Annotationen

Manche Web-Tools ändern den zugrunde liegenden Text nicht. Sie zeichnen ein weißes Rechteck über den alten Wert und setzen den neuen Text darauf, oder sie „verflachen" Annotationen in die Seite. Kopieren Sie den gesamten Text in einen einfachen Texteditor: Versteckte Originalwerte, Text außerhalb der Seite und doppelte Zahlen werden sichtbar. Siehe versteckte Textebenen in PDF-Betrugsfällen.

6. Zustand der digitalen Signatur

Ein vom Aussteller signiertes PDF trägt eine kryptografische Signatur über einen festgelegten Bytebereich. Jede Änderung macht sie ungültig, und ein vollständiges Neuschreiben durch einen Web-Editor entfernt das Signaturfeld häufig ganz. Ein Dokument, das als „signiertes Original" vorgelegt wird, aber keine oder eine gebrochene Signatur trägt, rechtfertigt die Anforderung des Originals beim Aussteller.

7. Kompression, Auflösung und Wasserzeichen

Kostenlose Stufen mancher Dienste fügen ein Wasserzeichen oder eine Fußzeile hinzu, und Kompression senkt die Bildauflösung oder ändert den Farbraum. Ein Logo, das in der echten Kopie scharf und in der erhaltenen Datei unscharf ist, zeigt eine Neukodierung. Das ist nur ein Zusatzindiz: Antragsteller komprimieren Dateien auch, um Upload-Grenzen einzuhalten.

Was diese Spuren nicht aussagen

Spuren zeigen, dass eine Datei bearbeitet wurde, nicht warum, und sie lassen sich entfernen. Metadaten lassen sich mit kostenlosen Werkzeugen umschreiben; ein Leitfaden von TrueScreen beschreibt Online-Tools, mit denen Producer, Titel und Datumsangaben direkt überschrieben werden (TrueScreen zur Bearbeitung von PDF-Metadaten). Das Drucken in PDF oder das Rastern einer Seite mit anschließender PDF-Verpackung beseitigt die meisten Strukturhinweise. Forschungsarbeiten identifizieren das erzeugende Werkzeug am internen Programmierstil statt an den Metadaten, gerade weil Metadaten unzuverlässig sind (Robust PDF Files Forensics Using Coding Style).

Drei Ergebnisse sind realistisch:

• Eindeutige Spuren: unerwarteter Producer, geänderte ID und abweichende Schrift. Fordern Sie das Original beim Aussteller an.
• Uneindeutige Spuren: neu geschriebene, sonst saubere Datei. Viele ehrliche Antragsteller führen Seiten zusammen, komprimieren oder drehen sie. Fragen Sie nach dem Grund.
• Keine Spuren: Fahren Sie mit dokumentenübergreifenden Prüfungen fort, denn ein sorgfältiger Fälscher hinterlässt in der Datei nichts.

Was Prüfer tatsächlich fragen

In Compliance- und Immobilienforen tauchen immer wieder dieselben Fragen auf. Zwei davon sind besonders häufig.

„Mein Kunde sagt, er habe das PDF nur komprimiert. Ist das glaubwürdig?"

Es kann stimmen. Komprimieren oder Zusammenführen ändert Producer, ID und oft die Revisionszahl, darf aber weder Schriften im Text noch Beträge verändern. Unterscheiden sich nur Producer, Datum und Bildqualität und stimmt der Inhalt mit den übrigen Unterlagen überein, behandeln Sie die Datei als harmloses erneutes Speichern und vermerken Sie das in der Akte.

„Darf ich ein verdächtiges Dokument durch einen kostenlosen Online-Prüfer schicken?"

Nicht ohne Überlegung. Die Datei enthält personenbezogene Daten; ein externer Dienst wird dadurch Auftragsverarbeiter oder Empfänger im Sinne der DSGVO. Artikel 28 DSGVO verlangt einen Vertrag mit dem Auftragsverarbeiter, und der Bundesbeauftragte für den Datenschutz verweist auf die Notwendigkeit einer Rechtsgrundlage. Nutzen Sie lokale Werkzeuge für Metadaten und einen externen Dienst nur mit Auftragsverarbeitungsvertrag.

Ein kurzes Vorgehen zum Übernehmen

1. Erfassen Sie Producer, Creator, Datumsangaben und ID jedes eingehenden PDF in der Akte.
2. Vergleichen Sie mit einer echten Referenz desselben Ausstellers.
3. Markieren und kopieren Sie die Schlüsselwerte (Name, Betrag, Datum, IBAN) und prüfen Sie Schrift und Textblöcke auf Einheitlichkeit.
4. Prüfen Sie den Signaturstatus, wenn der Aussteller üblicherweise signiert.
5. Gleichen Sie die Beträge mit anderen Unterlagen ab: Gehaltsabrechnung mit Kontoauszug, Kontoauszug mit Steuerbescheid.
6. Melden Sie Abweichungen an die für Betrugs- oder Geldwäscheprävention zuständige Person.

Der dokumentenübergreifende Abgleich ist der wichtigste Schritt. Der Leitfaden zur Dokumentenprüfung zeigt, wie die Prüfungen zusammenspielen, unser Beitrag zum Erkennen eines bearbeiteten PDF vertieft die Revisionsstruktur, und der Beitrag zur Erkennung manipulierter PDF-Metadaten erklärt, warum das Löschen selbst eine Spur hinterlässt.

Rechtlicher und regulatorischer Rahmen in Deutschland

Wer ein verändertes Dokument als echt vorlegt, kann sich wegen Urkundenfälschung strafbar machen, und verpflichtete Unternehmen müssen belegen können, dass sie die Unterlagen geprüft haben, auf die sie sich stützen. § 267 StGB stellt das Herstellen einer unechten Urkunde und den Gebrauch einer verfälschten Urkunde unter Strafe, mit Freiheitsstrafe bis zu fünf Jahren oder Geldstrafe. Für Verpflichtete nach dem Geldwäschegesetz beaufsichtigt die BaFin die Qualität der Identifizierung und der Nachweisprüfung; Verdachtsfälle gehen an die Zentralstelle für Finanztransaktionsuntersuchungen (FIU). Eine Akte, die trotz ungeklärter Bearbeitungsspuren ohne Rückfrage angenommen wurde, ist schwer zu verteidigen; eine Akte, in der der Prüfer die Spuren vermerkt, das Original angefordert und das Ergebnis dokumentiert hat, dagegen nicht.

Der Sachbearbeiter an der Front qualifiziert keine Straftat. Er hält fest, was er sieht, und gibt es an die benannte Stelle weiter.

Prüfungen im größeren Maßstab

Die manuelle Prüfung dauert pro Datei einige Minuten und hängt vom Prüfer ab. Automatisierte Prüfungen wenden dieselben Tests zu Eigenschaften, Struktur und Konsistenz auf jeden Upload an und leiten nur auffällige Dateien an einen Menschen weiter. Die KI-Generierungs- und Manipulationssignale von CheckFile ergänzen Ihre bestehenden Kontrollen und ersetzen nicht das Urteil des Prüfers. Für die Vollständigkeit von Akten und den Vergleich von Feldern und Daten über Dokumente hinweg siehe die Lösung für Banken und KYC, die Seite zur Sicherheit für den Umgang mit Dateien und die Preise.

Häufig gestellte Fragen

Hinterlassen Online-PDF-Editoren Spuren?

Ja. Die meisten ändern das Producer- oder Creator-Feld, aktualisieren das Änderungsdatum, erzeugen die Datei-ID neu und schreiben die Objektstruktur um. Manche betten Schriften neu ein oder entfernen digitale Signaturen. Die Spuren lassen sich nachträglich entfernen, ihr Fehlen beweist also keine unveränderte Datei.

Lässt sich erkennen, welcher Online-Editor verwendet wurde?

Manchmal. Die Producer-Zeichenfolge nennt oft den Dienst oder seine Bibliothek, und der Programmierstil kann Hinweise geben. Das ist ein Anhaltspunkt, keine Gewissheit, da Werte überschrieben werden können und Dienste ihre Software wechseln.

Bedeutet eine einzige Revision, dass das PDF nicht bearbeitet wurde?

Nein. Viele Web-Editoren schreiben die ganze Datei neu, was die Revisionszahl auf eins setzt. Ein unerwarteter Producer zusammen mit einer neuen ID sagt mehr als die Revisionszahl.

Ist ein PDF ohne Metadaten verdächtig?

Es ist ein Hinweis, kein Urteil. Datenschutzwerkzeuge, das Drucken in PDF und manche Portale entfernen Metadaten. Fordern Sie das Original beim Aussteller an und vergleichen Sie es mit einem bekannten echten Dokument.

Kann ich das PDF eines Kunden in einem kostenlosen Online-Tool prüfen?

Nur mit Rechtsgrundlage und Auftragsverarbeitungsvertrag mit dem Anbieter. Andernfalls nutzen Sie lokale Werkzeuge, denn das Dokument enthält personenbezogene Daten.

Um diesen Risikobereich im CheckFile-Angebot einzuordnen, siehe unseren Ansatz zur KI- und Deepfake-Erkennung.