Was ein PDF über dich verrät: Metadaten lesen und löschen

Ein PDF führt seine Metadaten zweimal mit

Der erste Speicher ist das Info-Verzeichnis, und es ist so schlicht, wie es klingt: ein kleiner Satz benannter Einträge gegen Ende der Datei. Titel, Autor, Betreff, Schlagwörter, Ersteller, Produzent, Erstellungsdatum, Änderungsdatum. Das ist im Wesentlichen alles, es existiert seit den frühesten Fassungen des Formats, und es ist das, was fast jedes „Dokumenteigenschaften“-Fenster dir zeigt.

Der zweite Speicher ist ein XMP-Paket: ein XML-Dokument, in RDF verpackt, als eigenes Objekt in das PDF eingebettet. Es wiederholt die meisten derselben Gedanken unter anderen Namen — der Titel wird zu dc:title, der Autor zu dc:creator, das Schreibprogramm zu xmp:CreatorTool — und es kann weit mehr aufnehmen, als im Info-Verzeichnis Platz hat: Rechtevermerke, Bearbeitungsverläufe, Kamera- und Farbdaten, maßgeschneiderte Felder, die sich ein Verlagsablauf selbst ausgedacht hat. XMP ist eine eigenständige Spezifikation, getrennt vom PDF-Format veröffentlicht und auch in Bild- und Videodateien im Einsatz.

Nichts im Format verpflichtet beide zur Übereinstimmung. Ein Dokument, das in einer Textverarbeitung geschrieben, in einem Gestaltungsprogramm gesetzt und über einen Distiller exportiert wurde, kann sein Info-Verzeichnis in einem Schritt und sein XMP in einem anderen aufgesammelt haben. Benenne die Datei um, bearbeite die Eigenschaften in einer Anwendung, speichere aus einer zweiten — und die beiden Speicher driften auseinander. Das ist kein exotischer Fehlerfall, sondern der Normalzustand eines Dokuments, das durch mehr als ein Programm gegangen ist, also der meisten Dokumente.

Was das Panel zeigt — aus beiden Speichern

Das Werkzeug liest das Info-Verzeichnis und legt dir alle acht Felder als bearbeitbare Eingaben vor. Darunter liest es das XMP-Paket und führt dieselben acht Gedanken unter ihren XMP-Namen auf — dc:title, dc:creator, dc:description, dc:subject, xmp:CreatorTool, pdf:Producer, xmp:CreateDate, xmp:ModifyDate — schreibgeschützt, neben den Feldern, mit denen sie übereinstimmen sollen. Schreibgeschützt, weil das Paket fremdes XML ist: Es wird ganz behalten oder ganz entfernt. Für sich behält das Panel weiterhin alles jenseits dieser acht — Rechtevermerke, Bearbeitungsverläufe, Felder, die sich ein Publikationsablauf selbst ausgedacht hat. Ein Paket, das keines der acht führt, sagt genau das: vorhanden, aber ohne etwas, das dieses Panel einem Feld gegenüberstellen könnte.

Die Testdatei, die das sichtbar machen sollte, hatte ein Info-Verzeichnis, das das Dokument eine belanglose Sitzungsmappe nannte und einen Autor angab, und ein XMP-Paket, das es eine vertrauliche Gehaltsüberprüfung nannte, die nicht in Umlauf gehen solle, einen völlig anderen Autor angab und obendrein ein anderes Schreibprogramm. Lädt man sie heute, zeigt das Panel beides: die belanglose Mappe im bearbeitbaren Feld, die Gehaltsüberprüfung direkt darunter, alle acht XMP-Zeilen als abweichend markiert und darüber eine Zeile, die sagt, dass die beiden Speicher nicht übereinstimmen. Die Fassung, die unbemerkt hinausgegangen wäre, steht jetzt hervorgehoben auf dem Bildschirm.

Der Rest des Panels ist ungewöhnlich sorgfältig und verdient Anerkennung. Ein leeres Feld wird aus der Datei entfernt statt als leere Zeichenkette geschrieben, ein gelöschter Titel ergibt also ein Dokument ohne Titel, nicht eines mit leerem Titel — ein Unterschied, der zählt, weil Reader beides verschieden anzeigen. Ein Datum, das du nicht angefasst hast, bleibt genau so stehen, statt minutengenau neu geschrieben zu werden. Und Speichern stempelt das Dokument nicht neu: Ein Feld zu ändern und zu speichern ließ Produzent, Erstellungsdatum und Änderungsdatum Byte für Byte identisch. Die meisten Werkzeuge, die ein PDF anfassen, tragen ihren eigenen Namen in das Produzenten-Feld ein und setzen das Änderungsdatum auf jetzt — bei einem Metadaten-Werkzeug hieße das, einen Fingerabdruck hinzuzufügen und dabei zu behaupten, einen zu entfernen.

Einen Speicher zu leeren leert den anderen nicht

Zwei Wege des Löschens wurden an derselben Datei geprüft, und sie führen zu verschiedenen Ergebnissen. Jedes Feld von Hand zu leeren und zu speichern entfernte die Einträge des Info-Verzeichnisses vollständig — alle acht kamen leer zurück. Das XMP-Paket blieb unangetastet: Die Datei trug weiterhin ihren XML-Block, nannte weiterhin den vertraulichen Titel, den anderen Autor und das andere Schreibprogramm. Wer das Ergebnis in einem Werkzeug öffnet, das XMP liest, fände alles, was die löschende Person zu entfernen glaubte. Das Panel sagt das jetzt vor dem Speichern: Sind die Info-Felder geleert, wird jede XMP-Zeile, die noch einen Wert trägt, als abweichend markiert, unter einer Warnung, dass das Speichern ihn behält.

Die Schaltfläche „Alle Felder leeren“ verhält sich anders und besser: Sie leert das Formular und setzt für dich das Häkchen bei „Auch den XMP-Block entfernen“. Anschließendes Speichern erzeugte eine Datei ohne Info-Einträge und ganz ohne XMP — der vertrauliche Titel, der zweite Autor und der Name des Distillers fehlten allesamt in den Rohbytes, nicht bloß in der Verknüpfung. Dieser Unterschied wiegt schwerer, als er klingt: Löscht man nur den Verweis auf ein Objekt, bleiben dessen Bytes in der Datei, wo jeder Parser, der zu scannen bereit ist, sie findet. Hier wird das Objekt selbst gelöscht.

Die praktische Regel ist kurz. Nimm die Schaltfläche, nicht die Tastatur. Die Felder selbst zu leeren ist die naheliegende Bewegung, und sie lässt weiterhin die halbe Arbeit liegen, denn den XMP-Block zu entfernen ist ein eigener Haken, der überhaupt nur erscheint, wenn es einen Block zu entfernen gibt. Geändert hat sich, dass dieser Haken nicht mehr stumm ist: Das Panel markiert, was das Speichern überstehen würde, und warnt dich. Was es nicht tut: den Haken für dich setzen. Die Schaltfläche tut es.

Was das Produzenten-Feld preisgibt

Zwei der acht Felder nennen Software statt Menschen, und sie geben mehr preis, als die meisten erwarten. Ersteller nennt das Programm, in dem das Dokument geschrieben wurde; Produzent nennt das Programm, das daraus ein PDF gemacht hat. Beide enthalten meist eine Versionsnummer und mitunter auch das Betriebssystem. Das XMP-Paket führt beide noch einmal unter eigenen Namen, und nichts verlangt, dass sie übereinstimmen: In der Testdatei nannte das Info-Verzeichnis zweimal eine Textverarbeitung, während das Paket ein Satzprogramm und eine PDF-Bibliothek nannte — ein einziges Dokument, vier Programme im Panel.

Ein tatsächlich veröffentlichtes Dokument aus diesen Tests — ein öffentliches Merkblatt einer nationalen Telekommunikationsaufsicht — nennt als Produzenten eine bestimmte Distiller-Ausgabe, samt Version und Plattform. Auf einem öffentlichen Dokument ist das eine Kleinigkeit, auf einem Dokument, das nicht zu einem bestimmten Schreibtisch zurückführen sollte, deutlich mehr. Es verrät, welche Software deine Organisation lizenziert, ungefähr wann sie zuletzt aktualisiert wurde und auf welcher Plattform sie läuft. Verbinde das mit dem Erstellungsdatum, und der Rechner ist erheblich eingegrenzt.

Was jede Löschung überlebt: die Dokumentkennung

Jedes PDF, das ein ernstzunehmendes Erzeugerprogramm gespeichert hat, trägt ganz am Ende der Datei ein Kennungspaar. Die erste wird bei der Erstellung des Dokuments erzeugt und soll sich nie ändern; die zweite wird bei jeder Aktualisierung neu erzeugt. Zusammen erlauben sie einem Programm zu erkennen, dass zwei Dateien Fassungen desselben Dokuments sind — genau das lässt inkrementelle Aktualisierungen und digitale Signaturen funktionieren.

Dieses Paar ist keine Metadatenangabe in dem Sinn, den das Panel meint, es wird also weder gezeigt noch angeboten — und es überlebt. Ein echtes achtseitiges Dokument durchlief eine vollständige Löschung: jeder Info-Eintrag entfernt, das XMP-Objekt gelöscht, die Datei auf weniger als die halbe Ursprungsgröße neu geschrieben. Sein Kennungspaar kam am anderen Ende Zeichen für Zeichen identisch heraus. Hast du je einen früheren Entwurf desselben Dokuments an jemanden geschickt, lassen sich die beiden Dateien weiterhin einander zuordnen, und die Kennung ist stabil genug, das mit Zuversicht zu behaupten.

Metadaten zu löschen ist keine Schwärzung

Ein PDF lässt sich ändern, ohne neu geschrieben zu werden. Statt eine neue Datei zu speichern, kann ein Programm die geänderten Objekte an das Ende der bestehenden anhängen, dazu eine kleine Tabelle, welche Objekte ersetzt wurden. Das heißt inkrementelle Aktualisierung, und so funktionieren Anmerkungen, Formularausfüllung und digitale Signaturen, ohne das Vorherige zu entwerten. Die Folge: Ein PDF kann frühere Fassungen seines eigenen Inhalts enthalten, in den Bytes noch vorhanden, nur eben nicht mehr referenziert.

Die faire Frage lautet also, ob dieses Werkzeug neu schreibt oder anhängt, und die Antwort ist: Es schreibt neu. Eine Datei wurde gebaut, deren Seitentext durch eine inkrementelle Aktualisierung ersetzt worden war, und dann durch eine vollständige Metadatenlöschung geschickt. Heraus kam eine einrevisionige Datei von weniger als der halben Größe, und ein Reader zeigte korrekt den Ersatztext. Doch das verdrängte Original steckte weiterhin darin — ein vollständiges, entpackbares Objekt mit genau den Wörtern, die die Aktualisierung verbergen sollte, in wenigen Zeilen Code wiederherstellbar. Der Neuaufbau kopiert jedes Objekt, das er kennt, referenziert oder nicht; er ermittelt nicht, welche inzwischen unerreichbar sind.

Das ist weniger Kritik am Werkzeug als eine Grenze um das, was es verspricht. Es ist ein Metadaten-Werkzeug: Es entfernt, was die Datei über sich selbst sagt, und tut das gründlich, in beiden Speichern, wenn du die Schaltfläche benutzt. Es ist kein Bereiniger, es räumt das Dokument nicht auf, und es kann keinen Text entfernen, den du in einem anderen Programm mit einem schwarzen Rechteck überdeckt hast. Muss ein Dokument gefahrlos veröffentlicht werden können, ist der Metadaten-Durchgang einer von mehreren Schritten, und der letzte sollte darin bestehen, die fertige Datei mit einem Werkzeug zurückzulesen, das dir zeigt, was wirklich darin steckt.

Häufige Fragen

Was unterscheidet Info-Verzeichnis und XMP, und warum weichen sie voneinander ab?

Es sind zwei unabhängige Speicher für einander überlappende Angaben. Das Info-Verzeichnis ist eine kurze Liste benannter Einträge und gehört seit Anbeginn zum Format. XMP ist ein als Objekt eingebetteter XML-Block, der dieselben Felder unter genormten Namen aufnehmen kann, plus alles, was ein Arbeitsablauf ergänzen will. Nichts gleicht sie ab. Ein Dokument, in einem Programm geschrieben, in einem zweiten gesetzt und von einem dritten exportiert, kann jeden Speicher zu einem anderen Zeitpunkt aufsammeln, und Umbenennen oder erneutes Speichern aktualisiert den einen ohne den anderen. Deshalb kann eine Datei im Eigenschaftenfenster des einen Readers einen harmlosen Titel zeigen und in einem XMP-lesenden Werkzeug einen ganz anderen.

Das Panel zeigt die XMP-Werte, lässt mich sie aber nicht ändern. Warum?

Weil ein Paket ein ganzes XML-Dokument ist, nicht acht Felder. Die acht auf dem Bildschirm sind jene, die auch das Info-Verzeichnis führt, und genau das macht sie nebeneinander vergleichbar; dasselbe Paket kann Rechtevermerke, einen Bearbeitungsverlauf, Farbprofile und Felder tragen, die sich ein Publikationsablauf selbst ausgedacht hat, unter Schemata, von denen dieses Werkzeug nichts weiß. Die acht an Ort und Stelle zu überschreiben hieße, fremdes XML neu zu serialisieren und zu hoffen, dass sonst nichts zerbricht — und ein halb aktualisiertes Paket ist schlimmer als ein unangetastetes, denn es würde weiterhin vom Info-Verzeichnis abweichen, nur unauffälliger. Also wird das Paket gelesen, verglichen und dann ganz behalten oder ganz entfernt. Soll das XMP etwas Bestimmtes sagen statt gar nichts, stelle es in dem Programm ein, das das Dokument erzeugt hat.

Ich habe alles gelöscht. Ist das Dokument nun anonym?

Weniger identifizierbar, nicht anonym. Hast du die Schaltfläche „Alle Felder leeren“ benutzt, sind beide Metadatenspeicher tatsächlich weg, was Autorenname, Software, Versionen und Daten entfernt. Übrig bleibt das Kennungspaar am Dateiende, das eine vollständige Löschung unverändert überstand und diese Datei weiterhin mit jeder früheren Kopie desselben Dokuments verknüpfen kann. Darüber hinaus identifiziert dich der Inhalt selbst: lizenzierte Schriften, ein Briefkopf, eine Wendung, die du immer verwendest, ein Unterschriftsbild und jeder Text, den eine frühere Fassung hinterlassen hat. Metadaten zu löschen ist ein nützlicher Schritt und eine schlechte letzte Verteidigungslinie.

Stempelt das Speichern die Datei mit neuem Produzenten oder neuem Datum?

Nein, und das ist Absicht. Die meisten Bibliotheken, die ein PDF schreiben, tragen ihren eigenen Namen in das Produzenten-Feld ein und setzen das Änderungsdatum auf den Moment des Speicherns — bei einem Werkzeug, dessen Zweck das Entfernen von Spuren ist, hieße das, eine hinzuzufügen. Hier ist das automatische Stempeln abgeschaltet und jedes Feld wird ausdrücklich geschrieben oder gelöscht. Geprüft, indem ein einzelnes Feld bearbeitet und gespeichert wurde: Produzent, Erstellungsdatum und Änderungsdatum kamen allesamt unverändert zurück. Ein Datum, das du nie angefasst hast, bleibt ebenfalls stehen statt neu geschrieben zu werden — die Formularfelder haben nur Minutengenauigkeit, ein erneutes Speichern eines unbearbeiteten Datums würde also still seine Sekunden verlieren, und das wäre selbst eine Änderung.

Entfernt das Löschen der Metadaten verborgene oder gelöschte Inhalte?

Nein. Das Werkzeug entfernt, was die Datei über sich selbst sagt, nicht, was sie enthält. Ein PDF kann geändert werden, indem Änderungen ans Ende angehängt statt neu geschrieben werden — frühere Fassungen einer Seite können also weiterhin in den Bytes liegen, ohne dass etwas auf sie verweist. Dieses Werkzeug baut die Datei tatsächlich neu auf, statt anzuhängen: Eine Testdatei mit zwei Fassungen kam als eine zurück, bei weniger als halber Größe, und zeigte den neueren Inhalt korrekt. Doch der Neuaufbau kopiert jedes Objekt, das er kennt, gleich ob noch etwas darauf verweist — das verdrängte Original steckte also weiterhin in der Ausgabe und ließ sich mit wenigen Zeilen Code zurücklesen. Betrachte das Löschen der Metadaten als einen Schritt zu einem veröffentlichungsfähigen Dokument, nie als das Ganze.

Warum lehnt das Werkzeug mein PDF ab, und wie gebe ich Schlagwörter ein?

Eine Ablehnung ist fast immer Verschlüsselung. Das Werkzeug sagt das ausdrücklich und bittet dich, zuerst das Passwort zu entfernen. Beachte: Eine Datei kann verschlüsselt sein, ohne je nach einem Passwort zu fragen — viele veröffentlichte Dokumente tragen eine Sicherheitsvorkehrung mit leerem Benutzerpasswort, die sie sofort öffnen lässt und dennoch Änderungen verweigert. Für Schlagwörter nimm Kommas. Das Komma ist das einzige verlässliche Trennzeichen, denn die Erzeugerprogramme sind uneins: Die einen schreiben Schlagwörter durch Leerzeichen getrennt, die anderen durch Kommas. Enthält deine Zeile gar kein Komma, wird sie genau so geschrieben, wie du sie eingegeben hast — als ein einziges Schlagwort, statt an Leerzeichen zerlegt und still in mehrere verwandelt zu werden.