Ein ausgefülltes PDF-Formular anonymisieren (und warum die Antworten überleben)

Ein ausgefülltes PDF-Formular verbirgt mehr, als Sie auf der Seite sehen. Die eingetippten Antworten, die angeklickten Kästchen und jede Notiz, die eine Kollegin hinzugefügt hat, können in getrennten Ebenen hinter dem gedruckten Text liegen. Ein schwarzer Balken über der Seite lässt diese Ebenen oft unangetastet.

Nehmen wir an, eine Klinik schickt Erika Mustermann ein Einwilligungsformular. Sie füllt es aus, speichert es und leitet es an einen Kollegen weiter, der eine Version ohne ihren Namen und ihr Geburtsdatum braucht. Wenn dieser Kollege nur ein schwarzes Rechteck über die Felder zeichnet, können die ursprünglichen Antworten trotzdem in der Datei stecken. Sie können mit einem Klick wieder auftauchen.

Was steckt wirklich in einem ausgefüllten PDF-Formular?

Ein PDF-Formular besteht aus getrennten Ebenen, und jede verhält sich anders. Der Seiteninhalt ist der feste Text und die Bilder aus der Originaldatei. Ein Formularfeld, auch AcroForm-Feld genannt, ist ein eigenes Objekt mit einem eigenen Wert, wie der Text, den Erika in ein Kästchen getippt hat. Eine Annotation ist eine Markierung, die auf die Seite gelegt wird, etwa eine Hervorhebung oder ein Stempel. Ein Kommentar ist eine Notiz, die an die Seite angehängt ist, sichtbar in einem Seitenbereich, oft von einer prüfenden Person hinterlassen.

Deshalb hilft es selten, ein Feld mit einer Form zu überdecken. Die Form wird zu einem neuen Objekt auf der Seite. Sie legt sich über das Feld, die Annotation oder den Kommentar. Keine der darunterliegenden Ebenen wird angerührt, ihr Inhalt bleibt also da, nur vor dem Blick verborgen.

Warum ein schwarzer Balken ein Formularfeld nicht löscht

Ein schwarzer Balken, den Sie in einem PDF-Betrachter zeichnen, ist nur eine weitere Form. Er weiß nichts davon, was im Feld darunter steht, und er löscht diesen Wert nicht. Wer die Datei in einem anderen Betrachter öffnet oder Ihre Form entfernt, sieht noch immer die ursprüngliche Antwort. Suchen Sie im Dokument nach Erikas Namen, und er kann weiterhin auftauchen, sogar unter dem Balken.

Wie Sie ein PDF-Formular vor der Weitergabe glätten

Ein Formular sicher zu glätten heißt, die ganze Seite in ein Bild zu verwandeln. Ist die Seite erst ein Bild, gibt es kein Feld mehr zu lesen, keinen Kommentar zu öffnen und keinen Text zu suchen oder zu kopieren. Das ist etwas anderes als ein Formular nur auszufüllen, und etwas anderes als eine Form über ein Feld zu legen. Adobes eigene Anleitung zum Teilen von Dokumenten zeigt genau dorthin: eine geglättete, rasterisierte Kopie als letzten Schritt zu erstellen, nachdem die eigentliche Schwärzung erledigt ist.

• Adobe Acrobat: Nutzen Sie das Schwärzungswerkzeug, um den sensiblen Text wirklich zu löschen, und exportieren Sie danach eine geglättete, rasterisierte Kopie, den letzten Schritt, den Adobes eigene Anleitung vor jeder Weitergabe empfiehlt.
• Vorschau auf dem Mac: Ein Formular auszufüllen oder zu unterschreiben ändert nur, was auf dem Bildschirm zu sehen ist. Apples Anleitung zur Vorschau sagt nicht, dass dieser Schritt die Felddaten entfernt. Behandeln Sie eine ausgefüllte Kopie also als Entwurf, nicht als sichere Version zum Versenden.
• LibreOffice: Lassen Sie beim Export als PDF das Kästchen PDF-Formular erzeugen leer. Die Dokumentation von LibreOffice verknüpft genau dieses Kästchen mit einem ausfüllbaren Export. Es leer zu lassen verhindert aktive Felder in der neuen Datei.

Für ein Formular wie das von Erika liest ONYRI Sanitize die in die Felder getippten Werte zusammen mit dem Seitentext und baut beim Export jede Seite als Bild neu auf. Annotationen und Kommentare wandern nicht in die neue Datei, denn sie besteht nur aus Pixeln. Die Grenze: In einem mehrzeiligen Feld schwärzt ein einziger erkannter Name das ganze Feld, und ein unsichtbarer Wert wird übersprungen, nicht geprüft. Prüfen Sie die Vorschau vor dem Herunterladen.

Was passiert mit einer digitalen Signatur, wenn Sie ein Formular bearbeiten?

Eine digitale Signatur ist nicht nur ein Bild einer Unterschrift. Sie ist ein kryptografisches Siegel, das sich um die genauen Bytes des Dokuments zum Zeitpunkt der Signatur legt. Ändern Sie danach auch nur ein Zeichen, etwa einen Feldwert, einen Schwärzungsbalken oder einen Glättungsschritt, passt das Siegel nicht mehr.

Bei der digitalen Signatur wird das komplette Dokument digital unterzeichnet, sobald das digitale Dokument aber im Nachhinein bearbeitet wird, verliert die digitale Signatur die Gültigkeit.

Genau das erklärt sproof, ein europäischer Anbieter für digitale Signaturen, und es deckt sich damit, was die meisten PDF-Betrachter bei einer geänderten Datei melden: eine ungültige Signatur, nicht nur eine geänderte. Braucht ein Formular sowohl eine Schwärzung als auch eine Signatur, schwärzen Sie zuerst und bitten Sie danach um eine frische, neu signierte Kopie, nie andersherum.

Wie prüfen Sie, ob ein Formular wirklich anonymisiert ist?

Ein Formular, das auf dem Bildschirm sauber aussieht, beweist gar nichts. Prüfen heißt, die Datei so zu testen, wie es jemand täte, der versucht, eine Angabe wiederherzustellen, bevor Sie auf Senden drücken.

1. 1Öffnen Sie die Datei in einem zweiten, anderen Betrachter, nicht nur in dem, mit dem Sie bearbeitet haben.
2. 2Versuchen Sie, den Text unter jeder Schwärzung zu markieren und zu kopieren. Fügen Sie ihn woanders ein und lesen Sie, was herauskommt.
3. 3Durchsuchen Sie das ganze Dokument nach dem Namen, dem Datum oder der Nummer, die Sie entfernen wollten.
4. 4Öffnen Sie das Feld-Panel, falls der Betrachter eines hat, und prüfen Sie, ob kein Feld noch den alten Wert trägt.
5. 5Prüfen Sie das Kommentar- oder Annotationen-Panel auf alles, was eine Kollegin dort hinterlassen haben könnte.

Keine dieser Prüfungen dauert länger als eine Minute, und zusammen finden sie, was ein kurzer Blick auf die Seite nicht zeigt. Ein ausgefülltes PDF-Formular hat mehr Ebenen, als es zeigt, und jede verdient ihre eigene Kontrolle, bevor die Datei Ihre Hände verlässt.