PDF richtig schwärzen: Versteckte Daten und QR-Codes sicher entfernen

Ein schwarzer Balken genügt nicht immer

Ein Unternehmen möchte einen Vertrag als Referenz veröffentlichen. Die Namen der Vertragspartner werden geschwärzt. Auch Anschriften und Unterschriften sind auf den ersten Blick nicht mehr erkennbar.

Das Dokument wird anschließend als PDF auf der Internetseite bereitgestellt.

Doch was passiert, wenn die vermeintlich entfernten Informationen weiterhin im Dokument enthalten sind? Oder wenn ein QR-Code auf eine Internetseite führt, die persönliche Daten anzeigt?

Dann kann trotz der sichtbaren Schwärzung eine Datenschutzverletzung entstehen.

Genau mit einem solchen Problem beschäftigt sich der Bayerische Landesbeauftragte für den Datenschutz in seinem 35. Tätigkeitsbericht.

Der dort geschilderte Fall zeigt, dass die sichere Veröffentlichung von Dokumenten mehr erfordert als eine rein optische Prüfung.

Eine bayerische Gemeinde veröffentlichte eine Wahlbenachrichtigung, um auf eine bevorstehende Wahl aufmerksam zu machen.

Die personenbezogenen Angaben auf dem Dokument wurden geschwärzt.

Allerdings blieb ein QR-Code sichtbar.

Dieser führte zu einem Online-Formular für die Beantragung von Briefwahlunterlagen.

Beim Aufruf des Formulars waren bereits personenbezogene Daten eines bestimmten Wahlberechtigten eingetragen.

Damit konnten Personen, die den QR-Code verwendeten, auf diese Informationen zugreifen.

Die Gemeinde hatte zwar die unmittelbar lesbaren Angaben berücksichtigt, den QR-Code aber übersehen.

Nach Bekanntwerden des Vorfalls wurde das veröffentlichte Dokument entfernt und der Betroffene informiert.

Der Landesbeauftragte verzichtete im konkreten Fall auf eine aufsichtliche Maßnahme.

Für Unternehmen lässt sich daraus eine wichtige Erkenntnis ableiten: Ein Dokument kann auch dann personenbezogene Daten offenlegen, wenn diese nicht unmittelbar auf der sichtbaren Seite stehen.

Viele Programme ermöglichen es, Texte mit schwarzen Rechtecken zu überdecken.

Dabei muss jedoch zwischen dem sichtbaren Abdecken und dem tatsächlichen Entfernen von Informationen unterschieden werden.

Wird lediglich eine grafische Fläche über einen Text gelegt, kann die ursprüngliche Information weiterhin vorhanden sein.

Unter Umständen lässt sie sich dann kopieren, durchsuchen oder mit geeigneter Software wieder sichtbar machen.

Eine sichere Schwärzung muss deshalb die zu entfernenden Inhalte tatsächlich beseitigen oder so irreversibel verändern, dass sie aus der veröffentlichten Datei nicht mehr wiederhergestellt werden können.

Dafür sollten geeignete Schwärzungsfunktionen verwendet werden.

Allerdings dürfen Unternehmen nicht nur den eigentlichen Text betrachten.

Auch andere Bestandteile eines Dokuments können Informationen enthalten.

Dazu zählen beispielsweise Kommentare, ausgeblendete Inhalte, Formularfelder, Dateianhänge und Metadaten.

Metadaten sind zusätzliche Informationen über eine Datei. Sie können unter anderem Angaben zu Autoren, Bearbeitungsprogrammen oder früheren Arbeitsschritten enthalten.

Nicht jede solche Information ist automatisch personenbezogen oder vertraulich.

Vor der Veröffentlichung sollte jedoch geprüft werden, ob sie Rückschlüsse auf Personen oder interne Unternehmensvorgänge ermöglicht.

Der Fall aus Bayern zeigt eine weitere Fehlerquelle.

QR-Codes werden häufig als reine grafische Elemente wahrgenommen.

Tatsächlich können sie aber Informationen enthalten oder auf Internetadressen verweisen.

Das ist besonders kritisch, wenn ein Link mit einer Person verbunden ist.

Ein QR-Code kann beispielsweise zu einem vorausgefüllten Formular, einem persönlichen Kundenbereich oder einem Dokument führen, das ohne weitere Anmeldung abrufbar ist.

Auch lange Internetadressen mit individuellen Kennungen können solche Funktionen übernehmen.

Wer ein Dokument vor der Veröffentlichung bearbeitet, sollte deshalb nicht nur Namen, Anschriften oder Telefonnummern überprüfen.

Alle enthaltenen QR-Codes und Links müssen ebenfalls betrachtet werden.

Dafür reicht es nicht, lediglich zu erkennen, dass ein QR-Code vorhanden ist.

Entscheidend ist, welche Funktion damit verbunden ist und welche Informationen dadurch erreichbar werden.

Solche Risiken bestehen in vielen Bereichen.

Personalabteilungen erstellen beispielsweise Arbeitszeugnisse, Bescheinigungen und anonymisierte Bewerbungsunterlagen.

Vertriebsabteilungen verwenden Referenzdokumente und Kundenpräsentationen.

Rechtsabteilungen bearbeiten Verträge, Stellungnahmen oder Unterlagen für externe Empfänger.

Auch bei der Bearbeitung von Betroffenenanfragen müssen gegebenenfalls Informationen über andere Personen unkenntlich gemacht werden.

Problematisch wird es insbesondere dann, wenn Dokumente unter Zeitdruck bearbeitet werden.

Ein schwarzer Balken vermittelt schnell den Eindruck, dass die Information nicht mehr zugänglich ist.

Ohne technische Prüfung kann diese Sicherheit jedoch trügerisch sein.

Unternehmen sollten daher einen verbindlichen Ablauf für die Schwärzung und Freigabe von Dokumenten festlegen.

Dieser Ablauf sollte sowohl die sichtbaren Inhalte als auch technisch enthaltene Informationen berücksichtigen.

Werden personenbezogene Daten versehentlich veröffentlicht, kann eine Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO vorliegen.

Das gilt insbesondere, wenn Unbefugte Zugang zu Informationen erhalten, die ihnen nicht zugänglich sein sollten.

Mögliche Folgen sind die Offenlegung von Beschäftigtendaten, vertraulichen Kundendaten oder anderen schutzbedürftigen Informationen.

Wie schwer ein Vorfall wiegt, hängt insbesondere von der Art der Daten, dem Umfang der Offenlegung und den möglichen Folgen für betroffene Personen ab.

Bei Gesundheitsdaten, Finanzinformationen oder anderen besonders sensiblen Inhalten können die Risiken erheblich sein.

Nach Bekanntwerden einer fehlerhaften Veröffentlichung müssen Unternehmen deshalb prüfen, ob eine meldepflichtige Datenschutzverletzung vorliegt.

Auch eine Benachrichtigung der betroffenen Personen kann unter den Voraussetzungen von Artikel 34 DSGVO erforderlich sein.

Unabhängig von einer möglichen Meldepflicht muss der Vorfall angemessen untersucht und dokumentiert werden.