Oft kannst du Anzeichen erkennen, dass eine PDF bearbeitet wurde: ein Änderungsdatum, das nach dem Erstellungsdatum liegt, ein Producer-Feld, das einen PDF-Editor nennt, eine Zeile in einer leicht anderen Schrift oder markierbarer Text, der unter einem Kasten versteckt ist. Das kann jeder in ein paar Minuten mit einem gewöhnlichen PDF-Reader prüfen.

Die ehrliche Grenze: Keines dieser Anzeichen ist ein Beweis. Eine sorgfältig bearbeitete Datei kann unauffällig aussehen, und eine unberührte kann verdächtig wirken, nur weil sie neu gespeichert wurde. Nur zwei Dinge können wirklich bestätigen, dass ein Dokument echt ist: eine gültige digitale Signatur oder eine Rückfrage bei dem, der es ausgestellt hat. Alles andere ist ein Hinweis.

Schritt 1: Lies die Dokumenteigenschaften

Die meisten PDF-Reader zeigen die Metadaten der Datei. In Adobe Acrobat Reader findest du sie unter „Datei“, dann „Eigenschaften“. In anderen Readern such nach „Dokumenteigenschaften“ oder einer Info-Schaltfläche. Du suchst nach ein paar Feldern.

  • Erstellt und Geändert. Liegt das Änderungsdatum Tage oder Monate nach dem Erstellungsdatum, hat etwas die Datei neu gespeichert. Das kann eine Bearbeitung sein, oder nur jemand, der einen Kommentar hinzugefügt oder ein Formular ausgefüllt hat.
  • Producer und Creator. Diese Felder nennen die Software. Ein Kontoauszug, dessen Producer ein PDF-Editor für Privatanwender ist und nicht die Art System, die eine Bank nutzen würde, ist einen zweiten Blick wert.
  • Autor und Titel. Manchmal sind sie aus einer Vorlage oder einem früheren Dokument übrig geblieben, was dir verraten kann, woher die Datei stammt.

Metadaten sagen dir, was das letzte Programm getan hat, nicht, wer das Dokument geschrieben hat. Ein echtes Beispiel: Eine PDF, die aus dem Editor von Kopitiam heruntergeladen wurde, zeigt als Producer pdf-lib (die quelloffene Bibliothek, die Kopitiam nutzt), und Erstellungs- und Änderungsdatum sind beide der Moment des Downloads. Ursprünglicher Autor und Titel werden nicht übernommen. Ein frisches Erstellungsdatum heißt also nicht, dass das Dokument neu ist, nur dass die Datei es ist.

Schritt 2: Schau dir den Text genau an

Zoom auf 200 oder 400 Prozent in die Stellen, auf die es ankommt: Namen, Beträge, Daten, Kontonummern. Bearbeitungen sind meist klein und gezielt, genau dort zeigen sich also die Spuren.

  • Schrift. Ist eine Zahl in einer leicht anderen Schriftart, Stärke oder Größe als die Zahlen um sie herum? Achte auf Formen, die sich von Schrift zu Schrift unterscheiden, etwa die Ziffern 1, 4 und 7.
  • Ausrichtung. Sitzt eine Zeile ein wenig höher oder tiefer als ihre Nachbarn, oder ist der Abstand zwischen den Zeichen ungleichmäßig?
  • Farbe. Ist das Schwarz eines Wortes einen Hauch anders, oder liegt auf einem getönten Hintergrund ein blasser Kasten dahinter?
  • Summen. Gehen die Zahlen noch auf? Auf einer Gehaltsabrechnung oder Rechnung hinterlässt eine geänderte Zahl oft eine Summe oder Steuerzeile, die nicht mehr stimmt.

Manche Reader listen auch die Schriften auf, die die Datei nutzt. Adobe Acrobat Reader hat im Fenster „Eigenschaften“ einen Reiter „Schriften“. Ist ein Dokument in einer Schriftart gesetzt, die Liste enthält aber noch eine andere, etwa Helvetica, frag dich, wo diese Schrift verwendet wird.

Schritt 3: Versuch, den Text zu markieren und zu kopieren

Das ist die nützlichste Prüfung, die die meisten nie ausprobieren. Markiere den Text in einer verdächtigen Zeile, kopiere ihn und füge ihn in eine einfache Notiz ein.

  • Unterscheidet sich der eingefügte Text von dem, was du siehst, gibt es versteckten Text. Eine verbreitete Art, eine PDF zu ändern, ist, die alten Wörter mit einem weißen Kasten abzudecken und neue darüberzutippen. Die alten Wörter sind oft noch in der Datei.
  • Lässt sich eine Zeile nicht markieren, während der Rest der Seite es tut, ist dieser Teil vielleicht ein Bild, das über das Original geklebt wurde.
  • Ist eine ganze Seite ein Bild, während die anderen Text sind, wurde sie vielleicht ersetzt, oder sie wurde einfach separat gescannt.

Das Werkzeug „Abdecken & ersetzen“ von Kopitiam funktioniert genau so. Es legt einen farblich passenden Kasten über vorhandenen Text und setzt ein neues Textfeld darauf, und der ursprüngliche Text bleibt darunter in der Datei. Damit eignet es sich gut, um einen Tippfehler zu korrigieren, aber nicht, um Informationen zu verstecken. Dafür wandelt das Tool „PDF schwärzen“ von Kopitiam jede geschwärzte Seite in ein Bild um, sodass der Text darunter wirklich weg ist. Mit „PDF in Word & Text“ kannst du jedes Wort aus einer Datei herausholen, auch abgedeckte, und das Ergebnis lesen. Es läuft in deinem Browser, die Datei wird also nicht hochgeladen.

Gescannte PDFs sind die Ausnahme. Ein Scan ist ein Bild einer Seite, es gibt also keinen Text zum Markieren und keine Schriftliste zum Vergleichen. Wenn ein Scan durch eine Texterkennung gelaufen ist, kann die versteckte Textebene Fehler enthalten, selbst wenn niemand etwas bearbeitet hat. Bei Scans bleiben dir nur die Sichtprüfungen und der Aussteller.

Schritt 4: Prüf, ob es eine digitale Signatur gibt

Eine digitale Signatur ist das Einzige in der Datei, das eine Änderung wirklich erkennen kann. Sie ist ein kryptografisches Siegel, das mit dem Zertifikat des Unterzeichners erstellt wird. Ändert sich nach dem Signieren auch nur ein Zeichen, schlägt die Prüfung fehl.

  1. Öffne die PDF in einem Reader, der Signaturen prüft, etwa Adobe Acrobat Reader.
  2. Such nach einer Signaturleiste oben oder einem Signaturbereich und öffne ihn.
  3. Lies, was dort steht: ob die Signatur gültig ist, wer signiert hat und ob das Dokument seit dem Signieren geändert wurde.
  4. Meldet er Änderungen nach dem Signieren, lies die Details. Manche Dokumente erlauben späteres Ausfüllen von Formularen oder Kommentare, und der Bereich listet auf, was geändert wurde.

Zwei Dinge solltest du auseinanderhalten. Erstens: Ein Bild einer handschriftlichen Unterschrift ist keine digitale Signatur. Das Werkzeug „Signatur“ von Kopitiam setzt, wie die meisten PDF-Editoren, eine gezeichnete Unterschrift als Bild ein, und das beweist nichts darüber, ob die Datei geändert wurde. Zweitens: Eine gültige digitale Signatur beweist, dass sich die Datei seit dem Signieren nicht verändert hat. Sie beweist nicht, dass das, was geschrieben wurde, vorher wahr war.

Inkrementelles Speichern: der versteckte Verlauf mancher Dateien

Manche PDF-Software speichert Änderungen, indem sie sie ans Ende der Datei anhängt, statt die Datei neu zu schreiben. Die frühere Version steckt dann noch darin, unter den Änderungen. Spezialwerkzeuge können diese früheren Versionen herausholen, und in manchen Readern lässt dich der Signaturbereich die Version ansehen, die signiert wurde.

Es gibt eine grobe Prüfung, die du selbst machen kannst. Öffne eine Kopie der PDF in einem einfachen Texteditor und such nach %%EOF, das das Ende einer gespeicherten Version markiert. Mehr als ein Treffer kann heißen, dass die Datei inkrementell gespeichert wurde. Das ist nur ein Hinweis: Manche Dateien haben aus gewöhnlichen technischen Gründen zwei, und viele Editoren, auch der von Kopitiam, schreiben eine komplett neue Datei, die keine früheren Versionen hinterlässt.

Warum nichts davon ein Beweis ist

  • Metadaten lassen sich leicht ändern oder entfernen. Fehlende Metadaten beweisen nichts, und vorhandene können gefälscht sein.
  • Harmlose Handlungen hinterlassen dieselben Spuren. „Drucken“, dann „Als PDF speichern“, eine Datei komprimieren oder ein Formular ausfüllen ändern alle den Producer und die Daten, ohne den Inhalt zu ändern.
  • Das Reduzieren (Flatten) einer PDF verschmilzt hinzugefügten Text mit der Seite, die Prüfung durch Markieren und Kopieren zeigt dann womöglich keine separate Ebene mehr.
  • Ein sorgfältiger Fälscher kann Schriften angleichen und eine Seite von Grund auf neu bauen, sodass nichts übrig bleibt, was du zu Hause entdecken könntest.

Behandle das, was du findest, also als Anlass nachzufragen, nicht als Urteil. Wenn die Gehaltsabrechnung eines Mietinteressenten seltsam aussieht, beschuldige niemanden wegen einer Schrift. Bitte über einen Weg, dem du vertraust, noch einmal um das Dokument, oder lass dir die Angaben vom Arbeitgeber bestätigen.

Wenn es wirklich darauf ankommt, geh zur Quelle

Bei allem, woran Geld hängt oder was rechtliches Gewicht hat, etwa ein Kontoauszug für einen Kredit, eine Gehaltsabrechnung für eine Wohnung oder ein Zeugnis für einen Job, ist die verlässliche Prüfung die beim Aussteller. Bitte darum, dass dir die Bank, der Arbeitgeber oder die Einrichtung das Dokument direkt schickt, oder lass dir die wichtigsten Zahlen bestätigen. Manche Aussteller drucken eine Referenznummer oder einen QR-Code auf, den du auf ihrer offiziellen Website prüfen kannst. Tipp die Adresse dieser Website selbst ein, statt einem auf dem Dokument gedruckten Link zu vertrauen.

Wenn ein Streit vor Gericht oder bei einer Versicherung landen könnte, bewahre die Originaldatei genau so auf, wie du sie bekommen hast, und hol dir professionelle Hilfe. Eine richtige forensische Untersuchung braucht Spezialwerkzeuge und Fachwissen. Kopitiam ist ein PDF-Editor, kein forensisches Werkzeug, und die Prüfungen in dieser Anleitung sind ein erster Blick, keine Untersuchung.