Vaak zie je tekenen dat een PDF is bewerkt: een wijzigingsdatum die later is dan de aanmaakdatum, een veld Producent dat een PDF-editor noemt, één regel in een net iets ander lettertype, of tekst die je kunt selecteren en die onder een vak verborgen zit. Iedereen kan dit in een paar minuten controleren met een gewone PDF-lezer.

De eerlijke grens: geen van deze tekenen is een bewijs. Een zorgvuldig bewerkt bestand kan er schoon uitzien, en een onaangeroerd bestand kan verdacht lijken alleen omdat het opnieuw is opgeslagen. Slechts twee dingen kunnen echt bevestigen dat een document echt is: een geldige digitale handtekening, of navraag bij wie het heeft uitgegeven. Al het andere is een aanwijzing.

Stap 1: lees de documenteigenschappen

De meeste PDF-lezers tonen de metadata van het bestand. In Adobe Acrobat Reader staan ze onder Bestand, dan Eigenschappen. Zoek in andere lezers naar Documenteigenschappen of een infoknop. Je zoekt een paar velden.

  • Gemaakt en Gewijzigd. Ligt Gewijzigd dagen of maanden na Gemaakt, dan heeft iets het bestand opnieuw opgeslagen. Dat kan een bewerking zijn, of gewoon iemand die een opmerking toevoegde of een formulier invulde.
  • Producent en Maker. Deze noemen de software. Een bankafschrift waarvan de Producent een PDF-editor voor consumenten is, in plaats van het soort systeem dat een bank zou gebruiken, verdient een tweede blik.
  • Auteur en Titel. Soms zijn die overgebleven uit een sjabloon of een eerder document, en dat kan je vertellen waar het bestand vandaan komt.

Metadata vertellen je wat het laatste programma deed, niet wie het document schreef. Een echt voorbeeld: een PDF die je uit de editor van Kopitiam downloadt, toont pdf-lib (de opensource-bibliotheek die Kopitiam gebruikt) als Producent, en de aanmaak- en wijzigingsdatum zijn allebei het moment waarop je hem downloadde. De oorspronkelijke auteur en titel gaan niet mee. Een verse aanmaakdatum betekent dus niet dat het document nieuw is, alleen dat het bestand dat is.

Stap 2: bekijk de tekst van dichtbij

Zoom in tot 200 of 400 procent op de delen die ertoe doen: namen, bedragen, datums, rekeningnummers. Bewerkingen zijn meestal klein en gericht, dus daar zie je de sporen.

  • Lettertype. Staat één cijfer in een net iets ander lettertype, een andere dikte of grootte dan de getallen eromheen? Let op vormen die per lettertype verschillen, zoals de cijfers 1, 4 en 7.
  • Uitlijning. Staat een regel iets hoger of lager dan de regels ernaast, of is de afstand tussen tekens ongelijk?
  • Kleur. Is het zwart van één woord net iets anders, of zit er een vaag vak achter op een gekleurde achtergrond?
  • Totalen. Kloppen de getallen nog? Op een loonstrook of factuur laat een gewijzigd bedrag vaak het totaal of de belastingregel niet meer kloppen.

Sommige lezers tonen ook de lettertypen die het bestand gebruikt. Adobe Acrobat Reader heeft een tabblad Lettertypen in het venster Eigenschappen. Is een document in één lettertype gezet, maar staat er in de lijst ook een ander, zoals Helvetica, vraag je dan af waar dat lettertype wordt gebruikt.

Stap 3: probeer de tekst te selecteren en te kopiëren

Dit is de nuttigste controle die de meeste mensen nooit proberen. Sleep om de tekst op een verdachte regel te selecteren, kopieer hem en plak hem in een gewone notitie.

  • Is de geplakte tekst anders dan wat je ziet, dan is er verborgen tekst. Een veelgebruikte manier om een PDF te wijzigen, is de oude woorden afdekken met een wit vak en er nieuwe overheen typen. De oude woorden staan vaak nog in het bestand.
  • Laat één regel zich niet selecteren terwijl de rest van de pagina dat wel doet, dan is dat deel misschien een afbeelding die over het origineel is geplakt.
  • Is een hele pagina een afbeelding terwijl de andere tekst zijn, dan is die misschien vervangen, of gewoon apart gescand.

De eigen tool Afdekken en vervangen van Kopitiam werkt zo. Die legt een vak in een passende kleur over bestaande tekst en voegt er een nieuw tekstvak bovenop toe, en de oorspronkelijke tekst blijft eronder in het bestand. Daardoor is hij prima om een typfout te verbeteren, maar verkeerd om informatie te verbergen. Daarvoor maakt de tool PDF zwartlakken van Kopitiam van elke zwartgelakte pagina een afbeelding, zodat de tekst eronder echt weg is. Met PDF naar Word en tekst kun je elk woord uit een bestand halen, ook afgedekte woorden, en het resultaat lezen. Het werkt in je browser, dus het bestand wordt niet geüpload.

Gescande PDF’s zijn de uitzondering. Een scan is een afbeelding van een pagina, dus er is geen tekst om te selecteren en geen lijst met lettertypen om te vergelijken. Is een scan door tekstherkenning gehaald, dan kan de verborgen tekstlaag fouten bevatten, ook als niemand iets heeft bewerkt. Bij scans heb je alleen de visuele controles en de uitgever.

Stap 4: controleer of er een digitale handtekening is

Een digitale handtekening is het enige in het bestand dat een wijziging echt kan opmerken. Het is een cryptografisch zegel dat met het certificaat van de ondertekenaar is gemaakt. Verandert er na het ondertekenen ook maar één teken, dan mislukt de controle.

  1. Open de PDF in een lezer die handtekeningen controleert, zoals Adobe Acrobat Reader.
  2. Zoek bovenaan een handtekeningbalk of een handtekeningpaneel, en open het.
  3. Lees wat er staat: of de handtekening geldig is, wie hem heeft gezet, en of het document is gewijzigd sinds het is ondertekend.
  4. Meldt het wijzigingen na het ondertekenen, lees dan de details. Sommige documenten staan later invullen van formulieren of opmerkingen toe, en het paneel noemt wat er is gewijzigd.

Twee dingen om goed uit elkaar te houden. Ten eerste is een afbeelding van een handgeschreven handtekening geen digitale handtekening. De tool Signeer van Kopitiam plaatst, zoals de meeste PDF-editors, een getekende handtekening als afbeelding, en dat bewijst niets over of het bestand is gewijzigd. Ten tweede bewijst een geldige digitale handtekening dat het bestand niet is veranderd sinds het is ondertekend. Het bewijst niet dat wat er stond daarvoor waar was.

Incrementeel opslaan: de geschiedenis die in sommige bestanden verborgen zit

Sommige PDF-software slaat wijzigingen op door ze aan het eind van het bestand toe te voegen in plaats van het te herschrijven. De eerdere versie zit er dan nog in, onder de wijzigingen. Gespecialiseerde tools kunnen die eerdere versies eruit halen, en in sommige lezers kun je via het handtekeningpaneel de versie bekijken die is ondertekend.

Er is een ruwe controle die je zelf kunt doen. Open een kopie van de PDF in een gewone teksteditor en zoek naar %%EOF, dat het einde van een opgeslagen versie markeert. Staat het er meer dan eens, dan kan het bestand incrementeel zijn opgeslagen. Het is maar een aanwijzing: sommige bestanden hebben er twee om gewone technische redenen, en veel editors, ook die van Kopitiam, schrijven een volledig nieuw bestand, waarin geen eerdere versies achterblijven.

Waarom niets hiervan een bewijs is

  • Metadata zijn makkelijk te wijzigen of te verwijderen. Ontbrekende metadata bewijzen niets, en aanwezige metadata kunnen vervalst zijn.
  • Onschuldige handelingen laten dezelfde sporen na. Afdrukken en dan Opslaan als PDF gebruiken, een bestand comprimeren of een formulier invullen veranderen allemaal de Producent en de datums zonder de inhoud te veranderen.
  • Een PDF platmaken voegt toegevoegde tekst samen met de pagina, dus de controle met selecteren en kopiëren toont misschien geen aparte laag meer.
  • Een zorgvuldige vervalser kan lettertypen nabootsen en een pagina helemaal opnieuw opbouwen, zonder iets achter te laten wat je thuis zou kunnen zien.

Zie wat je vindt dus als een reden om te vragen, niet als een oordeel. Lijkt een loonstrook van een kandidaat-huurder niet te kloppen, beschuldig dan niemand vanwege een lettertype. Vraag het document opnieuw op via een kanaal dat je vertrouwt, of controleer de gegevens bij de werkgever.

Als het er echt toe doet, ga naar de bron

Voor alles waar geld of juridisch gewicht aan hangt, zoals een bankafschrift voor een lening, een loonstrook voor een huurwoning of een diploma voor een baan, is de betrouwbare controle die bij de uitgever. Vraag of de bank, werkgever of instelling het document rechtstreeks naar jou stuurt, of vraag hen de belangrijkste gegevens te bevestigen. Sommige uitgevers drukken een referentienummer of QR-code af die je op hun officiële site kunt controleren. Typ het adres van die site zelf in, in plaats van een link te vertrouwen die op het document staat.

Kan een geschil bij de rechter of een verzekeraar eindigen, bewaar het oorspronkelijke bestand dan precies zoals je het hebt ontvangen en schakel professionele hulp in. Echt forensisch onderzoek vraagt om gespecialiseerde tools en expertise. Kopitiam is een PDF-editor, geen forensische tool, en de controles in deze gids zijn een eerste blik, geen onderzoek.