DE
Anmelden PDF prüfen

PDF bearbeitet oder manipuliert? So erkennen Sie es

Veröffentlicht DokumentenforensikAnleitung

Ein Kontoauszug, eine Gehaltsabrechnung, eine Rechnung — kommt sie als PDF, hängt die Entscheidung über Kredit, Mietvertrag oder Zahlung oft daran, wie sie aussieht. Nur: Ein sauberes Aussehen kostet heute nichts mehr. Jeder kann in einer Minute ein makelloses Dokument erzeugen. Die nützliche Frage lautet deshalb nicht mehr „Sieht das richtig aus?", sondern „Wurde diese Datei bearbeitet, nachdem sie erstellt wurde?" — und darauf antwortet ein PDF ehrlicher als die Seite, die es anzeigt.

Ein PDF ist ein Protokoll, kein Bild

Ein PDF ist kein flaches Bild. Es ist ein Container, der speichert, wie er gebaut wurde: welche Software ihn erzeugt hat, wann er erstellt und zuletzt geändert wurde, welche Schriften er einbettet und welche Struktur unter der sichtbaren Seite liegt. Ein echter Kontoauszug wird einmal von der Software der Bank erzeugt und sofort gespeichert. Ein bearbeiteter wird in einem Editor geöffnet, geändert und erneut gespeichert — und dieses zweite Leben hinterlässt Spuren an Stellen, an die ein Fälscher selten denkt.

Zuerst die Metadaten lesen

Zwei Felder erzählen das meiste. PDF-Produzent und Anwendung (in manchen Programmen „Ersteller") nennen das Werkzeug, das die Datei geschrieben hat. Ein echter Kontoauszug nennt die Software der Bank; ein bearbeiteter oft einen Online- oder Desktop-PDF-Editor, Word oder ein Designprogramm. Erstellungsdatum und Änderungsdatum sagen, wann. Software, die ein Dokument erzeugt, schreibt beide innerhalb von Sekunden. Liegt das Änderungsdatum Stunden, Tage oder Wochen nach der Erstellung, wurde die Datei später erneut geöffnet und gespeichert — das klassische Muster von „Original öffnen, eine Zahl ändern, wieder speichern".

Warum ein späteres Änderungsdatum allein kein Beweis ist

Hier übertreiben die meisten Checklisten. Ein Änderungsdatum nach dem Erstellungsdatum ist ein Hinweis, kein Urteil. Es entsteht auch, wenn jemand einen Kommentar oder eine Markierung hinzufügt, die Datei unverändert neu speichert oder sie als PDF druckt. Manche seriöse Programme schreiben gar kein Änderungsdatum, und einige Dokumente tragen eine zusätzliche Speicherung für eine Signatur oder einen Stempel. Nehmen Sie die Daten als Grund, genauer hinzusehen — nie als ganze Antwort. Genau diese Zurückhaltung unterscheidet eine echte Prüfung von einer Vermutung.

In unter einer Minute selbst prüfen

Die Grundlagen sehen Sie ohne forensische Werkzeuge:

Nennt der Produzent einen Editor und passen die Daten nicht zusammen, haben Sie guten Grund, am Dokument zu zweifeln. Sieht alles ordentlich aus, haben Sie trotzdem keinen Beweis — nur das Fehlen der einfachen Hinweise. Oder sparen Sie sich die Handarbeit: Unser kostenloser PDF-Metadaten-Checker liest diese Felder für Sie aus, direkt im Browser — die Datei wird dabei nicht hochgeladen.

Wo die Prüfung an der Oberfläche endet

Zwei Dinge übersehen Auge und Eigenschaften-Fenster. Erstens: Abdecken ist nicht Entfernen. Liegt über einer Zahl ein weißes Kästchen, steckt das Original oft noch in der Datei und lässt sich wieder herausholen — optisch weg, aber nicht gelöscht. Das gilt auch für geschwärzte Kontoauszüge. Zweitens verraten Schriften und Abstände, die sich von einer Zeile oder Spalte zur nächsten ändern, eingefügten Text — selbst wenn die Metadaten sauber aussehen. Und ein entschlossener Fälscher kann ein Dokument so neu aufbauen, dass Oberfläche und Daten bestehen. Eine belastbare Antwort kommt deshalb aus der tieferen Struktur der Datei und aus einer digitalen Signatur, nicht aus ihrer ersten Seite. Diese Ebene beschreibt der Ratgeber gefälschten Kontoauszug erkennen, und KI-Dokumentenbetrug erklärt, warum sie jedes Jahr wichtiger wird.
Ein inkrementell gespeichertes PDF: die Originaldatei, danach angehängte Aktualisierungen mit jeweils eigener Querverweistabelle, sodass frühere Versionen in der Datei erhalten bleiben.
Jede inkrementelle Speicherung wird an die Datei angehängt — die Version vor der Bearbeitung steckt oft noch darin.
Ursprüngliche Fassung
Buchungszeilen des ursprünglichen Kontoauszugs: die Gehaltsüberweisung vom 12. September lautet +3,200.00, der laufende Saldo 5,104.75.
Bearbeitete Fassung
Dieselben Zeilen nach der Bearbeitung: die Gehaltsüberweisung lautet nun +8,200.00, während der laufende Saldo weiterhin 5,104.75 anzeigt.

Der Gehaltsbetrag wurde von +3,200.00 auf +8,200.00 geändert. Der Bericht zeigt drei Spuren: eine abweichende Schrift für diesen Betrag, ein Änderungsdatum drei Tage nach der Erstellung und Adobe Acrobat im Metadatenfeld Producer. Auch der laufende Saldo neben dem geänderten Betrag wurde nicht angepasst.

Signiert heißt nicht automatisch unverändert

Eine gültige digitale Signatur ist das stärkste Echtheitsmerkmal, das ein PDF tragen kann — aber nur, wenn man sie richtig liest. Forschende der Ruhr-Universität Bochum haben 2019 gezeigt, dass sich 21 von 22 getesteten PDF-Anzeigeprogrammen dazu bringen ließen, für ein manipuliertes Dokument eine gültige Signatur anzuzeigen; die Hersteller haben diese Lücken inzwischen geschlossen. Die Lehre bleibt: Ein grüner Haken im Viewer ist eine Aussage des Programms, nicht der Datei. Entscheidend ist, ob die Signatur das ganze Dokument abdeckt und ob nach dem Signieren noch etwas angehängt wurde. Mehr dazu: Auch ein signiertes PDF kann gefälscht sein.

Das Fazit

Die Metadaten zu lesen ist der richtige erste Schritt, und er fängt die nachlässige Mehrheit der Fälschungen ab. Saubere Metadaten bedeuten aber „keine offensichtliche Bearbeitung", nicht „echt". Bei einer Entscheidung, bei der es um echtes Geld geht — ein Kredit, ein Mietvertrag, eine Rechnung —, prüfen Sie die Datei, nicht das Bild, das sie zeigt. Für Vermieter: Wie mehrere Unterlagen zusammenpassen müssen, zeigt Mieterselbstauskunft: Unterlagen auf Fälschung prüfen.