Metadaten in veröffentlichten Dateien

Ein Dokument, das Sie veröffentlichen, enthält mehr als das, was darin steht. Dateiformate halten fest, wer daran gearbeitet hat, mit welcher Software, auf welchem Rechner und wo die Datei gespeichert war. Diese Angaben sind beim Lesen unsichtbar und für den, der danach sieht, vollständig sichtbar. Was darin steckt, ist mehr als eine Kuriosität.

Was sind Metadaten?

Metadaten sind die Angaben, die eine Datei über sich selbst führt, unabhängig vom Inhalt. Bei einem Textdokument geht es um den Autor, die Organisation, die verwendete Software samt Version, die Erstellungs- und Änderungsdaten und häufig den vollständigen Pfad, unter dem die Datei lag. Bei einer PDF-Datei kommen die erzeugende Software und mitunter der Bearbeitungsverlauf hinzu. Bei einem Foto sind es das Gerätemodell, die Einstellungen, der Zeitpunkt und bei einem Telefon meist die Koordinaten.

Diese Angaben entstehen selbsttätig und werden selten bewusst geprüft. Wer einen Bericht, ein Formular oder eine Anleitung veröffentlicht, denkt an den Inhalt; niemand öffnet die Dateieigenschaften, um nachzusehen, was sonst noch darin steht.

Vergleichen Sie es mit einem Brief auf Briefpapier, auf dem in kleiner Schrift auch der Name des Setzers, die Adresse der Druckerei und das Datum der vorigen Fassung stehen. Für den Leser ändert sich nichts. Für denjenigen, der eine Organisation erfasst, steht dort einiges Brauchbares.

Was kommt dabei heraus?

Verwundbar:

Eine Organisation veröffentlicht einen Bericht auf ihrer Website. Wer die Eigenschaften ausliest, findet:

Titel            : Jahresbericht 2025 (Entwurf v4)
Autor            : m.walter
Zuletzt bearbeitet von : j.vanleeuwen
Organisation     : Beispiel GmbH
Software         : Microsoft Word 2016 (16.0.4266)
Erstellt         : 2025-11-14 09:22
Pfad             : \\fileserver01\abteilungen\finanzen\berichte\2025\

Sieben Zeilen mit einer beträchtlichen Menge an Informationen. Es gibt zwei Benutzernamen, und diese folgen offenkundig dem Muster Initiale-Punkt-Nachname, womit sich der Benutzername jedes Mitarbeiters aus einem Namen auf der Unternehmenswebsite ableiten lässt. Es gibt einen Servernamen und eine Ordnerstruktur des internen Netzes. Und es gibt eine Softwareversion, was anzeigt, welche Schwachstellen auf diese Arbeitsplätze zutreffen können.

Für einen Angreifer ist das das Material für einen gezielten Angriff: gültige Benutzernamen für einen Passwortversuch, ein interner Pfad, auf den er verweisen kann, und Kenntnis der eingesetzten Software für eine überzeugende Phishing-Nachricht.

Sicher:

// Bereinigen als Bestandteil des Veröffentlichens, nicht als gesonderte Handlung
import sharp from 'sharp';
import { PDFDocument } from 'pdf-lib';

async function veroeffentlicheBild(quelle, ziel) {
  // Das Neuerzeugen entfernt alle Metadaten, einschließlich Standortdaten
  await sharp(quelle).rotate().withMetadata({ exif: {} }).toFile(ziel);
}

async function veroeffentlichePdf(quelle, ziel) {
  const pdf = await PDFDocument.load(await fs.promises.readFile(quelle));
  pdf.setTitle('');
  pdf.setAuthor('');
  pdf.setSubject('');
  pdf.setKeywords([]);
  pdf.setProducer('');
  pdf.setCreator('');
  await fs.promises.writeFile(ziel, await pdf.save());
}

Der Eingriff sitzt im Veröffentlichungsvorgang, und das ist Absicht. Ein manueller Schritt “vergessen Sie nicht, die Eigenschaften zu löschen” wirkt die ersten Male und danach nicht mehr. Eine automatische Bearbeitung beim Veröffentlichen gilt für jede Datei, auch für die, die jemand in Eile hochlädt.

Welche Auswirkungen haben Metadaten in veröffentlichten Dateien?

Der Schweregrad ist üblicherweise niedrig bis mittel. Ein unmittelbarer Angriff ist nicht möglich, und es wird kein Zugang erlangt; es geht um Informationen, die Folgeschritte erleichtern.

Diese Folgeschritte sind allerdings konkret. Benutzernamen sind die Hälfte jedes Anmeldeversuchs, und ein abgeleitetes Benennungsmuster liefert auf einen Schlag Hunderte davon. Interne Servernamen und Pfade sind bei Angriffen nutzbar, die auf einen Netzwerkort verweisen, und sie vermitteln ein Bild der inneren Struktur. Softwareversionen bestimmen, welche bekannten Schwachstellen einschlägig sind. Und bei Dokumenten, die mehrere Parteien bearbeitet haben, verrät der Verlauf, mit wem zusammengearbeitet wurde.

Die Ausnahme, bei der es schwerwiegender wird, betrifft personenbezogene Daten. Standortdaten in Fotos und Namen von Personen in Dokumenten sind Daten, für die Sie nach der DSGVO verantwortlich sind. Veröffentlichen Sie ein Foto, aus dem hervorgeht, wo und wann es aufgenommen wurde, ist das eine Verarbeitung, die Sie vermutlich nicht beabsichtigt haben.

Wie spürt man Metadaten in veröffentlichten Dateien auf?

Ein Tester sammelt die veröffentlichten Dateien einer Organisation, Berichte, Formulare, Anleitungen, Präsentationen, Bilder, und liest deren Eigenschaften aus. Das ist weitgehend automatisierbar und liefert bei einer Organisation mit vielen Veröffentlichungen nahezu immer Ergebnisse.

Die Aufmerksamkeit richtet sich dabei auf wiederkehrende Muster. Zwei Benutzernamen sagen wenig; zwanzig Benutzernamen, die alle demselben Muster folgen, ergeben eine Regel, nach der jeder Mitarbeiter einen Benutzernamen erhält. Ebenso wird auf Servernamen, interne Domains und Softwareversionen geachtet sowie auf Dokumente, in denen gelöschter oder unkenntlich gemachter Text noch vorhanden ist. AssistSec bezieht diese Auswertung in die Erfassung Ihrer externen Sichtbarkeit ein, denn die gefundenen Benutzernamen sind in der Folgephase eines Tests unmittelbar nutzbar, und damit auch für einen Angreifer.

Wie verhindert man Metadaten in veröffentlichten Dateien?

• Entfernen Sie Metadaten automatisch beim Veröffentlichen, nicht als manuellen Schritt im Nachhinein.
• Erzeugen Sie Bilder neu, damit Standortdaten und Geräteangaben verschwinden.
• Löschen Sie Autor, Organisation, Pfade und Softwareangaben aus Dokumenten und PDF-Dateien.
• Entfernen Sie unkenntlich gemachte Stellen aus der Quelle, statt sie abzudecken.
• Prüfen Sie vor dem Veröffentlichen, ob Bearbeitungsverlauf und Kommentare entfernt sind.
• Verwenden Sie für Veröffentlichungen einen neutralen Autorennamen statt den eines Mitarbeiters.
• Nehmen Sie das Bereinigen auch für Dateien auf, die von Nutzern hochgeladen und wieder angezeigt werden.
• Prüfen Sie regelmäßig, was bereits veröffentlicht ist; vorhandene Dateien bereinigen sich nicht selbst.