Journalisten und Quellen: was ein Dokument vor der Veröffentlichung verrät

Wenn ein Dokument eine Organisation verlässt, ist das, was auf der Seite steht, nur ein Teil. Darin können der Name der Person stecken, die es geschrieben hat, der ihrer Firma, wer es danach bearbeitet hat und wie lange, und in einem eingescannten Papier Markierungen, die mit bloßem Auge nicht zu sehen sind. Für eine Quelle kann das den Unterschied zwischen Anonymität und keiner Anonymität ausmachen.

Was ein Office-Dokument oder ein PDF enthält

In einem Word-, Excel- oder PowerPoint-Dokument: den Autor, wer es zuletzt geändert hat, die Firma, die Anzahl der Überarbeitungen, die gesamte Bearbeitungszeit, die Vorlage und die Datumsangaben. Das Programm selbst füllt das mit den Kontodaten der Person aus, die es benutzt.
In einem PDF: den Autor, den Titel, das Programm, mit dem es erstellt wurde, und das, mit dem es konvertiert wurde, die Datumsangaben und oft einen XMP-Block, der all das wiederholt und manchmal den Verlauf hinzufügt.
In den eingebetteten Bildern: Ein in ein Dokument eingefügtes Foto kann seine eigenen Metadaten behalten, samt GPS.

Ein Fall: das Irak-Dossier

2003 veröffentlichte die britische Regierung auf ihrer Website im Word-Format einen Bericht über den Irak, von dem sich später herausstellte, dass er teilweise aus einer wissenschaftlichen Arbeit abgeschrieben war. Der Forscher Richard M. Smith holte aus dem Inneren der Datei ihr Überarbeitungsprotokoll, das auf der Seite unsichtbar war, mit den Benutzernamen der Personen, die sie bearbeitet hatten; ein Journalist identifizierte sie als Beamte von Downing Street und des Foreign Office. Smith veröffentlichte das am 30. Juni 2003.

Nicht alles sind Metadaten: Scans

Ein Papier einzuscannen oder zu fotografieren entfernt die Spuren nicht, es verändert sie. Viele Farblaserdrucker setzen auf jede Seite winzige, fast unsichtbare gelbe Punkte, die Daten über den Drucker und den Druckvorgang kodieren.

2017 veröffentlichte The Intercept ein eingescanntes Dokument der NSA. Journalisten und Sicherheitsexperten wiesen danach darauf hin, dass im veröffentlichten Bild diese Punkte zu sehen waren. Die Anklage gegen Reality Winner, die Analystin, die es weitergegeben hatte, stützte sich auf andere Beweise — wer das Dokument gedruckt hatte, ihr Kontakt zu dem Medium und die Falten im Papier —, und sie wurde zwei Tage vor Erscheinen des Artikels festgenommen. Aber der Fall hinterließ eine Lehre: Was man von einer Quelle veröffentlicht, kann mehr über sie verraten, als es scheint.

Bevor Sie ein Dokument veröffentlichen oder verschicken

Sehen Sie nach, was es enthält. Ziehen Sie das Word-, Excel-, PowerPoint-Dokument oder das PDF in KillEXIF: Sie sehen den Autor, die Firma, die Datumsangaben und den Rest. Die Analyse geschieht in Ihrem Browser, und das Dokument verlässt Ihr Gerät nicht, was bei einem sensiblen Dokument genau das Entscheidende ist.
Bereinigen Sie die Datei, nicht einen Screenshot. KillEXIF entfernt die Dokumenteigenschaften, ohne den Inhalt anzurühren, und prüft danach, dass nichts übrig ist.
Eine Schwärzung ist nicht immer eine Schwärzung. Ein schwarzer Kasten über einem Text in einem PDF kann ihn nur optisch verdecken: Der Text liegt weiter darunter und lässt sich kopieren. Das sind keine Metadaten, und kein Metadatenwerkzeug behebt das; der Text muss wirklich entfernt werden.
Wenn es ein Papier ist, veröffentlichen Sie es abgeschrieben oder nachgebildet, nicht das Bild des Originals, und denken Sie daran, was der Inhalt selbst verrät: wer Zugang zu genau diesem Dokument hatte.