So schwärzen Sie PII aus Word-, PDF- und Excel-Dateien
So, wie die meisten Menschen ein Dokument „schwärzen“, entfernen sie in Wahrheit gar nichts. Ein schwarzer Kasten oder eine Hervorhebung überdeckt den Text nur — er bleibt in der Datei, weiterhin markierbar und kopierbar. Dieser Leitfaden zeigt, wie Sie personenbezogene Daten (und die verborgenen Metadaten drumherum) aus Word, PDF und Excel richtig entfernen und wie Sie überprüfen, dass es geklappt hat, bevor Sie die Datei weitergeben.
Warum ein schwarzer Kasten (oder eine Hervorhebung) keine Schwärzung ist
Wenn Sie ein schwarzes Rechteck über Text zeichnen oder ihn schwarz hervorheben, legen Sie lediglich eine Form über die Seite. Die Wörter darunter bleiben unangetastet — weiterhin im Inhaltsstrom des Dokuments, weiterhin markierbar, durchsuchbar und kopierbar. Die Schwärzungsanleitung der US Courts führt Werkzeuge zum Schwärzen und Überdecken unter den „Methoden auf, die man NICHT verwenden soll“, und warnt, dass „die Änderungen, die diese Werkzeuge vornehmen, von jedem wieder rückgängig gemacht werden können, um den darunterliegenden Text sichtbar zu machen“. (Quelle: U.S. Court of Appeals, D.C. Circuit.) Der Klassiker der NSA-Anleitung sagt dasselbe: Optisches Verdecken löscht den Inhalt nicht, er bleibt wiederherstellbar. (Quelle: NSA, „Redacting with Confidence“.)
Die berühmten Schwärzungspannen
Das passiert immer wieder — Anwaltskanzleien, Behörden und Gerichten gleichermaßen. Eine kleine Auswahl:
| Fall | Was schiefging |
|---|---|
| Paul Manafort filing (2019) | Anwälte reichten einen Schriftsatz beim Bundesgericht mit schwarzen Kästen über versiegeltem Text ein; Reporter stellten den Inhalt binnen Minuten per Kopieren und Einfügen wieder her und legten dabei geteilte Umfragedaten aus dem Wahlkampf 2016 offen. |
| DOJ Epstein files (2025) | Geschwärzte Namen ließen sich durch Kopieren und Einfügen in Word wiederherstellen, weil die Wörter im Inhaltsstrom des PDF verblieben waren; rund 1 % der Schwärzungen mussten nach der Veröffentlichung nachgebessert werden. |
| Maxwell deposition (2020) | Geschwärzte Namen wurden nicht per Kopieren und Einfügen rekonstruiert, sondern aus einem alphabetisch sortierten Wortindex, der in der Datei verblieben war — der Beleg dafür, dass die Überprüfung über den Kopieren-und-Einfügen-Test hinausgehen muss. |
| Glyph-position study (2022) | Forscher der University of Illinois machten die Schwärzung in Hunderten echter PDFs über 11 Werkzeuge hinweg rückgängig: Selbst wenn der Text unter dem Kasten gelöscht war, verrieten die Glyphenpositionen im Subpixelbereich die ursprünglichen Namen. |
Das Muster ist stets dasselbe: Der sichtbare Kasten hielt, doch die Daten überdauerten darunter — oder in einem Index oder in den Glyphenpositionen. Überdecken ist eben nicht dasselbe wie Entfernen. Occliras echte PDF-Schwärzung ist die unmittelbare Lösung für jede der obigen Pannen — sie brennt die Kästen ein und löscht den dahinterliegenden Text samt Metadaten, sodass nichts mehr zum Wiederherstellen übrig bleibt.
Die verborgenen Daten, die Sie nicht sehen
Selbst wenn Sie den sichtbaren Text löschen, führt eine Datei mehr mit sich, als auf dem Bildschirm steht. Microsoft hat die Dokumentprüfung genau dafür entwickelt, all das aufzuspüren und zu entfernen. (Quelle: Microsoft.) Was dort lauert, hängt vom Format ab:
Word (DOCX)
Änderungsverfolgung und Überarbeitungsverlauf, Kommentare, der Name des Autors und Dokumenteigenschaften, Kopf- und Fußzeilen, verborgener Text und benutzerdefiniertes XML. 2003 wurde ein britisches Regierungsdossier zum Irak als Word-Datei veröffentlicht, deren verborgener Überarbeitungsverlauf namentlich die Beamten nannte, die es bearbeitet hatten — ein Lehrbuchbeispiel für ein Metadatenleck.
Dokumentmetadaten, Ebenen, Anhänge, Skripte und „verborgene Daten aus früheren Speicherständen“. In Acrobat sind Schwärzung und Bereinigung zwei getrennte Schritte: Die Schwärzung entfernt den markierten sichtbaren Inhalt, während ein eigener Durchgang „Verborgene Informationen entfernen / Bereinigen“ sich um den Rest kümmert. (Quelle: Adobe.)
Excel (XLSX)
Ausgeblendete Zeilen, ausgeblendete Spalten, die weiterhin Daten enthalten, ausgeblendete Arbeitsblätter, Zellkommentare — und der Pivot-Cache, eine verborgene Momentaufnahme des gesamten Quelldatensatzes einer Pivot-Tabelle, die in der Arbeitsmappe gespeichert bleibt. Genau so legte der Police Service of Northern Ireland Nachnamen, Rang und Funktion aller 9.483 Mitarbeiter offen, die hinter einer Pivot-Tabelle in einer veröffentlichten Tabelle steckten, und handelte sich ein Bußgeld der ICO in Höhe von 750.000 £ ein. (Quelle: ICO.)
So schwärzen Sie richtig, Format für Format
- Word (DOCX). Führen Sie zuerst Microsofts Dokumentprüfung aus (Datei → Informationen → Auf Probleme überprüfen), um Änderungsverfolgung, Kommentare, den Autorennamen und die Dokumenteigenschaften zu entfernen. Löschen Sie danach den sensiblen Text selbst — heben Sie ihn nicht bloß schwarz hervor. Speichern Sie und prüfen Sie erneut, um sicherzugehen, dass nichts zurückbleibt.
- PDF. Verwenden Sie ein echtes Schwärzungswerkzeug, das die dahinterliegenden Textobjekte löscht, und nicht eines, das nur einen Kasten darüberlegt. Führen Sie anschließend einen separaten Durchgang zum Bereinigen bzw. Entfernen verborgener Informationen aus, um Metadaten, Ebenen, Anhänge und Reste früherer Speicherstände zu tilgen — in Acrobat sind das zwei getrennte Schritte.
- Excel (XLSX). Löschen Sie die Daten — blenden Sie Zeilen, Spalten oder Arbeitsblätter nicht bloß aus, denn ausgeblendet bleiben sie in der Datei erhalten. Leeren oder entfernen Sie die Quelldaten jeder Pivot-Tabelle (der Pivot-Cache behält eine verborgene Kopie), führen Sie die Dokumentprüfung aus und exportieren Sie als CSV, um alles ans Licht zu holen, was sich noch hinter Diagrammen oder Pivot-Tabellen verbirgt.
Der manuelle Weg funktioniert, doch der mehrstufige, formatspezifische Ablauf lädt zu Fehlern ein — vergessen Sie den Bereinigungsdurchgang oder den Pivot-Cache, gehen die Daten mit hinaus. Genau diese Lücke schließt ein spezialisiertes Werkzeug, das direkt auf dem Gerät arbeitet.
So überprüfen Sie, dass eine Schwärzung tatsächlich gegriffen hat
Bevor irgendetwas Ihr Gerät verlässt, gehen Sie diese Prüfliste durch:
- Kopieren-und-Einfügen-Test: Markieren Sie über die Schwärzung hinweg und fügen Sie den Inhalt an anderer Stelle ein — es sollte nichts erscheinen.
- Suchtest: Suchen Sie mit Strg+F nach den entfernten Namen oder Zahlen — es sollte keine Treffer geben.
- Führen Sie Microsofts Dokumentprüfung noch einmal mit der exportierten Datei aus — sie sollte nichts mehr finden.
- Vergewissern Sie sich, dass Dokumenteigenschaften, Autor, Änderungsverfolgung und Kommentare verschwunden sind.
- Blenden Sie bei Tabellen jede Zeile, Spalte und jedes Arbeitsblatt wieder ein und exportieren Sie als CSV, um sicherzugehen, dass sich nichts hinter einer Pivot-Tabelle verbirgt.
- Denken Sie daran, dass der Kopieren-und-Einfügen-Test allein nicht genügt — in den Fällen Maxwell und Glyphenposition drangen die Daten über andere Strukturen nach außen; vergewissern Sie sich also, dass der dahinterliegende Inhalt gelöscht und nicht nur überdeckt ist.
Was die Regeln verlangen
Aufsichtsbehörden stellen inzwischen klar, dass eine rein optische Schwärzung nicht genügt. Die ICO-Leitlinie von 2025 zur Offenlegung von Dokumenten führt die verborgenen Daten auf, die Sie entfernen müssen — Metadaten, Änderungsverfolgung und Kommentare, ausgeblendete Zeilen, Spalten und Arbeitsblätter sowie Pivot-Daten — und empfiehlt die Dokumentprüfung sowie das Umwandeln von Dateien in CSV, um alles sichtbar zu machen. (Quelle: ICO.) In US-Prozessen schreibt Rule 5.2 das Schwärzen von Sozialversicherungsnummern (letzte vier Ziffern), Geburtsdaten (nur Jahr), Namen Minderjähriger (Initialen) und Finanzkonto-Nummern (letzte vier Ziffern) vor — und da die Geschäftsstelle nicht prüft, trägt das Risiko allein der Einreichende. Bei Gesundheitsdaten sind die zu entfernenden Identifikatoren jene aus der 18er-HIPAA-Liste.
Word, PDF und Excel mit Occlira schwärzen — auf Ihrem Gerät
Occlira erledigt in einem einzigen Durchgang auf dem Gerät, wofür die manuellen Abläufe mehrere brauchen. Es erkennt und entfernt personenbezogene Daten in DOCX, PDF, XLSX, EML, TXT, MD und CSV auf Ihrem eigenen Computer — nichts wird hochgeladen, kein Konto nötig. Für PDFs bietet es eine echte Schwärzung, die die Kästen einbrennt und den dahinterliegenden Text samt Metadaten löscht — auf Wunsch unumkehrbar, die unmittelbare Antwort auf die obigen Kopieren-und-Einfügen-Pannen — und entfernt dabei verborgene Metadaten und Änderungsverfolgung gleich mit.
Wenn Sie Werte später wiederherstellen müssen, greifen Sie stattdessen zum Modus der umkehrbaren Anonymisierung: Er ersetzt Identifikatoren durch Platzhalter und behält die Zuordnung auf Ihrem Gerät. Im Sinne der DSGVO ist das Pseudonymisierung, das Ergebnis bleibt also personenbezogene Daten — betrachten Sie es als Datenminimierung, nicht als Schlupfloch aus den Regeln (mehr dazu in Was ist PII?). Führen Sie bei sehr großen Tabellen zusätzlich die oben beschriebene manuelle Bereinigung von Pivot-Cache und ausgeblendeten Blättern durch — Occlira kümmert sich um die PII in den Zellen, nicht um Excels interne Strukturen.
Häufig gestellte Fragen
Nein. Ein schwarzes Rechteck (oder eine schwarze Hervorhebung) ist nur eine visuelle Überlagerung über einer intakten Textebene — die Wörter stecken weiterhin in der Datei und bleiben markierbar, durchsuchbar und kopierbar. Die US Courts führen Werkzeuge zum Schwärzen und Überdecken ausdrücklich unter den Methoden auf, die man NICHT verwenden soll. Eine echte Schwärzung entfernt den dahinterliegenden Inhalt.
Weil die Schwärzung den Text nur optisch verdeckt hat, während er im Inhaltsstrom des PDF verblieben ist. Jeder kann über den Kasten hinweg markieren und die Wörter an anderer Stelle einfügen — genau so haben Reporter die Passagen zu Manafort und Epstein wiederhergestellt. Eine korrekte Schwärzung löscht die Textobjekte, sodass nichts mehr zum Kopieren übrig bleibt.
Änderungsverfolgung und Überarbeitungsverlauf, Kommentare, den Namen des Autors und weitere Dokumenteigenschaften, Kopf- und Fußzeilen, verborgenen Text und benutzerdefiniertes XML. Microsoft hat die Dokumentprüfung eigens dafür entwickelt, all das aufzuspüren und zu entfernen — so nannte etwa der verborgene Word-Überarbeitungsverlauf eines britischen Dossiers von 2003 namentlich die Beamten, die es bearbeitet hatten.
Es ist ein in Office integriertes Werkzeug (Datei → Informationen → Auf Probleme überprüfen → Dokument prüfen), das verborgene und personenbezogene Daten entfernt: Kommentare und Überarbeitungsmarkierungen, Dokumenteigenschaften einschließlich des Benutzernamens, Kopf- und Fußzeilen, verborgenen Text und benutzerdefiniertes XML — und in Excel ausgeblendete Zeilen, ausgeblendete Spalten mit Daten sowie ausgeblendete Arbeitsblätter.
Oft ja. Eine Pivot-Tabelle speichert eine verborgene Momentaufnahme ihres gesamten Quelldatensatzes — den „Pivot-Cache“ — innerhalb der Arbeitsmappe, sodass sich die Zeilen selbst dann wiederherstellen lassen, wenn das Quellblatt längst gelöscht ist. Genau so legte die PSNI-Tabelle die Angaben aller 9.483 Mitarbeiter offen. Leeren Sie zur Sicherheit den Pivot-Cache und exportieren Sie als CSV.
Die Schwärzung entfernt dauerhaft genau den Text oder die Bilder, die Sie markieren. Das Bereinigen (Verborgene Informationen entfernen) ist ein separater Schritt, der Metadaten, Kommentare, Anhänge, verborgene Ebenen, Skripte und Reste früherer Speicherstände tilgt. Meist brauchen Sie beides — die Schwärzung allein lässt die verborgenen Daten zurück.
Führen Sie den Kopieren-und-Einfügen-Test durch, suchen Sie nach den entfernten Begriffen, führen Sie die Dokumentprüfung noch einmal mit der endgültigen Datei aus, vergewissern Sie sich, dass Autor, Eigenschaften und Änderungsverfolgung verschwunden sind, und blenden Sie bei Tabellen alles wieder ein und exportieren Sie als CSV. Verlassen Sie sich nicht allein auf den Kopieren-und-Einfügen-Test — manche Datenlecks entstehen über Indizes und Glyphenpositionen; vergewissern Sie sich also, dass der Inhalt gelöscht und nicht nur überdeckt ist.
Nach Federal Rule of Civil Procedure 5.2 müssen Einreichende Sozialversicherungs- und Steueridentifikationsnummern (nur die letzten vier Ziffern), Geburtsdaten (nur das Jahr), Namen Minderjähriger (nur die Initialen) und Finanzkontonummern (nur die letzten vier Ziffern) schwärzen. Die Geschäftsstelle prüft das nicht — die Verantwortung liegt allein beim Einreichenden.
Das hängt vom Modus ab. Die echte PDF-Schwärzung brennt die Kästen ein und löscht den dahinterliegenden Text samt Metadaten — das ist naturgemäß unumkehrbar, und genau darauf kommt es an. Wenn Sie Werte später wiederherstellen müssen, greifen Sie stattdessen zum umkehrbaren Anonymisierungsmodus, der Identifikatoren durch Platzhalter ersetzt und die Zuordnung auf Ihrem Gerät behält (das ist Pseudonymisierung, das Ergebnis bleibt also personenbezogene Daten).
Schwärzen Sie Ihre Dateien lokal
Entfernen Sie personenbezogene Daten und verborgene Metadaten aus Word, PDF und Excel direkt auf Ihrem eigenen Computer. 14 Tage kostenlos unter Windows und macOS.
Mehr: für Anwaltskanzleien · für Steuerberater · personenbezogene Daten aus Audio entfernen · wie Ihre Daten gehandhabt werden