So erkennen Sie, ob ein PDF bearbeitet wurde — was die Metadaten verraten
Jedes PDF trägt eine unsichtbare Datenschicht: das Erzeuger-Programm, das Erstellungs- und das Änderungsdatum, das XMP-Paket und die xref-Kette. Eine Bearbeitung sieht man dem gerenderten Dokument nicht an — aber sie hinterlässt Spuren in genau dieser Schicht. HTPBE? liest sie aus und beantwortet die einzige Frage, die zählt: Wurde diese Datei nach ihrer Erstellung verändert?
HTPBE? analysiert die Struktur- und Metadatenschicht der PDF-Datei — also die Schicht, die jede Änderung festhält, auch die unsichtbaren. Wir prüfen nicht den Inhalt auf Wahrheit und ersetzen keine Identitätsprüfung; wir stellen fest, ob genau diese Datei nach ihrer Erstellung bearbeitet wurde.
Gibt HTPBE? für ein Dokument INCONCLUSIVE zurück, wurde es typischerweise aus Consumer-Software statt aus einem institutionellen System exportiert — das ist bereits an sich ein Risikosignal.
Das Problem
Moderne Dokumentenfälschung ist optisch nicht erkennbar
Eine wachsende Klasse der Dokumentenfälschung öffnet ein echtes PDF, ändert einen Saldo, ein Datum oder einen Begünstigten und speichert es erneut. Optisch ändert sich nichts — das Dokument besteht die Sichtprüfung, die Layout-Prüfung und KYC.
Die strukturelle PDF-Analyse liest die Schichten, die Rendering-Engines nie offenlegen: Versionsverlauf, Objektstruktur, Signaturabdeckung. Genau dort hinterlassen Bearbeitungen Spuren, die sich nicht entfernen lassen.
Häufige Manipulationsmuster
- Veränderte Salden oder Summen nach dem Export
- Ausgetauschte IBAN oder Begünstigter bei Rechnungen
- Bearbeitungen nach der Unterschrift bei Verträgen
- Rückdatierte Erstellungs- und Änderungsdaten
- Mit Endkunden-Tools erzeugte Fälschungen
So sieht das in der Praxis aus
Wie sich eine Bearbeitung in den Metadaten niederschlägt
Drei Muster, an denen sich eine nachträgliche Bearbeitung in der Metadatenschicht zeigt.
PDF in einem Editor geöffnet und erneut gespeichert
Wird ein fertiges PDF in einem Editor geöffnet und gespeichert, aktualisiert sich das ModDate und die Datei erhält eine zusätzliche xref-Tabelle. Das Dokument sieht unverändert aus — die Metadatenschicht zeigt den zweiten Schreibvorgang.
Erzeuger-Feld passt nicht zur behaupteten Herkunft
Ein Dokument, das aus einem institutionellen System stammen soll, trägt im Producer-Feld plötzlich Microsoft Excel, einen Online-PDF-Dienst oder ein Bildbearbeitungsprogramm. Diese Abweichung zwischen behaupteter und tatsächlicher Herkunft ist ein direktes Bearbeitungssignal.
XMP-Paket und Info-Dictionary widersprechen sich
Metadaten liegen im PDF an zwei Stellen — im Info-Dictionary und im XMP-Paket. Bearbeitungswerkzeuge aktualisieren häufig nur eine davon. Weichen die Datums- oder Erzeuger-Angaben zwischen beiden ab, wurde die Datei nachträglich angefasst.
Die Analyse
Warum ein Metadaten-Viewer nicht genügt
Ein Metadaten-Viewer zeigt die Felder — er sagt Ihnen nicht, ob ihre Kombination eine Bearbeitung beweist
Die Rohwerte abzulesen ist einfach. Sie zu interpretieren ist die eigentliche Arbeit.
Ein Metadaten-Viewer listet Producer, Datumsangaben und XMP-Felder auf — die Bewertung überlässt er Ihnen. HTPBE? interpretiert dieselben Felder im Zusammenhang: Es gleicht das Erzeuger-Programm gegen bekannte Werkzeuge ab, prüft die Datumslogik, zählt die xref-Tabellen und die inkrementellen Updates und fällt daraus ein deterministisches Urteil — INTACT, MODIFIED oder INCONCLUSIVE, jeweils mit benannten Markern. Wenn Sie nur die Rohmetadaten sehen möchten, nutzen Sie den kostenlosen Viewer. Wenn Sie ein belastbares Urteil brauchen, ist das diese Analyse.
Was HTPBE? erkennt
Erkennungsleistung
Deterministische Struktur- und Metadatensignale. Keine probabilistische Bewertung.
Producer- und Creator-Fingerabdruck
HTPBE? gleicht das erstellende und das zuletzt verarbeitende Programm gegen eine Datenbank bekannter PDF-Werkzeuge ab. Ein Editor- oder Tabellenkalkulations-Fingerabdruck auf einem Dokument, das aus einem institutionellen System stammen soll, ist ein klares Signal.
Abweichung zwischen CreationDate und ModDate
Das ModDate-Feld wird automatisch aktualisiert, sobald ein PDF bearbeitet wird. Liegt das Änderungsdatum Stunden oder Tage nach dem Erstellungsdatum, deutet das auf einen zweiten Bearbeitungsvorgang hin.
Widerspruch zwischen XMP und Info-Dictionary
Stimmen die Metadaten im XMP-Paket nicht mit denen im Info-Dictionary überein, hat ein Werkzeug nur eine der beiden Ebenen aktualisiert — ein typisches Muster nach nachträglicher Bearbeitung.
Mehrere xref-Tabellen
Ein in einem Durchgang erzeugtes PDF enthält nur eine einzige xref-Tabelle. Jede zusätzliche Tabelle bedeutet, dass die Datei nach dem ursprünglichen Export erneut geöffnet und gespeichert wurde.
Länge der inkrementellen Update-Kette
PDF-Editoren hängen Änderungen an, ohne die ursprünglichen Bytes zu überschreiben. HTPBE? misst die Länge dieser Update-Kette — bei einem Dokument, das unverändert sein sollte, ist bereits ein einziges Update auffällig.
Schriftart-Inkonsistenzen nach Bearbeitung
Nachträgliche Textänderungen führen häufig zu Schriftart-Subsets, die nicht zum übrigen Dokument passen. Diese Inkonsistenz ist auf der Metadaten- und Strukturebene messbar.
Share with engineering
Wire this into your intake pipeline in under a day
Two API calls — one POST to submit the PDF, one GET to retrieve the verdict. Forward this page to your engineering team; the full API reference, quotas, and copy-paste examples in cURL, JavaScript, Python, PHP, Go, and Ruby are one click away.
Preise
Self-Service-Tarife, kein Verkaufsgespräch
Alle Tarife enthalten dieselben forensischen Prüfungen. Wählen Sie das Kontingent passend zu Ihrem monatlichen Dokumentenvolumen.
manuellStarter
$15/mo
30 Prüfungen/Monat
Manuelle Stichproben und Integrationstests
am häufigstenGrowth
$149/mo
350 Prüfungen/Monat
Aktive Pipelines zur Dokumentenverarbeitung
hohes VolumenPro
$499/mo
1.500 Prüfungen/Monat
Hochvolumige Automatisierung und API-Integrationen
Enterprise (unbegrenzt, On-Premise verfügbar) — vollständige Preise ansehen
API-Schlüssel bei Registrierung. Kostenlose Testumgebung in jedem Tarif. Keine Karte erforderlich.
Kundenstimmen
Teams, die Dokumentenbetrug gestoppt haben
Compliance-, Finanz- und Risikoteams setzen HTPBE? ein, um manipulierte PDFs zu erkennen, bevor sie zu teuren Fehlern werden.
Caught an invoice where the total had been changed by less than a thousand dollars. Without this I would have approved it without a second look.
Sarah M.
AP Manager
United States
We had three applicants in the same week with bank statements that looked completely fine. Two of them were flagged as modified. You simply cannot see this by reading the document — it is in the file structure.
Lars V.
Risk Analyst, Online Lending
Netherlands
Salary slips were coming with altered figures. We identified two problematic files before the placement was finalised.
Priya K.
HR Operations Lead
India
Since we started checking documents this way, we stopped two applications early in the process that would have been very difficult to reverse later.
Julien R.
Fraud Analyst, Fintech
France
Some applicants were sending PDFs that looked authentic but had been edited in ways not visible to the eye. We now ask for checked originals when something is flagged. Already saved us from a few bad decisions.
Marta S.
Compliance Coordinator
Spain
One invoice was caught because there was a mismatch between the document dates and structure. That particular case would have cost us significantly.
Tariq A.
Finance Manager
United Arab Emirates
FAQ
Häufig gestellte Fragen
Welche Metadatenfelder verraten eine Bearbeitung?
Was, wenn ein Fälscher die Metadaten löscht oder zurücksetzt?
Worin unterscheidet sich das von einem Metadaten-Viewer?
Was bedeutet „inconclusive“?
inconclusive bedeutet, dass das PDF aus Consumer-Software exportiert wurde — etwa Word oder Google Docs — statt aus einem institutionellen System. Das ist kein Freispruch, sondern ein Risikosignal: Für viele Dokumenttypen ist eine solche Herkunft bereits ungewöhnlich.Prüfen Sie eingereichte PDFs auf Bearbeitungsspuren
Konto erstellen — API-Schlüssel direkt bei der Registrierung, Testumgebung in jedem Plan enthalten.
Ab 15 $/Monat. Ohne Vertragsbindung. Jederzeit kündbar.