Beweist das Erstellungsdatum eines PDFs etwas? Allein nicht

Nein, nicht allein. Die Zeile in einem Eigenschaftenfenster, die zum Beispiel „Erstellt: 12. März 2024“ lautet, ist ein Feld in der Datei, geschrieben von dem Programm, das das PDF erzeugt hat, und nichts in dieser Datei bindet den Wert an eine unabhängige Uhr. Metadaten können einen Fall stützen, den du bereits aus anderen Fakten aufbaust. Tragen können sie ihn nicht.

Das Wichtigste in Kürze

• CreationDate und ModDate sind gewöhnliche Felder, die die erzeugende Software schreibt, keine Beobachtungen einer neutralen Partei.

• Das Datum „Erstellt“ in Windows oder macOS gehört zur Kopie auf deiner Festplatte und ändert sich, wenn eine Datei heruntergeladen, kopiert oder wiederhergestellt wird.

• Beide Datumsangaben lassen sich von jedem, der die Datei hat, in Sekunden umschreiben, weshalb eine Gegenseite sie mit einem Satz abtun kann.

• Es gibt keinen zweiten, versteckten Satz von Metadaten, den Adobe in Reserve hält. Dieser Glaube taucht Jahr für Jahr in Forenthreads auf und ist falsch.

• Nach eIDAS Artikel 41 Abs. 2 genießt nur ein qualifizierter elektronischer Zeitstempel die Vermutung der Richtigkeit des darin angegebenen Datums (legislation.gov.uk).

Das Erstellungsdatum einer Datei wird von der Maschine geschrieben, die sie erzeugt hat; wer diese Maschine kontrolliert, kontrolliert also das Datum, das sie meldet.

Was speichert ein PDF eigentlich über sein eigenes Alter?

Zwei Sätze von Datumsangaben, an zwei Orten gespeichert, die nicht übereinstimmen müssen. Der erste liegt im Dokumentinformationsverzeichnis (Document Information Dictionary), einem kleinen Block aus Schlüssel-Wert-Paaren mit Feldern wie Title, Author, Producer, CreationDate und ModDate. Der zweite liegt in einem XMP-Metadatenstrom, einem separaten Paket strukturierten Texts, das viele erzeugende Anwendungen ebenfalls schreiben. Beide gehören zum PDF-Format selbst, standardisiert als ISO 32000-1, der Version, die die niederländische Regierung in ihrem Comply-or-explain-Regime aufführt (Forum Standaardisatie).

Keiner der beiden Blöcke zeichnet Ereignisse auf. Sie enthalten Werte, die das schreibende Programm dort abgelegt hat, meist indem es das Betriebssystem nach der Uhrzeit gefragt hat. Ein Scanner füllt sie anders als ein Textverarbeitungsprogramm, und manche Werkzeuge füllen sie kaum. Das Feld sieht aus wie eine Tatsache über die Vergangenheit. Eher ist es eine Behauptung, die Software über sich selbst aufgestellt hat.

Warum hilft das Dateidatum in Windows oder macOS nicht weiter?

Dieses Datum beschreibt die Kopie, die vor dir liegt, nicht das Dokument. Die Dateieigenschaften in Windows und Cmd+I auf einem Mac zeigen Zeitstempel, die das Dateisystem führt: erstellt, geändert, zuletzt geöffnet. Sie gehören zu dieser Kopie auf diesem Datenträger. Lädst du denselben Anhang zweimal herunter, erhältst du zwei verschiedene Erstellungsdaten. Kopierst du einen Ordner auf eine externe Festplatte, stellst du aus einem Backup wieder her oder synchronisierst über einen Cloud-Client, verschieben sich die Werte erneut.

Die Verwechslung der beiden Arten von Datum zieht sich durch fast jede Diskussion zu diesem Thema. Leute bemerken einen Unterschied zwischen dem Datum im PDF und dem Datum, das das Betriebssystem meldet, und schließen daraus, jemand habe die Datei manipuliert. Meist wurde sie schlicht später heruntergeladen, als sie geschrieben wurde.

Wie leicht lassen sich diese Datumsangaben ändern?

Mühelos, und das ist das ganze Problem. Kostenlose, gut dokumentierte Kommandozeilenprogramme schreiben das Dokumentinformationsverzeichnis und den XMP-Block mit einem einzigen Befehl um. Die Syntax drucken wir nicht ab, weil eine funktionierende Anleitung dem falschen Leser nützt. Wichtig für deine Datei ist: Der Vorgang dauert Sekunden und hinterlässt keine Spuren.

Es gibt einen noch direkteren Weg, der keine Metadaten anfasst. Die Uhr, nach der die erzeugende Software die Zeit fragt, ist die eigene Uhr des Schreibenden, sodass eine Datei tatsächlich mit einem Datum nach Wahl des Schreibenden geschrieben werden kann, von ganz normaler Software, die sich normal verhält. Nachträglich wird nichts bearbeitet, was einer der Gründe ist, warum forensische Untersuchungen der Datei selbst so oft ins Leere laufen.

Wenn die Gegenseite sagt, das Datum beweise nichts, beschreibt sie das Format zutreffend.

Hält Adobe einen zweiten, versteckten Satz von Metadaten vor?

Nein. Das ist das hartnäckigste Missverständnis auf diesem Gebiet. In einem Thread von 2019, in dem jemand glaubte, ein früherer Arbeitgeber habe einen rückdatierten Arbeitsvertrag erstellt, lautete die Antwort direkt: Es gibt keine zweiten, versteckten Metadaten, und alle Metadaten lassen sich bearbeiten. Ein PDF ist ein Dokumentformat und kein Audit-System, und es wurde nie dazu gebaut, gegen die Partei auszusagen, die es geschrieben hat.

Warum erzeugt identischer Inhalt unterschiedliche Metadaten und unterschiedlicher Inhalt dieselben?

Weil die Datumsangaben den Vorgang des Schreibens einer Datei abbilden, nicht den des Entwerfens eines Dokuments. Exportierst du denselben Vertrag zweimal aus demselben Textverarbeitungsprogramm, erhältst du zwei PDFs mit unterschiedlichen Erstellungsdaten und identischem Text. Öffnest du eine fünf Jahre alte Vorlage, änderst eine Klausel und speicherst, können die Felder weiterhin auf den Ursprung der Vorlage zeigen, weil viele Bibliotheken ModDate nie aktualisieren.

Automatisierte Abläufe fügen eine weitere Ebene hinzu. In einem Fall von 2024 vor dem niederländischen Raad van State wurde ein unterzeichneter Beschluss an die Justiz gesendet, wo die Datei in ein Format für die digitale Archivierung konvertiert wurde. Das Urteil hält fest, dass diese Konvertierung den Teil der Datei beschädigte, in dem die elektronische Signatur saß, sodass die Fassung in der Prozessakte die Validierung nicht bestand, während das Original normal validierte (ECLI:NL:RVS:2024:4237). Niemand hat etwas bearbeitet. Ein routinemäßiger Archivierungsschritt hat die Bytes umgeschrieben.

Was wir lernten, als wir versuchten, Metadaten zu hashen

Diese Instabilität begegnete uns beim Bauen von der anderen Seite. Die Idee war einfach: einen stabilen Fingerabdruck der Metadaten eines Dokuments zu erzeugen, damit zwei Parteien Ergebnisse vergleichen können, ohne die Datei selbst auszutauschen. Die erste Version lieferte bei jedem Durchlauf einen anderen Hash.

Der Grund lag in der Ausgabe. Der Zeitstempel der Extraktion war dort enthalten, dazu der Dateiname und die Version der Engine, die die Datei gelesen hat. Nichts davon beschreibt das Dokument; es beschreibt den Moment, in dem du hingeschaut hast. Erst nachdem wir sie entfernt hatten, ergab dasselbe Dokument zweimal denselben Hash. Unser Fingerabdruck-Tool hält deshalb Datei-, Text-, visuelle und Metadaten-Hashes weiterhin getrennt. Sie beantworten unterschiedliche Fragen und scheitern auf unterschiedliche Weise.

Wann lohnt sich ein Blick auf Metadaten überhaupt?

Metadaten verdienen ihren Platz als unterstützendes Signal, gelesen neben Fakten, die von anderswo stammen. Das niederländische Zivilprozessrecht hilft hier: Nach Artikel 152 Rv kann Beweis mit allen Mitteln erbracht werden, und sein Gewicht bleibt dem Richter überlassen. Die Zulässigkeit ist nicht dein Hindernis. Die Überzeugung ist es.

Sieh dir an, wie Rückdatierung tatsächlich festgestellt wird. In einem Fall von 2021 stellte das Bezirksgericht Rotterdam fest, dass Pflegevereinbarungen teilweise rückdatiert und deshalb unwahr aufgesetzt worden waren (ECLI:NL:RBROT:2021:5027). Diese Feststellung beruhte auf inhaltlichen Widersprüchen in den Dokumenten und auf Aussagen, nicht auf Metadaten oder forensischer Dateiuntersuchung. Das Gericht kam auf einem ganz anderen Weg zu seinem Ergebnis.

Wo eine technische Untersuchung die Führung übernimmt, enttäuscht sie oft. In einem Güterrechtsstreit, der im Februar 2026 entschieden wurde, sah ein Untersuchungsbericht starke Anzeichen dafür, dass strittige E-Mails von 2008 und 2014 manipuliert worden waren. Das Berufungsgericht Den Haag konnte dennoch nicht feststellen, wer sie gefälscht hatte (ECLI:NL:GHDHA:2026:180).

Zugleich ist das Risiko nach unten asymmetrisch. Nach Artikel 159 Abs. 2 Rv hat eine Privaturkunde, deren Unterschrift entschieden bestritten wird, keine Beweiskraft, bis der Ursprung dieser Unterschrift bewiesen ist, und der Hoge Raad wandte diese Regel im April 2019 an (ECLI:NL:HR:2019:572). Ein Satz der Gegenseite kann dich das Dokument kosten. Ein Metadatenfeld holt es nicht zurück.

Was sagt dir Adobe Acrobat, und was lässt es aus?

Acrobat gibt die Datei getreu wieder. Das ist die Grenze, kein Mangel der Software: Ein Reader kann nur weitergeben, was die Datei über sich selbst behauptet.

Nur die letzte Zeile bringt eine Partei ohne Interesse am Ausgang ins Spiel, und Acrobat erwartet, dass du diese Partei bereits gewählt hast. Alles darüber ist die Datei, die sich selbst beschreibt.

Was braucht es, um ein Datum belastbar zu machen?

Jemand Unabhängiges muss in diesem Moment etwas aufgezeichnet haben. Das ist der ganze Unterschied, und deshalb liegt die Antwort nie tiefer in der Datei. Das europäische Recht ist bei der Belohnung eindeutig: Nach Artikel 41 Abs. 2 der Verordnung (EU) 910/2014 genießt ein qualifizierter elektronischer Zeitstempel die Vermutung der Richtigkeit des darin angegebenen Datums und der Zeit sowie der Unversehrtheit der damit verbundenen Daten.

Alles unterhalb dieses Standards ist nicht wertlos. Artikel 41 Abs. 1 bestimmt, dass einem elektronischen Zeitstempel Rechtswirkung und Zulässigkeit nicht allein deshalb abgesprochen werden dürfen, weil er elektronisch ist oder die Anforderungen an qualifizierte Zeitstempel nicht erfüllt. Was du verlierst, ist die Vermutung. Ohne sie argumentierst du für dein Datum; mit ihr muss die andere Seite dagegen argumentieren.

Die Anforderungen selbst stehen einen Artikel weiter. Ein qualifizierter Zeitstempel muss Datum und Zeit so an die Daten binden, dass eine unbemerkte Änderung nach vernünftigem Ermessen ausgeschlossen ist, auf einer genauen, an die Koordinierte Weltzeit gekoppelten Zeitquelle beruhen und mit einer fortgeschrittenen elektronischen Signatur oder einem Siegel des qualifizierten Vertrauensdiensteanbieters versehen sein, oder mit einem gleichwertigen Verfahren (Artikel 42). Halte ein CreationDate-Feld gegen diese Bedingungen. Es erfüllt keine einzige.

Es ist gut zu wissen, wie ein solcher Dienst tatsächlich läuft, also hier unserer. Hashes neuer Dokumente warten auf eine tägliche Runde um 03:00 Uhr Europe/Amsterdam, in der sie zu einem Merkle-Baum zusammengefasst werden; nur der Wurzel-Hash geht an den qualifizierten Vertrauensdiensteanbieter Disig a.s. Eine flache Liste würde uns zwingen, die Hashes aller anderen Dokumente dieses Stapels herauszugeben; der Baum vermeidet das. Der qualifizierte Zeitstempel lässt das gespeicherte PDF Byte für Byte identisch, und der Nachweis wird zwanzig Jahre lang aufbewahrt, unabhängig von der Aufbewahrung der Datei selbst. Jeder kann ein Dokument unter /verify.

Selbst dann ist die ehrliche Formulierung eng. Eine unabhängige Aufzeichnung belegt, dass eine Datei spätestens zu einem bestimmten Zeitpunkt existierte. Sie sagt nichts darüber, wer sie geschrieben hat, ob der Inhalt wahr ist oder ob sie früher existierte. Zeitstempel sind ein Weg unter mehreren; die Abwägungen haben wir verglichen in So beweist du, dass ein Dokument an einem Datum existierte.

Häufig gestellte Fragen

Kann ich an den Metadaten erkennen, ob ein PDF bearbeitet wurde?

Nicht zuverlässig. Übereinstimmende Erstellungs- und Änderungsdaten garantieren nichts, weil beide Felder jeden Wert akzeptieren und viele Werkzeuge das zweite nie aktualisieren. Strukturelle Spuren in einer Datei können zeigen, dass sie neu geschrieben wurde. Sie können dir aber nicht sagen, ob die Zahlen auf Seite drei stimmen.

Ist die Datei original, wenn Erstellungs- und Änderungsdatum identisch sind?

Nein. Identische Datumsangaben sehen aus wie ein frischer Export, aber auch wie ein sorgfältiges Umschreiben. Viele Werkzeuge berühren das Änderungsfeld gar nicht. Gleichheit beweist in keiner Richtung etwas.

Kann man das Erstellungsdatum eines PDFs einfach ändern?

Ja. Frei verfügbare Metadaten-Werkzeuge schreiben das Feld um, und eine Datei kann ebenso mit dem Datum erzeugt werden, das die Uhr des Schreibenden meldet, sodass hinterher nichts zu bearbeiten bleibt. Die Methode veröffentlichen wir bewusst nicht. Wichtig in deinem Fall ist, dass die Gegenseite es kann und das auch sagen kann.

Wie beweise ich, dass ein Vertrag rückdatiert wurde?

Selten über die Datei. Im Rotterdamer Fall oben wurde die Rückdatierung über Widersprüche im Inhalt der Vereinbarungen und über Aussagen festgestellt, nicht über die Untersuchung von Metadaten. Betrachte Metadaten als etwas, das ein anderswo aufgebautes Bild stützen kann.

Kann der Absender ein PDF noch ändern, nachdem er es mir geschickt hat?

Nicht den Anhang in deinem Postfach. Wer überzeugt ist, ein Dokument habe sich aus der Ferne geändert, ist meist auf einen frischen Download gestoßen, der die alte Datei überschrieben hat, oder auf ein Cloud-Dokument, das nie ein statischer Anhang war. Die eigentliche Schwierigkeit liegt in der anderen Richtung: Allein anhand der Datei kannst du nicht zeigen, dass sie noch die ist, die gesendet wurde.

Fang damit an, zu lesen, was deine eigene Datei sagt

Wenn du ein Dokument in der Hand hältst, bei dem es auf das Datum ankommt, sieh zuerst nach, was die Datei tatsächlich enthält: die Dokumentinformationsfelder und den XMP-Block, nicht die zwei Zeilen, die ein Eigenschaftenfenster zusammenfasst. Der PDF-Metadaten-Viewer zeigt diese Felder im Browser an, ohne Konto. Für Exporte, E-Mail-Bäume und API-Zugriff deckt das vollständige Metadaten-Tool dasselbe ab; dafür brauchst du ein Konto und zahlst einen Credit pro Datei.

Keines von beiden erkennt Fälschungen. Das kann kein Werkzeug, das nur die Datei liest, und wer etwas anderes behauptet, verdient einen zweiten Blick. Wenn du siehst, wie dünn die Behauptung der Datei selbst ist, stellst du die bessere Frage: Wer hat sonst in diesem Moment etwas aufgezeichnet?

Daan van Tongeren ist der Gründer von PDFengine, wo er die hier beschriebene Kette aus Dokument-Fingerabdruck und qualifiziertem Zeitstempel gebaut hat.