PDF Document
| Format | PDF Document |
|---|---|
| Kurzname | |
| Kategorie | Dokument |
| Plattformen | Windows, macOS, Linux, iOS, Android, QNX |
| Crush Unterstützung | Unterstützt (PDFParser) |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Portable Document Format: sehr verbreitet für amtliche Dokumente, Berichte, Formulare, Verträge und Korrespondenz. Zwei Metadatenebenen: das DocInfo-Dictionary (Author, Title, Creator, Producer, CreationDate, ModDate im Format D:YYYYMMDDHHmmSSOHH'mm' einschließlich Zeitzone) und der XMP-Stream (umfangreicher, XML-basiert, mit InstanceID, DocumentID, Historie). Creator gibt die erstellende Anwendung an (Word, LibreOffice, InDesign), Producer die PDF-Engine (Acrobat, Ghostscript, pdfTeX). Passen die angebliche Herkunft des Dokuments und Creator/Producer nicht zusammen, ist das ein wichtiger Hinweis auf Betrug (z. B. Creator: Canva bei einem Kontoauszug). Inkrementelle Updates hängen neue Querverweistabellen (xref) an, ohne zu überschreiben. Jeder Speichervorgang bleibt erhalten und ist wiederherstellbar. Eine xref-Anzahl > 1 zeigt, dass das Dokument mehrmals gespeichert wurde, außer bei linearisierten Dateien ('Fast Web View'), die von Anfang an zwei xref-Abschnitte haben. Diese strukturelle Spur ist schwerer zu fälschen als Metadatenfelder. Frühere Inhaltsversionen (Text vor einer Schwärzung, frühere Datumsangaben) können aus ersetzten Objekten in derselben Datei wiederherstellbar sein. Kann Dateien, JavaScript (Malware-Vektor), digitale Signaturen und versteckte Ebenen (Optional Content Groups) einbetten. Fehlende Metadaten bei Dokumenten von Institutionen sind selbst ein Hinweis auf Betrug.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 0 (0x0) | 25 50 44 46 2D | %PDF- | PDF-Header ('%PDF-') |
Bekannte Dateiendungen
Referenzen
- ISO 32000-2:2020 — PDF 2.0 specification (free via PDF Association) https://pdfa.org/resource/iso-32000-2/
- PDF metadata forensics — field-by-field reference (HTPBE, 2026) https://htpbe.tech/blog/pdf-metadata-fields-complete-reference
- PDF forensics and XMP metadata streams (Meridian Discovery) https://www.meridiandiscovery.com/articles/pdf-forensic-analysis-xmp-metadata/
- PDF forensics and the metadata conundrum (PDF Association, Cherie Ekholm, 2025) https://pdfa.org/presentation/pdf-forensics-and-the-metadata-conundrum/
- ExifTool — PDF metadata extraction https://exiftool.org/
Diesen Eintrag zitieren
Crush-Format-Referenz, „PDF Document“. https://kalink0.github.io/crush-forensics/formats/de/pdf/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden