Privacy Handbuch
Microsoft Office Dokumente (Word, Excel, Powerpoint) enthalten viele Metadaten. Neben den Namen der Autoren, Kommentare, verwendete Vorlagen, Zeitstempel der Erstellung und letzten Änderungen werden auch Informationen über den zuletzt verwendeten Drucker und den Speicherort des Dokumentes gespeichert. Teilweise kann man auch die letzten Änderungen nachverfolgen.
Das ist schon seit mehr als 20 Jahren bekannt und war öfters peinlich, beispielsweise 2002:
(Ja - man wollte in Deutschland mal einen Transrapid bauen! Das war aber bevor man sich in Berlin an einem neuen Flughafen versucht hat und in Stuttgard einen "unterirdischen" Hauptbahnhof bauen wollte.)
Unter Umständen kann ein einzelnes MS Office Dokument einem motiviertem Angreifer genug Informationen für einen Angriff auf ein Firmennetzwerk liefern. Ein kleines Beispiel:
- Der Angreifer findet in den Metadaten die Adresse und Typ eines angreifbaren HP oder Lexmark Druckers (CVE-2021-39238, CVE-2021-39237, CVE-2023-50739 - wer patcht schon Firmware von Netzwerkdruckern) oder einen angreifbaren MS Windows Druckserver (CVE-2021-34527).
- Mit den Informationen aus dem Inhalt des Dokumentes (der Speicherort verrät im Verzeichnispfad evtl. noch eine brauchbare Projektnummer o.Ä.) konstruiert er eine glaubhafte Phishing E-Mail an den oder die Autoren, deren Namen er in den Metadaten findet.
- E-Mail Adressen lassen sich in Firmen oft einfach aus den Namen der Zielpersonen erraten.
- Mit der E-Mail werden die Opfer auf eine Webseite gelockt, die aus dem Browser des Opfers heraus einen Cross-Site-Printing Angriff auf den Drucker oder den Druckserver abfeuert.
- Der kompromittierte Drucker könnte Firmendaten ausleitet oder das gesamte Netz infiltrieren.
Metadaten aus MS Office Dokumenten entfernen
Manchmal ist man gezwungen ein MS Office Dokument weiterzugeben und möchte Metadaten vor der Weitergabe an Dritte entfernen, auch wenn das Dokument nicht im Internet publiziert wird.
MS Office Programme (Word, Excel, Powerpoint) bieten die Möglichkeit, Metadaten zu entfernen. Unter "Datei → Informationen → Auf Probleme prüfen" wählt man die Option "Dokument prüfen".
In dem sich öffnenden Dialog klickt man auf "Prüfen" und kann dann die Metadaten löschen.
MS Office Dokumenten in PDFs konvertieren
Für die Publikation im Internet oder Weitergabe an firmenfremde Dritte sind PDFs besser geeignet als MS Word Dokumente oder Powerpoint Präsentationen. Dabei gibt es zwei Möglichkeiten:
- Beim PDF Export werden sicherheitskritische Informationen über die IT Infrastruktur entfernt aber Name des Autors, UUID des Office Dokumentes, Softwareversion… bleiben erhalten:
PDF Version : 1.7
Linearized : No
Page Count : 11
Language : de-DE
Tagged PDF : Yes
XMP Toolkit : 4.8-911
Producer : Microsoft® Word 2020
Creator : Mustermann, Max
Creator Tool : Microsoft® Word 2020
Create Date : 2023:03:02 17:20:66+01:00
Modify Date : 2023:03:02 17:20:66+01:00
Document ID : uuid:XXXXXXXX-YYYY-YYYY-YYYY-ZZZZZZZZZZZZ
Instance ID : uuid:XXXXXXXX-YYYY-YYYY-YYYY-ZZZZZZZZZZZZ
Author : Mustermann, Max - Das Drucken als PDF ist ein bisschen sparsamer bei Metadaten:
PDF Version : 1.7
Linearized : No
Author : maxe (Windows User Login Kennung)
Create Date : 2023:03:02 17:20:66+01:00
Modify Date : 2023:03:02 17:20:66+01:00
Producer : Microsoft: Print To PDF
Title : Dateiname.pdf
Page Count : 11Die verbliebenen Metadaten könnte man mit einem PDF Editor rausputzen.
Hinweis: auch für LibreOffice und OpenOffice gilt, dass das Drucken als PDF weniger Metadaten enthält als der PDF Export aus Writer oder Impress.
Datenreihen als CSV statt Excel Tabelle
Wenn man einfache Datenreihen im Internet veröffentlichen möchte, kann man Excel Tabellen für die Erfassung der Daten nutzen und das Arbeitsblatt dann als CSV Datei exportieren.
CSV Dateien sind einfache Textdateien, bei denen die Werte in einer Zeile durch Semikolon oder Komma getrennt sind. Der Empfänger kann die Daten in MS Excel oder LibreOffice importieren.