IBAN schwärzen in PDFs — automatisch und DSGVO-konform

Die IBAN (International Bank Account Number) gehört zu den sensibelsten personenbezogenen Daten in Geschäftsdocumenten. Zusammen mit dem Namen des Kontoinhabers ermöglicht sie die eindeutige Identifikation einer Person und ihrer Bankverbindung. Wer PDFs mit IBANs weitergibt, ohne diese zu schwärzen, verstößt gegen die DSGVO. Dieser Beitrag zeigt, warum IBAN-Schwärzung Pflicht ist, wie sie automatisch funktioniert und wie Sie sie in der Praxis umsetzen.

Die IBAN (International Bank Account Number) ist eine international standardisierte Kontonummer, die seit 2014 in Deutschland für Überweisungen verpflichtend ist. Eine deutsche IBAN besteht aus 22 Zeichen:

• Ländercode: DE (für Deutschland)
• Prüfziffer: 2-stellig (z. B. 89)
• Bankleitzahl: 8-stellig
• Kontonummer: 10-stellig (mit führenden Nullen aufgefüllt)

Beispiel: DE89 3704 0044 0532 0130 00

Die DSGVO definiert personenbezogene Daten als alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Die IBAN gehört eindeutig in diese Kategorie, denn:

• Sie ist einer bestimmten Person zugeordnet (Kontoinhaber)
• In Kombination mit dem Namen ermöglicht sie die Identifikation
• Auch allein kann sie zur Identifikation beitragen (z. B. über die Bankleitzahl und Kontonummer)

Die Aufsichtsbehörden stufen die IBAN als personenbezogenes Datum ein. Sie fällt damit unter alle DSGVO-Schutzvorschriften — einschließlich der Pflicht zur Schwärzung bei Dokumentweitergabe.

IBANs müssen geschwärzt werden, wenn Dokumente weitergegeben werden und die IBAN für den jeweiligen Zweck nicht erforderlich ist. Typische Szenarien:

Kontoauszüge: Wenn Sie einen Kontoauszug als Einkommensnachweis einreichen, müssen Ihre eigene IBAN und die IBANs von Überweisungspartnern nicht zwingend sichtbar sein — sofern die Kontoidentifikation anderweitig möglich ist.

Rechnungen: Rechnungen enthalten oft die IBAN des Rechnungsstellers und des Empfängers. Bei Archivierung oder Weitergabe an Dritte sollten IBANs geschwärzt werden, wenn sie für den Empfänger nicht relevant sind.

Verträge: Mietverträge, Arbeitsverträge, Dienstleistungsverträge — überall finden sich IBANs für die Zahlungsabwicklung. Bei Weitergabe an unbeteiligte Dritte müssen diese geschwärzt werden.

Personalakten: IBANs von Mitarbeitern für die Gehaltsüberweisung haben in Personalakten nichts zu suchen, die an unbefugte Personen weitergegeben werden.

Die automatische Erkennung von IBANs in PDFs basiert auf regelbasierten Mustern (Regex). Für deutsche IBANs lautet das Erkennungsmuster:

• Beginnt mit „DE" gefolgt von 20 Ziffern
• Gesamtlänge: 22 Zeichen
• Prüfziffernvalidierung nach ISO 13616 (Modulo-97-Verfahren)

Datenmaske nutzt dieses Muster, um IBANs in PDFs automatisch zu identifizieren — unabhängig von der Formatierung (mit oder ohne Leerzeichen, in Tabellen, im Fließtext oder in Formularfeldern). Unterstützt werden neben deutschen IBANs auch alle anderen europäischen Formate (AT, CH, FR, NL, etc.).

Ablauf der automatischen Erkennung:

1. PDF wird analysiert und Text mit Positionsinformationen extrahiert
2. Regex-Muster suchen nach IBAN-Formaten im gesamten Text
3. Gefundene IBANs werden durch Prüfziffernvalidierung bestätigt
4. Position der IBAN im Dokument wird als Schwärzungsbereich markiert
5. Der Nutzer prüft die Vorschläge und bestätigt die Schwärzung

Schritt 1 — Dokument hochladen: Laden Sie das PDF-Dokument in Datenmaske. Unterstützt werden alle gängigen PDF-Formate, einschließlich gescannter Dokumente (via OCR).

Schritt 2 — Automatische Erkennung: Datenmaske analysiert das Dokument und markiert automatisch alle erkannten IBANs. Zusätzlich werden weitere personenbezogene Daten wie Namen, E-Mail-Adressen und Telefonnummern erkannt.

Schritt 3 — Ergebnisse prüfen: Prüfen Sie die vorgeschlagenen Schwärzungen. Sie können jede Erkennung einzeln bestätigen oder ablehnen. Ergänzen Sie manuelle Schwärzungen, falls eine IBAN übersehen wurde.

Schritt 4 — Exportieren: Exportieren Sie das geschwärzte PDF. Die IBANs werden irreversibel aus dem Dokument entfernt — sie sind weder kopierbar noch durch Entfernen von Grafikebenen sichtbar.

Schritt 5 — Protokoll erstellen: Datenmaske erstellt automatisch ein Audit-Log, das dokumentiert, welche Daten wann und von wem geschwärzt wurden.

IBANs sind personenbezogene Daten und müssen bei der Dokumentweitergabe geschwärzt werden, wenn sie für den Zweck nicht erforderlich sind. Manuelle Schwärzung ist fehleranfällig und zeitaufwändig. Automatische Werkzeuge wie Datenmaske erkennen IBANs zuverlässig, schwärzen sie irreversibel und dokumentieren den gesamten Vorgang — DSGVO-konform und in Minuten erledigt.