PDF-Dokumente mit lokaler KI schwärzen: echte Schwärzung, Prüfung und Workstation

PDFs mit KI auf der eigenen Workstation schwärzen

Sie können PDFs mit KI schwärzen, ohne sie irgendwo hochzuladen: Ein Erkennungsschritt auf Ihrer eigenen Workstation findet Namen, Anschriften, Kontonummern und andere personenbezogene Daten, ein Schwärzungsschritt löscht Text und Bildpunkte unter jeder Markierung, und eine Person prüft das Ergebnis, bevor die Datei weitergegeben wird. Für jeden Schritt gibt es offene Werkzeuge: Presidio und ein lokales Sprachmodell finden die Daten, PyMuPDF oder Stirling-PDF entfernen sie, und OCRmyPDF macht Scans vorher lesbar. Nach unserer Regel für Nutzer je Karte betreibt eine NVIDIA RTX PRO 4500 Blackwell mit 32 GB die Erkennungsmodelle und ein Sprachmodell mit 27 Milliarden Parametern für eine zweite Lesung.

Die Arbeit kennen viele Büros. Die Personalabteilung beantwortet den Wunsch einer Mitarbeiterin nach einer Kopie ihrer Akte, und in der Akte stehen Kolleginnen und Kollegen. Eine Rechtsabteilung schickt Verträge und Schriftverkehr an die Gegenseite oder an einen Gutachter. Eine Behörde veröffentlicht Entscheidungen oder gibt Unterlagen auf Antrag heraus. Ein Versicherer reicht eine Schadenakte an einen externen Sachverständigen weiter. Jedes Mal müssen zuerst Namen und Nummern weg, und von Hand dauert das bei einer dicken Akte Stunden.

Schwärzen (englisch „redact“) heißt, Informationen dauerhaft aus einem Dokument zu entfernen, sodass sie sich aus der Datei nicht wiederherstellen lassen. Dieser Leitfaden behandelt das PDF, das Ihr Haus als Datei verlässt, die andere öffnen, kopieren und durchsuchen. Personen­bezogene Daten zu entfernen, bevor Text ein Sprachmodell oder einen Suchindex erreicht, ist eine andere Aufgabe; sie behandelt unser Leitfaden zur Anonymisierung vor dem LLM, der auch die Erkennungsmodelle vergleicht und erklärt, wie die DSGVO anonymisierte und pseudonymisierte Daten behandelt.

Ein schwarzer Balken ist keine Schwärzung

Eine PDF-Seite besteht aus mehreren Ebenen: dem Text, den man markieren, kopieren und durchsuchen kann; Bildern, die bei einem Scan die ganze Seite enthalten; Zeichnungen; und Anmerkungen wie Kommentaren und Hervorhebungen, die obenauf liegen. Ein schwarzes Rechteck aus dem Kommentarwerkzeug oder eine schwarze Hervorhebung ist eine solche Anmerkung. Sie verdeckt den Namen am Bildschirm und im Ausdruck, der Text darunter bleibt aber in der Datei, wo ihn Kopieren und Einfügen oder jede Textextraktion findet.

Eine echte Schwärzung läuft in zwei Schritten. In PyMuPDF, einer Python-Bibliothek für PDFs, wird zuerst eine Schwärzungsmarkierung auf die Seite gesetzt, damit eine Person sieht, was entfernt wird. Das Anwenden der Schwärzungen entfernt dann laut Dokumentation allen Inhalt innerhalb jedes Schwärzungsrechtecks der Seite. Standardmäßig löscht es jedes Zeichen, dessen Begrenzungsrahmen eine Markierung überlappt, macht die überlappenden Bildpunkte von Bildern unkenntlich und entfernt die Markierungen selbst. Die Bibliothek erlaubt, den Text unter einer Markierung stehen zu lassen, und ihre Dokumentation warnt, das entspreche nicht dem Datenschutzzweck von Schwärzungen („does not comply with the data protection intentions of redaction annotations“).

Dieselbe Dokumentation hält fest, dass Text physisch von der Seite entfernt wird, „assuming Document.save() with a suitable garbage option“, also wenn beim Speichern eine passende Garbage-Collection-Option gesetzt ist. Überdeckt eine Markierung einen Teil eines Bildes, legt PyMuPDF für die Seite ein neues Bild an; das Original wird dabei laut Dokumentation weder gelöscht noch ersetzt, sodass andere Seiten es weiterhin zeigen können. Speichern Sie die geschwärzte Kopie deshalb mit einer Garbage-Collection-Option.

Dokumentation von PyMuPDF zu Page.add_redact_annot und Page.apply_redactions, Redact-Anleitung von Stirling-PDF und PDF-Beispiel von Presidio, gelesen am 30. Oktober 2026.

Stirling-PDF, eine selbst gehostete PDF-Werkzeugsammlung mit 95,4k Sternen auf GitHub am 30. Oktober 2026, bietet beide Schritte in einer Weboberfläche. Seine Redact-Anleitung sagt, die Schwärzung lösche sensible Texte und Bereiche dauerhaft aus einem PDF, statt sie nur zu verbergen, und rät, eine Kopie des Originals aufzubewahren. Der automatische Modus sucht nach Wörtern, die Sie eingeben, als ganze Wörter oder als reguläre Ausdrücke, und die Option „Convert PDF to PDF-Image“ wandelt die geschwärzten Seiten in Bilder um, sodass hinter den Balken überhaupt kein Text mehr bleibt. Der Preis dafür: Der Text lässt sich danach weder markieren noch durchsuchen. Stirling-PDF findet nur, wonach Sie es suchen lassen: Seine Anleitung bietet reguläre Ausdrücke für Formate wie E-Mail-Adressen, die Sie selbst eingeben, und beschreibt keine automatische Erkennung personenbezogener Daten.

Das PDF-Beispiel von Presidio setzt nur Hervorhebungen an den Fundstellen; seine Ausgabe enthält laut Beschreibung den ursprünglichen Inhalt, für die Prüferin eine gute Datei, zum Versand die falsche.

Personen­bezogene Daten mit Mustern, Erkennungsmodellen und einem lokalen LLM finden

Presidio, ein offenes Framework, um sensible Daten zu erkennen, zu schwärzen, zu maskieren und zu anonymisieren, ist heute ein unabhängiges, von der Community gesteuertes Projekt unter der Organisation Data Privacy Stack auf GitHub und steht weiter unter der MIT-Lizenz. Sein Analyzer verbindet Muster, Kontextwörter und Named-Entity-Erkennung, also ein Modell, das Namen, Orte und Datumsangaben im Fließtext kennzeichnet. Die aktuelle Version des Analyzers ist 2.2.366 vom 27. Oktober 2026, für Python 3.11 oder neuer.

Seine Liste unterstützter Datentypen umfasst E-Mail-Adressen, Telefonnummern, Personen, Orte, Datumsangaben und IBANs, die es per Muster, Kontext und Prüfsumme erkennt. Ein Abschnitt für Deutschland ergänzt neun Typen: Steuer-ID, Steuernummer, Reisepass, Personalausweis, Sozialversicherungsnummer, Kranken­versicherten­nummer, Kfz-Kennzeichen, Handelsregistereintrag und Postleitzahl, Letztere mit dem Hinweis „High false-positive risk“. Die Dokumentation sagt deutlich, dass die Grundeinstellung Erkenner und Modelle für Englisch enthält. Deutsche Namen im Fließtext brauchen ein deutsches Modell in der NLP-Engine, und die Kontextwörter der Erkenner sind zu übersetzen, wie die Dokumentation empfiehlt; Presidio unterstützt dafür Modelle von spaCy, Stanza und transformers, und seine Beispiele zeigen außerdem GLiNER- und Flair-Modelle als externe Erkenner.

Diese Rolle kann ein eigenes Erkennungsmodell übernehmen. Das Modell GLiNER2 PII von Fastino, veröffentlicht unter Apache 2.0, deckt Englisch, Französisch, Spanisch, Deutsch, Italienisch, Portugiesisch und Niederländisch mit 42 Typen personenbezogener Daten ab, in einem Checkpoint von 1,23 GB. Seine Karte nennt eine niedrige Präzision von etwa 0,35 bis 0,37 im SPY-Benchmark und hält fest, dass es häufig gewöhnliche Substantive sowie Organisations- und Produktnamen als Personennamen markiert; rechnen Sie also mit zusätzlichen Markierungen, die die Prüferin entfernt. Unser Leitfaden zur Anonymisierung stellt es vier weiteren offenen Modellen mit ihren veröffentlichten Werten gegenüber.

Ein lokales Sprachmodell ergänzt, was Muster und Klassifikatoren übersehen: indirekte Merkmale. „Die Kollegin, die im März aus der Elternzeit zurückkam“ nennt niemanden und zeigt in einem Team von zwölf Leuten doch auf eine Person. Ein Modell auf der Workstation kann jede Seite lesen, solche Stellen mit Begründung auflisten und als Vorschläge an die Prüferin geben. Es ist langsamer als ein Erkennungsmodell, und eine Stelle, die es übersieht, bleibt einfach unmarkiert; es ergänzt also die beiden anderen Verfahren.

Keines dieser Werkzeuge verspricht Vollständigkeit. Die Dokumentation von Presidio sagt, dass die automatische Erkennung sensible Informationen übersehen kann, und empfiehlt weitere Schutzmaßnahmen; deshalb gehört der Prüfschritt unten zur Einrichtung.

Sie können die Workstation allein bestellen, die Einrichtung von OCRmyPDF, Presidio, PyMuPDF und einem lokalen Modell allein oder beides zusammen: die Workstation mit allem fertig installiert und eingerichtet; schreiben Sie uns, wir schlagen Ihnen die beste Lösung für Ihre Aufgaben und Ihr Budget vor.

Gescannte PDFs brauchen zuerst eine Texterkennung

Ein Scan ist ein Bild einer Seite, und ein Bild hat keinen Text, den man durchsuchen kann. OCRmyPDF (Mozilla Public License 2.0) fügt gescannten PDFs mit der Texterkennung (OCR) Tesseract eine Textebene hinzu; Tesseract erkennt mehr als 100 Sprachen. Für diese Standardeinstellung nennt die Seite von OCRmyPDF keine GPU; die Grafikkarte nutzen erst die Plugins für EasyOCR, für das eine GPU „strongly recommended“ ist, und für PaddleOCR, das als GPU-beschleunigt beschrieben wird.

Nach der OCR läuft die Erkennung auf der neuen Textebene, und die Schwärzung muss zweierlei entfernen: den Text und die Bildpunkte des Scans unter jeder Markierung. Mit der Standardeinstellung von PyMuPDF für Bilder werden die überlappenden Pixel unkenntlich gemacht. Eine Schwärzung, die nur den Text entfernt, ließe den Namen im Bild sichtbar. Handschrift, Stempel und blasse Kopien sind die Stellen, an denen die OCR scheitert und ein Name durch jeden automatischen Schritt rutschen kann; Scans verdienen in der Prüfung deshalb einen genaueren Blick. Unsere Leitfäden zum PDF-Parsing mit Docling und MinerU und zu Vision-Language-Modellen für Dokumenten-KI behandeln OCR und Dokumentmodelle auf GPUs.

Warum Unternehmen und Behörden nach DSGVO schwärzen

Datenminimierung ist einer der Grundsätze der DSGVO: Nach Artikel 5 Absatz 1 Buchstabe c müssen personenbezogene Daten „dem Zweck angemessen und erheblich sowie auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“. Ein Vertrag, der an einen Gutachter geht, braucht selten die Privatanschrift der Unterzeichnerin, und eine veröffentlichte Entscheidung selten die Namen der Zeugen.

Auskunftsersuchen sind der zweite Grund. Artikel 15 Absatz 3 sagt: „Der Verantwortliche stellt eine Kopie der personenbezogenen Daten, die Gegenstand der Verarbeitung sind, zur Verfügung.“ Absatz 4 ergänzt: „Das Recht auf Erhalt einer Kopie gemäß Absatz 3 darf die Rechte und Freiheiten anderer Personen nicht beeinträchtigen.“ Verlangt ein Mitarbeiter seine Akte, sind die Namen und Angaben von Kollegen darin diese anderen Personen, und Schwärzen ist ein Weg, dem gerecht zu werden. Unser Leitfaden zum KI-Server für Personalwesen und Recruiting behandelt die übrigen Aufgaben der Personalabteilung auf derselben Hardware.

Gerichte, die Urteile veröffentlichen, und die öffentliche Verwaltung stehen vor derselben Frage in großem Umfang; unser Leitfaden zum KI-Server für die Justiz beschreibt sie mit dem einschlägigen Punkt der KI-Verordnung. Läuft die Erkennung auf Ihrer eigenen Workstation, geht die ungeschwärzte Datei außerdem nie an einen fremden Dienst, wie unser Leitfaden zu lokaler KI und DSGVO ausführt. Das sind allgemeine Informationen zum DSGVO-Text auf EUR-Lex, Stand Oktober 2026, keine Rechtsberatung; was im Einzelfall entfernt werden muss, entscheiden Ihr Datenschutz­beauftragter oder Ihre Rechtsberatung.

Der Prüfschritt, bevor eine Datei hinausgeht

Die automatische Erkennung liefert Vorschläge. Ein kurzer, fester Ablauf macht daraus eine geschwärzte Datei, die jemand freigeben kann:

1. OCR für Scans, dann Erkennung mit Mustern, dem Erkennungsmodell und, wo nötig, dem Sprachmodell.
2. Markierungen, noch nicht angewendet. Jeder Fund wird zu einer Schwärzungsmarkierung mit ihrem Typ, sodass die Prüferin genau sieht, was entfernt wird. Eine Positivliste hält Ihren eigenen Firmennamen und öffentliche Behördenanschriften aus den Markierungen heraus.
3. Prüfung. Eine Person geht die Datei Seite für Seite durch, entfernt falsche Markierungen und ergänzt fehlende. Bei Veröffentlichungen prüft eine zweite Person die erste.
4. Anwenden. Erst jetzt werden die Schwärzungen angewendet, auf einer Kopie; das Original bleibt an einem geschützten Ort.
5. Kontrolle. Ziehen Sie den Text aus der gespeicherten Kopie und suchen Sie darin nach jeder entfernten Zeichenfolge; es darf nichts gefunden werden. Sehen Sie sich die Bilder in der gespeicherten Datei an und prüfen Sie Dokumenteigenschaften, Kommentare, Anhänge und Formularfelder, die nicht zur Seite gehören.
6. Protokoll. Halten Sie fest, wer die Datei freigegeben hat und welche Datentypen entfernt wurden, ohne die Daten selbst zu protokollieren.

Meist ist die Prüfung der langsamste Teil, die Werkzeuge sollten also helfen: Markierungen nach Typ sortiert, die Begründung des Modells und ein Sprung von Markierung zu Markierung.

Wir richten diesen Ablauf mit Ihren Dokumenttypen und Ihrer Positivliste ein; senden Sie uns die Arten von Dateien, ihre Sprachen und die Zahl der Seiten pro Monat, und wir melden uns mit einer Konfiguration.

Welche Workstation oder welcher Server zum Schwärzen

Erkennungsmodelle sind klein im Vergleich zum Speicher der Karten; über die Karte entscheidet das Sprachmodell für die zweite Lesung. Wir legen mit unserer Regel für Nutzer je Karte aus: 90 Prozent des Speichers, den der Treiber meldet, abzüglich 3 GiB pro Karte und abzüglich der Modellgewichte. So bleiben 18,5 GiB auf einer RTX PRO 4000 mit 24 GB, 25,7 GiB auf einer RTX PRO 4500 mit 32 GB, 61,5 GiB auf einer RTX PRO 5000 mit 72 GB und 83,0 GiB auf jeder Edition der RTX PRO 6000 mit 96 GB.

Unsere Schätzung nach der Regel für Nutzer je Karte. Gewichte: gpt-oss-20b 12,8 GiB und Qwen3.8-27B FP8 28,75 GiB wie in unseren Modell-Leitfäden; Qwen3.8-27B NVFP4 21,9 GB (20,4 GiB) und GLiNER2 PII 1,23 GB von den Dateiseiten auf Hugging Face, gelesen am 30. Oktober 2026.

Auf der RTX PRO 4500 belegt NVIDIAs NVFP4-Version von Qwen3.8-27B 20,4 GiB und GLiNER2 PII etwa 1,15 GiB; für die Seiten in Arbeit bleiben nach unserer Schätzung etwa 4,1 GiB. Die Karte dieser Version auf Hugging Face nennt Apache 2.0 und erklärt das Modell für kommerzielle und nicht kommerzielle Nutzung bereit. Mit dem FP8-Cache ihres Serving-Beispiels belegt eine Seite von einigen tausend Token samt Anweisungen nach unserer Rechnung aus der Konfigurationsdatei etwa ein Viertel GiB; der übrige Speicher hält also ein Dutzend Seiten oder mehr gleichzeitig. Einzelheiten stehen in unserem Leitfaden zu Qwen3.8-27B auf der RTX PRO 4500 Server Edition. Auf der RTX PRO 4000 lässt gpt-oss-20b neben dem Erkennungsmodell etwa 4,5 GiB frei, wie unser Leitfaden zu 30B-Modellen auf 24-GB-Karten für das Modell allein zeigt.

Zur Geschwindigkeit gibt es für diese Kartenfamilie eine veröffentlichte Messung. StorageReview hat in seinem Test vom 14. Oktober 2026 Qwen3.8-27B in NVFP4 mit vLLM 0.27.1 auf der RTX PRO 4500 Server Edition in einem Dell PowerEdge R770 gemessen, bei 512 Eingabe- und 512 Ausgabe-Token pro Anfrage: 320 Ausgabe-Token pro Sekunde bei 32 parallelen Anfragen. Mit jeweils einer Anfrage lagen alle Karten des Tests zwischen 17 und 22 Token pro Sekunde. Die Workstation-Version der RTX PRO 4500 hat 896 GB/s und 200 W gegenüber 800 GB/s und 165 W der Server Edition; für sie wurde kein Wert veröffentlicht. Ein Rechenbeispiel nach unserer Schätzung: Liefert die zweite Lesung bei abgeschaltetem Denkmodus (standardmäßig ist er an) etwa 150 Token Fundstellen pro Seite, braucht eine Personalakte mit 200 Seiten 30.000 Ausgabe-Token, also 23 bis 29 Minuten Seite für Seite und weniger mit parallelen Seiten. Das Einlesen jeder Seite kostet zusätzlich Zeit, für die auf diesen Karten kein Wert veröffentlicht ist; messen Sie eine Probe.

Lizenzen, Netzwerk und Versionen für die IT

1. Lizenzen. Presidio steht unter MIT, OCRmyPDF unter MPL-2.0, Stirling-PDF unter MIT außerhalb der Verzeichnisse, für die es eigene Lizenzen nennt (seine Enterprise-Teile), und PyMuPDF unter der GNU AGPL v3, mit separaten kommerziellen Lizenzen von Artifex für proprietäre Anwendungen. Bauen Sie PyMuPDF in eine eigene Anwendung ein oder bieten Sie die Schwärzung Nutzern außerhalb des Unternehmens über ein Netzwerk an, lassen Sie die Bedingungen der AGPL prüfen.
2. Keine ausgehenden Aufrufe. Die Dokumentation von Presidio führt auch entfernte Erkenner, die Sprachdienste in der Cloud aufrufen; lassen Sie diese unkonfiguriert und betreiben Sie das Sprachmodell mit vLLM im internen Netz.
3. Versionen. Fixieren Sie die Versionen von Presidio, OCRmyPDF, PyMuPDF und Modell, und wiederholen Sie nach jedem Update einen Test mit gekennzeichneten Beispielen.
4. Ablage. Bewahren Sie Originale, Prüfkopien und geschwärzte Dateien getrennt auf, mit getrennten Rechten.

Unser Service Private AI/ML setzt offene Modelle mit vLLM oder Ollama On-Premise ein, sodass die Dokumente Ihr Netzwerk nicht verlassen.

FAQ