Metadaten sind Daten über Daten – strukturierte Angaben, die Inhalt, Herkunft, Aufbau oder Nutzung anderer Daten beschreiben. Zu den Metadaten einer Nachricht zählen etwa Absender, Empfänger, Zeitpunkt und Länge, nicht aber der Nachrichtentext selbst. Metadaten sind unverzichtbar für Auffindbarkeit, Protokollierung und Nachweisführung, gelten regelmäßig als personenbezogene Daten und lassen weitreichende Rückschlüsse zu.

Was sind Metadaten?

Metadaten beschreiben andere Daten, ohne selbst deren Inhalt zu sein. Das klassische Beispiel ist der Bibliothekskatalog: Er enthält nicht den Text eines Buches, sondern Titel, Autor, Erscheinungsjahr, Verlag und Standort – genug, um das Buch zu finden, einzuordnen und zu verwalten, ohne eine einzige Seite gelesen zu haben.

In der digitalen Welt entstehen Metadaten überwiegend automatisch und unbemerkt. Jede gespeicherte Datei trägt Angaben zu Größe, Format, Erstellungs- und Änderungszeitpunkt. Jede E-Mail transportiert einen Kopfbereich mit Absender, Empfänger, Zeitstempeln und den Servern, über die sie gelaufen ist. Jede Netzwerkverbindung hinterlässt Angaben darüber, wer wann mit welchem Gegenüber wie lange kommuniziert hat.

Der Begriff ist dabei relativ, nicht absolut. Was Metadatum ist und was Inhalt, hängt von der Betrachtungsebene ab: Der Betreff einer E-Mail ist aus Sicht des Mailservers ein Kopffeld und damit Metadatum, aus Sicht des Empfängers aber bereits inhaltliche Information. Diese Unschärfe ist kein akademisches Detail – sie ist der Grund, warum die rechtliche Bewertung von Metadaten in der Praxis häufig strittig ist.

Welche Arten von Metadaten gibt es?

Metadaten werden üblicherweise nach ihrer Funktion unterschieden. Die folgende Einteilung hat sich in Informationswissenschaft und Datenmanagement etabliert.

Art	Funktion	Beispiele
Beschreibende Metadaten	Auffinden und Identifizieren	Titel, Autor, Schlagworte, Zusammenfassung, Kennnummern
Strukturelle Metadaten	Aufbau und Beziehungen abbilden	Kapitelgliederung, Seitenreihenfolge, Verknüpfungen zwischen Dateien
Administrative Metadaten	Verwaltung über den Lebenszyklus	Erstellungsdatum, Dateiformat, Zugriffsrechte, Aufbewahrungsfrist
Technische Metadaten	Technische Eigenschaften erfassen	Auflösung, Kodierung, Dateigröße, verwendete Software
Herkunftsmetadaten	Entstehung und Veränderungen nachvollziehen	Bearbeitungshistorie, Quellsystem, Verarbeitungsschritte
Nutzungsmetadaten	Zugriffe und Verwendung protokollieren	Zugriffszeitpunkte, Nutzerkennungen, Änderungsprotokolle

Für die Informationssicherheit sind vor allem die letzten drei Kategorien relevant. Herkunfts- und Nutzungsmetadaten sind einerseits die Grundlage jeder Nachvollziehbarkeit – ohne sie ist weder eine forensische Aufklärung noch ein Revisionsnachweis möglich. Andererseits entsteht genau hier ein Datenbestand, der ausgewertet weitreichende Aussagen über Personen und Abläufe zulässt.

Wo entstehen Metadaten im Arbeitsalltag?

Metadaten entstehen an praktisch jeder Stelle digitaler Arbeit, meist ohne Zutun der Nutzer. Die folgende Übersicht zeigt, welche Angaben typischerweise anfallen.

Quelle	Typische Metadaten
Office-Dokumente	Autor, letzter Bearbeiter, Bearbeitungsdauer, Kommentare, Änderungsverfolgung, frühere Versionen
PDF-Dateien	Erzeugende Software, Ersteller, Titel, Erstellungs- und Änderungszeitpunkt
Bilder und Videos	Kameramodell, Aufnahmezeitpunkt, Belichtungswerte, häufig GPS-Koordinaten
E-Mail	Absender, Empfänger, Kopie- und Blindkopie-Adressen, Betreff, Zeitstempel, durchlaufene Server, IP-Adressen
Telefonie und Mobilfunk	Rufnummern, Zeitpunkt, Dauer, genutzte Funkzelle und damit Standort
Messenger	Wer mit wem, Zeitpunkt und Häufigkeit, Gruppenzugehörigkeit, Onlinestatus, Gerätetyp
Webnutzung	IP-Adresse, Browserkennung, aufgerufene Adressen, Verweisquelle, Zeitstempel
Netzwerk und Verzeichnisdienst	Verbindungsprotokolle, Namensauflösungen, Anmeldezeitpunkte, genutzte Geräte

Bemerkenswert ist der Umfang. Ein einzelnes Foto vom Smartphone kann Aufnahmeort auf wenige Meter genau, Aufnahmezeitpunkt auf die Sekunde und das verwendete Gerät eindeutig ausweisen – Angaben, die beim Versenden über die meisten Kanäle unverändert mitgehen, sofern sie nicht bewusst entfernt werden.

Warum sind Metadaten oft aussagekräftiger als der Inhalt?

Metadaten sind strukturiert, maschinell auswertbar und über lange Zeiträume vergleichbar – Eigenschaften, die Inhalte selten haben. Genau deshalb erlauben sie Auswertungen, die aus dem Inhalt allein nicht möglich wären.

Ein Beispiel verdeutlicht das Prinzip: Der Inhalt eines Telefonats zwischen einer Person und einer onkologischen Praxis bleibt unbekannt. Die Metadaten – Rufnummer der Praxis, Zeitpunkt, Dauer, gefolgt von Anrufen bei einer Krankenversicherung und einem Rechtsanwalt – ergeben dennoch ein aussagekräftiges Bild. Untersuchungen zu Telefonverbindungsdaten haben gezeigt, dass sich aus solchen Mustern Rückschlüsse auf Gesundheitszustand, Lebenssituation und persönliche Beziehungen ziehen lassen, ohne dass ein einziges Gespräch mitgehört wurde.

Vergleichbares gilt für Bewegungsdaten. Die Veröffentlichung eines halbjährigen Mobilfunk-Verbindungsdatensatzes durch einen deutschen Politiker im Jahr 2011 machte öffentlich sichtbar, wie präzise sich daraus Wohnort, Arbeitsplatz, Tagesabläufe, Reisen und soziale Kontakte rekonstruieren lassen. Und die Veröffentlichung aggregierter Bewegungsprofile einer Fitness-Anwendung legte 2018 unbeabsichtigt Lage und interne Wegeführung militärischer Einrichtungen offen – aus Daten, die einzeln betrachtet vollkommen harmlos wirkten.

Der gemeinsame Nenner dieser Fälle ist die Aggregation. Ein einzelnes Metadatum ist bedeutungslos; die Summe vieler Metadaten über Zeit ergibt ein Profil. Für Organisationen folgt daraus, dass die Frage nicht lauten sollte, ob ein einzelner Datenpunkt sensibel ist, sondern was aus dem Gesamtbestand ableitbar wäre.

Sind Metadaten personenbezogene Daten?

Metadaten sind regelmäßig personenbezogene Daten im Sinne der DSGVO, sobald sie sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Das ist bei Nutzerkennungen, Rufnummern, Absenderadressen und Anmeldeprotokollen unmittelbar der Fall; der Europäische Gerichtshof hat zudem entschieden, dass auch dynamische IP-Adressen personenbezogene Daten sein können, wenn der Verantwortliche über rechtliche Mittel zur Identifizierung verfügt.

Daraus folgen die üblichen Pflichten: Es braucht eine Rechtsgrundlage für die Verarbeitung, der Grundsatz der Datenminimierung gilt, Betroffenenrechte greifen, Löschfristen sind festzulegen, und die Verarbeitung gehört in das Verzeichnis von Verarbeitungstätigkeiten. Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind auf Metadaten ebenso anzuwenden wie auf Inhalte – ein Punkt, der in der Dokumentation zur DSGVO-Konformität häufig zu knapp ausfällt.

Für Kommunikationsdaten kommt eine zweite Ebene hinzu. Verbindungs- und Verkehrsdaten unterliegen in Deutschland zusätzlich dem Schutz des Fernmeldegeheimnisses und den besonderen Regelungen des Telekommunikations- und Digitale-Dienste-Datenschutzrechts, das eigene Vorgaben zu Erhebung, Verwendung und Löschung enthält. Die Frage, wie lange und zu welchen Zwecken Verkehrsdaten gespeichert werden dürfen, ist zudem seit Jahren Gegenstand gerichtlicher und gesetzgeberischer Auseinandersetzungen; der aktuelle Stand sollte vor Festlegungen geprüft werden.

Welche Risiken entstehen durch Metadaten in Dokumenten und Dateien?

Das häufigste Risiko ist die unbeabsichtigte Weitergabe. Dokumente werden geteilt, ohne dass jemand prüft, was sie außer dem sichtbaren Inhalt noch enthalten. Typische Fälle:

Änderungsverfolgung und Kommentare, die im Entwurfsprozess entstanden sind und interne Diskussionen, verworfene Zahlen oder Bewertungen offenlegen
Autoren- und Bearbeiternamen samt Bearbeitungsdauer, die Rückschlüsse auf Zuständigkeiten und internen Aufwand erlauben
Frühere Versionen und Restinhalte, die in Dateiformaten erhalten bleiben, obwohl sie im Layout nicht mehr sichtbar sind
Unwirksame Schwärzungen in PDF-Dateien, bei denen der Text lediglich überdeckt, aber weiterhin extrahierbar ist
Standortdaten in Bildern, die den Aufnahmeort von Betriebsgeländen, Wohnadressen oder Einsatzstellen preisgeben
Dateipfade und Systemangaben, die interne Ordnerstrukturen, Servernamen und eingesetzte Software offenbaren

Für Angreifer sind diese Angaben wertvoll. Sie liefern Namen, Zuständigkeiten, eingesetzte Systeme und Projektbezeichnungen – also genau das Material, aus dem ein glaubwürdiger Vorwand für Social Engineering entsteht. Veröffentlichte Ausschreibungsunterlagen, Pressemitteilungen und Präsentationen sind dafür erfahrungsgemäß die ergiebigsten Quellen.

Warum schützt Verschlüsselung die Metadaten nicht?

Verschlüsselung schützt den Inhalt einer Übertragung, nicht die Umstände ihrer Übertragung. Eine TLS-gesicherte Verbindung verbirgt, was übertragen wird – nicht aber, wer mit welchem Server, wann, wie lange und in welchem Umfang kommuniziert. Auch bei Ende-zu-Ende-Verschlüsselung bleibt für den Betreiber eines Dienstes typischerweise sichtbar, welche Teilnehmer miteinander in Verbindung stehen, wie häufig, zu welchen Zeiten und in welchen Gruppen.

Das ist keine Schwäche der Verfahren, sondern eine Eigenschaft von Kommunikation: Eine Nachricht muss zugestellt werden, und dafür braucht es eine Adresse. Metadaten lassen sich deshalb nicht wegverschlüsseln, sondern nur reduzieren, verteilen oder gar nicht erst erzeugen. Genau darauf zielen die entsprechenden Verfahren – etwa Techniken, die dem Betreiber die Absenderinformation vorenthalten, oder Verfahren, die Kontaktabgleiche durchführen, ohne das Adressbuch offenzulegen.

Für Organisationen mit hohen Vertraulichkeitsanforderungen ist deshalb nicht nur entscheidend, ob Inhalte verschlüsselt sind, sondern welche Metadaten überhaupt anfallen, wo sie gespeichert werden, wie lange sie aufbewahrt werden und wer darauf zugreifen kann. Bei Behörden, Kliniken und Betreibern kritischer Infrastruktur kann bereits die Information, wer wann mit wem kommuniziert hat, schutzbedürftig sein – etwa wenn ein Kommunikationsmuster auf eine laufende Ermittlung, eine Betriebsstörung oder eine bevorstehende Entscheidung schließen lässt.

Wozu werden Metadaten in Organisationen gebraucht?

Metadaten vollständig zu vermeiden ist weder möglich noch wünschenswert – sie erfüllen Aufgaben, ohne die weder Betrieb noch Compliance funktionieren.

Im Datenmanagement machen sie Bestände auffindbar, beschreiben Struktur und Bedeutung von Datenfeldern und dokumentieren, aus welcher Quelle ein Wert stammt und welche Verarbeitungsschritte er durchlaufen hat. Diese Herkunftsverfolgung ist die Voraussetzung dafür, die Richtigkeit von Auswertungen zu belegen und Fehler bis zur Ursache zurückzuverfolgen – eng verwandt mit den Anforderungen an Datenintegrität.

In der Informationssicherheit sind Nutzungsmetadaten die Grundlage jeder Erkennung. Ohne Protokollierung von Anmeldungen, Zugriffen und Verbindungen lässt sich weder ein Angriff bemerken noch nachträglich rekonstruieren. ISO 27001 verlangt entsprechende Protokollierung ausdrücklich, ebenso die Vorgaben zur Angriffserkennung bei Betreibern kritischer Infrastrukturen. Auch für Nachweis- und Aufbewahrungspflichten – handelsrechtlich, steuerlich oder aufsichtsrechtlich – sind Metadaten unverzichtbar.

Daraus ergibt sich eine Spannung, die sich nicht auflösen, sondern nur bewusst gestalten lässt: Dieselben Protokolldaten, die für Erkennung und Nachweis erforderlich sind, bilden einen auswertbaren Bestand über das Verhalten von Beschäftigten. Die Antwort darauf liegt nicht im Verzicht, sondern in klaren Zweckbindungen, engen Zugriffsrechten, festen Löschfristen und – wo einschlägig – der Beteiligung der Mitbestimmung.

Wie lassen sich Metadaten reduzieren und schützen?

Der wirksamste Ansatz ist Datenminimierung im Entstehungsprozess: Metadaten, die gar nicht erst erzeugt oder gespeichert werden, müssen weder geschützt noch gelöscht werden. Praktisch bewährt haben sich:

Bereinigung vor der Weitergabe: Dokumentprüfung vor dem Versand, Entfernen von Änderungsverfolgung, Kommentaren und Autorenangaben, Export in bereinigte Formate
Standortdaten deaktivieren in Kameraeinstellungen dienstlicher Geräte, ergänzt um automatische Entfernung beim Versand
Wirksame Schwärzung in PDF-Dateien, die Inhalte entfernt statt sie zu überdecken
Automatisierte Bereinigung an zentralen Übergabepunkten wie Mailgateway, Dateifreigabe oder Veröffentlichungsprozess
Löschkonzept für Protokolldaten mit definierten Fristen je Datenart statt unbefristeter Vorhaltung
Zweckbindung und Zugriffsbeschränkung für Protokolle, dokumentiert und technisch durchgesetzt
Auswahl von Diensten nach Metadatenanfall: welche Angaben entstehen, wo liegen sie, wie lange, wer hat Zugriff
Sensibilisierung für die Weitergabe von Dateien, Fotos und Bildschirmaufnahmen

Ein sinnvoller Einstieg ist eine Bestandsaufnahme aus Angreiferperspektive: Welche eigenen Dokumente sind öffentlich zugänglich, und was verraten deren Metadaten? Der Aufwand ist gering, das Ergebnis erfahrungsgemäß aufschlussreich – und es liefert die konkreten Beispiele, die eine Sensibilisierung wirksamer machen als jede allgemeine Warnung.

Zusammenfassung: Wichtige Punkte zu Metadaten

Metadaten sind Daten über Daten – sie beschreiben Inhalt, Herkunft, Aufbau oder Nutzung anderer Daten, ohne selbst deren Inhalt zu sein.
Sie entstehen im Arbeitsalltag überwiegend automatisch und unbemerkt, von der Office-Datei über das Foto bis zur Netzwerkverbindung.
Unterschieden werden beschreibende, strukturelle, administrative, technische, Herkunfts- und Nutzungsmetadaten.
Metadaten sind strukturiert und maschinell auswertbar und erlauben dadurch Auswertungen, die aus Inhalten allein nicht möglich wären.
Entscheidend ist die Aggregation: Ein einzelnes Metadatum ist bedeutungslos, die Summe vieler ergibt ein Profil.
Metadaten sind regelmäßig personenbezogene Daten; Kommunikationsdaten unterliegen zusätzlich dem Fernmeldegeheimnis und besonderen Regelungen.
In Dokumenten drohen unbeabsichtigte Offenlegungen durch Änderungsverfolgung, Autorenangaben, Restinhalte, unwirksame Schwärzungen und Standortdaten in Bildern.
Verschlüsselung schützt Metadaten nicht: Weder TLS noch Ende-zu-Ende-Verschlüsselung verbergen, wer wann mit wem kommuniziert hat.
Metadaten sind zugleich unverzichtbar für Auffindbarkeit, Herkunftsverfolgung, Angriffserkennung und Nachweispflichten.
Wirksam sind Datenminimierung im Entstehungsprozess, Bereinigung vor der Weitergabe, Löschfristen für Protokolle und die Auswahl von Diensten nach ihrem Metadatenanfall.