DOCM in PDF umwandeln

Die Meldung kommt fast immer von derselben Stelle: ein Anhang an das Finanzamt, an eine Kanzlei, an ein Unternehmen mit eigener IT-Abteilung, und die Antwort ist eine automatische Rückweisung, keine menschliche Prüfung. Das Bundesamt für Sicherheit in der Informationstechnik rät Behörden und Unternehmen seit Jahren, makrofähige Office-Formate am Mailfilter zu stoppen, weil sie über ein Jahrzehnt lang der bevorzugte Weg für Schadsoftware in E-Mail-Anhängen waren. Viele Verwaltungen und Kanzleisysteme setzen diesen Rat ohne Ausnahme um.

Für Dokumente mit steuerlicher Relevanz kommt ein zweiter Grund hinzu: Die Grundsätze zur ordnungsmäßigen Führung und Aufbewahrung von Büchern verlangen eine Ablage, die sich nachträglich nicht mehr verändern lässt. Eine DOCM mit eingebettetem Makro widerspricht diesem Gedanken schon durch ihre Bauart — sie könnte bei jedem Öffnen etwas anderes anzeigen, je nachdem, was das Makro gerade tut. Ein PDF ist eine feste Momentaufnahme und genau deshalb die Form, die eine Steuerberatung oder ein Finanzamt akzeptiert.

Als Microsoft 2007 die ECMA-376-Formate einführte, wurde aus einem Dateityp zwei. Eine DOCX darf kein VBA-Projekt enthalten — das Format verbietet es strukturell. Eine DOCM ist derselbe ZIP-Container aus XML-Dateien mit der Erlaubnis, genau das trotzdem zu tun. Diese eine Erlaubnis ist alles, was die vier Buchstaben in der Endung bedeuten.

Die Trennung wurde bewusst so gebaut, dass eine Software den Unterschied erkennt, ohne die Datei zu öffnen. Ein Filter kann seither „DOCX ja, DOCM nein" durchsetzen, indem er vier Zeichen liest, statt den Inhalt zu analysieren. Für eine Verwaltung ist das die günstigste Prüfung, die es gibt — und der Grund, warum ausgerechnet dieser Anhang verschwunden ist, während eine DOCX mit demselben Inhalt anstandslos ankommt.

Die Umwandlung übergibt die Datei an LibreOffice im Hintergrundbetrieb und lässt sie über dessen PDF-Export ausgeben. Dieser Weg führt kein VBA-Projekt aus — LibreOffice spricht Words Makrosprache ohnehin nicht nativ. Jeder Auftrag bekommt außerdem ein frisch angelegtes LibreOffice-Profil, was aus einem anderen Grund existiert, aber denselben Effekt hat: Zwischen zwei Aufträgen bleibt nichts erhalten.

Das PDF ist also eine Wiedergabe des zuletzt gespeicherten Zustands, und das ist eine Garantie, keine Einschränkung. Wer eine fremde, nicht vertrauenswürdige DOCM lesen muss, kann sie über diesen Weg gefahrlos in ein PDF verwandeln — was auch immer das Makro tun sollte, es bekommt keine Gelegenheit dazu.

Word-Makros erledigen meist eine bestimmte Art von Arbeit: eine Vorlage, die einen Vertrag aus ausgewählten Klauseln zusammensetzt, ein Berichtsgenerator, der Zahlen einträgt und formatiert, ein Anschreiben, das Adressfeld und Aktenzeichen ausfüllt. Der Makro läuft, bevor das Dokument fertig ist — er baut es erst zusammen.

Hat das Makro schon gelaufen und wurde das Ergebnis gespeichert, zeigt das PDF genau das fertige Dokument. Ist die Datei dagegen die Vorlage selbst, zeigt das PDF Platzhalter und leere Abschnitte — korrekt, weil genau das im Dokument steht. Das Dokument in Word öffnen, das Makro laufen lassen, speichern, und dann das gespeicherte Ergebnis umwandeln, ist in dem Fall der richtige Weg.

Ein PDF ist eine feste Seite, also erhalten alle Felder ihren aktuellen Wert und behalten ihn: Datumsfelder, die sich selbst aktualisierten, Seitenzahlen, Querverweise, ein Inhaltsverzeichnis, laufende Nummern an Abbildungen und Tabellen. Inhaltssteuerelemente werden zum Text, den sie gerade zeigen.

Das ist meistens gewollt — ein archiviertes oder verschicktes Dokument soll sich nicht nachträglich verändern. Eine Kontrolle vorher lohnt sich trotzdem: Felder und Inhaltsverzeichnis in Word aktualisieren, bevor umgewandelt wird, damit das, was eingefroren wird, auch stimmt und nicht nur zufällig aktuell ist.

Gerendert wird von LibreOffice, nicht von Word, das Layout entsteht also nachgebildet und nicht identisch. In der Praxis funktioniert das gut, weil metrikkompatible Ersatzschriften für Arial, Times New Roman, Courier New, Calibri und Cambria mitgeliefert werden — Schriften mit denselben Zeichenbreiten wie das Original, sodass Zeilenumbrüche an derselben Stelle fallen.

Riskant wird es bei ungewöhnlichen Schriften. Eine Hausschrift oder eine heruntergeladene Schrift, die das Dokument nur nennt, aber nicht einbettet, wird durch etwas mit anderen Breiten ersetzt, und Text kann sich so weit verschieben, dass eine Zeile auf die nächste Seite rutscht. Dokumente, die aus einem Makro zusammengebaut wurden, sind hier stärker gefährdet als andere, weil Vorlagenautoren gern eine Hausschrift verwenden. Bei einem festen Layout — Zertifikat, Formular, Vertrag mit nummerierten Klauseln auf bestimmten Seiten — lohnt es, das PDF Seite für Seite zu prüfen und nicht nur die erste.

Muss der Empfänger das Dokument bearbeiten können, löst PDF das Sicherheitsproblem und schafft ein neues. Die bessere Lösung ist dann, die Datei in Word als DOCX zu speichern: Das Format kann kein VBA-Projekt tragen, das Speichern entfernt die Makros und lässt ein bearbeitbares Dokument übrig, das kein Filter mehr blockiert.

Die Entscheidung richtet sich danach, was als Nächstes passiert. Lesen, drucken, ablegen, veröffentlichen, an einen Vorgang anhängen — PDF, weil es fest und überall lesbar ist. Bearbeiten, mit Kommentaren durchgehen, ausfüllen, weiterarbeiten — DOCX. Die DOCM selbst zu verschicken lohnt sich fast nie, außer der Empfänger braucht die Automatisierung ausdrücklich und erwartet sie — dann ist ein Firmenlaufwerk der bessere Übertragungsweg als eine E-Mail.

Die Ablagefläche auf dieser Seite nimmt jede DOCM-Datei bis 100 MB entgegen — dieselbe Grenze, die für Umwandlungen im Browser gilt. Diese Umwandlung läuft aber auf dem Server, und der weist alles über 25 MB mit einer eigenen Fehlermeldung zurück, nachdem die Datei bereits übertragen wurde. Wer eine umfangreiche Vorlage mit eingebetteten Bildern oder einer langen Anlage konvertiert, merkt das erst nach dem Warten und nicht vorher.

Der ehrliche Rat ist deshalb, die eigene Dateigröße vor dem Ablegen im Explorer nachzusehen, statt sich auf die Ablagefläche zu verlassen: 25 MB ist die Grenze, die am Ende tatsächlich zählt, nicht die 100 MB, die die Oberfläche zulässt.

Serverseitige Umwandlungen sind auf 100 je Besucher und Tag begrenzt, zurückgesetzt um Mitternacht UTC und nicht erst 24 Stunden nach dem ersten Versuch, dazu ein Tempolimit von fünf Anfragen je Minute. Für eine Sachbearbeiterin, die an einem Tag zwanzig Vertragsvorlagen umwandelt, ist das reichlich Spielraum; für eine automatisierte Stapelverarbeitung eines ganzen Aktenordners über Nacht ist es die Grenze, an die man zuerst stößt.

Der Browser selbst zählt dabei nichts mit — das Tageskontingent gilt ausschließlich für serverseitige Umwandlungen wie diese, weil nur sie tatsächlich Rechenzeit auf einem fremden Rechner beanspruchen. Eine Umwandlung im Browser, wie sie die meisten anderen Seiten dieser Website anbieten, kostet nichts und zählt deshalb auch nirgends mit.

Auf unserem Server, nicht im Browser. Ein Word-Dokument als PDF zu rendern braucht ein echtes Office-Programm, und das steht hier ausdrücklich, statt so zu tun, als liefe alles auf diesem Gerät. Die Datei geht verschlüsselt an einen Container mit LibreOffice im Hintergrundbetrieb, und dieser Container hat selbst keinen Zugang ins Internet — bei einer Datei, deren ganzes Thema nicht vertrauenswürdiger Code ist, eine Aussage, die es wert ist, ausdrücklich zu machen.

Jeder Auftrag bekommt ein eigenes Arbeitsverzeichnis und ein eigenes LibreOffice-Profil, und das Verzeichnis wird gelöscht, sobald der Auftrag endet, unabhängig vom Ergebnis. Alles, was nach sechzig Sekunden noch läuft, wird abgebrochen. Der kostenlose Rahmen liegt bei 25 MB je hochgeladener Datei.

Das PDF vor dem Versand lesen, und dabei nach dem suchen, was fehlt, nicht nach dem, was verzerrt aussieht. Der typische Fehler bei dieser Umwandlung ist kein verrutschter Tabellenrand, sondern ein Abschnitt, der eigentlich gefüllt sein sollte und leer geblieben ist, weil das, was ihn hätte füllen sollen, nicht gelaufen ist. Leere Adressfelder, eine Aktenzeichennummer, die noch ihren Platzhalter zeigt, eine Summe, die null anzeigt.

Dann Seitenzahl und letzte Seite prüfen. Aus Vorlagen zusammengebaute Dokumente haben oft sorgfältig platzierte Unterschriftsfelder und nummerierte Anlagen, und eine Schriftersetzung, die eine Zeile verschiebt, kann eine Unterschrift auf eine eigene Seite drücken. Wird dieselbe Vorlage regelmäßig umgewandelt, verrät die genaue Prüfung eines einzelnen Ergebnisses, was bei allen anderen zu erwarten ist.