Neue Erkenntnisse aus Snowden-Dokumenten durch Analyse der PDF-Metadaten-Versionen

• Die Analyse der Versionshistorie in den PDF-Metadaten veröffentlichter Snowden-Dokumente bestätigt, dass Abschnitte zu bodengebundenen Stationen von Geheimdiensten in den USA absichtlich entfernt wurden
• Zu den gelöschten Inhalten gehören operative Bezeichnungen und Tarnnamenstrukturen von Potomac Mission Ground Station (PMGS) und Consolidated Denver Mission Ground Station (CDMGS)
• In beiden Dokumenten waren diese Informationen in frühen Versionen vorhanden, wurden jedoch in den endgültig veröffentlichten Fassungen vollständig entfernt und hinterließen nur Spuren in der internen PDF-Versionshistorie
• Informationen zu ausländischen Einrichtungen wie Menwith Hill im Vereinigten Königreich und Pine Gap in Australien blieben dagegen unverändert erhalten, was ein Muster zeigt, bei dem nur inländische Einrichtungen systematisch redigiert wurden
• Diese Entdeckung ist wichtig als Beispiel dafür, dass sich Redaktions- und Zensurverfahren im Veröffentlichungsprozess der Snowden-Dokumente technisch nachverfolgen lassen

---

Gelöschte Inhalte zu US-Informationsanlagen

• Die Metadatenanalyse der beiden Dokumente bestätigt, dass Abschnitte zu inländischen Geheimdienstanlagen vollständig gelöscht wurden
  • Im 2016 veröffentlichten Menwith satellite classification guide wurde der Abschnitt zu PMGS (Washington, DC) entfernt
  • Im 2017 veröffentlichten NRO SIGINT Guide for Pine Gap wurde der Abschnitt zu CDMGS (Raum Denver) entfernt
• Die entfernten Passagen enthielten unter anderem offizielle Bezeichnungen, Tarnnamen, Standorte und Besucherinformationen der Einrichtungen
• Beide Einrichtungen waren ausdrücklich als Mission Ground Station des National Reconnaissance Office (NRO) aufgeführt,
  • der Tarnname von PMGS lautete „Classic Wizard Reporting and Testing Center(CWRTC) “
  • der Tarnname von CDMGS war als „Aerospace Data Facility(ADF) “ verzeichnet

Potomac Mission Ground Station (PMGS)

• Standort: in den Gebäuden 259 und 260 des Naval Research Laboratory in Washington, DC
• Öffentliche Bezeichnung: „Classic Wizard Reporting and Testing Center(CWRTC) “
• Tatsächliche Funktion: Bodenstation des NRO-Satelliteninformationsnetzwerks
• Im Dokument sind die Sicherheitsklassifizierungen der einzelnen Bezeichnungen angegeben
  • „CWRTC“ = nicht geheim (UNCLASSIFIED)
  • „PMGS“ = geheim (S//TK)
  • „CWRTC ist der Tarnname von PMGS“ = geheim (S//TK)
  • „Zusammenhang von CWRTC mit Personal von NRO, CIA und NSA“ = geheim (S//TK)
• Diese mehrstufige Klassifizierungsstruktur wird als Modell beschrieben, um öffentliche Bezeichnung und tatsächlichen Auftrag voneinander zu trennen

Consolidated Denver Mission Ground Station (CDMGS)

• Standort: Buckley Space Force Base in Aurora, Colorado
• Öffentliche Bezeichnung: „Aerospace Data Facility (ADF) “
• Tatsächliche Bezeichnung: „Consolidated Denver Mission Ground Station (CDMGS) ”
• Öffentlich ist ADF-C zwar als Kommando- und Kontrolleinrichtung für Aufklärungssatelliten bekannt,
  • dass ADF der Tarnname von CDMGS ist, wird jedoch in dem Dokument erstmals bestätigt
• In einer Tabelle im Dokument werden reale Bezeichnungen und Tarnnamen der Einrichtungen parallel aufgeführt, darunter
  • CDMGS–ADF–FSD(Field Station Denver)
  • PMGS–MSF–CWRTC
  • HMGS–RAF MHS, AMGS–JDFPG und weitere Strukturen

Ergebnisse der Redaktions- und Metadatenanalyse

• In den PDF-Metadaten sind Zeitpunkte der Bearbeitung und verwendete Werkzeuge verzeichnet
  • Das Pine Gap-Dokument wurde am 31. Juli 2017 mit Nitro Pro 8 in zwei Versionen im Abstand von wenigen Minuten erzeugt
  • In der ersten Version war der Abschnitt zu CDMGS vorhanden, in der zweiten wurde er entfernt
  • Es wurde bestätigt, dass The Intercept und ABC dieselbe Datei gemeinsam nutzten und veröffentlichten
• Das Menwith Hill-Dokument zeigt dasselbe Muster, wobei nur der Abschnitt zu inländischen Einrichtungen entfernt wurde
• Diese Metadaten fungieren als forensische Belege für den Redaktions- und Zensurprozess

Weiterführende Untersuchungen und Werkzeuge

• In künftigen Analysen soll durch Nachverfolgung der Versionen in den PDF-Metadaten insgesamt
  • technisch überprüft werden, ob gelöschte Agentennamen, bearbeitete Screenshots und Spuren mehrstufiger Änderungen vorhanden sind
• Für das Extrahieren von PDF-Versionen kann das Tool pdfresurrect verwendet werden
  • Beispiel: pdfresurrect -w filename.pdf
• Libroot.org stellt die Dateien der Versionen 1 und 2 für jedes Dokument direkt zum Download bereit
  • Sowohl für die Menwith-Hill- als auch für die Pine-Gap-Dokumente sind beide Versionen veröffentlicht