Ein PDF vor dem Versand per E-Mail richtig mit Passwort schützen

Zwei Passwörter für zwei verschiedene Aufgaben

Ein PDF kann ein Benutzerpasswort und ein Berechtigungspasswort tragen, und die beiden schützen Verschiedenes. Das Benutzerpasswort öffnet das Dokument. Ohne es gibt es überhaupt nichts zu lesen, denn der gesamte Inhaltsdatenstrom ist verschlüsselt: Seitentext, Schriften und Bilder liegen als Chiffretext auf der Festplatte. Das Berechtigungspasswort regelt nur die Berechtigungen, also Drucken, Kopieren, Bearbeiten und Kommentieren. Eine Datei kann das eine ohne das andere haben. Deshalb öffnen sich manche PDFs in jedem Reader auf Anhieb und lassen sich trotzdem nicht drucken. Andere öffnen sich ohne Umstände, sperren aber das Kopieren eines Absatzes in eine E-Mail.

Am wichtigsten ist dieser Unterschied in dem Moment, in dem Sie ein Passwort festlegen, denn er entscheidet darüber, was Sie versprechen. Soll ein bestimmter Anhang für alle unlesbar bleiben, an die er weitergeleitet wird, leistet in PDF mit Passwort schützen das Benutzerpasswort die Arbeit. Wollen Sie Ihrem Team dagegen sagen: „Bitte nicht bearbeiten“, und die Datei trotzdem für alle lesbar lassen, ist das Berechtigungspasswort mit eingeschränkten Berechtigungen das richtige und leichtere Mittel.

Was wirklich schützt und was nur eine höfliche Bitte ist

Moderner Passwortschutz für PDFs verschlüsselt das gesamte Dokument mit AES-256 in Revision 6, der stärksten Option, die PDF 2.0 definiert. Jeder gängige Reader – darunter Acrobat, Vorschau auf dem Mac, Chrome, Edge und die eingebauten Viewer von Android und iOS – zeigt ohne das richtige Passwort keine einzige Zeile an. Dasselbe gilt für jedes Skript und jede Bibliothek, die versucht, die Datei auszulesen. Das ist echter Schutz. Es gibt keine Hintertür, und ohne das Passwort kann niemand den Inhalt lesen.

Die Berechtigungsbits sind eine andere Art von Versprechen. Sie werden neben dem Passwort gespeichert und von korrekt arbeitenden Readern respektiert, die Drucken oder Kopieren ausgrauen, wenn die Datei es verlangt. Durchgesetzt werden sie aber vom guten Willen des Readers, nicht von der Mathematik. Wer das Passwort zum Öffnen und die passende Software hat, kann sie deshalb umgehen. Verstehen Sie Berechtigungen als klare, professionelle Ansage an Ihr Team, nicht als Hürde für jemanden, der sie unbedingt überwinden will.

Prüfen Sie vor dem Versand, was Sie eigentlich schützen

Was ein Passwort nützt, hängt von der Gefahr ab, die es abwehren soll. Ist ein Dokument mit dem Passwort zum Öffnen verschlüsselt, kann es niemand lesen, an den es weitergeleitet wird. Dasselbe gilt, wenn es unterwegs verloren geht oder länger als geplant in einem gemeinsamen Postfach liegt. Damit ist das meiste abgedeckt, worüber man sich Sorgen macht, wenn man einen Vertrag oder eine Gehaltsabrechnung per E-Mail verschickt. Gegen die Metadaten in derselben Datei hilft es allerdings nicht. Der Name des Autors, die Software, mit der die Datei erstellt wurde, und das Erstellungsdatum reisen verschlüsselt, aber unversehrt mit. Lesbar sind sie in dem Augenblick, in dem jemand die Datei mit dem richtigen Passwort öffnet. Sind die Metadaten selbst der heikle Teil, ist das eine eigene Aufgabe für PDF-Metadaten entfernen, noch bevor das Passwort gesetzt wird.

Was passiert, wenn das Passwort vergessen wird

AES-256 hat aus Prinzip keine Hintertür und keinen Wiederherstellungscode. Es gibt keinen Dienst – unseren eingeschlossen –, der ein echtes Passwort für Sie knackt, denn ein Tool, das vergessene Passwörter wiederherstellen soll, ist zugleich ein Tool, mit dem sich fremde Dokumente öffnen lassen. Die praktische Antwort: Notieren Sie das Passwort in dem Moment, in dem Sie es festlegen, an einem dauerhaften Ort, besser in einem Passwort-Manager als auf einem Haftzettel. Und bewahren Sie eine unverschlüsselte Kopie der Originaldatei an einem sicheren Ort auf, bis die verschlüsselte Fassung ihren Zweck erfüllt hat. Sind beide weg, ist auch das Dokument verloren.

Das Passwort richtig wieder entfernen

Bei einem Dokument, das Sie bereits öffnen können, weil Sie das Passwort kennen, lässt sich die Verschlüsselung mit PDF entsperren sauber und vollständig wieder entfernen. Seitenanzahl, Seitenreihenfolge, Textebene, Lesezeichen, Links und Formularfelder kommen unverändert durch, denn neu geschrieben wird nur die Verschlüsselungsebene. Das funktioniert nur, wenn Sie das Passwort selbst eingeben. Erraten oder Brute-Force-Angriffe gibt es dabei bewusst nicht: Nach drei falschen Versuchen in Folge pausiert das Formular eine halbe Minute, statt zu einem Tool zum Knacken von Passwörtern zu werden. Ein häufiger Ablauf sieht so aus: Sie entfernen das Passwort, um die Datei zu bearbeiten oder durch PDF komprimieren laufen zu lassen, und setzen vor dem erneuten Versand ein neues Passwort.