Datei mit Passwort schützen

Mit Passwort schützen: So geht’s

1. 1

   Dateien hinzufügen

   Bis zu zwanzig auf einmal, in jedem Format. Die meisten kommen wegen KMZ und KML hierher. Ein Format wird anders behandelt, und nur, weil es bei ihm möglich ist: Eine PDF-Datei trägt das Passwort in sich selbst.

2. 2

   Passwort zweimal eingeben

   Mindestens acht Zeichen. Die doppelte Eingabe ist keine Förmlichkeit: Ein hier vertipptes Passwort lässt sich später nicht aus dem Archiv zurückgewinnen.

3. 3

   Archiv herunterladen

   Eine PDF-Datei kommt als PDF zurück und ist selbst mit dem Passwort gesperrt. Alles andere erhalten Sie als eine einzige .zip-Datei, in der jeder Eintrag verschlüsselt ist. Wer sie bekommt, entpackt sie mit dem Passwort und erhält die Originaldatei Byte für Byte zurück.

Warum KMZ und KML ein Archiv bekommen und kein Passwort im Inneren

Eine KML-Datei ist XML, und eine KMZ-Datei ist ein gewöhnliches ZIP mit diesem XML darin. Weder die OGC-Spezifikation, die beide Formate festlegt, noch Google Earth selbst kennt ein Passwort. Es gibt also kein Feld, in das man eines eintragen könnte, und kein Programm, das danach fragen würde. Technisch ließe sich der Eintrag in einer KMZ-Datei verschlüsseln und der Name .kmz behalten – doch das Ergebnis wäre schlimmer als nutzlos: Die Datei sähe genau wie eine funktionierende Karte aus und würde ohne jede Meldung versagen, sobald jemand sie öffnet. Deshalb kommt die Datei stattdessen in ein verschlüsseltes Archiv. Wer sie erhält, entpackt маршрут.kmz.zip mit dem Passwort, bekommt маршрут.kmz unverändert zurück und öffnet die Datei wie gewohnt in Google Earth. Die Endung bleibt bewusst erhalten, denn Google Earth entscheidet anhand der Datei selbst, worum es sich handelt. PDF ist die einzige Ausnahme und wird auch so behandelt: Dieses Format kennt sehr wohl ein eigenes Passwort. Eine PDF-Datei, die Sie hierherbringen, wird deshalb direkt in der Datei mit AES-256 verschlüsselt und als PDF heruntergeladen; jeder PDF-Viewer öffnet sie, sobald das Passwort eingegeben ist.

AES-256 statt des alten ZIP-Passworts

Die Passwortoption der meisten ZIP-Programme aus den 1990er-Jahren nutzt eine Stromchiffre, die ein Known-Plaintext-Angriff auf einem gewöhnlichen Laptop in Sekunden bricht. Es genügt, ein paar Bytes einer Datei zu kennen, deren Format sich erraten lässt – und bei einer KMZ-Datei sind die ersten Bytes immer gleich. Dieses Tool schreibt ausschließlich WinZip AE-2 mit AES-256: ein zufälliges Salt von 16 Byte je Eintrag, ein mit PBKDF2 gestreckter Schlüssel und ein HMAC-SHA1-Authentifizierungscode. So wird eine Manipulation erkannt, statt zu Datenmüll entschlüsselt zu werden. Ein Auswahlmenü mit einer schwächeren Variante gibt es nicht, denn eine Option, die es gibt, wählt irgendwann auch jemand.

Was das Archiv trotzdem verrät

ZIP verschlüsselt den Inhalt jedes Eintrags, nie aber das Verzeichnis, das die Einträge auflistet. Wer das Archiv hat, sieht ohne Passwort die Dateinamen samt Größe und Änderungsdatum – nur vom Inhalt lässt sich kein einziges Byte lesen. Sind schon die Namen das Geheimnis, benennen Sie die Dateien vor dem Schützen um. Alles andere ist abgedeckt: Ohne Passwort sind die Bytes unlesbar, und geht das Passwort verloren, gibt es keinen Weg zur Wiederherstellung, auch nicht für uns. Hochgeladen wird nichts, also gibt es auch nichts, woraus sich etwas wiederherstellen ließe.

Womit sich das Archiv öffnen lässt

AES-verschlüsseltes ZIP ist seit 2003 Standard und wird von 7-Zip, WinRAR, Keka, Ark, PeaZip, The Unarchiver und vom Explorer von Windows 11 selbst gelesen. Zwei verbreitete Programme lesen es nicht: der Befehl unzip von Info-ZIP, der älteren Linux-Distributionen beiliegt, und das in Python eingebaute Modul zipfile. Beide listen das Archiv korrekt auf und verweigern dann das Entpacken. Unter macOS kommt das Archivierungsprogramm damit zurecht. Im Zweifel nehmen Sie 7-Zip: Es ist kostenlos und überall verfügbar. Auch unser eigenes Tool „ZIP entpacken“ hier auf der Website liest solche Archive.

Häufige Fragen