Ein PDF-Passwort setzen oder entfernen

PDF-Sicherheit sind zwei verschiedene Dinge mit demselben Namen, und sie zu verwechseln ist der Grund, warum Menschen überrascht sind, was Werkzeuge können und was nicht. Das eine ist das Benutzerpasswort, das zum Öffnen des Dokuments nötig ist: Ohne es sind die Inhalte der Datei verschlüsselte Bytes, die nichts lesen kann. Das andere ist das Eigentümerpasswort, auch Berechtigungspasswort genannt, das das Dokument für alle lesbar lässt, es aber als nicht druckbar, nicht kopierbar oder nicht bearbeitbar markiert. Das erste ist echte Kryptografie. Das zweite ist eine Bitte, von der man erwartet, dass Betrachter sie befolgen. Zu wissen, welches der beiden auf Ihrer Datei liegt, sagt sofort, was möglich ist.

Ein Passwort setzen, das wirklich schützt

Wenn Sie ein Benutzerpasswort setzen, werden die Datenströme des Dokuments — Text, Bilder, eingebettete Schriften — mit einem aus diesem Passwort abgeleiteten Schlüssel verschlüsselt. Moderne PDFs verwenden AES mit 256-Bit-Schlüssel, und die praktische Folge lautet: Ein verlorenes Passwort ist ein verlorenes Dokument. Es gibt keine Wiederherstellung, keinen Zurücksetzen-Link und keine Hotline; der einzige Weg zurück ist Raten, und gegen eine anständige Passphrase ist das kein Weg. Behandeln Sie das Verschlüsseln eines PDF wie das Verschlüsseln einer Festplatte: Wählen Sie etwas, das Sie reproduzieren können, bewahren Sie es an einem dauerhaften Ort auf und übermitteln Sie es der Empfängerin über einen anderen Kanal als die Datei. Den verschlüsselten Anhang und das Passwort im selben E-Mail-Verlauf zu schicken schützt vor nichts außer vor einem ehrlichen Versehen.

Wozu das Eigentümerpasswort taugt

Ein Eigentümerpasswort verschlüsselt nichts Bedeutsames. Das Dokument öffnet sich für alle; die Kennzeichen sagen einem folgsamen Betrachter lediglich, er möge die Druckschaltfläche ausgrauen oder das Kopieren verweigern. Jede ernsthafte PDF-Bibliothek kann diese Kennzeichen lesen und neu schreiben, und deshalb funktionieren Werkzeuge, die das Entfernen von Druckbeschränkungen anbieten, sofort und ohne Sie um etwas zu bitten. Das ist kein Hack und keine Niederlage der Verschlüsselung — die Datei war in diesem Sinn nie geschützt. Wollen Sie tatsächlich verhindern, dass ein Dokument gedruckt oder ausgelesen wird, ist PDF der falsche Behälter und Sie brauchen ein Rechtesystem auf Betrachterseite. Wollen Sie signalisieren, dass ein Formular nicht bearbeitet werden soll, ist ein Eigentümerpasswort ein vernünftiges, ehrliches Signal und mehr nicht.

Alte Dateien, schwache Verschlüsselung

Nicht jedes verschlüsselte PDF ist gleich gut geschützt, und den Unterschied macht das Jahr, in dem die Datei entstand. Das erste Verfahren nutzte RC4 mit vierzig Bit Schlüssellänge, Ende der neunziger Jahre vertretbar und heute von jeder interessierten Person mit einem Notebook trivial zu brechen; dann kam eine RC4-Fassung mit 128 Bit, und erst später AES, zunächst mit 128, dann mit 256 Bit. Ein Dokument aus einem alten Scanner, einer alten Buchhaltungssoftware oder einem auf Alteinstellungen belassenen Office-Paket kann noch immer das schwächste davon verwenden, und die Besitzerin wird berechtigterweise glauben, geschützt zu sein, weil der Betrachter genau gleich nach dem Passwort fragt. Wenn Sie etwas Wichtiges schützen, prüfen Sie, was Ihre Software tatsächlich anwendet, statt es anzunehmen; und bietet sie eine Kompatibilitätsoption für alte Betrachter, dann verstehen Sie, dass die angebotene Kompatibilität die mit dem schwachen Verfahren ist. Ein altes Archiv mit einem aktuellen Werkzeug neu zu verschlüsseln ist eine echte Verbesserung, selbst wenn das Passwort gleich bleibt, und kostet einen Durchgang pro Datei.

Ein Passwort entfernen, das Sie kennen

Der legitime und mit Abstand häufigste Fall ist eine eigene Datei, die verschlüsselt ankommt — ein Kontoauszug, gesperrt mit Ihrer Steuernummer, eine Gehaltsabrechnung, gesperrt mit Ihrem Geburtsdatum — und die Sie ablegen, durchsuchen oder weiterleiten möchten, ohne jedes Mal ein Passwort zu tippen. Hier ist der Vorgang schlicht: Sie geben das Passwort an, das Werkzeug entschlüsselt die Datenströme und schreibt ein neues PDF ohne Verschlüsselungswörterbuch. Der Inhalt ändert sich nicht; nur die Hülle ist anders. Unser Werkzeug macht genau das und sonst nichts. Es rät nicht, versucht keine Wiederherstellung und weist die Datei ab, wenn das Passwort falsch ist — das ist das richtige Verhalten und auch der Grund, warum die Fehlermeldung zählt: „Passwort ungültig“ und „das ist kein PDF“ sind völlig verschiedene Probleme, und ein Werkzeug, das sie vermischt, kostet Sie den Nachmittag.

Warum Knack-Dienste die falsche Antwort sind

Die Suchergebnisse sind voller Dienste, die versprechen, jede Datei zu öffnen. Gegen ein Eigentümerpasswort sagen sie die Wahrheit und tun etwas Triviales. Gegen ein gut gewähltes Benutzerpasswort verkaufen sie rohe Gewalt, und die ist bei AES-256 keine Frage längeren Wartens: Sie wird nicht fertig. Erfolgreich sind solche Dienste dort, wo Passwörter kurz und strukturiert sind: ein sechsstelliges Datum, eine vierstellige PIN, eine Kundennummer. Das ist in beide Richtungen wissenswert. Es sollte Sie gegenüber Entsperr-Diensten skeptisch machen, und es sollte Sie zweimal überlegen lassen, bevor Sie ein wirklich heikles Dokument mit Ihrem Geburtsdatum schützen — genau das ist das erste Passwort, das ein Angreifer probiert.

Wohin die Datei geht, ist entscheidend

Jede Operation an einem verschlüsselten PDF bedeutet, Dokument und Passwort zugleich herauszugeben. Geschieht das auf einem entfernten Server, haben Sie in diesem Moment einem Dritten eine Klartextkopie eines Dokuments überlassen, das Sie für heikel genug hielten, um es zu verschlüsseln — samt Schlüssel. Ob das vertretbar ist, hängt vom Dokument ab: bei einer gesperrten Rechnung vermutlich ja, bei einem Arztbericht oder einem Vertrag vermutlich nein. Die Operation im eigenen Browser auszuführen beseitigt die Frage vollständig, weil weder Datei noch Passwort den Tab verlassen. Es ist einer der wenigen Fälle, in denen der Verarbeitungsort kein Marketing ist, sondern ein substanzieller Unterschied im Risiko.

Eine kurze Prüfliste

Vor dem Verschlüsseln: Überlegen Sie, wer dieses Dokument in zwei Jahren öffnen muss und ob diese Person das Passwort dann noch hat. Nehmen Sie eine Passphrase statt einer persönlichen Nummer und übermitteln Sie sie getrennt. Vor dem Entschlüsseln: Vergewissern Sie sich, dass Sie ein legitimes Recht an dem Dokument haben — der Vorgang ist trivial auszuführen, und genau deshalb liegt die Verantwortung bei Ihnen und nicht beim Werkzeug. Und öffnen Sie nach beiden Vorgängen das Ergebnis und sehen Sie sich eine Seite aus der Mitte an, denn eine Datei, die auf Seite eins aufgeht, hat noch nicht bewiesen, dass der Rest überlebt hat.