Ein PDF vor dem E-Mail-Versand per Passwort zu schützen funktioniert am besten, wenn die Verschlüsselung auf deinem eigenen Gerät geschieht. Setze ein Öffnungspasswort und die Berechtigungsflags im Browser, und die Datei wird mit AES-256 verschlüsselt, bevor sie irgendwohin geht.
Die Reihenfolge ist wichtiger als der Algorithmus. Ein uploadbasierter Verschlüsseler empfängt das Dokument zuerst und verschlüsselt es danach, während dieses Fensters liegt die Datei also im Klartext auf einem Server, und ein Dokument, das du schützt, ist per Definition eines, das du nicht preisgeben wolltest. Hier wird das PDF von deiner Festplatte in die Seite gelesen, mit einer WebAssembly-Version von qpdf verschlüsselt und als Download zurückgegeben. Das Tool bietet eine Verschlüsselungsstärke, AES-256, weil die Engine die schwächeren 128-Bit- und 40-Bit-Formen überhaupt nicht schreiben will. Du wählst außerdem ein Öffnungspasswort, ein optionales Besitzerpasswort und ob Drucken, Kopieren und Bearbeiten erlaubt sind.
Der Moment, in dem du das brauchst, ist meist derselbe, in dem das Risiko auftritt: eine Gehaltsabrechnung, ein Vertrag, ein Arztbrief oder eine Reihe von Kontodaten, die eine Person per E-Mail erreichen muss. E-Mail ist standardmäßig ein offener Kanal, und der Anhang reist durch mindestens zwei Mailserver. Die Datei zu verschlüsseln, bevor sie das Gerät verlässt, ist der Teil dieses Workflows, den du tatsächlich kontrollieren kannst, und wo du die Verschlüsselung durchführst, entscheidet, ob sie überhaupt hilft.
PDF schützen
Füge ein Öffnungspasswort, ein optionales Besitzerpasswort und Berechtigungsflags hinzu. Die Datei wird im Browser mit AES-256 verschlüsselt und nie hochgeladen.
Warum der Verschlüsselungsschritt auf deine Maschine gehört
Das Argument für lokale Verschlüsselung ist nicht, dass Server-Tools unehrlich sind. Es ist, dass die Reihenfolge der Vorgänge bei einem uploadbasierten Verschlüsseler das Ziel unmöglich macht. Um eine Datei zu verschlüsseln, muss der Dienst zuerst die Klartextdatei empfangen, und in diesem Moment liegt das Dokument unverschlüsselt auf einer Maschine, die dir nicht gehört. Das Passwort folgt demselben Weg und wird dort verwendet, um die verschlüsselte Ausgabe zu erstellen. Alles, was der Dienst protokolliert, zwischenspeichert oder für den Support aufbewahrt, bleibt lesbar, bis seine Bereinigung läuft.
Ein Browser-Tab kehrt diese Reihenfolge um. Das PDF wird aus deinem Speicher in die Seite geöffnet, die Verschlüsselung wird dort angewendet, und nur die verschlüsselten Bytes werden als Download zurückgegeben. Es gibt keinen Upload-Schritt und kein Konto, und das Passwort verlässt die Seite nie. Der Preis dafür ist, dass die Arbeit auf deinem Gerät stattfindet, weshalb das Tool dich bittet, Dateien unter 50 MB zu halten, und weshalb die Engine einmal, etwa 1,3 MB, heruntergeladen wird, bevor die erste Datei verarbeitet wird.
So schützt du ein PDF per Passwort, bevor du es per E-Mail sendest
- PDF hinzufügen. Ziehe die Datei in das Tool. Sie wird auf deinem Gerät gelesen, nicht hochgeladen, und wenn das PDF bereits geschützt ist, sagt das Tool das und bittet dich, es zuerst zu entsperren.
- Lege das Passwort und die Berechtigungen fest. Gib das Öffnungspasswort ein, wiederhole es und füge ein Besitzerpasswort hinzu, wenn du die Berechtigungseinstellungen später ändern möchtest. Wähle dann, ob Drucken, Kopieren und Bearbeiten erlaubt sind.
- Schützen und herunterladen. Tippe auf PDF schützen, prüfe, dass die Zusammenfassung AES-256 neben den Dateigrößen meldet, und lade dann die verschlüsselte Kopie herunter. Deine Originaldatei bleibt unangetastet.
Das Öffnungspasswort hat ein Minimum von 4 Zeichen und keine Obergrenze, eine kurze Passphrase ist also möglich, ohne mit dem Feld zu kämpfen. Das Tool prüft, dass die beiden Passwortfelder übereinstimmen, bevor es startet, was verhindert, dass du dich mit einem Tippfehler aus der Datei aussperrst.
Öffnungspasswort vs. Besitzerpasswort
Die beiden Passwörter erfüllen unterschiedliche Aufgaben, und nur eines davon betrifft den Zugang. Das Öffnungspasswort, manchmal Benutzerpasswort genannt, ist erforderlich, um das Dokument überhaupt zu öffnen. Ohne es zeigt ein konformer Reader eine Passwortabfrage und nichts anderes. Dies ist das Passwort, das du dem Empfänger gibst.
Das Besitzerpasswort steuert die Berechtigungseinstellungen. Es ist das Passwort, nach dem ein Tool fragt, wenn jemand ändern möchte, ob Drucken oder Kopieren erlaubt ist. Lässt du das Besitzerpasswort leer, verwendet das Tool das Öffnungspasswort für beide Rollen wieder, was für eine einmalige Datei, die du verschlüsselst und sendest, in Ordnung ist. Setze ein separates Besitzerpasswort, wenn die Datei im Umlauf bleibt und du ihre Berechtigungen später anpassen möchtest, ohne dem Empfänger ein neues Öffnungspasswort mitzuteilen.
Was die Berechtigungsflags tatsächlich bewirken
Neben den Passwörtern beschreiben drei Flags, was der Empfänger mit dem Dokument tun darf. Sie entsprechen dem standardmäßigen PDF-Berechtigungswörterbuch, weshalb PDF-Reader sie erkennen.
| Berechtigung | Optionen | Standard | Was es steuert |
|---|---|---|---|
| Erlauben, Blockieren | Erlauben | Ob ein konformer Reader das Dokument drucken lässt | |
| Text und Bilder kopieren | Erlauben, Blockieren | Blockieren | Ob Text ausgewählt und Bilder extrahiert werden können |
| Bearbeitung | Erlauben, Blockieren | Blockieren | Ob die Seiten geändert oder neu angeordnet werden können |
Lies die Standardwerte als die vernünftige Haltung für ein Dokument, das du versendest und nicht bearbeitest: Drucken erlaubt, damit der Empfänger eine Papierkopie machen kann, Kopieren und Bearbeiten blockiert, damit der Inhalt nicht entnommen oder verändert wird. Wenn die Datei ein Formular ist, das ausgefüllt werden muss, schalte Bearbeiten vor der Verschlüsselung auf Erlauben, weil ein blockiertes Bearbeitungsflag von Readern beachtet wird, die das Eintippen in Formulare zulassen.
Nur AES-256, und warum es keine Auswahl der Stärke gibt
Jedes PDF, das dieses Tool erzeugt, wird mit AES-256 verschlüsselt, und es gibt keine Option, etwas Schwächeres zu wählen. Das ist kein Versehen. Die Verschlüsselungs-Engine ist qpdf 11.7.0, zu WebAssembly kompiliert, und diese Version weigert sich, die älteren, schwächeren Formen überhaupt zu schreiben: Fragst du nach 128 Bit, stoppt sie mit einer Meldung, dass sie sich weigert, eine Datei mit RC4 zu schreiben, einem schwachen kryptografischen Algorithmus. Da 40-Bit- und 128-Bit-RC4-Verschlüsselung nicht mehr als sicher gelten, würde ihre Bereitstellung als Auswahl nur dazu führen, dass jemand eine Datei erzeugt, die geschützt aussieht, es aber nicht ist.
Die Zufallsdaten hinter dem Verschlüsselungsschlüssel kommen aus dem Web-Crypto-Generator des Browsers und nicht aus einer vorhersagbaren Quelle, was lokale AES-256-Verschlüsselung sinnvoll statt zu Theater macht. Eine praktische Konsequenz: AES-256 braucht einen Reader aus ungefähr dem letzten Jahrzehnt. Jeder aktuelle Desktop- und Mobile-Reader unterstützt es, aber eine sehr alte Version eines PDF-Programms kann die Datei ablehnen, in diesem Fall muss der Empfänger aktualisieren, statt dass du die Verschlüsselung abschwächen musst.
Was in die E-Mail gehört und was niemals
Das Verschlüsseln des Anhangs hilft nur, wenn das Passwort über einen anderen Weg reist. Das Passwort in dieselbe Nachricht wie die Datei zu setzen, gibt einem Angreifer beide Hälften an einem Ort, und ein weitergeleiteter Verlauf trägt das Paar mit sich.
- Sende die Datei per E-Mail. Hänge das verschlüsselte PDF genau so an, wie das Tool es erzeugt hat, ohne es in einem Programm erneut zu speichern, das die Verschlüsselung entfernen könnte.
- Sende das Passwort getrennt. Eine Chatnachricht, ein Telefonanruf, eine SMS oder ein Freigabelink eines Passwortmanagers funktionieren alle. Alles, was nicht derselbe E-Mail-Verlauf ist.
- Sag, um welche Datei es sich handelt. Wenn du mehrere Anhänge sendest, nenne dem Empfänger den Dateinamen, damit er weiß, welches Passwort wo gilt.
- Füge das Passwort nicht in das Dokument ein. Ein Passwort, das auf der Seite gedruckt wird, die es schützt, ist Dekoration, kein Schutz.
- Bewahre eine Kopie des Passworts auf. Ein verlorenes Öffnungspasswort kann weder vom Tool noch von uns wiederhergestellt werden, weil nichts davon gespeichert wird.
Was dieses Tool nicht macht
Das sind die Grenzen des Workflows, und sie zu kennen erspart einen Umweg.
- Es kann ein bereits verschlüsseltes PDF nicht öffnen. Ziehe eines hinein, und das Tool meldet, dass die Datei bereits geschützt ist, und bittet dich, sie zuerst zu entsperren. Verwende PDF entsperren mit dem Passwort, das du kennst, und schütze dann die Kopie.
- Es gibt eine Obergrenze von 50 MB. Größere Dateien werden mit einer Meldung abgelehnt, die dich darauf hinweist, das Dokument zu teilen oder ein Desktop-Tool zu verwenden. Teilen mit PDF teilen zuerst ist ein Weg daran vorbei.
- Berechtigungen sind ein Signal, kein Schloss. Konforme Reader beachten sie, aber manche Drittanbieter-Tools ignorieren die Flags vollständig. Das Öffnungspasswort ist der eigentliche Schutz.
- Keine Zertifikatsverschlüsselung und keine digitale Signatur. Dies ist passwortbasierter Schutz, wie es der PDF-Standard nennt, und es wird nicht überprüft, wer der Absender ist.
- Ein Dokument nach dem anderen. Es gibt keinen Stapelmodus, ein Ordner mit Dateien ist also ein Durchlauf pro Datei.
- Die Engine wird bei der ersten Nutzung heruntergeladen. Etwa 1,3 MB WebAssembly, danach zwischengespeichert. Der Verschlüsselungsaufruf selbst ist synchron, daher springt die Fortschrittsleiste in Schritten statt sich gleichmäßig zu bewegen.
- Es verkleinert die Datei nicht. Verschlüsselung fügt einen kleinen Mehraufwand hinzu. Wenn das Ergebnis für den Mailserver zu groß ist, schicke das ungeschützte Original durch PDF komprimieren zuerst, und schütze dann die kleinere Kopie.