PDF mit Passwort schützen: Öffnen, Drucken, Bearbeiten

Ein Ingenieurbüro in Solothurn verschickt Pläne an Bauunternehmen und Gutachten an Bauherrschaften. Für die Pläne gibt es einen Wunsch: Sie sollen gelesen und gedruckt, aber nicht verändert werden. Für die Gutachten einen anderen: Nur die Bauherrschaft soll sie öffnen können. Beide Wünsche lassen sich im PDF mit einem Kennwort umsetzen — mit zwei verschiedenen Kennwörtern, die sehr unterschiedlich wirken.

Zwei Kennwörter, zwei Aufgaben

Adobe unterscheidet in Acrobat zwei Arten von Kennwörtern:

Kennwort	Was es bewirkt
Kennwort zum Öffnen (Document Open)	Ohne Kennwort lässt sich das PDF nicht öffnen und ansehen
Berechtigungskennwort (Permissions)	Schränkt Funktionen ein, etwa Drucken, Bearbeiten, Kopieren, Kommentieren

In der technischen Beschreibung des Formats heissen die beiden «user password» und «owner password». Die Namen verraten, worum es geht: Das eine braucht, wer das Dokument benutzen will; das andere, wer über die Regeln bestimmt.

Was das Kennwort zum Öffnen bewirkt

Mit einem Kennwort zum Öffnen wird der Inhalt des PDF verschlüsselt. Seit PDF 1.6 kann dafür AES verwendet werden, ein etabliertes Verschlüsselungsverfahren. Ohne das Kennwort bleibt die Datei unlesbar, auch wenn sie in falsche Hände gerät.

Wie gut dieser Schutz ist, hängt vor allem am Kennwort selbst. Adobe empfiehlt starke, eindeutige Kennwörter aus Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen, keine leicht zu erratenden Angaben wie Namen oder Geburtsdaten und kein Wiederverwenden desselben Kennworts für viele Dokumente.

Auf der Seite der Empfänger fragt das Leseprogramm beim Öffnen nach dem Kennwort. Die Vorschau im E-Mail-Programm oder auf dem Telefon zeigt den Inhalt dagegen oft gar nicht an. Ein Satz in der E-Mail — «Das Gutachten ist mit einem Kennwort geschützt, das wir Ihnen telefonisch durchgeben» — verhindert, dass die Datei für defekt gehalten wird.

Auch Microsoft Word bietet beim Speichern als PDF die Option, das Dokument mit einem Kennwort zu verschlüsseln; dann können nur Personen mit dem Kennwort die Datei öffnen.

Was Berechtigungen bewirken — und was nicht

Mit dem Berechtigungskennwort lassen sich in Acrobat unter anderem diese Einstellungen setzen:

• Drucken: nicht erlaubt, nur in niedriger Auflösung (bis 150 dpi) oder in hoher Auflösung;
• Änderungen: keine, nur Seiten einfügen, löschen und drehen, nur Formularfelder ausfüllen und unterschreiben, oder auch kommentieren;
• Kopieren von Text, Bildern und anderen Inhalten;
• Textzugriff für Bildschirmlesegeräte für Menschen mit Sehbehinderung.

Diese Einstellungen sind nützlich, aber sie sind etwas anderes als die Verschlüsselung. Die PDF-Referenz von Adobe hält fest: Sobald ein Dokument geöffnet und entschlüsselt ist, hat die Anwendung Zugriff auf den gesamten Inhalt. Nichts in der PDF-Verschlüsselung selbst erzwingt die Berechtigungen; es liegt an den Herstellern der Leseprogramme, sie zu respektieren.

Barrierefreiheit nicht aussperren

Eine Einstellung verdient besondere Aufmerksamkeit: der Textzugriff für Bildschirmlesegeräte. Wird das Kopieren von Text verboten, kann je nach Einstellung auch eine Bildschirmsprachausgabe den Text nicht mehr vorlesen. Adobe führt den Textzugriff für Bildschirmlesegeräte deshalb als eigene Option. Wer ein Dokument schützt, das auch Menschen mit Sehbehinderung lesen sollen, lässt diese Option eingeschaltet.

Welche Einstellung wofür

Für das Ingenieurbüro ergeben sich zwei Kombinationen:

Dokument	Kennwort zum Öffnen	Berechtigungen
Pläne	keines	Drucken erlaubt, Änderungen nicht erlaubt
Gutachten	ja	Drucken erlaubt, Textzugriff für Lesegeräte an

Eine dritte Kombination beschreibt Adobe mit der Einstellung, nur das Ausfüllen von Formularfeldern und das Unterschreiben zuzulassen. Sie passt zu einem Formular, das ausgefüllt, aber nicht umgestaltet werden soll — etwa ein Abnahmeprotokoll, das die Bauherrschaft ergänzt und zurückschickt.

Bei den Plänen geht es nicht um Geheimhaltung, sondern darum, versehentliche Änderungen zu vermeiden. Beim Gutachten geht es um Vertraulichkeit — dort zählt das Kennwort zum Öffnen.

Das Kennwort weitergeben

Ein verschlüsseltes PDF nützt wenig, wenn das Kennwort in derselben E-Mail steht. Adobe empfiehlt, Kennwörter über sichere Kommunikationswege weiterzugeben und in einem Passwortmanager aufzubewahren, statt sie aufzuschreiben oder per E-Mail zu verschicken. Für das Ingenieurbüro heisst das: Das Gutachten geht per E-Mail, das Kennwort per SMS oder am Telefon.

Wo Personendaten verschickt werden, knüpft das an eine Anforderung der Datenschutzverordnung an: Bei der Bekanntgabe von Personendaten sollen Unbefugte sie nicht lesen, kopieren, verändern oder löschen können (Art. 3 Abs. 2 Bst. c DSV).

Zertifikate statt Kennwörter

Für Dokumente, die regelmässig an dieselben Empfänger gehen, beschreibt Adobe eine Alternative: die Zertifikatssicherheit. Dabei wird das Dokument für bestimmte Empfänger verschlüsselt, die es mit ihrer eigenen digitalen ID öffnen. Laut Adobe erlaubt das unterschiedliche Zugriffsrechte für verschiedene Personen oder Gruppen, und es muss kein Kennwort weitergegeben werden. Der Preis ist die Einrichtung: Beide Seiten brauchen digitale IDs, und die Empfänger ein Programm, das damit umgehen kann. Für ein kleines Büro mit wechselnden Bauherrschaften ist das oft mehr Aufwand, als die Sache verlangt; für einen festen Kreis von Partnern kann es sich lohnen.

Kennwörter, die sich merken lassen

Ein Kennwort, das stark ist und trotzdem am Telefon durchgegeben werden kann, ist keine Selbstverständlichkeit. Eine Möglichkeit ist eine Passphrase aus mehreren zufälligen Wörtern: lang genug, um schwer erraten zu werden, und doch gut zu diktieren. Wer mehrere Dokumente verschickt, hält im Passwortmanager fest, welches Kennwort zu welchem Dokument gehört — auch das empfiehlt Adobe, statt Kennwörter aufzuschreiben.

Wie ein Kennwort-PDF beim Versand von Lohnabrechnungen eingesetzt werden kann, beschreibt der Beitrag Lohnabrechnungen als PDF per E-Mail.

Grenzen

Drei Grenzen gehören zum Bild:

• Vergessene Kennwörter lassen sich bei einer wirksamen Verschlüsselung nicht einfach wiederherstellen. Eine unverschlüsselte Originaldatei im eigenen Archiv ist darum sinnvoll.
• Geöffnete Dokumente können abfotografiert, abgeschrieben oder weitergeleitet werden. Das Kennwort schützt die Datei auf dem Weg, nicht den Inhalt nach dem Öffnen.
• Echtheit ist eine andere Frage. Ob ein Dokument nachträglich verändert wurde, zeigt eine elektronische Signatur besser als ein Berechtigungskennwort.

Für das Ingenieurbüro in Solothurn

Das Büro legt zwei Vorlagen an: Pläne ohne Kennwort zum Öffnen, aber mit Berechtigungen, die Änderungen ausschliessen; Gutachten mit einem Kennwort zum Öffnen, das pro Projekt vergeben und am Telefon durchgegeben wird. Die unverschlüsselten Originale bleiben im Projektordner.

Die PDF-Werkzeuge, die wir entwickeln, werden PDF-Dateien zusammenfügen, teilen, verkleinern und bearbeiten — verarbeitet in der Schweiz, im Arbeitsspeicher, ohne dass eine Datei gespeichert bleibt, und im vertraulichen Modus für ausgewählte Arbeiten ganz auf dem eigenen Gerät.