PDF Password Protect

So schützt du eine PDF mit Passwort

1. PDF ablegen auf dem Upload-Bereich oder klicken zum Durchsuchen. Bis zu 200 MB.
2. Passwort eingeben und bestätigen. Derselbe String wird zum Benutzerpasswort (zum Öffnen des Dokuments) und zum Eigentümerpasswort (volle Bearbeitungsrechte), sodass kein verstecktes zweites Passwort im Hintergrund benötigt wird.
3. "PDF schützen" klicken. Die Datei wird über HTTPS auf unsere EU-Server hochgeladen, mit qpdf --encrypt benutzer eigentumer 256 -- eingabe.pdf ausgabe.pdf verschlüsselt, und das AES-256-Ergebnis wird als signierter, zeitlich begrenzter Download angeboten.
4. Ausgabe in Acrobat, Vorschau oder deinem Browser testen. Du solltest vor dem Öffnen des Dokuments nach dem Passwort gefragt werden. Speichere das Passwort in einem Manager, bevor du den Tab schließt.

Was PDF-Passwortschutz wirklich ist

Ein Passwort auf einer PDF ist kein ZIP-artiges Archiv-Passwort. Die Datei ist nach wie vor eine gültige PDF; was sich ändert, ist, dass Inhaltsstrome, /Info-Metadaten und eingebettete Schriftarten mit einer symmetrischen Verschlüsselung gesichert werden, die auf dein Passwort gegründet ist, und der Trailer erhält ein /Encrypt-Dictionary, das beschreibt, wie dieser Schlüssel abzuleiten ist. PDF 2.0 (ISO 32000-2, 2020) verwendet AES-256 im CBC-Modus mit einem 256-Bit-Schlüssel, der durch eine feste Leiter plus einen 16-Byte-pro-Datei-Salt abgeleitet wird. Ältere PDF-1.7-Dateien (ISO 32000-1, 2008) verwenden AES-128 oder Legacy-RC4-Verschlüsselung, die für neue Dokumente nicht verwendet werden sollte.

PDFs können zwei Passwörter tragen: Das Benutzerpasswort offnet das Dokument, und das Eigentümerpasswort entsperrt Berechtigungsflags, die Drucken, Kopieren, Formulare ausfüllen und Kommentieren steuern. Diese Flags befinden sich im /P-Eintrag des Verschlüsselungs-Dictionarys. Dieses Tool setzt beide Passwörter auf denselben Wert, sodass du der Eigentümer deiner eigenen Datei bleibst.

Warum ein Server-Tool statt Browser-Lösung

Zuverlässige PDF-AES-256-Verschlüsselung erfordert den Standard-Sicherheitshandler in Revision 6, einschließlich der SHA-256-Leiter zur Ableitung des Inhaltsverschlüsselungsschlüssels. Browser-seitige WebAssembly-Builds von qpdf existieren, laden aber Hunderte von Kilobytes Code, laufen mit einem Bruchteil der nativen Geschwindigkeit und versagen bei iOS-Safari-Speicherlimits für Dokumente über ~50 MB. Die Weiterleitung der Datei an unseren EU-Server führt die kanonische native qpdf-Binärdatei aus, schließt in unter einer Sekunde für typische Verträge ab und unterstützt Dokumente bis zu 200 MB. Der Kompromiss ist, dass deine Datei kurz auf unserer Infrastruktur sichtbar ist; wir protokollieren keine Inhalte, und die Eingabe plus die verschlüsselte Ausgabe werden nach 15 Minuten automatisch gelöscht.

Wann Verschlüsselung sinnvoll ist

• Versenden eines signierten Vertrags oder Angebotsbriefs per E-Mail an einen Kunden, dessen Posteingang du nicht verwaltest.
• Archivieren von Mitarbeiterakten oder medizinischen Formularen, bei denen die DSGVO oder ähnliche Regelwerke eine Verschlüsselungskontrolle für ruhende oder übertragene Daten erfordern.
• Teilen einer vertraulichen Board-Präsentation über Dropbox oder Google Drive als zweite Schicht über Link-Berechtigungen hinaus.
• Erfüllung eines Kunden-Sicherheitsfragebogens, der fragt, ob ausgehende Dokumente vor der Weitergabe an Dritte verschlüsselt werden.
• Hochladen von Jahresabschlüssen auf ein Anbieterportal, das Downloads protokolliert, aber keinen pro-Empfänger-Zugangskontrolle garantiert.
• Hinzufügen einer leichten Abschreckung zu Rechnungen, Steuererklärungen oder Spesenberichten, die weitergesendet werden könnten.

Fallstricke und Sonderfälle

PDF-Verschlüsselung ist kein Allheilmittel. Passwörter mit weniger als etwa zwölf Zeichen können offline bruteforce-angegriffen werden, weil die PDF-Schlüsselableitungsleiter nicht so teuer ist wie PBKDF2 mit 600.000 Iterationen. Ein vor der Verschlüsselung signiertes Dokument wird noch validiert, aber einige Viewer warnen, dass die Signatur nur einen Teil der aktualisierten Datei abdeckt. Berechtigungsflags sind empfehlend; manche Viewer ignorieren das "Kein Drucken"-Bit. Bereits verschlüsselte Uploads werden nicht unterstützt - zuerst mit dem PDF-Entsperr-Tool entschlüsseln. Wenn du das Passwort verlierst, gibt es keinen Wiederherstellungsweg; sichere es bei der Erstellung.

Lokale Alternativen

Fur Stapel von Dutzenden von Dateien oder für Dokumente, die du überhaupt nicht hochladen möchtest, führe qpdf lokal aus: qpdf --encrypt benutzer eigentumer 256 -- eingabe.pdf ausgabe.pdf (Homebrew, Debian, Fedora, Chocolatey). Ghostscript kann dasselbe über seine -sOwnerPassword- und -sUserPassword-Switches. macOS-Vorschau schreibt AES-128 über Datei -> Exportieren mit dem Verschlüsseln-Kontrollkastchen, und LibreOffice Draw bietet dasselbe in seinem PDF-Exportdialog. CLIs gewinnen bei Durchsatz und bei der Vermeidung des Uploads; dieses Tool gewinnt bei null Installation.