Passwortgeschützte PDFs und ihre Grenzen
Mein PDF ist geschützt und das Tool sagt, es kann es nicht bearbeiten. Warum, und was kann ich tun?
Es gibt zwei verschiedene Passwörter
Die PDF-Verschlüsselung, definiert in ISO 32000, unterscheidet ein Benutzerpasswort von einem Besitzerpasswort. Das Benutzerpasswort – oft Öffnungspasswort genannt – wird überhaupt erst gebraucht, um das Dokument zu entschlüsseln. Ohne es sind die Content-Streams Geheimtext und keine Software kann auch nur eine Seite lesen. Beim Besitzerpasswort ist es anders: Das Dokument öffnet sich auch ohne, aber das Verschlüsselungs-Dictionary trägt Berechtigungs-Flags, die festhalten, was ein regelkonformer Betrachter verweigern soll, etwa Drucken, Text kopieren oder die Datei verändern.
Diese Unterscheidung erklärt den größten Teil der Verwirrung. Ein Dokument, das sich sofort öffnet, sich aber weigert, einen Absatz kopieren zu lassen, ist nicht „entsperrt“ – es ist mit einem leeren Benutzerpasswort und einem Satz Einschränkungen verschlüsselt.
Was die Verschlüsselung tatsächlich schützt
| Passwort | Zum Öffnen nötig? | Was es schützt | Wie stark ist es |
|---|---|---|---|
| Benutzerpasswort (Öffnungspasswort) | Ja | Den Inhalt selbst; Streams und Strings sind verschlüsselt | So stark wie das Verfahren und das gewählte Passwort |
| Besitzerpasswort (Berechtigungspasswort) | Nein | Kryptografisch nichts; es setzt Flags, um deren Beachtung ein Betrachter gebeten wird | Nur empfehlend |
Berechtigungs-Flags sind eine Bitte an wohlerzogene Software, kein Durchsetzungsmechanismus. Die Bytes sind in dem Moment entschlüsselt, in dem das Dokument sich öffnet, also kann jedes Programm die Flags ignorieren, wenn es das will. Betrachten Sie sie als Absichtserklärung – nützlich, um zu signalisieren, wie ein Dokument verwendet werden soll, nutzlos als Sicherheitsmaßnahme.
Warum ein Editor die Datei verweigert
Um ein PDF umzustrukturieren – es zusammenzuführen, zu teilen, seine Seiten zu drehen, ungenutzte Objekte zu entfernen –, muss eine Bibliothek den Objektgraphen parsen. In einem verschlüsselten Dokument sind die Strings und Streams, aus denen dieser Graph besteht, Geheimtext, bis der richtige Schlüssel abgeleitet ist. Es gibt nichts zu parsen. Das ist keine Richtlinienentscheidung des Tools; es ist schlicht noch kein Dokument da.
Deshalb sind die strukturellen PDF-Werkzeuge von FileSlimmer bei einem verschlüsselten Dokument deaktiviert und sagen das auch, statt auf halbem Weg mit einer beschädigten Ausgabe zu scheitern. Das ist das richtige Verhalten, auch wenn es das unbequemere ist.
Was mit einem Passwort passiert, das Sie eingeben
Wo ein passwortgestützter Weg angeboten wird, dient das Passwort dazu, den Entschlüsselungsschlüssel im Arbeitsspeicher abzuleiten, in diesem Browser-Tab, so lange die Aufgabe läuft. Es wird nicht in den lokalen Speicher geschrieben, nicht in den Cache des Service Workers, nicht in eine URL gesetzt und nicht übertragen – in dieser Anwendung gibt es keinen Server, an den es übertragen werden könnte. Wenn der Tab sich schließt, ist es weg.
Trotzdem lohnt es sich, bewusst zu entscheiden, wo Sie ein Passwort eingeben. Eine Browser-Erweiterung kann den Inhalt einer Seite lesen, und das gilt für jede Website, auch für diese. Wenn ein Dokument so heikel ist, dass das ins Gewicht fällt, entsperren Sie es stattdessen in einer Offline-Desktop-Software, der Sie vertrauen.
Was dieses Tool nicht tut
- Es versucht nicht, ein Passwort wiederherzustellen oder per Brute Force zu knacken, das Sie nicht haben.
- Es entfernt kein Besitzerpasswort, um die Berechtigungs-Flags eines Dokuments zu umgehen, an dem Sie keine Rechte haben.
- Es erzeugt nicht stillschweigend eine entschlüsselte Kopie eines Dokuments, das Sie mit einem Passwort geöffnet haben; den Schutz zu entfernen ist ein eigener, ausdrücklicher Schritt.
- Es tut nicht so, als wäre ein Berechtigungs-Flag eine Sicherheitsgrenze.
Den Schutz von einem Dokument zu entfernen, das Sie nicht verändern dürfen, kann außerdem gegen einen Vertrag oder gegen das Recht an Ihrem Wohnort verstoßen. Das ist eine Frage für Sie und, wenn es darauf ankommt, für einen Anwalt – nicht für ein Komprimierungstool.
Realistische Möglichkeiten, wenn Sie feststecken
- Bitten Sie diejenigen, die das Dokument erstellt haben, um eine ungeschützte Kopie. Das ist mit Abstand die häufigste Lösung und kostet eine einzige Nachricht.
- Wenn Sie das Öffnungspasswort haben, benutzen Sie es: Ist das Dokument entschlüsselt, steht jede gewöhnliche Operation wieder zur Verfügung.
- Wenn Sie die Seiten nur zum Ansehen brauchen, drucken Sie in ein PDF oder exportieren Sie eine gerasterte Kopie. Sie verlieren die Textebene, die Links und die Barrierefreiheitsstruktur, und Sie behalten das Aussehen.
- Ist das Dokument nicht nur verschlüsselt, sondern auch signiert, halten Sie inne und überdenken Sie es. Jede Änderung macht die Signatur ungültig, und ein signiertes Dokument existiert meist genau deshalb, weil jemand es später prüfen können muss.
Eine weitere Einschränkung
Ältere Revisionen der PDF-Verschlüsselung verwendeten eine schwache Schlüsselableitung und kurze Schlüssel und gelten als gebrochen. Neuere Revisionen setzen AES mit einer ordentlichen Ableitungsfunktion ein. Welche davon ein Dokument verwendet, sieht man ihm nicht an, und ein Tool, das eine alte Datei schnell öffnet, ist kein Beleg dafür, dass sich eine neue Datei genauso verhält. Wenn Sie den Schutz für ein Dokument wählen, das Sie selbst erstellen, greifen Sie zu aktueller Software und einem langen Passwort, statt sich auf die Geschichte des Formats zu verlassen.
Passende Tools
Quellen
- ISO 32000-2 — Document management, Portable Document Format
- Adobe — PDF 32000-1:2008, clause 7.6 on encryption and permissions
- NIST FIPS 197 — the Advanced Encryption Standard