Sie möchten ein PDF mit zwei Personengruppen teilen. Gruppe A sollte in der Lage sein, Text anzuzeigen, zu drucken und zu kopieren. Gruppe B sollte nur sehen können. Sie legen zwei unterschiedliche Passwörter fest und senden die Datei an beide Gruppen, wobei Sie davon ausgehen, dass die PDF-Datei je nach eingegebenem Passwort unterschiedliche Berechtigungen erzwingt. Dann stellen Sie fest, dass die PDF-Spezifikation nur ein Berechtigungskennwort pro Datei unterstützt. Jeder, der das Dokument mit dem Berechtigungskennwort öffnet, erhält die gleichen Berechtigungen, unabhängig davon, wer er ist.
Die PDF-Passwort-Architektur wurde für eine einfachere Zeit entwickelt, in der Dokumente für eine einzige Zielgruppe freigegeben wurden. Das Zwei-Passwort-Modell, ein offenes Passwort zum Anzeigen und ein Berechtigungspasswort zum Bearbeiten, unterstützt keine rollenbasierte Zugriffskontrolle mit unterschiedlichen Berechtigungsstufen für verschiedene Benutzer. Das Verständnis dieser Einschränkung hilft Ihnen bei der Auswahl des richtigen Sicherheitsansatzes für Dokumente, die einen differenzierten Zugriff erfordern.
Die Passwortbeschränkung für einzelne Berechtigungen
Eine PDF-Datei enthält genau einen Satz Berechtigungsflags: Drucken erlaubt oder nicht, Kopieren von Text erlaubt oder nicht, Bearbeiten erlaubt oder nicht und so weiter. Diese Flags werden durch ein einziges Berechtigungskennwort entsperrt. In der PDF-Spezifikation gibt es keinen Mechanismus zum Speichern mehrerer Berechtigungssätze oder mehrerer Berechtigungskennwörter. Die Architektur besteht aus einem Passwort und einem Satz Berechtigungen, die einheitlich auf jeden angewendet werden, der dieses Passwort eingibt.
Diese Einschränkung ist seit Version 1.1 Teil der PDF-Spezifikation und hat sich in PDF 2.0 nicht geändert. Das Normungsgremium erwog die Einführung rollenbasierter Berechtigungen, kam jedoch zu dem Schluss, dass dies die Komplexität der PDF-Reader ohne ausreichende Nachfrage der Benutzer erheblich erhöhen würde. Es wird davon ausgegangen, dass der differenzierte Zugriff auf der Ebene der Dateiverteilung und nicht auf der Ebene der Dateisicherheit verwaltet werden sollte.
Das PDF-Sicherheit-Modell wurde entwickelt, um ein Dokument vor unbefugtem Zugriff und unbefugter Änderung während der Übertragung und Speicherung zu schützen. Es ist nicht dazu gedacht, ein Dokumentenmanagementsystem mit Zugriffskontrollen auf Benutzerebene zu ersetzen. Das Erkennen dieser Unterscheidung hilft dabei, realistische Erwartungen darüber zu wecken, was PDF-Passwörter leisten können und was nicht.
Versuchen Sie es mit „PDF schützen“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Problemumgehungen für differenzierten Zugriff
Die praktischste Problemumgehung besteht darin, zwei Versionen der PDF-Datei mit unterschiedlichen Berechtigungseinstellungen zu erstellen und jede an die entsprechende Gruppe zu verteilen. Die Version für Gruppe A verfügt über großzügige Berechtigungen zum Drucken und Kopieren. Die Version für Gruppe B verfügt über restriktive Berechtigungen, die nur das Ansehen erlauben. Beide Versionen können in Sekundenschnelle aus demselben Quell-PDF erstellt werden, indem unterschiedliche Berechtigungskennwörter festgelegt und als separate Dateien gespeichert werden.
Mit WukongPDF können Sie PDF-Verschlüsselung und Passworteinstellungen über den Browser anwenden. Erstellen Sie für einen differenzierten Zugriff eine Version mit den für jede Zielgruppe geeigneten Berechtigungen. Benennen Sie die Dateien eindeutig, um anzugeben, welche Version für welche Zielgruppe gedacht ist, z. B. Report_FullAccess.pdf und Report_ViewOnly.pdf.
Ein ausgefeilterer Ansatz verwendet ein Dokumentenverwaltungssystem oder eine sichere Dateifreigabeplattform, die Berechtigungen auf Benutzerebene auf der Zugriffsebene und nicht auf der Dateiebene erzwingt. Das PDF selbst hat kein Berechtigungskennwort. Die Plattform steuert anhand ihrer authentifizierten Identität, wer die Datei anzeigen, herunterladen, drucken oder bearbeiten kann. Dieser Ansatz bietet den differenzierten Zugriff, der der PDF-Spezifikation fehlt.
Wenn mehrere Versionen der richtige Ansatz sind
Das Erstellen mehrerer Versionen mit unterschiedlichen Berechtigungen eignet sich gut für wiederkehrende Verteilungsszenarien. Ein monatlicher Finanzbericht, der an Führungskräfte mit Vollzugriff und an Abteilungsleiter mit Nur-Lese-Zugriff verteilt wird, folgt jeden Monat dem gleichen Muster. Erstellen Sie die beiden Versionen einmal, speichern Sie die Berechtigungseinstellungen als Voreinstellung und wenden Sie sie jeden Monat an. Der laufende Aufwand ist minimal.
Mehrere Versionen sorgen zudem für eine klare Prüfungsunterscheidung. Wenn eine schreibgeschützte Version eines Dokuments an einer Stelle angezeigt wird, an der sie nicht angezeigt werden sollte, können Sie nachverfolgen, welche Verteilergruppe diese Version erhalten hat. Diese Rückverfolgbarkeit ist mit einer einzelnen Datei, die durch ein einziges Berechtigungskennwort geschützt ist und von mehreren Gruppen gemeinsam genutzt wird, schwieriger zu erreichen.
Überlegen Sie bei einmaligen Verteilungen, bei denen das Erstellen mehrerer Versionen übertrieben erscheint, ob die Berechtigungsunterscheidung tatsächlich wichtig ist. Wenn es sich bei beiden Gruppen um interne Kollegen handelt, die Informationen ohnehin mündlich austauschen könnten, ist der formale Berechtigungsunterschied möglicherweise weniger wichtig als die Bequemlichkeit einer einzelnen Datei.
Mitteilung von Berechtigungserwartungen an Empfänger
Wenn Sie mehrere Versionen einer PDF-Datei mit unterschiedlichen Berechtigungen verteilen, teilen Sie den Empfängern klar mit, welche Version sie erhalten und warum. Ein kurzer Hinweis, in dem erläutert wird, dass es zwei Versionen des Dokuments gibt, eine mit Vollzugriff und eine mit Nur-Lese-Zugriff, und dass sie die für ihre Rolle geeignete Version erhalten, verhindert Verwirrung und Anfragen nach der anderen Version.
Wenn Empfänger in der schreibgeschützten Gruppe die Vollzugriffsversion anfordern, müssen Sie über einen Prozess zur Bewertung und Genehmigung dieser Anfragen verfügen. Die Erlaubnisunterscheidung sollte ein echtes Geschäftsbedürfnis widerspiegeln und keine willkürliche Klassifizierung. Empfänger, die einen berechtigten Bedarf an Vollzugriff nachweisen können, sollten diesen über das festgelegte Genehmigungsverfahren erhalten.
Einige sichere Dokumentplattformen lösen das Problem des differenzierten Zugriffs, indem sie die PDF-Datei in eine Ebene einschließen, die eine Zugriffskontrolle auf Benutzerebene bietet. Das PDF selbst hat keine Passwörter. Die Plattform authentifiziert jeden Benutzer und stellt eine Version der PDF-Datei mit den für diese Benutzerrolle geeigneten Berechtigungen bereit. Dieser Ansatz ist flexibler als das in PDF integrierte Passwortmodell.
Information Rights Management (IRM)-Systeme von Microsoft und anderen Anbietern bieten eine weitere Schutzebene. Ein IRM-geschütztes Dokument erzwingt Berechtigungen basierend auf der vom Benutzer authentifizierten Identität und nicht auf einem gemeinsamen Passwort. Die Berechtigungen können Einschränkungen beim Anzeigen, Drucken, Kopieren und Weiterleiten umfassen und können nach der Verteilung des Dokuments widerrufen werden.
Berücksichtigen Sie bei der Wahl zwischen mehreren PDF-Versionen und einem plattformbasierten Ansatz die technische Umgebung des Empfängers. Mehrere PDF-Versionen funktionieren für jeden Empfänger mit jedem PDF-Reader. Plattformbasierte Ansätze erfordern, dass der Empfänger Zugriff auf die Plattform hat. Für externe Empfänger, die möglicherweise nicht über den erforderlichen Plattformzugriff verfügen, sind mehrere PDF-Versionen universeller kompatibel.
Dokumentieren Sie die Berechtigungsstrategie als Teil des Dokumentverteilungsdatensatzes. Notieren Sie sich, welche Version an welchen Empfänger gesendet wurde, welche Berechtigungen jede Version hatte und wann sie verteilt wurde. Diese Dokumentation unterstützt Audit-Anforderungen und bietet eine Referenz, wenn Fragen dazu auftreten, wer Zugriff auf welche Version hatte.
Das Berechtigungskennwort in PDF ist im kryptografischen Sinne kein Geheimnis. Es kann mit vielen frei verfügbaren Tools entfernt werden. Das Berechtigungskennwort stellt eine Geschwindigkeitsbegrenzung und keine Sicherheitsbarriere dar. Es verhindert zufällige Änderungen, hindert einen entschlossenen Empfänger jedoch nicht daran, die Einschränkungen aufzuheben. Beim Festlegen von Berechtigungen sollte diese Einschränkung klar verstanden werden.
Für die externe Weitergabe, bei der Sie sicher sein müssen, dass der Empfänger das Dokument nicht ändern oder kopieren kann, bieten digitale Signaturen in Kombination mit Berechtigungskennwörtern eine stärkere Lösung. Die digitale Signatur erkennt jede Änderung und das Berechtigungskennwort macht eine gelegentliche Änderung unpraktisch. Die Kombination ist effektiver als beide Ansätze allein.
Wenn Sie mehrere Versionen mit unterschiedlichen Berechtigungen erstellen, versehen Sie jede Version mit einem Wasserzeichen, um ihre Berechtigungsstufe anzugeben. Eine Version mit dem Wasserzeichen „NUR ANZEIGEN“ macht den Empfängern klar, welche Version sie erhalten haben, und verringert die Anzahl der Anfragen nach der Vollzugriffsversion.
Dokumentverteilungsprotokolle sollten aufzeichnen, welche Version an welchen Empfänger gesendet wurde. Wenn die schreibgeschützte Version verloren geht, identifiziert das Verteilungsprotokoll, welche Empfänger Zugriff auf diese Version hatten. Diese Rückverfolgbarkeit unterstützt die Reaktion auf Vorfälle und zeigt die gebotene Sorgfalt.
Überlegen Sie bei hochsensiblen Dokumenten, ob PDF-Berechtigungen überhaupt ausreichenden Schutz bieten. Ein bestimmter Empfänger kann mithilfe frei verfügbarer Tools Berechtigungskennwörter aus einer PDF-Datei entfernen. Wenn der Inhalt des Dokuments wirklich vertraulich ist, beschränken Sie die Weitergabe an Empfänger, die vertraglich oder gesetzlich zum Schutz des Dokuments verpflichtet sind.
Das PDF-Berechtigungsmodell eignet sich am besten für einfache Szenarien: Ein Dokument ist entweder eingeschränkt oder nicht. Für komplexe Zugriffskontrollanforderungen bietet ein Dokumentenverwaltungssystem mit Berechtigungen auf Benutzerebene die Granularität, die der PDF-Spezifikation fehlt.
Wenn Sie PDFs mit Berechtigungskennwörtern verteilen, testen Sie die Berechtigungen vor dem Senden an einer Kopie. Öffnen Sie die Kopie, versuchen Sie zu drucken, kopieren Sie den Text und bearbeiten Sie ihn. Bestätigen Sie, dass die Einschränkungen wie erwartet funktionieren, bevor das Dokument den Empfänger erreicht.
Wenn beide verwendet werden, sollte sich das Berechtigungskennwort vom Öffnungskennwort unterscheiden. Die Verwendung desselben Passworts für beide Passwörter untergräbt den Zweck zweier separater Passwörter. Das offene Passwort steuert den Zugriff und das Berechtigungspasswort steuert die Nutzung.
Der Ansatz mit Berechtigungskennwörtern funktioniert am besten, wenn die Zielgruppen klar definiert und über die Zeit stabil sind. Wenn sich die Gruppenmitgliedschaft häufig ändert, wird die Verwaltung mehrerer Versionen mühsam. Eine Dokumentenverwaltungsplattform mit Berechtigungen auf Benutzerebene passt sich einfacher an sich ändernde Gruppenmitgliedschaften an.
Bedenken Sie bei per E-Mail verteilten Dokumenten, dass das Dokument durch die E-Mail-Weiterleitung an Empfänger außerhalb der ursprünglichen Zielgruppe gesendet werden kann. Ein Berechtigungskennwort verhindert die Weiterleitung nicht. Es schränkt lediglich ein, was der Empfänger nach Erhalt mit dem Dokument tun kann.
Die Einschränkungen der PDF-Berechtigungen sollten jedem, der für die Dokumentensicherheit verantwortlich ist, klar sein. PDF-Berechtigungen sind eine erste Verteidigungslinie, nicht die einzige. Sie sollten Teil einer umfassenderen Dokumentensicherheitsstrategie sein, die Zugriffskontrolle, Verteilungsverfolgung und Empfängervereinbarungen umfasst.
Die Beschränkung auf einzelne Berechtigungskennwörter in der PDF-Spezifikation wird sich wahrscheinlich nicht ändern, da das Format in seinem Sicherheitsmodell Einfachheit und umfassende Kompatibilität gegenüber Funktionsreichtum priorisiert.
Für die meisten Organisationen besteht der praktische Ansatz für den differenzierten PDF-Zugriff darin, separate Versionen für jede Berechtigungsebene zu erstellen und die Verteilung sorgfältig zu verwalten, anstatt zu versuchen, Berechtigungen auf Benutzerebene innerhalb einer einzigen PDF-Datei zu erreichen.
| Anfahrt | Wie es funktioniert | Vorteile | Kontra |
|---|---|---|---|
| Mehrere PDF-Versionen | Erstellen Sie ein PDF pro Berechtigungsstufe | Funktioniert mit jedem PDF-Reader | Mehrere Dateien zum Verwalten und Verteilen |
| Dokumentenmanagementsystem | Die Plattform erzwingt Berechtigungen pro Benutzer | Granulare Kontrolle; Audit-Trail | Erfordert Zugriff auf die Empfängerplattform |
| Verwaltung von Informationsrechten | IRM schützt Dateien auf Betriebssystemebene | Widerruflich; starker Schutz | Erfordert IRM-Client; komplexer Aufbau |
| Einzelberechtigungskennwort | Ein Passwort für alle eingeschränkten Benutzer | Einfachster Ansatz | Keine Differenzierung auf Benutzerebene |
Versuchen Sie es mit „PDF schützen“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.