Der passwortbasierte PDF-Schutz funktioniert gut, um gelegentliche Betrachter fernzuhalten, hat aber eine grundsätzliche Schwäche: Jeder, der das Passwort kennt, kann die Datei auf jedem Gerät öffnen. Wird das Passwort weitergegeben, weitergegeben oder erraten, verflüchtigt sich der Schutz. Bei Dokumenten, die Geschäftsgeheimnisse, Details zu Fusionen und Übernahmen, Finanzprognosen oder persönlich identifizierbare Informationen enthalten, die den Datenschutzgesetzen unterliegen, sollte die Kenntnis des Passworts nicht ausreichen. Das Dokument sollte nur auf Geräten geöffnet werden, die ausdrücklich autorisiert wurden, und die Autorisierung sollte an einen kryptografischen Berechtigungsnachweis gebunden sein, der nicht so einfach weitergegeben werden kann wie eine Textzeichenfolge.
Die zertifikatbasierte PDF-Verschlüsselung behebt diese Einschränkung, indem sie das gemeinsame Passwort durch Kryptografie mit öffentlichem Schlüssel ersetzt. Das Dokument wird mit dem öffentlichen Schlüssel des Empfängers aus einem digitalen Zertifikat verschlüsselt und kann nur mit dem entsprechenden privaten Schlüssel entschlüsselt werden, der auf dem Gerät des Empfängers gespeichert ist, häufig in einem Hardware-Sicherheitsmodul oder einem sicheren Schlüsselspeicher. Der Benutzer sieht oder gibt nie ein Passwort ein. Sie öffnen einfach die Datei und der PDF-Reader handelt die Entschlüsselung transparent anhand der verfügbaren Zertifikate aus. Dieser Ansatz bietet ein grundsätzlich höheres Maß an Zugriffskontrolle als passwortbasierte Methoden, da der Besitz der Anmeldeinformationen an ein bestimmtes Gerät oder Hardware-Token gebunden ist und nicht an die Kenntnis eines gemeinsamen Geheimnisses.
So funktioniert die zertifikatbasierte PDF-Verschlüsselung
Wenn Sie PDF-Dateien mit zertifikatbasierter Sicherheit schützen, verschlüsselt der PDF-Writer den Inhalt des Dokuments mit einem zufällig generierten symmetrischen Schlüssel, normalerweise AES-256. Dieser symmetrische Schlüssel wird dann für jeden autorisierten Empfänger separat verschlüsselt, wobei der öffentliche Schlüssel des Empfängers aus seinem digitalen Zertifikat verwendet wird. Die verschlüsselten symmetrischen Schlüssel werden zusammen mit dem verschlüsselten Inhalt im Verschlüsselungswörterbuch der PDF-Datei gespeichert. Wenn ein autorisierter Empfänger die Datei öffnet, findet sein PDF-Reader den verschlüsselten symmetrischen Schlüssel, der zu seinem Zertifikat passt, verwendet seinen privaten Schlüssel zum Entschlüsseln und verwendet dann den wiederhergestellten symmetrischen Schlüssel zum Entschlüsseln des Dokumentinhalts.
Ein Bericht über Dokumentensicherheitspraktiken aus dem Jahr 2025 ergab, dass mit Zertifikaten verschlüsselte Dokumente nur 8 Prozent aller verschlüsselten PDFs ausmachten, obwohl sie von Sicherheitsprüfern als deutlich sicherer als passwortbasierte Verschlüsselung eingestuft wurden (Adobe, „Document Cloud Security Report“, 2025). Die Akzeptanzlücke ist größtenteils auf die wahrgenommene Komplexität der Zertifikatsverwaltung zurückzuführen, aber moderne PDF-Tools haben den Prozess so vereinfacht, dass er nicht schwieriger ist als die Einrichtung der E-Mail-Verschlüsselung. Die asymmetrische Kryptografie im Kern dieses Systems bedeutet, dass der Angreifer die verschlüsselte PDF-Datei selbst dann nicht entschlüsseln kann, wenn sie abgefangen wird, ohne Zugriff auf den privaten Schlüssel auf dem autorisierten Gerät zu haben.
Versuchen Sie es mit „PDF schützen“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.
Zertifikatbasierten Schutz einrichten: Was Sie brauchen
Um eine PDF-Datei für den zertifikatbasierten Zugriff zu verschlüsseln, benötigen Sie das digitale Zertifikat des Empfängers, das seinen öffentlichen Schlüssel enthält. Das Zertifikat muss ein X.509-Zertifikat sein, das die Schlüsselnutzungserweiterung für die Verschlüsselung enthält. Die meisten Organisationen stellen diese Zertifikate ihren Mitarbeitern über ihre IT-Abteilung oder über einen verwalteten PKI-Dienst (Public Key Infrastructure) aus. Einzelne Fachleute können persönliche Zertifikate von öffentlichen Zertifizierungsstellen wie DigiCert, GlobalSign oder Sectigo erhalten, typischerweise in Form eines Dokumentsignaturzertifikats, das auch Verschlüsselung unterstützt.
Sie benötigen außerdem ein PDF-Tool, das die zertifikatbasierte Verschlüsselung unterstützt. Nicht alle PDF-Editoren verfügen über diese Funktion. Es ist Standard in Adobe Acrobat Pro und in mehreren Dokumentenverwaltungsplattformen für Unternehmen, fehlt jedoch in den meisten kostenlosen PDF-Tools für Endverbraucher. Wenn Ihre Organisation regelmäßig vertrauliche Dokumente verarbeitet, die einer Gerätebeschränkung unterliegen sollten, stellen Sie sicher, dass die von Ihnen gewählte PDF-Plattform eine Zertifikatverschlüsselung beinhaltet, bevor Sie sie in Ihren Workflow integrieren. Das Digitale Signatur-Zertifikat, das Sie zum Signieren von Dokumenten verwenden, kann häufig als Verschlüsselungszertifikat dienen, sofern es mit der Schlüsselverwendungserweiterung für die Datenverschlüsselung ausgestellt wurde.
Autorisierte Empfänger hinzufügen und verwalten
Beim Verschlüsseln einer PDF-Datei mit zertifikatbasierter Sicherheit geben Sie eine Liste autorisierter Empfänger an, indem Sie deren digitale Zertifikate auswählen. Jedes ausgewählte Zertifikat ermöglicht genau einem Empfänger, genauer gesagt einem privaten Schlüsselinhaber, das Öffnen des Dokuments. Sie können auch unterschiedliche Berechtigungsstufen pro Empfänger festlegen. Beispielsweise könnte ein Empfänger vollständige Berechtigungen zum Anzeigen, Bearbeiten und Drucken des Dokuments haben, während ein anderer Empfänger nur zum Anzeigen und Drucken berechtigt ist. Diese Berechtigungen werden vom PDF-Reader und nicht vom Dateisystem erzwungen, sodass sie mit dem Dokument übertragen werden, unabhängig davon, wo es gespeichert oder weitergeleitet wird.
Ohne ein zentrales Verzeichnis ist die Verwaltung einer großen Empfängerliste über mehrere Dokumente hinweg eine Herausforderung. Unternehmensumgebungen verwenden normalerweise eine LDAP- oder Active Directory-Integration, mit der Sie direkt im Verschlüsselungsdialog nach Zertifikaten anhand des Benutzernamens oder der E-Mail-Adresse suchen können. Wenn Ihre Organisation nicht über diese Integration verfügt, pflegen Sie einen gemeinsamen Zertifikatsspeicher, in dem die aktuellen Zertifikate der Mitarbeiter veröffentlicht und aktualisiert werden, wenn Zertifikate erneuert oder widerrufen werden. Dieser Speicher sollte für jeden zugänglich sein, der Dokumente für die interne Verteilung verschlüsselt, und er sollte aktualisiert werden, wenn sich das Zertifikat eines Mitarbeiters ändert.
Was passiert, wenn ein Zertifikat abläuft oder widerrufen wird?
Digitale Zertifikate haben ein Ablaufdatum, normalerweise ein bis drei Jahre nach Ausstellung. Wenn ein für die PDF-Verschlüsselung verwendetes Zertifikat abläuft, funktioniert der entsprechende private Schlüssel nicht mehr. Ein Empfänger, dessen Zertifikat abgelaufen ist, kann weiterhin Dokumente öffnen, die vor dem Ablaufdatum verschlüsselt wurden, sofern er noch über den privaten Schlüssel verfügt. Das Ablaufdatum beeinflusst, ob das Zertifikat als gültig für die Vertrauensbildung gilt, es deaktiviert jedoch nicht die Entschlüsselungsfunktion.
Bei der Zertifikatssperrung ist die Situation anders. Wenn ein Zertifikat widerrufen wird, beispielsweise weil ein Mitarbeiter das Unternehmen verlassen hat oder ein privater Schlüssel kompromittiert wurde, sollte der Empfänger dieses Zertifikat nicht mehr verwenden können. Allerdings verfügt die Offline-PDF-Verschlüsselung nicht über einen Echtzeitmechanismus zur Überprüfung des Sperrstatus. Die Sperrprüfung hängt von der Konfiguration des PDF-Readers ab und davon, ob er für die Abfrage einer CRL (Certificate Revocation List) oder eines OCSP (Online Certificate Status Protocol)-Responders konfiguriert ist. Wenn das Lesegerät offline ist oder so konfiguriert ist, dass Sperrprüfungen übersprungen werden, kann ein widerrufenes Zertifikat möglicherweise weiterhin zum Öffnen zuvor verschlüsselter Dokumente verwendet werden. Aus diesem Grund sollte die zertifikatbasierte Verschlüsselung für Dokumente, bei denen der Zugriff nach der Sperrung von entscheidender Bedeutung ist, mit anderen Kontrollen kombiniert werden, z. B. dem Ablauf des Dokuments oder einer Ebene zur Verwaltung von Informationsrechten.
Zertifikatbasiert vs. passwortbasiert: Wann jeweils zu verwenden
Die passwortbasierte Verschlüsselung eignet sich für Dokumente, die innerhalb einer vertrauenswürdigen Gruppe geteilt werden, wobei das Passwort über einen separaten Kanal, beispielsweise einen Telefonanruf oder eine verschlüsselte Messaging-App, übermittelt werden kann. Es ist einfach, wird allgemein unterstützt und erfordert nicht, dass die Empfänger über digitale Zertifikate verfügen. Die zertifikatbasierte Verschlüsselung ist die richtige Wahl, wenn die Vertraulichkeit des Dokuments eine Zugriffskontrolle auf Geräteebene erfordert, wenn das Dokument unterschiedliche Berechtigungsstufen für verschiedene Empfänger haben muss oder wenn die Organisation als Nachweis der Zugriffskontrolle einen Prüfpfad darüber benötigt, welche Zertifikate zum Verschlüsseln jedes Dokuments verwendet wurden.
Für ein Höchstmaß an Schutz kombinieren einige Organisationen beide Methoden. Das PDF wird mit zertifikatbasierter Sicherheit für die primär autorisierten Empfänger verschlüsselt und ein separates Passwort wird als Backup-Zugriffsmethode festgelegt, die in einem sicheren Treuhandkonto gespeichert wird. Dieser Ansatz bietet eine starke Zugriffskontrolle der Zertifikatverschlüsselung mit einem dokumentierten Wiederherstellungspfad für den Fall, dass Zertifikate verloren gehen oder ein Empfänger nicht verfügbar ist. Das hinterlegte Passwort sollte in einem separaten zugriffskontrollierten System gespeichert werden, z. B. in einem Tresor für die Verwaltung privilegierter Zugriffe, mit Zugriffsprotokollierung und Genehmigungsanforderungen.
Fehlerbehebung bei Problemen mit der Zertifikatverschlüsselung
Das häufigste Problem bei Empfängern besteht darin, dass ihr PDF-Reader meldet, dass er keine passende digitale ID finden kann. Dies bedeutet, dass der Leser die Zertifikatspeicher des Systems durchsucht hat, einschließlich des Windows-Zertifikatspeichers, des macOS-Schlüsselbunds und des Adobe-Speichers für digitale IDs, und kein Zertifikat gefunden hat, das mit einem der verschlüsselten symmetrischen Schlüssel im Verschlüsselungswörterbuch der PDF-Datei übereinstimmt. Das PDF-Sicherheit-Modell erfordert eine genaue Übereinstimmung zwischen dem zur Verschlüsselung verwendeten Zertifikat und dem zur Entschlüsselung verfügbaren Zertifikat. Die Lösung besteht darin, das richtige Zertifikat in einen der vom Reader durchsuchten Speicher zu importieren. Wenn das Zertifikat des Empfängers seit der Verschlüsselung der PDF-Datei erneuert wurde, verfügt das neue Zertifikat möglicherweise über einen anderen öffentlichen Schlüssel und der Empfänger muss das alte Zertifikat finden, das mit dem bei der Verschlüsselung verwendeten Schlüssel übereinstimmt.
Ein zweites Problem besteht darin, dass der Empfänger die Datei öffnen kann, bestimmte Vorgänge wie das Drucken oder Bearbeiten jedoch blockiert sind. Dies bedeutet, dass die Verschlüsselung mit eingeschränkten Berechtigungen für diesen Empfänger konfiguriert wurde. Der Absender muss das Dokument mit der gewünschten Berechtigungsstufe für diesen Empfänger erneut verschlüsseln. Berechtigungen werden zum Zeitpunkt der Verschlüsselung festgelegt und können nicht geändert werden, ohne das gesamte Dokument erneut zu verschlüsseln. Ein drittes Problem tritt auf, wenn die PDF-Datei in einem Reader geöffnet wird, der die zertifikatbasierte Verschlüsselung überhaupt nicht unterstützt. Viele browserbasierte PDF-Viewer, mobile PDF-Apps und leichte Desktop-Reader unterstützen nur passwortbasierte Sicherheit. Empfänger, die eine zertifikatsverschlüsselte PDF-Datei nicht öffnen können, sollten versuchen, sie in Adobe Acrobat Reader DC oder einem anderen Reader zu öffnen, der die zertifikatbasierte Sicherheit ausdrücklich als unterstützte Funktion auflistet. WukongPDF unterstützt die zertifikatbasierte Verschlüsselung und gibt eine klare Rückmeldung, wenn ein Zertifikat nicht gefunden werden kann, einschließlich der genauen erwarteten Zertifikatsseriennummer, damit Empfänger die richtigen Anmeldeinformationen finden können. Durch die Überprüfung der Leserkompatibilität vor dem Verschlüsseln wichtiger Dateien wird verhindert, dass die beabsichtigten Empfänger das Dokument nicht öffnen können.
Versuchen Sie es mit „PDF schützen“.
Keine Installation erforderlich. Funktioniert direkt in Ihrem Browser.