Kurz gesagt: Ein PDF kennt zwei völlig verschiedene Passwörter. Das Öffnungspasswort verschlüsselt den Inhalt der Datei — ohne es gibt es nichts zu lesen, weder für einen Menschen noch für ein Programm. Das Berechtigungspasswort verschlüsselt nichts; es hinterlegt nur einen Wunsch („nicht drucken", „nicht kopieren"), an den sich ein Programm halten kann, aber nicht muss. Wer ein Dokument wirklich schützen will, setzt ein Öffnungspasswort mit AES-256 und übermittelt es über einen anderen Kanal als die Datei selbst.
Sie sollen einen Arbeitsvertrag, eine Gehaltsabrechnung oder einen Arztbericht per E-Mail weitergeben. Irgendjemand sagt: „Setz ein Passwort drauf." Sie öffnen das erstbeste Werkzeug, tragen etwas in das erste Feld ein, das nach Passwort aussieht — und schicken eine Datei los, die jeder öffnen kann, der sie bekommt.
Das ist keine Nachlässigkeit, sondern eine Folge der PDF-Spezifikation selbst. Sie sieht zwei Passwörter vor, die im Dialogfenster direkt untereinander stehen und grundverschiedene Dinge tun.
Die kurze Antwort
Öffnen Sie das Dokument in einem Werkzeug, das explizit ein Öffnungspasswort (auch: Benutzerpasswort, „Document Open Password") anbietet, wählen Sie AES-256 als Verschlüsselung, vergeben Sie eine lange Passphrase — und schicken Sie diese Passphrase über einen anderen Weg als die Datei: Telefon, SMS, Messenger, persönliches Gespräch.
Alles, was nur „Bearbeiten verhindern", „Drucken verhindern" oder „Berechtigungen einschränken" heißt, ist kein Schutz. Es ist ein Schild am Gartenzaun.
Die zwei Passwörter, die niemand auseinanderhält
Ein verschlüsseltes PDF enthält ein Verschlüsselungswörterbuch. Darin stehen zwei Einträge, aus denen sich der eigentliche Schlüssel für die Datei ableiten lässt. Beide öffnen dasselbe Dokument, aber sie bedeuten Unterschiedliches.
Das Öffnungspasswort (User Password). Ohne dieses Passwort lässt sich der Dateiinhalt nicht entschlüsseln. Die Textströme, die eingebetteten Bilder, die Schriftarten — alles liegt chiffriert vor. Ein Leseprogramm kann die Seiten nicht darstellen, ein Suchindex kann sie nicht lesen, ein Konverter kann nichts extrahieren. Das ist echter, kryptografischer Schutz.
Das Berechtigungspasswort (Owner Password). Es setzt ein Flag-Feld in derselben Struktur: drucken erlaubt ja/nein, Text kopieren ja/nein, Formularfelder ausfüllen ja/nein, Kommentare hinzufügen ja/nein. Der entscheidende Punkt: Ist nur dieses Passwort gesetzt, wird die Datei mit einem leeren Öffnungspasswort verschlüsselt. Jedes Programm kann sie also selbstständig entschlüsseln. Ob es die Flags anschließend respektiert, ist eine reine Höflichkeitsfrage der Software.
Genau deshalb lässt sich ein „nicht druckbares" PDF in vielen Programmen ohne jede Rückfrage drucken, und deshalb kann eine Vorschau-Funktion im Browser den Text eines „kopiergeschützten" Dokuments anzeigen. Es ist kein Fehler und kein Hack — es ist das dokumentierte Verhalten des Formats.
Merksatz: Das Öffnungspasswort schützt vor Lesen. Das Berechtigungspasswort schützt vor gar nichts.
Was das für die Praxis bedeutet
Wer ein Dokument mit personenbezogenen Daten verschickt — Gehaltsdaten, Gesundheitsdaten, Bewerbungsunterlagen, Vertragsentwürfe mit Namen und Adressen — braucht das Öffnungspasswort. Die Berechtigungsflags sind allenfalls eine Bequemlichkeit: Sie verhindern das versehentliche Ausdrucken einer Vorlage, nicht den vorsätzlichen Zugriff.
Wer einer Kundin dagegen nur signalisieren will, dass ein Angebot nicht weiterbearbeitet werden soll, ist mit einem Wasserzeichen ehrlicher bedient als mit einem Flag, das nichts erzwingt. Wie man eines setzt, steht im Beitrag PDF-Wasserzeichen kostenlos hinzufügen.
AES-256, AES-128, RC4: was der Algorithmus ändert
PDF hat drei Verschlüsselungsgenerationen erlebt, und ältere Werkzeuge bieten die alten immer noch an.
RC4 mit 40 Bit. Die erste Fassung. Eine Schlüssellänge von 40 Bit war schon zur Einführung eine politische Größe, keine technische — sie stammt aus den damaligen US-Exportbeschränkungen. Ein solcher Schlüssel lässt sich heute mit gewöhnlicher Rechenleistung durchprobieren, unabhängig davon, wie gut das Passwort ist. Diese Stufe ist keine Verschlüsselung mehr, sondern ein Aufkleber.
RC4 mit 128 Bit. Länger, aber RC4 selbst gilt als gebrochene Stromchiffre und ist aus TLS und anderen modernen Protokollen längst entfernt worden. Nicht mehr verwenden.
AES-128. Solider Blockchiffren-Standard, in PDF ab Version 1.6 verfügbar. Für Alltagsdokumente ausreichend, sofern das Passwort taugt.
AES-256. Der aktuelle Stand, in PDF 2.0 und in der Erweiterung zu PDF 1.7 verankert. Wichtiger als die verdoppelte Schlüssellänge ist die überarbeitete Schlüsselableitung: Sie salzt das Passwort und macht das Durchprobieren pro Versuch spürbar teurer. Das ist der Grund, warum AES-256 nicht nur „mehr Bits" bedeutet, sondern reale Angriffe auf schwache Passwörter deutlich verlangsamt.
Ein Nebeneffekt, den man einplanen sollte: Sehr alte Leseprogramme kennen AES-256 nicht und melden ein beschädigtes Dokument. Wenn Sie an eine Behörde oder an ein Unternehmen mit alter Software liefern, klären Sie vorher, was dort geöffnet werden kann.
Was beim Verschlüsseln technisch passiert
Es hilft zu wissen, was verschlüsselt wird — und was nicht.
Ein PDF ist eine Sammlung nummerierter Objekte: Seiten, Textströme, Bilder, Schriftarten, Anmerkungen. Beim Verschlüsseln bleibt die Objektstruktur selbst erhalten. Ein Programm kann also weiterhin sehen, dass das Dokument aus vierzehn Seiten besteht und wie diese verknüpft sind. Verschlüsselt werden die Zeichenketten und die Datenströme — der eigentliche Inhalt. Genau deshalb funktioniert das Blättern in einem geschützten Dokument technisch, sobald das Passwort eingegeben ist, ohne dass die Datei vorher komplett entpackt werden müsste.
Drei Dinge bleiben in vielen Konstellationen sichtbar, und das überrascht die meisten:
Der Dateiname. Er ist Teil des Dateisystems, nicht des Dokuments. Kuendigung_Mueller_2026.pdf verrät den Inhalt, bevor jemand das Passwort eingibt. Benennen Sie sensible Anhänge neutral.
Die Seitenanzahl und die Dateigröße. Beide lassen sich von außen ablesen und erlauben oft schon eine Vermutung über den Dokumenttyp.
Die XMP-Metadaten, je nach Einstellung. PDF erlaubt es, den Metadatenstrom bewusst unverschlüsselt zu lassen, damit Dokumentenmanagementsysteme ihn indexieren können. Ist das aktiv, stehen Titel, Autor, Erstellungsprogramm und manchmal ein Betreff für jeden lesbar in der Datei. Wenn das für Sie nicht in Frage kommt, entfernen Sie die Metadaten vor dem Verschlüsseln.
Verschlüsselung schützt also den Text, nicht den Kontext. Für eine Kündigung, deren bloße Existenz schon die Information ist, ist das ein Unterschied, der zählt.
Das Passwort ist die eigentliche Schwachstelle
Egal wie gut der Algorithmus ist: Er leitet den Schlüssel aus dem ab, was Sie eintippen. Ein starker Algorithmus mit dem Passwort Firma2026 schützt nichts, weil ein Angreifer nicht den Schlüsselraum durchsucht, sondern eine Wortliste.
Drei Regeln, die tatsächlich helfen:
Länge schlägt Sonderzeichen. Vier zufällig gewählte, zusammenhanglose Wörter sind schwerer zu erraten als ein kurzes Wort mit ersetzten Buchstaben. Zaunkoenig-Bratpfanne-Notiz-Kies ist besser als P@ssw0rt!.
Kein Bezug zum Dokument. Nicht der Nachname des Empfängers, nicht das Aktenzeichen, nicht das Datum. Genau diese Kombinationen probiert ein Angreifer zuerst, weil sie in der Praxis am häufigsten vorkommen.
Kein Passwort, das Sie anderswo verwenden. Ein PDF wandert oft in Postfächer, Archive und Backups, über die Sie keine Kontrolle mehr haben.
Schritt für Schritt
- Legen Sie eine Kopie an. Verschlüsseln Sie nie Ihr einziges Exemplar. Es gibt keine Wiederherstellung, wenn das Passwort verloren geht.
- Bringen Sie das Dokument in den Endzustand. Ausfüllen, unterschreiben, Seiten ordnen, komprimieren — all das gehört vor die Verschlüsselung. Danach ist der Inhalt für Werkzeuge unlesbar.
- Öffnen Sie das Dokument in einem Werkzeug mit Öffnungspasswort. Zum Beispiel PDF mit Passwort schützen. Achten Sie darauf, dass das Feld ausdrücklich das Öffnen betrifft, nicht die Berechtigungen.
- Wählen Sie AES-256, sofern das Werkzeug die Wahl lässt. Ist nur „128 Bit" angeboten, prüfen Sie, ob AES oder RC4 gemeint ist.
- Vergeben Sie eine lange Passphrase und notieren Sie sie sofort in einem Passwortmanager, nicht auf einem Zettel neben dem Bildschirm.
- Speichern Sie die geschützte Datei unter einem neuen Namen, damit Original und Kopie nicht verwechselt werden.
- Testen Sie das Ergebnis in einem zweiten Programm. Schließen Sie das Werkzeug, öffnen Sie die Datei neu. Wird nach dem Passwort gefragt, hat es funktioniert. Öffnet sie sich direkt, haben Sie nur Berechtigungen gesetzt.
- Übermitteln Sie das Passwort getrennt. Nicht in derselben E-Mail, nicht im Anhangnamen, nicht in der Signatur.
Die Methoden im Vergleich
| Methode | Öffnungspasswort | AES-256 wählbar | Ohne Installation | Mehrere Dateien in einem Durchgang |
|---|---|---|---|---|
| Browser-Werkzeug | Ja | Ja | Ja | Teilweise |
| macOS Vorschau (Exportieren) | Ja | Nein, feste Stufe | Ja, vorinstalliert | Nein |
| Microsoft Word (PDF-Export) | Ja | Nein, feste Stufe | Nein | Nein |
| LibreOffice (PDF-Export) | Ja | Teilweise, versionsabhängig | Nein | Nein |
| Kommandozeile (qpdf) | Ja | Ja | Nein | Ja, per Skript |
| ZIP-Archiv mit Passwort | Ja, aber für das Archiv | Ja, je nach Programm | Nein | Ja |
Die letzte Zeile verdient eine Anmerkung. Ein passwortgeschütztes ZIP schützt das Archiv, nicht das PDF. Sobald jemand entpackt hat, liegt eine ungeschützte Datei auf der Festplatte, die sich unbemerkt weiterreichen lässt. Für den Transport ist das brauchbar, für die Ablage nicht.
macOS und Windows im Detail
macOS. Öffnen Sie das PDF in der Vorschau, dann Ablage → Exportieren, Haken bei Verschlüsseln setzen, Passwort zweimal eingeben. Das Ergebnis ist ein Öffnungspasswort. Die Verschlüsselungsstufe lässt sich nicht auswählen; Sie bekommen, was das System vorgibt. Für Alltagsdokumente reicht das, für hochsensible Unterlagen würde ich ein Werkzeug wählen, bei dem AES-256 sichtbar ausgewiesen ist.
Windows. Der Explorer und die Edge-PDF-Anzeige bieten keine Verschlüsselung. Wer Word besitzt, kann beim Speichern als PDF unter Optionen ein Passwort zum Öffnen des Dokuments vergeben. Wer die Quelldatei nicht mehr hat, braucht ein eigenständiges Werkzeug — ein Browser-Werkzeug ist hier der kürzeste Weg.
Kommandozeile. qpdf ist der Standard für wiederkehrende Abläufe. Es setzt Öffnungs- und Berechtigungspasswort getrennt und lässt die Verschlüsselungsstufe explizit wählen, was die Verwechslungsgefahr ausschließt. Der Preis ist die Einarbeitung — und die Gefahr, mit einem falschen Parameter einen ganzen Ordner zu überschreiben. Immer an einer Kopie testen.
DSGVO: Verschlüsselung ist eine Maßnahme, kein Freibrief
Artikel 32 DSGVO nennt Verschlüsselung ausdrücklich als geeignete technische Maßnahme zum Schutz personenbezogener Daten. Für den Versand von Gehaltsabrechnungen, Bewerbungsunterlagen oder Gesundheitsdaten per E-Mail ist ein Öffnungspasswort deshalb nicht bloß guter Stil, sondern der naheliegende Weg, den Stand der Technik einzuhalten.
Zwei Punkte werden dabei regelmäßig übersehen.
Der Kanal für das Passwort. Wenn Passwort und Datei in derselben E-Mail liegen, ist die Maßnahme wirkungslos — wer die Nachricht abfängt, hat beides. Der zweite Kanal ist kein bürokratisches Detail, sondern das, was den Schutz überhaupt erst herstellt.
Das Werkzeug selbst. Verarbeitet ein Online-Dienst Ihre Datei auf einem fremden Server, ist er in der Regel Auftragsverarbeiter im Sinne von Artikel 28 DSGVO. Für den geschäftlichen Einsatz brauchen Sie dann einen Auftragsverarbeitungsvertrag und sollten wissen, wo der Serverstandort liegt und wie lange Dateien gespeichert werden. Werkzeuge, die die Verschlüsselung im Browser durchführen, umgehen diese Frage weitgehend, weil die Datei den Rechner nicht verlässt. Prüfen Sie das aber, statt es anzunehmen: Ein Werkzeug, das nicht sagt, wo es rechnet, rechnet vermutlich nicht bei Ihnen.
Grenzfälle
Das Dokument ist bereits unterschrieben. Eine kryptografische Signatur bezieht sich auf den Zustand der Datei. Nachträgliches Verschlüsseln ändert die Datei und kann die Signaturprüfung stören. Reihenfolge: erst unterschreiben, dann verschlüsseln — und anschließend prüfen, ob die Signatur beim Empfänger noch als gültig angezeigt wird. Zur Signatur selbst siehe PDF unterschreiben kostenlos.
Das Dokument soll archiviert werden. PDF/A ist auf Langzeitlesbarkeit ausgelegt und schließt Verschlüsselung aus — ein Archivexemplar, das ohne Passwort nicht mehr zu öffnen ist, wäre in zwanzig Jahren wertlos. Archivieren Sie das unverschlüsselte Original in einem geschützten Ablagesystem und verschlüsseln Sie nur die Kopie, die das Haus verlässt.
Das Dokument enthält Formularfelder. Ein Öffnungspasswort verhindert nicht das Ausfüllen; der Empfänger gibt das Passwort ein und arbeitet weiter. Wenn Sie ausfüllbare Formulare verteilen, ist das genau richtig. Wie man solche Felder anlegt, steht in PDF ausfüllen kostenlos.
Sie haben nur das Berechtigungspasswort und wollen es loswerden. Ein Dokument, das sich ohne Nachfrage öffnet, aber Bearbeitung blockiert, lässt sich mit PDF-Passwort entfernen bereinigen — sofern Sie berechtigt sind, es zu entsperren.
Sie haben das Öffnungspasswort vergessen. Dann ist die Datei verloren. Es gibt keine Hintertür, keine Wiederherstellungsfrage, keinen Support, der aufschließt. Genau das ist der Zweck. Deshalb Schritt 1: Kopie behalten.
Sehr große oder gescannte Dokumente. Verschlüsseln Sie nach der Komprimierung, nicht davor. Ein verschlüsseltes PDF lässt sich von Komprimierungswerkzeugen nicht mehr sinnvoll verarbeiten, weil die Bildströme unlesbar sind. Die passende Reihenfolge steht in PDF komprimieren kostenlos.
Viele Dokumente auf einmal
Wer monatlich dreißig Gehaltsabrechnungen verschickt, will nicht dreißig Mal denselben Dialog bedienen. Für wiederkehrende Abläufe gibt es zwei sinnvolle Wege.
Ein Skript über die Kommandozeile. qpdf verarbeitet einen ganzen Ordner in einer Schleife und setzt für jede Datei ein eigenes Passwort, wenn Sie eine Liste mitgeben. Das ist der einzige Weg, bei dem jede Empfängerin ein individuelles Passwort bekommt, ohne dass es in Handarbeit ausartet.
Ein Werkzeug mit Mehrfachauswahl. Schneller einzurichten, aber die meisten setzen dann dasselbe Passwort für alle Dateien. Das ist für interne Verteilung akzeptabel und für personenbezogene Dokumente nicht: Wer eine Abrechnung öffnen kann, kann alle öffnen.
Ein häufig übersehener Zwischenweg: Wenn die Dokumente aus einer Quelle stammen — einem Tabellenserienbrief, einem Lohnprogramm —, prüfen Sie, ob das erzeugende System die Verschlüsselung schon beim Export übernehmen kann. Das erspart einen ganzen Verarbeitungsschritt und damit eine ganze Fehlerquelle.
Auf dem Handy
Auf iOS lässt sich ein PDF in der Dateien-App über das Teilen-Menü sperren; das Gerät vergibt dabei ein Öffnungspasswort. Der Weg ist kurz, aber die Verschlüsselungsstufe ist nicht wählbar, und es gibt keine Rückmeldung darüber, welche verwendet wurde.
Auf Android hängt es vom Hersteller ab; eine systemweite Funktion wie unter iOS gibt es nicht. Der zuverlässigste Weg auf beiden Systemen ist ein Browser-Werkzeug, das auch auf dem Telefon bedienbar ist — vor allem, weil Sie dort sehen, welche Verschlüsselung gesetzt wird.
Ein Hinweis für unterwegs: Die Passwortabfrage lässt sich auf dem Handy leicht mit der Frage nach dem Gerätecode verwechseln. Testen Sie ein geschütztes Dokument einmal auf dem Zielgerätetyp, bevor Sie es an fünfzig Personen schicken.
Häufige Fehler
Nur die Berechtigungen setzen. Der mit Abstand häufigste Fall. Das Dokument öffnet sich beim Empfänger sofort, und alle Beteiligten glauben, es sei geschützt. Testen Sie immer: Datei schließen, neu öffnen, auf die Passwortabfrage warten.
Passwort und Datei in derselben Nachricht. Hebt den Schutz vollständig auf und wird bei jeder Prüfung beanstandet.
Die Kalendersystematik. Meier_2026, das Geburtsdatum, die Kundennummer — Passwörter, die sich aus dem Dokument selbst ableiten lassen, sind für einen Angreifer geschenkt.
Verschlüsseln, bevor das Dokument fertig ist. Danach kann kein Werkzeug mehr komprimieren, keine Texterkennung mehr laufen, keine Seite mehr eingefügt werden, ohne dass Sie erst wieder entschlüsseln.
Schwärzen mit einem Passwort verwechseln. Ein Passwort schützt die ganze Datei vor Unbefugten. Es entfernt keine einzige Information für die Befugten. Wer eine Bankverbindung aus einem Vertrag nehmen will, muss sie tatsächlich entfernen — ein schwarzes Rechteck darüber ist nur ein Rechteck, und der Text darunter bleibt kopierbar.
Die Datei mit demselben Passwort an dreißig Empfänger schicken. Ein Passwort, das dreißig Menschen kennen, ist kein Geheimnis mehr. Für breitere Verteilung ist ein Zugriffslink mit Ablaufdatum das ehrlichere Mittel.
Was ein Passwort nicht leistet
Ein Öffnungspasswort schützt die Datei auf dem Transportweg und in fremden Postfächern. Es schützt nicht davor, dass jemand, der das Passwort kennt, das Dokument entschlüsselt speichert und weitergibt. Es verhindert keine Screenshots, keine Abfotografie des Bildschirms, kein Vorlesen am Telefon.
Wer über diese Grenze hinaus Kontrolle braucht — nachverfolgen, wer wann geöffnet hat, Zugriff später entziehen —, braucht kein stärkeres Passwort, sondern ein anderes Modell: ein Dokument, das hinter einem Zugriffslink liegt statt als Anhang zu wandern. Das ist eine organisatorische Entscheidung, keine Einstellung im Exportdialog.
FAQ
Was ist der Unterschied zwischen Öffnungspasswort und Berechtigungspasswort? Das Öffnungspasswort verschlüsselt den Inhalt: Ohne es lässt sich das Dokument nicht darstellen. Das Berechtigungspasswort setzt nur Flags wie „nicht drucken", die eine Software beachten kann, aber nicht muss. Ist ausschließlich ein Berechtigungspasswort gesetzt, wird die Datei mit leerem Öffnungspasswort verschlüsselt und öffnet sich überall ohne Rückfrage.
Kann ich ein PDF kostenlos verschlüsseln?
Ja. Browser-Werkzeuge wie PDF mit Passwort schützen setzen ein Öffnungspasswort ohne Konto, macOS bringt die Funktion in der Vorschau mit, und qpdf ist quelloffen. Was beim Export gegebenenfalls markiert wird, steht in der Preisübersicht.
Ist AES-256 wirklich nötig, oder reicht 128 Bit? Für Alltagsdokumente reicht AES-128. Bei Gesundheits-, Personal- oder Finanzdaten würde ich AES-256 nehmen, weniger wegen der Schlüssellänge als wegen der besseren Schlüsselableitung, die das Durchprobieren schwacher Passwörter verlangsamt. Wovon Sie in jedem Fall die Finger lassen sollten, ist RC4 — gleich welcher Länge.
Kann ich ein Passwort wieder entfernen? Ja, wenn Sie es kennen: entschlüsseln, neu speichern. Ohne Passwort geht es nicht, und das ist kein Mangel, sondern der Sinn der Sache. Für Dokumente, bei denen nur Berechtigungen gesetzt sind, gibt es PDF-Passwort entfernen.
Reicht ein Passwort, um die DSGVO einzuhalten? Es ist eine der in Artikel 32 genannten Maßnahmen, aber kein Selbstläufer. Entscheidend sind die Begleitumstände: getrennter Übertragungsweg für das Passwort, ausreichende Passwortstärke, und bei Online-Werkzeugen die Frage nach Auftragsverarbeitung, Serverstandort und Löschfristen.
Warum lässt sich mein „kopiergeschütztes" PDF trotzdem markieren? Weil der Kopierschutz nur ein Flag ist. Das Programm, das Sie verwenden, hält sich daran; ein anderes tut es nicht. Wenn der Text niemand außer den Empfängern sehen soll, brauchen Sie ein Öffnungspasswort — oder Sie müssen den Text aus dem Dokument entfernen.
Los geht's
Kopie anlegen, Dokument fertigstellen, Öffnungspasswort mit AES-256 setzen, in einem zweiten Programm gegentesten, Passwort über einen anderen Kanal schicken. Fünf Schritte, die den Unterschied zwischen echtem Schutz und einem Aufkleber ausmachen.
→ PDF mit Passwort schützen · PDF-Passwort entfernen · PDF unterschreiben · PDF komprimieren
Auch lesenswert: