Geschütztes PDF signieren: Passwort und Änderungssperre

Ein PDF kennt drei verschiedene „Schutzarten“, und sie verhalten sich unterschiedlich. Ein Öffnungspasswort nimmt das Signaturwerkzeug nicht an: Entfernen Sie es zuerst mit dem Ihnen bekannten Passwort, dann signieren Sie. Eine Druck- und Änderungssperre ohne Passwort steht der Signatur nicht im Weg, verschwindet aber aus der signierten Datei, an ihre Stelle tritt die Signatur. Ein Passwort auf eine bereits signierte Datei zu setzen, geht nicht: Das Dokument wird neu zusammengesetzt, und die Signatur geht verloren. Eine fremde elektronische Signatur erhält das Werkzeug ebenfalls nicht, es ist daher für die erste Signatur in einem Dokument gedacht.

Ein Geschäftspartner schickt einen Vertrag und bittet um die unterschriebene Rückgabe. Die Datei fragt entweder beim Öffnen nach einem Passwort, oder sie öffnet sich, aber im Viewer steht ausgegraut „Änderungen nicht erlaubt“, oder im Signaturfenster steht bereits die Signatur von jemand anderem. In jedem der drei Fälle bedeutet das Wort „geschützt“ etwas anderes, und die Signatur wird in jedem Fall anders gesetzt.

Das Werkzeug PDF signieren nimmt eine dieser Dateien sofort an, die zweite erst nach dem Entfernen des Passworts, und mit der dritten verfährt es so, dass Sie es vorher wissen sollten. Gehen wir alle drei durch.

Drei Schutzarten mit einem gemeinsamen Namen

Öffnungspasswort. Die Datei ist verschlüsselt. Ohne Passwort lässt sich keine Seite lesen, und kein Programm, unsere Werkzeuge eingeschlossen, kann Inhalte verarbeiten, die es nicht sieht. Das ist der einzige Schutz, der das Dokument wirklich verschließt.

Nutzungsbeschränkungen. Die Datei öffnet sich sofort, aber der Viewer lässt weder drucken noch Text kopieren noch Änderungen vornehmen. Der Inhalt ist dabei nicht verschlüsselt: Die Einschränkungen sind als Flags hinterlegt, und beachtet werden sie nur von Programmen, die sich daran halten wollen. Ausführlich ist dieser Unterschied im Artikel über das Entfernen des Schutzes von PDF-Dateien beschrieben.

Elektronische Signatur der Gegenseite. Das Dokument ist im technischen Sinn nicht geschützt, aber signiert: Es enthält eine kryptografische Signatur, die die gesamte Datei umfasst. Jede Änderung danach zeigt der Viewer als Verletzung an, und viele Viewer sperren zusätzlich die Bearbeitung, damit die Signatur nicht versehentlich zerbricht.

Die ersten beiden Schutzarten setzt der Absender, um den Zugriff zu steuern. Die dritte entsteht, wenn ein Dokument nacheinander unterschrieben wird. Kurz zusammengefasst, wie sie sich beim Signieren verhalten:

Nun zu jeder Zeile im Einzelnen.

Wie Sie erkennen, welcher Schutz gesetzt ist

Viewer zeigen Schutz auf unterschiedliche Weise an, und dem Dokument sieht man nicht immer an, womit man es zu tun hat.

Ein Öffnungspasswort lässt sich nicht verbergen: Jedes Programm fragt danach, bevor es die erste Seite anzeigt. Hat sich die Datei ohne Nachfrage geöffnet, gibt es keine Verschlüsselung beim Öffnen, auch wenn in der Titelleiste des Fensters „geschützt“ steht.

Nutzungsbeschränkungen fallen nicht überall auf. Desktop-Viewer vermerken die Einschränkungen in den Dokumenteigenschaften und grauen die Schaltflächen für Drucken und Kopieren aus. Die eingebauten Viewer der Browser zeigen oft gar nichts an und drucken die Datei, als wäre nichts, weil die Einschränkungen für sie unverbindlich sind. Am zuverlässigsten erkennen Sie eine Sperre daher in den Dokumenteigenschaften im Abschnitt Sicherheit, nicht durch Ausprobieren der Schaltflächen.

Eine fremde Signatur sehen Sie im Signaturfenster, das der Viewer beim ersten Öffnen einer signierten Datei meist von selbst einblendet. Fehlt das Fenster, öffnen Sie es von Hand; auch die Dokumenteigenschaften vermerken eine Signatur.

Prüfen Sie bei der Gelegenheit, ob die Datei Formularfelder enthält. Geschützte Dokumente von Banken und Portalen erweisen sich nicht selten als Formulare, und für Formulare gilt eine eigene Reihenfolge, dazu weiter unten.

Öffnungspasswort: erst entfernen, dann signieren

Das Signaturwerkzeug weist eine verschlüsselte Datei ab und sagt direkt, was zu tun ist: das Passwort im Entsperrwerkzeug entfernen und die dann geöffnete Datei hochladen. Das ist keine Einschränkung der Oberfläche, sondern eine Eigenschaft der Verschlüsselung: Signiert wird der Inhalt, und verschlüsselter Inhalt ist für das Werkzeug nicht zugänglich.

Die Reihenfolge ist diese. Öffnen Sie PDF entsperren, laden Sie die Datei hoch, geben Sie das Passwort ein, das Ihnen der Absender mitgeteilt hat, und laden Sie das Ergebnis herunter. Das ist dasselbe Dokument ohne Verschlüsselung. Anschließend signieren Sie es wie jede andere Datei.

Ohne Passwort lässt sich nicht signieren. Moderne PDF-Verschlüsselung lässt sich nicht durch Ausprobieren knacken, und Dienste, die „das Passwort ohne Passwort entfernen“, gibt es dafür nicht. Der einzige Weg führt über die Person, die die Datei geschützt hat. Meist rechnet der Absender ohnehin mit der Nachfrage; das Passwort kommt in einer separaten Nachricht.

Es gibt noch einen dritten Ausgang: Das Entsperrwerkzeug meldet kein falsches Passwort, sondern ein nicht unterstütztes Verschlüsselungsverfahren. So sehen Dokumente aus Unternehmenssystemen mit eigenem Schutz aus. Ein Passwort hilft hier nicht, Sie brauchen ein ungeschütztes Exemplar vom Absender.

Änderungssperre: die Signatur kommt, die Beschränkungen gehen

Mit einer Datei, die sich ohne Passwort öffnet, aber Bearbeiten und Drucken verbietet, arbeitet das Signaturwerkzeug sofort. Es muss nichts entfernt werden: Die Beschränkungen verschlüsseln den Inhalt nicht, und das Werkzeug liest das Dokument vollständig.

Wichtig ist, was danach passiert. Das signierte Dokument wird neu zusammengesetzt, und die Beschränkungs-Flags werden nicht übernommen. Die signierte Datei öffnet sich ohne Sperren für Drucken und Kopieren. Das ist kein Mangel: An die Stelle der Bitte „nicht ändern“, der nur folgsame Programme nachkommen, tritt in der Datei nun eine Signatur, die jede Änderung sichtbar macht. Der Schutz vor Änderungen ist stärker geworden, nicht schwächer.

Legt der Absender Wert darauf, dass die Drucksperre auch nach dem Signieren bestehen bleibt, sollten Sie das mit ihm klären, bevor Sie unterschreiben. Die Flags lassen sich nicht zurückbringen, ohne die Signatur zu verlieren, und weiter unten steht, warum.

Warum eine Signatur verlässlicher ist als eine Änderungssperre

Absender setzen eine Änderungssperre, damit der Vertrag unterwegs nicht verändert wird. Die Signatur löst dieselbe Aufgabe, nur auf andere Weise, und den Unterschied sollte man verstehen, um ihn dem Geschäftspartner gelassen erklären zu können.

Eine Änderungssperre ist eine Bitte an das Programm. Sie steht in der Datei, und ein folgsamer Viewer erfüllt sie: Er lässt weder bearbeiten noch drucken noch kopieren. Ein Programm, das die Bitte ignoriert, macht mit der Datei, was es will, und Spuren bleiben keine. Ein so verändertes Dokument unterscheidet sich vom Original durch nichts außer dem Inhalt.

Eine Signatur ist ein Abdruck der Datei. Sie hindert niemanden daran, das Dokument zu ändern, macht aber jede Änderung sichtbar: Der Viewer vergleicht den Inhalt mit dem Abdruck und meldet bei einer Abweichung, dass das Dokument nach dem Signieren verändert wurde. Den Inhalt zu fälschen und dabei eine gültige Signatur zu behalten, ist nicht möglich.

Deshalb schwächt das Verschwinden der Beschränkungen aus der signierten Datei sie nicht. Der Absender wollte, dass der Vertrag nicht unbemerkt verändert wird, und genau das garantiert die Signatur. Das Einzige, was die Signatur nicht tut: Sie verhindert weder Drucken noch Kopieren. Stand die Sperre dafür, ist die Frage nicht mit einer Signatur zu lösen, sondern mit einer Absprache.

Was das Werkzeug setzt und wie es aussieht

Die Signatur besteht aus zwei Teilen. Der sichtbaren Markierung auf der letzten Seite: Name, Grund, Ort und Datum, die Position innerhalb der Seite wählen Sie in der Vorschau. Und der unsichtbaren kryptografischen Signatur, die die gesamte Datei einschließlich der Markierung umfasst.

Drei Textfelder füllen Sie vor dem Signieren aus. Ein leeres Feld wird schlicht nicht gedruckt: Das Werkzeug setzt keine Werte für Sie ein. Den Namen schreiben Sie so, wie er im Vertrag steht. Der Grund beantwortet die Frage, was die Signatur bedeutet: „Abgestimmt“ und „Zur Ausführung freigegeben“ sind verschiedene Dinge. Der Ort ist optional.

Das Zertifikat für die Signatur stellt der Dienst selbst auf den angegebenen Namen aus, und es ist selbstsigniert. Der Viewer zeigt an, dass die Integrität des Dokuments in Ordnung ist, die Identität des Unterzeichners aber nicht von einer vertrauenswürdigen Stelle bestätigt wurde. Für interne Abstimmungen und den Austausch mit Geschäftspartnern, die Sie kennen, reicht das aus. Wo das Gesetz eine qualifizierte elektronische Signatur verlangt, braucht es ein Zertifikat einer akkreditierten Stelle, und das ersetzt ein Online-Werkzeug nicht. Wie die Markierung aufgebaut ist, wo sie hingehört und was bei langen Beschriftungen zu tun ist, erklärt der Artikel über das Unterschreiben von PDFs ohne Drucker und Scanner.

Konnte die kryptografische Signatur aus irgendeinem Grund nicht gesetzt werden, gibt das Werkzeug die Datei mit der sichtbaren Markierung und dem Hinweis zurück, dass sich die Integrität nicht überprüfen lässt. Eine solche Datei sollten Sie erneut signieren und nicht verschicken.

Warum Sie eine Datei nach dem Signieren nicht schützen dürfen

Der häufigste Fehler wirkt logisch: den Vertrag signieren und dann ein Passwort setzen, damit ihn unterwegs niemand liest. Das geht nicht, und der Grund ist technisch.

Die Signatur umfasst die Datei Byte für Byte. Der Passwortschutz in PDF schützen setzt das Dokument neu zusammen und verschlüsselt jeden Datenstrom darin. Danach sind die früheren Bytes nicht mehr in der Datei, und die Signatur verschwindet samt Signaturfeld. Heraus kommt ein Dokument mit Passwort, aber ohne Signatur. Der Viewer zeigt keinen Fehler „Signatur verletzt“ an, er sieht schlicht keine Signatur.

Die umgekehrte Reihenfolge funktioniert ebenfalls nicht: Das Signaturwerkzeug nimmt keine verschlüsselte Datei an.

Daraus folgt eine Regel. Signatur und Öffnungspasswort lassen sich mit diesen Werkzeugen nicht in einer Datei vereinen. Brauchen Sie Integrität, signieren Sie. Brauchen Sie Vertraulichkeit beim Versand, legen Sie das signierte PDF in ein Archiv mit Passwort oder schicken es über einen Kanal, dem Sie vertrauen. Hat der Absender eine verschlüsselte Datei geschickt und erwartet eine verschlüsselte zurück, sprechen Sie das an: Zurückgeben können Sie ihm entweder die signierte Datei ohne Passwort oder ein passwortgeschütztes Archiv, in dem sie liegt.

Wenn das Dokument bereits von der Gegenseite signiert ist

Der Geschäftspartner hat den Vertrag mit seiner elektronischen Signatur versehen und Ihnen geschickt. Naheliegend wäre, die eigene hinzuzufügen und die Datei zurückzuschicken.

Dafür eignet sich das Signaturwerkzeug nicht, und das sollte klar gesagt werden. Es setzt das Dokument neu zusammen, um die sichtbare Markierung aufzubringen, und die Signatur der Gegenseite bleibt dabei nicht erhalten. Das Ergebnis ist eine Datei mit Ihrer Signatur, in der die Signatur des Geschäftspartners nicht mehr existiert. Formal geben Sie ein signiertes Dokument zurück, tatsächlich haben Sie eine fremde Signatur vernichtet.

Das lässt sich leicht prüfen: Öffnen Sie das Signaturfenster in einem beliebigen Viewer vorher und nachher. Stand dort vor dem Signieren eine fremde Signatur und danach nur noch Ihre, ist genau das passiert.

Was Sie stattdessen tun können. Sequenzielles Signieren, bei dem jede weitere Signatur an die Datei angefügt wird, ohne die vorherigen zu überschreiben, beherrschen Systeme für den elektronischen Dokumentenaustausch und Desktop-Programme mit Unterstützung für inkrementelle Signaturen. Gibt es ein solches System nicht, signiert jede Seite ihr eigenes Exemplar derselben Datei, und die Exemplare werden ausgetauscht: zwei Dateien mit je einer Signatur. Oder der Geschäftspartner signiert als Letzter: Sie setzen Ihre Signatur zuerst, schicken die Datei, und er fügt seine in einem System hinzu, das Ihre erhält.

Das Werkzeug ist für die erste Signatur in einem Dokument gedacht. Das sind seine ehrlichen Grenzen.

Wenn der Absender eine geschützte Datei zurückerwartet

Nicht selten schickt ein Geschäftspartner einen Vertrag mit Passwort und bittet, ihn signiert und „in derselben Form“ zurückzusenden. Beide Wünsche lassen sich nicht in einer Datei erfüllen, und das sagt man besser, bevor er die Antwort öffnet.

Schlagen Sie eine von zwei Möglichkeiten vor. Erstens: das signierte PDF ohne Passwort zurückgeben und den Schutz dem Übertragungsweg überlassen, etwa der Firmen-E-Mail oder einem Archiv mit Passwort. Zweitens: die signierte Datei in einem Archiv mit Passwort zurückgeben, das Sie getrennt mitteilen, so wie er Ihnen das Passwort des Dokuments mitgeteilt hat. Für den Empfänger wirkt die zweite Variante vertraut, und die Signatur in der Datei bleibt unversehrt.

Setzen Sie jedenfalls nicht stillschweigend ein Passwort auf die signierte Datei: Der Empfänger sieht ein Dokument mit Passwort und ohne Signatur und geht davon aus, dass Sie nicht unterschrieben haben.

Formulare: vor dem Signieren ausfüllen

Erweist sich die geschützte Datei zusätzlich als Formular mit Feldern, ist die Reihenfolge streng: erst ausfüllen, dann signieren. Ein Ausfüllen nach dem Signieren verändert das Dokument und macht die Signatur ungültig.

Die Felder füllen Sie mit PDF ausfüllen aus. Kam das Formular mit Passwort, entfernen Sie es vor dem Ausfüllen: Das Ausfüllwerkzeug arbeitet ebenso wenig wie das Signaturwerkzeug mit einer verschlüsselten Datei. Prüfen Sie alle Werte, speichern Sie das Ergebnis und signieren Sie erst dann.

Die Reihenfolge für jeden Fall

1. Öffnen Sie die Datei und bestimmen Sie den Schutz. Fragt sie nach einem Passwort: Verschlüsselung. Öffnet sie sich, lässt sich aber nicht drucken: Nutzungsbeschränkungen. Öffnet sie sich und im Signaturfenster steht bereits eine Signatur: von der Gegenseite signiert. 2. Bei Verschlüsselung entfernen Sie das Passwort in PDF entsperren mit dem Passwort vom Absender. Bei Nutzungsbeschränkungen entfernen Sie nichts. Bei einer fremden Signatur halten Sie inne und wählen einen der Wege aus dem vorherigen Abschnitt. 3. Enthält das Dokument Formularfelder, füllen Sie sie aus und speichern Sie. 4. Öffnen Sie PDF signieren, laden Sie die Datei hoch, tragen Sie Name und Grund ein und setzen Sie die Markierung auf der letzten Seite in den Unterschriftenblock. 5. Laden Sie das Ergebnis herunter und öffnen Sie das Signaturfenster: Dort muss Ihre Signatur mit dem Status „Integrität in Ordnung“ stehen. Setzen Sie auf diese Datei kein Passwort.

Wie Sie prüfen, ob alles geklappt hat

Öffnen Sie die signierte Datei in einem Viewer mit Signaturfenster. Darin muss genau eine Signatur stehen, Ihre, mit dem Vermerk, dass das Dokument seit dem Signieren nicht verändert wurde. Der Hinweis auf die nicht bestätigte Identität des Unterzeichners ist bei einem selbstsignierten Zertifikat normal und bedeutet keinen Fehler.

Versuchen Sie, auf einer beliebigen Seite Text zu markieren: Das signierte Dokument ist ein gewöhnliches PDF mit Textebene geblieben, kein Bild.

War die Datei mit einer Drucksperre versehen, vergewissern Sie sich, dass sie sich jetzt drucken lässt: So sehen Sie, dass die Beschränkungen tatsächlich weg sind, und müssen es dem Empfänger nicht im Nachhinein erklären.

Und eine letzte Prüfung vor dem Versand: der Dateiname. Das Werkzeug schlägt einen eigenen vor, der Geschäftspartner erwartet einen wiedererkennbaren. Benennen Sie die Datei so um, dass klar ist, dass es sich um die signierte Fassung handelt.