Passwort aus geschütztem PDF entfernen

PDF-Schutz: was er tatsächlich schützt

Die Wendung „den Schutz einer PDF entfernen“ klingt in jedem Zusammenhang gleich verdächtig, meint aber zwei grundverschiedene Vorgänge. Der eine ist ohne Passwort unmöglich, der andere braucht überhaupt keines. Der Unterschied stammt aus dem Aufbau des Formats.

Verschlüsselung gegen Bitte

Eine PDF sieht zwei voneinander unabhängige Mechanismen vor, und sie zu verwechseln ist die Quelle fast aller falschen Erwartungen.

Der erste Mechanismus ist echte Kryptografie. Beim Schützen kommt AES-256 zum Einsatz, derselbe Algorithmus, der Bankkanäle sichert. Die Datei besteht physisch aus verschlüsselten Bytes, und ohne Passwort lässt sich weder Text noch Bild aus ihr holen.

Der zweite Mechanismus beruht auf einem grundlegend anderen Prinzip. Der Inhalt ist nicht verschlüsselt, er liegt offen in der Datei. Daneben steht ein Hinweis der Art „dieses Dokument sollte nicht gedruckt werden“. Ein gutwilliges Programm beachtet den Hinweis und blendet die Druckschaltfläche aus. Ein böswilliges ignoriert ihn, denn technisch steht nichts im Weg.

Das Schutzwerkzeug sagt es deutlich: wählt man ein Profil mit Einschränkungen, hängt dem Ergebnis eine Warnung an, dass die Verschlüsselung echt ist, die Rechteeinschränkungen dagegen empfehlenden Charakter haben und nur von kompatiblen Lesern beachtet werden.

Ein leeres Passwortfeld hebt die Rechte auf

Daraus folgt eine praktische Konsequenz, die seltsam aussieht, bis man die Mechanik kennt.

Ein Dokument, das nur Zugriffseinschränkungen trägt, öffnet ohne Passwort. Also ist sein Inhalt verfügbar, und das Dokument lässt sich ohne jeden Schlüssel neu aufbauen. Genau das geschieht: unlock-pdf mit leerem Passwortfeld gibt dasselbe Dokument ohne die Einschränkungskennzeichen zurück.

Es ist nichts einzutippen. Laden Sie die Datei hoch und starten Sie den Auftrag.

Das ist weder ein Knacken noch ein Umgehen der Verschlüsselung, denn Verschlüsselung war dort keine. Es ist der Neuaufbau eines Dokuments, dessen Inhalt ohnehin offen lag.

Wie Sie den Schutz entfernen

1. Klären Sie, welcher Schutz vorliegt: versuchen Sie die Datei zu öffnen. Fragt sie nach einem Passwort, ist es Verschlüsselung. Öffnet sie sofort, lässt sich aber nicht drucken, sind es Rechte. 2. Öffnen Sie unlock-pdf und laden Sie das Dokument hoch. 3. Bei Verschlüsselung tippen Sie das Passwort. Bei Rechten lassen Sie das Feld leer. 4. Starten Sie den Auftrag und laden Sie das Ergebnis herunter. 5. Prüfen Sie: die Datei sollte ohne Abfrage öffnen, Drucken und Kopieren sollten gehen.

Die zweite Hälfte von Schritt eins prüft man besser durch echtes Drucken als nach Augenmaß: manche Programme verstecken Einschränkungen so tief, dass man erst beim Druckbefehl davon erfährt.

Zwei Passwortfelder und wozu das zweite dient

Unter den Parametern stehen ein Hauptpasswort und ein Ersatzpasswort. Sie werden in einem Lauf nacheinander probiert.

Der Zweck ist eng, aber praktisch. Organisationen, die geschützte Dokumente versenden, verwenden meist eine von zwei Passwortregeln, und welche für eine konkrete Datei gilt, weiß man vorher nicht. Statt zweier Versuche macht man einen.

Die Reihenfolge spielt keine Rolle: es greift das, was passt.

Das Besitzerpasswort, das Sie nie gesehen haben

Eine eigene Falle entsteht auf der Schutzseite und zeigt sich später.

Beim Schützen über protect-pdf wird das Öffnungspasswort eingetragen, und es ist Pflicht. Das Feld für das Besitzerpasswort darf leer bleiben, und die meisten lassen es leer.

Ein leeres Feld bedeutet nicht „kein Besitzerpasswort“. Dort landet ein Zufallswert, der nirgends angezeigt und nirgends gespeichert wird. Das Dokument öffnet danach mit Ihrem Passwort, doch seine Zugriffseinschränkungen lassen sich nicht mehr aufheben: dafür braucht es das Besitzerpasswort, und niemand kennt es.

Praktischer Schluss: rechnen Sie damit, dass die Einschränkungen eines Tages abgenommen werden müssen, setzen Sie das Besitzerpasswort selbst und bewahren Sie es neben dem Hauptpasswort auf.

Drei Rechteprofile und was jedes erlaubt

Wenn Sie Schutz setzen statt entfernen, läuft die Wahl auf drei Profile hinaus, die sich in den erlaubten Handlungen unterscheiden.

Das dritte, strengste, ist voreingestellt. Für ein Dokument, das nach außen geht, ist das ein sinnvoller Wert, für eines, das der Empfänger verarbeiten soll, ein unbequemer: das Verbot der Textentnahme blockiert nicht nur das Kopieren von Hand, sondern auch Systeme, die den Inhalt zur Prüfung lesen müssen.

Vollen Zugriff wählt man, wenn das Passwort genau einem Zweck dient, nämlich Fremde vom Öffnen abzuhalten. Nach der Eingabe bleiben keine Einschränkungen, und es kommt auch keine Warnung über empfehlenden Charakter: es gibt nichts einzuschränken.

Was sich nicht umgehen lässt

Ein Öffnungspasswort lässt sich nicht erraten, und das nimmt man besser sofort hin.

Für AES-256 gibt es keinen praktisch durchführbaren Angriff durch Ausprobieren. Es geht nicht darum, dass es lange dauert, sondern darum, dass die Zeit nicht reicht. Dienste, die „ein PDF-Passwort wiederherstellen“, gibt es für moderne Verschlüsselung nicht.

Es gibt einen zweiten Fall, in dem selbst das richtige Passwort machtlos ist. Manche Firmensysteme verschlüsseln Dokumente mit nicht standardisierten Verfahren: einem eigenen Sicherheitshandler, einer seltenen Version des Algorithmus. Die Meldung unterscheidet sich dann im Sinn und spricht von nicht unterstützter Verschlüsselung statt von einem falschen Passwort. Probieren nützt nichts: die Prüfung erreicht das Passwort nie.

In beiden Fällen gibt es einen Ausweg: sich an die ausstellende Stelle wenden.

Wann das Entfernen des Schutzes angemessen ist

Die technische Antwort der vorigen Abschnitte erledigt die inhaltliche Frage nicht.

Zugriffseinschränkungen aufzuheben ist angemessen, wenn das Dokument Ihnen gehört oder Ihnen zur Arbeit überlassen wurde: ein Kontoauszug für einen Antrag, ein Bericht eines Dienstleisters, aus dem eine Tabelle zu zitieren ist, eine Anleitung, die gedruckt werden soll. Ein Druckverbot landet auf solchen Dokumenten weit häufiger per Vorlage als per Entscheidung.

Unangemessen ist es dort, wo die Einschränkung den Willen des Rechteinhabers ausdrückt: bezahlte Materialien, lizenzierte Dokumente, alles, was Sie unter der ausdrücklichen Bedingung erhalten haben, es nicht weiterzugeben. Technisch unterscheidet das Werkzeug die beiden Fälle nicht; ein Mensch tut es.

Was nach dem Entfernen des Schutzes in der Datei bleibt

Das entschlüsselte Dokument behält alles Übrige unverändert: die Textebene, die Lesezeichen, die Dokumenteigenschaften, Seitenzahl und Reihenfolge.

Die Eigenschaften verdienen einen eigenen Blick. Geschützte Dokumente tragen dort regelmäßig technische Angaben des ausstellenden Systems: eine Auftragskennung, einen internen Vorlagennamen, mitunter Empfängerdaten. Reist die Datei weiter, gehen diese Felder über set-pdf-metadata heraus.

Und eine letzte Bemerkung zur Reihenfolge: das Entfernen des Schutzes ist der erste Schritt, vor allem anderen. Weder Kompression über compress-pdf noch Zusammenführen über merge-pdf arbeitet an einer verschlüsselten Datei, und jeder solche Auftrag hält mit der Passwortabfrage an.