PDF Security Best Practices: Encryption, Passwords, and Redaction - PDF0.ai

Ich erinnere mich noch an den Anruf, der für immer meine Sicht auf die Sicherheit von PDFs veränderte. Es war 2:47 Uhr an einem Dienstag im März 2019, und ich war der Direktor für Informationssicherheit bei einem mittelgroßen Gesundheitsdienstleister, der Unterlagen für über 340.000 Patienten verwaltete. Unser CISO war am Apparat, seine Stimme erwähnt kontrollierte Panik: "Wir haben ein Problem. Patientendaten. Ausgesetzt. PDFs, von denen wir dachten, sie wären sicher." An diesem Abend lernte ich, dass 23.000 angeblich "passwortgeschützte" PDF-Dateien von Suchmaschinen indexiert worden waren und deren Inhalte für jeden mit einer Internetverbindung vollständig lesbar waren. Die Passwörter? Sie waren da, technisch angewendet, aber so schlecht implementiert, dass sie ebenso gut mit Buntstiften auf die Außenseite des Umschlags geschrieben worden sein könnten.

Dieser Vorfall kostete uns 1,2 Millionen Dollar an Maßnahmen, Regulierungsstrafen und Anwaltsgebühren. Noch wichtiger war, dass er uns das Vertrauen kostete. Aber er lehrte mich etwas Unbezahlbares: PDF-Sicherheit geht nicht nur darum, Häkchen zu setzen oder Funktionen anzuwenden, weil sie existieren. Es geht darum, die tatsächlichen Bedrohungsmodelle, die realen Angriffsszenarien und die manchmal kontraintuitiven Möglichkeiten zu verstehen, wie Sicherheitsfunktionen scheitern können. In den letzten 14 Jahren, in denen ich im Bereich Dokumentensicherheit gearbeitet habe – zuerst im Gesundheitswesen, dann in der Rechtsinformatik und nun als unabhängiger Berater – habe ich jeden denkbaren Fehler gesehen und gelernt, dass der Schutz von PDFs eine grundlegend andere Denkweise erfordert, als die meisten Menschen zur Problemlösung mitbringen.

Die PDF-Sicherheitslandschaft: Warum Ihre Dokumente anfälliger sind, als Sie denken

Beginnen wir mit einer unbequemen Wahrheit: Die durchschnittliche Organisation hat absolut keine Ahnung, wie viele PDFs sensible Informationen enthalten, wo diese PDFs gespeichert sind oder wer Zugriff darauf hat. In einem Audit, das ich 2023 für ein Fortune-500-Finanzdienstleistungsunternehmen durchgeführt habe, entdeckten wir 847.000 PDF-Dateien in ihrem Netzwerk. Davon enthielten 34% personenbezogene Daten (PII), 12% enthalten Finanzdaten, die als wesentliche nichtöffentliche Informationen gelten würden, und 3% enthalten Zugangsdaten oder API-Schlüssel, die Zugriff auf Produktionssysteme gewähren könnten. Der Schocker? Nur 8% der sensiblen PDFs hatten überhaupt Sicherheitskontrollen angewendet.

PDFs sind aus Sicht der Sicherheit einzigartig problematisch, weil sie an der Schnittstelle mehrerer Bedrohungsvektoren existieren. Sie sind Dokumente, also behandeln die Leute sie beiläufig – sie werden per E-Mail versendet, in Cloud-Speicher hochgeladen und über Messaging-Apps geteilt. Aber sie sind auch ausführbare Container, die JavaScript, eingebettete Dateien, Formulare, die Daten übertragen, und Links zu externen Ressourcen enthalten können. Sie sind gleichzeitig zu vertrauenswürdig und nicht vertrauenswürdig genug. Benutzer öffnen ein PDF, ohne einen zweiten Gedanken zu verlieren, verifizieren jedoch nicht unbedingt dessen Authentizität oder prüfen, ob es manipuliert wurde.

Die PDF-Spezifikation selbst ist ein 756-seitiges Dokument (Stand PDF 2.0), und die meisten Entwickler, die PDF-Funktionen implementieren, verstehen vielleicht 15% davon. Das schafft eine riesige Angriffsfläche. Ich habe persönlich PDF-Reader ausgenutzt, indem ich fehlerhafte Objektströme verwendet, Kreuzreferenztabellen manipuliert, um Inhalte zu verbergen, und inkrementelle Updates genutzt, um Dokumente zu erstellen, die je nach dem, welcher Reader sie öffnet, unterschiedliche Inhalte anzeigen. Und ich bin nicht einmal ein besonders raffinierter Angreifer – ich bin ein Verteidiger, der versucht zu verstehen, was möglich ist.

Die Tools, die Menschen zur Erstellung und Sicherung von PDFs verwenden, reichen von unternehmensgerechten Lösungen, die Tausende von Dollar pro Arbeitsplatz kosten, bis hin zu kostenlosen Online-Konvertern, die möglicherweise Ihre Daten ernten. In meiner Erfahrung nutzen etwa 60% der Organisationen mindestens drei verschiedene PDF-Erstellungswerkzeuge, und sie haben selten konsistente Sicherheitsrichtlinien. Eine Abteilung könnte Adobe Acrobat mit ordnungsgemäßer Verschlüsselung verwenden, eine andere verwendet möglicherweise einen PDF-Druckertreiber, der alle Sicherheitsfunktionen entfernt, und eine dritte könnte ein Online-Tool verwenden, das alles auf Server in Rechtsräumen mit fragwürdigen Datenschutzgesetzen hochlädt.

PDF-Verschlüsselung verstehen: Nicht alle Schutzmaßnahmen sind gleich

Wenn die meisten Menschen an PDF-Sicherheit denken, denken sie an Verschlüsselung. Aber "verschlüsseltes PDF" ist so spezifisch wie zu sagen "abgeschlossene Tür" – es gibt viele verschiedene Arten von Schlössern, von denen einige mit einer Büroklammer geöffnet werden können und andere spezielle Schneidewerkzeuge erfordern. Die PDF-Spezifikation unterstützt mehrere Verschlüsselungsalgorithmen, und die Unterschiede zwischen ihnen sind nicht akademisch – sie repräsentieren den Unterschied zwischen tatsächlicher Sicherheit und Sicherheitsillusion.

"PDF-Sicherheit geht nicht nur darum, Häkchen zu setzen oder Funktionen anzuwenden, weil sie existieren – es geht darum, die tatsächlichen Bedrohungsmodelle, die realen Angriffsszenarien und die manchmal kontraintuitiven Möglichkeiten zu verstehen, wie Sicherheitsfunktionen scheitern können."

Die älteste noch verwendete Verschlüsselungsmethode ist RC4 mit 40-Bit-Schlüsseln, die als schwach galt, als sie in den 1990er Jahren eingeführt wurde, und jetzt völlig gebrochen ist. Ich kann ein mit RC4-40 verschlüsseltes PDF in weniger als 30 Sekunden auf meinem Laptop mit frei verfügbaren Tools knacken. Und doch treffe ich diese in freier Wildbahn an, meist erstellt von Altsystemen oder veralteter Software, die in einem Jahrzehnt nicht aktualisiert wurde. In einem denkwürdigen Fall verwendete eine Kanzlei RC4-40-Verschlüsselung für Vergleichsvereinbarungen, weil ihr Dokumentenmanagementsystem von 2004 nichts anderes unterstützte. Sie waren schockiert zu erfahren, dass ihre "sicheren" Dokumente von jedem mit grundlegenden technischen Fähigkeiten geöffnet werden konnten.

Der aktuelle Standard ist die AES-256-Verschlüsselung, die für alles verwendet werden sollte, was tatsächlich sicher sein muss. AES-256 ist derselbe Verschlüsselungsstandard, den die US-Regierung für geheime Informationen bis zur Stufe SECRET verwendet. Wenn richtig implementiert mit einem starken Passwort, ist es mit der aktuellen Technologie praktisch unknackbar – wir sprechen von 2^256 möglichen Schlüsseln, was mehr als die Anzahl der Atome im beobachtbaren Universum ist. Aber hier ist der kritische Satz: "wenn richtig implementiert mit einem starken Passwort."

Das Passwort ist der Punkt, an dem die meisten PDF-Verschlüsselungen in der Praxis versagen. Ich habe tausende von verschlüsselten PDFs analysiert, und die häufigsten Passwörter sind vorhersehbare Muster: "passwort", "123456", der Firmenname, der Dokumentname oder Daten in verschiedenen Formaten. In einem Penetrationstest, den ich letztes Jahr durchgeführt habe, konnte ich 67% der verschlüsselten PDFs mit einem Wörterbuch von nur 10.000 gängigen Passwörtern knacken. Die Verschlüsselung war technisch stark – AES-256 – aber die Passwörter waren so schwach, dass die Verschlüsselung ebenso gut nicht existiert haben könnte.

Es gibt auch einen kritischen Unterschied zwischen Benutzerpasswörtern und Besitzerpasswörtern in PDFs. Ein Benutzerpasswort (auch als offenes Passwort bezeichnet) ist erforderlich, um das Dokument überhaupt zu öffnen. Ein Besitzerpasswort (auch als Berechtigungs-Passwort bezeichnet) steuert, was Sie mit dem Dokument tun können, wenn es geöffnet ist – Drucken, Text kopieren, Bearbeiten usw. Hier liegt das Problem: Besitzerpasswörter sind grundsätzlich gebrochen. Sie verschlüsseln den Inhalt nicht tatsächlich; sie setzen lediglich Flags, die konforme PDF-Reader respektieren. Jeder PDF-Reader, der nicht darauf achtet, konform zu sein, kann diese Einschränkungen einfach ignorieren. Ich kann die Einschränkungen durch Besitzerpasswörter in etwa fünf Sekunden mit einer Vielzahl kostenloser Tools von einem PDF entfernen.

Passwortstrategie: Schutzmaßnahmen, die tatsächlich funktionieren

Wenn Sie Passwortschutz verwenden wollen – und für viele Anwendungsfälle ist es immer noch die praktischste Option –, benötigen Sie eine Passwortstrategie, die sowohl die technischen Gegebenheiten als auch die menschlichen Faktoren berücksichtigt. Ich habe ein Rahmenwerk entwickelt, das ich "kontextuelle Passwortstärke" nenne, das Anforderungen basierend auf der Sensibilität des Inhalts, der Verteilungsmethode und der erwarteten Lebensdauer des Dokuments anpasst.

Für hochsensible Dokumente – alles, was PII, Finanzdaten, Geschäftsgeheimnisse oder regulierte