Große PDFs sicher teilen: verschlüsselter PDF-Versand

Um eine große PDF sicher zu teilen, kombinieren Sie zwei Schutzebenen: Verschlüsselung der PDF selbst (AES-256 über Acrobat, Preview oder qpdf) und Verschlüsselung beim Transfer (Ende-zu-Ende-verschlüsselte Dienste wie HexaTransfer). E-Mail-Anhänge stoßen bei rund 25 MB an die Grenze und geben Metadaten preis. Google Drive und Dropbox verschlüsseln beim Transfer, können aber im Ruhezustand entschlüsseln. Für Verträge, Krankenakten und Finanzunterlagen zählt die Kombination beider Ebenen mehr als jede einzelne für sich.

Warum PDFs überhaupt groß werden

Die meisten „großen" PDFs sind Scans. Ein 20-seitiger Scan bei 600 DPI ohne OCR kann 50–200 MB groß sein. Vektorbasiert exportierte PDFs (aus Word, Pages, InDesign) liegen selbst bei 100+ Seiten meist unter 5 MB. Häufige Übeltäter:

• Ganzseitige Scans als Bilder innerhalb einer PDF-Hülle statt als Text.
• Duplizierte eingebettete Schriften aus zusammengeführten PDFs.
• Hochauflösende Bilder (Produktkataloge, Jahresberichte) ohne Downsampling.
• Versteckte Ebenen und Anmerkungen aus Acrobat, die nie reduziert wurden.

Bevor Sie verschlüsseln und hochladen, führen Sie einen „Dateigröße verringern"-Durchlauf in Acrobat oder gs (Ghostscript) mit -dPDFSETTINGS=/ebook aus. Ein 120-MB-Scan schrumpft damit oft auf 15 MB ohne sichtbaren Qualitätsverlust.

Zwei Verschlüsselungsebenen einfach erklärt

Ebene 1 — PDF-Verschlüsselung. Die PDF selbst wird mit einem Passwort verschlüsselt. Öffnen erfordert das Passwort. Acrobat Pro, macOS Preview, LibreOffice und qpdf können alle AES-256-Verschlüsselung auf eine PDF anwenden. Das schützt die Datei auch nach dem Download, selbst wenn der Empfänger sie weiterleitet.

Ebene 2 — Transfer-Verschlüsselung. Der Upload- und Download-Kanal nutzt TLS und idealerweise Ende-zu-Ende-Verschlüsselung, sodass der Transfer-Anbieter die PDF weder beim Übertragen noch auf seinen Servern lesen kann.

Nur Ebene 1: Der Empfänger erhält eine passwortgeschützte PDF, aber der Transfer-Anbieter hat sie unverschlüsselt gesehen. Nur Ebene 2: Der Transfer ist privat, aber die heruntergeladene PDF liegt ungeschützt auf dem Laptop des Empfängers. Nutzen Sie beide, wenn es darauf ankommt.

AES-256-Passwortschutz zu einer PDF hinzufügen

macOS Preview: Ablage > Exportieren > „Verschlüsseln" ankreuzen > Passwort setzen. Aktuelle Versionen nutzen AES-256.

Adobe Acrobat Pro: Werkzeuge > Schützen > Verschlüsseln > Mit Passwort verschlüsseln > „256-Bit AES" wählen.

qpdf (Kommandozeile, kostenlos, plattformübergreifend):

qpdf --encrypt userpass ownerpass 256 -- input.pdf output.pdf

Ersetzen Sie userpass durch das Öffnungs-Passwort und ownerpass durch das Berechtigungs-Passwort. Halten Sie beide unterschiedlich für feinere Kontrolle.

LibreOffice: Datei > Exportieren als > Als PDF exportieren > Sicherheitsreiter > „Mit Passwort verschlüsseln".

Vermeiden Sie die alte 128-Bit-RC4-Option, die manche Tools noch als Standard anbieten — sie ist gebrochen und durch kommerzielle Passwort-Recovery-Tools knackbar.

Passwort-Übermittlung — der Link trägt es nicht

Die Grundregel des Passwortschutzes: Senden Sie das Passwort nicht über denselben Kanal wie die Datei. Wenn Sie die PDF per E-Mail schicken und das Passwort ebenfalls, hat jeder, der die E-Mail abfängt, beides. Nutzen Sie zwei Kanäle:

• PDF-Link per E-Mail, Passwort per SMS.
• PDF-Link über HexaTransfer, Passwort über eine Signal-Nachricht.
• PDF-Link über Slack, Passwort telefonisch mitgeteilt.

Für einmalige Empfänger ist ein temporärer Passwort-Generator (1Password, Bitwarden) besser als ein einprägsamer Ausdruck.

Kostenlose Dienste für große verschlüsselte PDFs

| Dienst | Max. Größe | Transfer-Verschlüsselung | Server-Ruhezustand | |---|---|---|---| | HexaTransfer | 10 GB | Ende-zu-Ende (AES-256-GCM) | Verschlüsselt, Schlüssel nicht auf Server | | WeTransfer | 2 GB kostenlos | TLS 1.3 | Server kann entschlüsseln | | Tresorit Send | 5 GB kostenlos | Ende-zu-Ende | Verschlüsselt | | Firefox Send | 2020 eingestellt | — | — | | Proton Drive Share | 1 GB kostenlos | Ende-zu-Ende | Verschlüsselt | | Dropbox Transfer | 100 MB kostenlos | TLS | Server kann entschlüsseln |

Für eine sensible 200-MB-PDF (etwa ein Ärztebericht oder ein unterzeichneter Vertrag) liefern HexaTransfer oder Tresorit Send echte E2E-Verschlüsselung. WeTransfer ist praktisch, aber für regulierte Daten nicht geeignet.

PDF-Metadaten, die Informationen preisgeben

Eine PDF enthält Metadaten, die Sie möglicherweise nicht weitergeben möchten: Autorenname, verwendete Software, Erstellungsdatum, Revisionshistorie und manchmal den vollständigen Pfad der Originaldatei. Vor dem externen Versand:

• Acrobat: Datei > Eigenschaften > Beschreibung > Autor/Schlüsselwörter leeren.
• exiftool: exiftool -all= document.pdf entfernt alle Metadaten.
• „Versteckte Informationen entfernen" (Acrobat Pro) erfasst Anmerkungen, Lesezeichen, Formulardaten und eingebettete Dateien.

Eine Anwaltskanzlei, die einen Vertragsentwurf extern sendet, mit dem Firmennamen des Empfängers im Dateinamen und dem bearbeitenden Anwalt in den Metadaten, gibt mehr preis als beabsichtigt.

Signierte PDFs und Manipulationsnachweis

Wenn die PDF ein rechtliches Dokument mit digitaler Signatur ist (PAdES gemäß ETSI EN 319 142), bricht die Passwort-Verschlüsselung die Signatur nach dem Unterzeichnen nicht — aber das Hinzufügen von Seiten oder Anmerkungen schon. Zuerst unterzeichnen, zuletzt verschlüsseln. Der Empfänger prüft die Signatur in Acrobats Signaturbereich gegen das Zertifikat des Unterzeichnenden, das an eine vertrauenswürdige CA (z. B. DocuSign, Adobe Approved Trust List) kettet.

DSGVO- und HIPAA-Kontext beim PDF-Versand

Gemäß DSGVO Artikel 32 müssen Verantwortliche „geeignete technische Maßnahmen" einschließlich Verschlüsselung umsetzen, wo das Risiko es rechtfertigt. Für personenbezogene Daten in einer PDF (Namen, Ausweis-IDs, Gesundheitsdaten) erfüllt Ende-zu-Ende-Verschlüsselung beim Transfer diese Anforderung. HIPAAs technische Schutzmaßnahmen (45 CFR 164.312(e)(1)) verlangen entsprechend Übertragungssicherheit für ePHI. Beide Rechtsrahmen bevorzugen mehrstufigen Schutz: PDF verschlüsseln, Kanal verschlüsseln, Transfer protokollieren.

Widerruf und Aufbewahrung

Ein physischer Briefumschlag kann nicht zurückgezogen werden; eine digitale PDF schon — je nach Dienst. HexaTransfer ermöglicht es, den hochgeladenen Blob vor dem Ablauf zu löschen und den Link damit ungültig zu machen. Eine passwortgeschützte PDF, die vor dem Löschen heruntergeladen wurde, liegt weiterhin auf dem Gerät des Empfängers — Verschlüsselung im Ruhezustand ist die zweite Schutzebene, wenn Sie die Kontrolle über die primäre Kopie verloren haben.

Auf hexatransfer.com testen — Ende-zu-Ende-verschlüsselt, kostenlos, bis 10 GB, 14-tägige automatische Löschung.