Wie lange dauert es, ein PDF-Passwort zu knacken? (Echte Zahlen)

„Wie lange würde es dauern, das Passwort meiner PDF zu knacken“ hat keine einzige Antwort: Es hängt stark davon ab, welche Verschlüsselung die Datei nutzt, und noch viel mehr davon, wie das Passwort selbst gewählt wurde. Unten stehen echte gemessene Zahlen, aus Tests gegen echte PDF-Verschlüsselung auf tatsächlicher GPU-Hardware, die alle vier noch in freier Wildbahn vorkommenden Revisionen abdecken, damit Sie genau sehen, wo das Risiko tatsächlich liegt.

Was „Knacken“ tatsächlich misst

Ein PDF-Passwort zu knacken bedeutet nicht, die Verschlüsselung mathematisch zu brechen, AES-256 selbst ist hier nirgendwo der Schwachpunkt. Es bedeutet, systematisch Kandidatenpasswörter zu testen und jedes durch die Schlüsselableitungsfunktion der PDF laufen zu lassen, um zu sehen, ob es den richtigen Schlüssel erzeugt. Die relevante Geschwindigkeit ist also nicht „wie stark ist AES-256“ (extrem), sondern „wie viele Kandidatenpasswörter pro Sekunde lassen sich gegen den Schlüsselableitungsschritt genau dieses Dateiformats testen“, und diese Zahl variiert enorm je nach PDF-Revision.

Diese Zahlen stammen aus hashcat-Läufen gegen echte PDF-Testdateien über alle vier noch gebräuchlichen Verschlüsselungsrevisionen: RC4-40, RC4-128, AES-128 und AES-256 Revision 6, gemessen auf einer einzelnen Consumer-GPU. Die relativen Unterschiede zwischen den Revisionen gelten auf jeder modernen GPU, da die PDF-Schlüsselableitung latenzgebunden ist, nicht durchsatzgebunden.

Die gemessenen Zahlen, nach Verschlüsselungsrevision

RC4-40 (die älteste, schwächste PDF-Verschlüsselung, aus frühen Acrobat-Versionen): rund 5,5 Milliarden Kandidaten pro Sekunde. Bei dieser Geschwindigkeit ist jedes mögliche 8-stellige Passwort aus Kleinbuchstaben und Ziffern (etwa 2,8 Billionen Kombinationen) in rund 8,5 Minuten erschöpft, per Brute-Force, ohne Wörterbuch. Der tatsächliche 40-Bit-Schlüssel von RC4-40 lässt sich außerdem direkt per Brute-Force ermitteln, unabhängig vom Passwort, in begrenzter Zeit; effektiv ist keine RC4-40-PDF vor jemandem sicher, der bereit ist, die Rechenleistung aufzuwenden.

RC4-128 und AES-128 (eine gängige mittlere Stufe): rund 167 Millionen Kandidaten pro Sekunde. Derselbe 8-stellige Raum aus Kleinbuchstaben plus Ziffern braucht rund 4,7 Stunden zur vollständigen Erschöpfung, immer noch durchaus machbar, und jedes kürzere oder gebräuchlichere Passwort fällt über Wörterbuch- und regelbasierte Angriffe weit schneller, oft in Sekunden.

AES-256 Revision 6 (der moderne Standard seit Acrobat 9, und die stärkste Option des Formats): rund 560.000 Kandidaten pro Sekunde, drastisch langsamer als die anderen drei, aber immer noch rund achtmal schneller als das Testen von Kandidaten gegen eine vergleichbare Office-2013-Datei, weil die Schlüsselableitungsfunktion der PDF-Spezifikation nur 64 Iterationen durchläuft, gegenüber 100.000 bei Office. Eine erschöpfende 7-stellige Suche würde bei dieser Geschwindigkeit rund 39 Stunden dauern; ein schwaches oder wörterbuchbasiertes Passwort jeder Länge fällt meist innerhalb von Sekunden, da Wörterbuch- und regelbasierte Angriffe nicht den gesamten Raum durchsuchen müssen.

Was das für ein schwaches oder von einem Menschen gewähltes Passwort bedeutet

Bei einem Passwort, das ein Wörterbuchwort, ein Name, eine kurze Phrase oder ein gängiges Muster mit ein paar angehängten Zahlen ist, spielt die Verschlüsselungsrevision kaum eine Rolle: Wörterbuch- und regelbasierte Angriffe finden es in Sekunden bis Minuten auf jeder der vier Revisionen, weil die Suche nicht den gesamten möglichen Passwortraum durchgehen muss, sondern die viel kleinere Menge an Passwörtern testet, die echte Menschen tatsächlich wählen. Das ist die wichtigste Erkenntnis aus den obigen Zahlen: Die Stärke der Chiffre (AES-256 gegenüber RC4-40) zählt für Ihr reales Risiko weit weniger, als ob das Passwort selbst je dafür gedacht war, einem Computer standzuhalten, statt nur einem ratenden Menschen.

Was das für ein starkes, zufälliges Passwort bedeutet

Das Bild kehrt sich bei einem wirklich zufälligen Passwort vollständig um. Tests haben gezeigt, dass ein zufälliges 12-stelliges Passwort, das Groß-/Kleinschreibung, Ziffern und Symbole mischt, jeder Angriffsstufe über alle vier Verschlüsselungsrevisionen standhielt, einschließlich des schnellen Brute-Force-Pfads von RC4-40 und des langsameren von AES-256; die vollständige Testreihe (Wörterbuch, regelbasierte Mutation und begrenzte Maskenangriffe) lief bis zum Ende durch und blieb bei jeder einzelnen Testdatei ergebnislos. Das ist keine knappe Verfehlung, das ist das erwartete Ergebnis: Ein zufälliges 12-stelliges Passwort liegt so weit jenseits selbst der 5,5-Milliarden-pro-Sekunde-Geschwindigkeit von RC4-40, dass eine Erschöpfung des Suchraums auf keinem Hardwarebudget realistisch ist. Länge und echte Zufälligkeit, nicht die Verschlüsselungsrevision, bestimmen tatsächlich, ob ein Passwort dem Testen standhält.

Warum das wichtig ist, wenn Sie ein Passwort zum Schutz einer PDF wählen

Wenn Sie derjenige sind, der einer PDF Passwortschutz hinzufügt, weisen diese Zahlen auf eine klare Schlussfolgerung hin: Wählen Sie ein wirklich langes, zufälliges Passwort (ein von einem Passwort-Manager erzeugtes Passwort mit zwölf oder mehr Zeichen ist ideal), und die Verschlüsselungsrevision, die Ihr PDF-Tool zufällig verwendet, wird für Ihre reale Sicherheit fast unerheblich. Umgekehrt gibt ein einprägsames, von einem Menschen gewähltes Passwort die meiste Schutzwirkung auf, egal welche AES- oder RC4-Revision es umhüllt, da wörterbuchbasiertes Testen sich nicht darum kümmert, wie stark die Chiffre darunter ist.

Sind Sie auf der anderen Seite davon, versuchen also, in Ihre eigene PDF mit einem wirklich vergessenen Passwort zurückzukommen, sagen Ihnen dieselben Zahlen ehrlich, was Sie erwarten können: Unser Leitfaden zur Wiederherstellung eines vergessenen PDF-Passworts geht genau anhand dieser Daten durch, was realistisch wiederherstellbar ist und was nicht.

Wie diese Zahlen tatsächlich gemessen wurden

Das sind keine theoretischen Schätzungen: Sie stammen aus hashcat-Läufen gegen echte PDF-Dateien, die speziell zum Testen jeder Verschlüsselungsrevision erstellt wurden, sowohl mit bewusst schwachen Passwörtern (aus einer gängigen Liste geleakter Passwörter, um zu validieren, dass die Pipeline tatsächlich Ende-zu-Ende funktioniert) als auch mit bewusst starken (zufälligen 12-stelligen Passwörtern, um zu testen, wo die Wand tatsächlich steht). Die schwachen Testdateien wurden in jedem Fall geknackt, Sekunden bis wenige Dutzend Sekunden pro Datei, was bestätigt, dass die Extraktions- und Testpipeline sich gegen echte PDF-Verschlüsselung korrekt verhält, statt gegen einen vereinfachten Ersatz. Die starken Testdateien hielten in jedem Fall stand, über die gesamte Angriffsreihe (Wörterbuch, dann regelbasierte Mutation, dann begrenzte Maskensuche), genau das Ergebnis, das man erwarten würde, wenn die Wand echt ist und keine Lücke im Testverfahren.

Kosten sind der andere nützliche Blickwinkel auf diese Zahlen. Da ein Testversuch unabhängig vom Zielmodus für ein festes Budget läuft, kostet ein vollständiger Versuch ungefähr gleich viel Rechenzeit, egal welche Verschlüsselungsrevision die PDF hat; die Revision ändert nur, wie viele Kandidatenpasswörter dieses Budget durchtesten kann. Ein erfolgreiches Knacken, wenn das Passwort schwach genug ist, um überhaupt gefunden zu werden, landet meist innerhalb der ersten Sekunden wörterbuchbasierten Testens, ein kleiner Bruchteil dieses Budgets. Mit anderen Worten: Die Ökonomie des Testens eines PDF-Passworts wird davon dominiert, ob das Passwort schwach ist, nicht davon, welche Verschlüsselungsrevision es schützt.

Häufig gestellte Fragen