De term “crypteren” is technisch gezien niet correct in de cryptografie, maar wordt in het dagelijks taalgebruik wel gebruikt voor het versleutelen van een PDF. Het technische onderscheid is belangrijk: een document versleutelen betekent dat je een symmetrisch algoritme (AES, RC4) toepast met een sleutel die is afgeleid van een wachtwoord. De sterkte hangt af van het algoritme, de revisie van de beveiligingshandler en de lengte van het geheim, niet van de software die het label “beveiligd” erop plakt.
PDF-versleutelingsalgoritme: AES-256 revisie 6 en wat de bestandsversie niet vertelt
De norm ISO 32000-2:2017 (PDF 2.0) ontmoedigt oudere beveiligingsmechanismen en voorziet in AES-256 met revisie 6 van de handler. Een programma dat “PDF 2.0” weergeeft, past niet noodzakelijkerwijs dit versleutelingsniveau toe. Controleer in de beveiligingseigenschappen van het document welk algoritme daadwerkelijk is gebruikt en om welk revisienummer het gaat.
RC4 40-bit en RC4 128-bit, die sommige gratis hulpprogramma’s nog aanbieden, zijn met gangbare hardware binnen enkele minuten te kraken. AES-128 is bestand tegen een klassieke brute-forceaanval, maar AES-256 revisie 6 blijft de norm voor elk document met gevoelige gegevens.
We raden aan de versleutelde PDF altijd te openen in een lezer die de beveiligingsmetadata weergeeft (Acrobat, PDF-XChange, bepaalde opensourcebibliotheken) en vóór verzending te controleren of de regel “Encryption: AES 256-bit, Revision 6” wordt vermeld.
Openingswachtwoord en wachtwoord voor machtigingen: twee heel verschillende beveiligingen
Een PDF kan twee soorten wachtwoorden bevatten. Het openingswachtwoord versleutelt de inhoud daadwerkelijk: zonder dit wachtwoord blijft het bestand onleesbaar. Het wachtwoord voor machtigingen (ook wel “owner password” genoemd) geeft de PDF-lezer alleen aan dat afdrukken, kopiëren of bewerken moet worden geblokkeerd.
Dat verschil is fundamenteel. Het wachtwoord voor machtigingen is afhankelijk van de bereidwilligheid van de software. Externe tools, waaronder Python-scripts van slechts enkele regels, kunnen deze beperkingen verwijderen zonder de inhoud aan te passen. Wie wil weten hoe je een PDF-document kunt versleutelen op een betrouwbare manier, moet een openingswachtwoord instellen en niet alleen machtigingen beperken.
Beide combineren is zinvol in een interne workflow: het openingswachtwoord beschermt de vertrouwelijkheid, terwijl het wachtwoord voor machtigingen een bevoegde medewerker ervan weerhoudt per ongeluk te kopiëren. Het ene vervangt het andere niet.
Wachtwoordsterkte en verzending: de zwakste schakel bij PDF-versleuteling
PDF-versleuteling kan offline worden gekraakt. Wie over het bestand beschikt, kan onbeperkt wachtwoorden proberen, in tegenstelling tot een webdienst die na meerdere mislukte pogingen de toegang blokkeert. Het directe gevolg: een kort wachtwoord is binnen enkele uren te achterhalen, zelfs met AES-256.
Kenmerken van een wachtwoord dat bestand is tegen een offlineaanval:
- Kies liever een lange, willekeurige wachtwoordzin (bijvoorbeeld vier woorden zonder logisch verband) dan een kort woord met symbolen. Lengte is belangrijker dan schijnbare complexiteit.
- Vermijd woorden uit een woordenboek, geboortedata en gebruikersnamen die je ook voor andere diensten gebruikt.
- Genereer het wachtwoord met een wachtwoordmanager (KeePass, Bitwarden, 1Password) en bewaar het nooit onversleuteld naast het bestand.
De verzending van het geheim verdient net zoveel aandacht als de kwaliteit ervan. Als je de PDF en het wachtwoord via hetzelfde kanaal verstuurt (één e-mail of één bericht), gaat het nut van de versleuteling verloren. Verstuur het wachtwoord via een apart kanaal: sms, telefoongesprek of een afzonderlijke versleutelde berichtenapp.
Metadata en verborgen gegevens: wat PDF-versleuteling niet verbergt
Het versleutelen van een PDF beschermt de inhoudsstroom (tekst, afbeeldingen, annotaties). De metadata van het document kunnen, afhankelijk van het versleutelingsniveau en de instellingen van de tool, gedeeltelijk leesbaar blijven. Titel, auteur, creatiesoftware en wijzigingsdatums zijn soms onversleuteld zichtbaar in een bestand dat toch met een wachtwoord is beveiligd.
Bij documenten die onder de AVG vallen of waarvoor contractuele geheimhoudingsverplichtingen gelden, vormt dit lek van metadata een concreet probleem. Een auteursnaam of een zichtbaar netwerkbestandspad in de PDF-eigenschappen kan de uitgevende organisatie, een interne projectnaam of een gebruikers-ID onthullen.
Voordat je versleutelt, is het verstandig het document door een tool te halen die verborgen gegevens verwijdert. Acrobat Pro biedt hiervoor de optie “Verborgen informatie verwijderen”; PDF-XChange heeft een vergelijkbare functie. Deze stap wordt vaak overgeslagen. De bewerking verwijdert:
- De documentmetadata (auteur, titel, trefwoorden, datums)
- Verborgen lagen en onzichtbare tekst
- Bijlagen die in de PDF zijn opgenomen
- Opmerkingen en revisieannotaties
- Formuliergegevens die op de achtergrond zijn opgeslagen
Versleuteling zonder voorafgaande opschoning beschermt een bestand dat via de metadata nog steeds informatie kan lekken.
Digitale handtekening en versleuteling: aanvullend, niet uitwisselbaar
Een digitale handtekening authenticeert de afzender en garandeert de integriteit van het document. De inhoud wordt er niet mee versleuteld. Een ondertekende maar niet-versleutelde PDF blijft leesbaar voor iedereen die het bestand opent. Omgekeerd bewijst een versleutelde PDF zonder handtekening niets over de identiteit van de auteur of over de vraag of het document vóór de versleuteling ongewijzigd is gebleven.
Voor gevoelige documenten (contracten, juridische stukken, gezondheidsgegevens) biedt de combinatie van AES-256-versleuteling en een gekwalificeerde handtekening bescherming voor beide behoeften: vertrouwelijkheid en authenticiteit.
Een PDF versleutelen is meer dan een vinkje zetten bij “beveiligen met wachtwoord”. Een gecontroleerd algoritme, een lang wachtwoord dat apart wordt verstuurd, opgeschoonde metadata en een handtekening wanneer authenticiteit belangrijk is: elke laag beschermt tegen een andere dreiging. Als je een van deze stappen overslaat, ontstaat er een kwetsbaarheid die de rest van de beveiligingsketen niet kan compenseren.
