Ein Vertrag, eine Gehaltsabrechnung, ein Befund: vertraulich ist meist nicht der Text der Mail, sondern die Datei darin. Wer nur gelegentlich so etwas verschickt, kommt ohne eigene Verschlüsselungslösung aus. Dieser Beitrag zeigt die Wege, einen einzelnen Anhang mit Passwort zu schützen, für Outlook, Gmail, Mac und Thunderbird, und wo jeder davon an seine Grenzen stößt.
Drei Regeln vorab
- Passwort nie in dieselbe Mail. Wer Mail und Passwort zusammen abfängt, hat beides. Auch eine zweite Mail direkt hinterher schützt kaum.
- Starkes Passwort. Ein Passwortschutz ist nur so gut wie das Passwort. Zufällige Zeichenfolgen ab 12 Zeichen oder eine Passphrase aus mehreren Wörtern.
- Auf das Verfahren achten. Moderne Formate verschlüsseln mit AES. Ältere Verfahren wie ZipCrypto bei ZIP-Dateien gelten als geknackt.
Überblick: welcher Weg wofür
| Weg | Empfänger braucht | Stärke | Typische Falle |
|---|---|---|---|
| Office-Datei mit Kennwort | Office oder kompatibles Programm | AES | nur Word, Excel, PowerPoint |
| PDF mit Kennwort | PDF-Reader | AES, je nach Einstellung | Kennwortschutz beim Speichern vergessen |
| ZIP mit AES-256 | Entpackprogramm mit AES | AES-256 | Filter blocken Archive, Mac entpackt nicht |
| Microsoft 365 Verschlüsseln | Browser oder Outlook | Microsoft Purview | nur mit passender Lizenz |
| S/MIME oder OpenPGP | Zertifikat oder Schlüssel | Ende zu Ende | beide Seiten müssen eingerichtet sein |
Outlook: Anhang verschlüsseln
Outlook selbst hat keinen Knopf, der nur einen Anhang mit Passwort versieht. Geschützt wird deshalb entweder die Datei vor dem Anhängen oder die ganze Nachricht.
Word, Excel oder PowerPoint mit Kennwort
- Datei öffnen, Datei und Informationen wählen.
- Dokument schützen, in Excel Arbeitsmappe schützen, dann Mit Kennwort verschlüsseln.
- Kennwort zweimal eingeben, speichern und die Datei anhängen.
Wichtig ist genau diese Option. Als abgeschlossen kennzeichnen oder Bearbeitung einschränken verschlüsseln nichts.
Als PDF mit Kennwort
In Word unter Windows geht das ohne Zusatzprogramm: Speichern unter, Dateityp PDF, dann Optionen und Dokument mit einem Kennwort verschlüsseln. Für beliebige PDFs bietet Adobe Acrobat Pro die Funktion Mit Kennwort schützen. Der Empfänger öffnet das PDF in jedem gängigen Reader.
Als ZIP mit AES-256
Der Windows-Explorer packt ZIP-Dateien, kann aber kein Passwort setzen. Mit dem kostenlosen 7-Zip:
- Rechtsklick auf die Datei, 7-Zip und Zu Archiv hinzufügen.
- Archivformat zip, Verschlüsselungsverfahren AES-256 statt ZipCrypto wählen.
- Passwort eingeben und das Archiv anhängen.
Zwei Haken: Viele E-Mail-Filter lassen verschlüsselte Archive nicht durch, weil sie den Inhalt nicht auf Schadsoftware prüfen können. Und das Archivprogramm von macOS öffnet AES-verschlüsselte ZIP-Dateien nicht, Empfänger am Mac brauchen ein Werkzeug wie Keka oder The Unarchiver.
Microsoft 365: Schaltfläche Verschlüsseln
Mit einer Microsoft-365-Lizenz, die Microsoft Purview Message Encryption enthält, steht beim Verfassen unter Optionen die Schaltfläche Verschlüsseln bereit. Nur verschlüsseln schützt Nachricht und Anhänge. Empfänger außerhalb der eigenen Organisation lesen die Mail nach Anmeldung oder mit einem Einmalcode in einem Webportal.
Angehängte Word-, Excel- und PowerPoint-Dateien bleiben laut Microsoft auch nach dem Herunterladen geschützt. Ob andere Anhänge beim Download aus dem Browser entschlüsselt werden, legt der Administrator fest.
S/MIME in Outlook
S/MIME verschlüsselt Nachricht und Anhänge Ende zu Ende, setzt aber voraus, dass Absender und Empfänger ein Zertifikat haben und die öffentlichen Zertifikate ausgetauscht sind. Für Einzelfälle mit wechselnden Empfängern ist das selten praktikabel. Die Unterschiede erklärt unser Beitrag S/MIME vs PGP.
Gmail: Anhang verschlüsseln
Der vertrauliche Modus in Gmail wird oft für Verschlüsselung gehalten. Er verhindert Weiterleiten, Kopieren, Drucken und Herunterladen und setzt ein Ablaufdatum, ist aber keine Ende-zu-Ende-Verschlüsselung.
Echte Ende-zu-Ende-Verschlüsselung bietet Gmail als clientseitige Verschlüsselung nur in bestimmten Google-Workspace-Editionen, etwa Enterprise Plus, Education Standard und Education Plus. Wer diese Edition nicht hat, schützt die Datei vorher: als Office-Datei mit Kennwort, als PDF mit Kennwort oder als AES-ZIP, wie oben beschrieben.
Mac: Anhang verschlüsseln
- PDF mit Vorschau: Datei öffnen, Ablage und Exportieren, dann Zugriffsrechte. Dort Passwort zum Öffnen des Dokuments erforderlich aktivieren, Passwort setzen und sichern.
- Pages, Numbers, Keynote: Ablage und Passwort festlegen. Beim Export nach Word oder Excel lässt sich ebenfalls ein Passwort verlangen.
- ZIP: Der Befehl
zip -eim Terminal nutzt das schwache ZipCrypto. Für AES eignet sich etwa Keka. - Apple Mail mit S/MIME: Liegt ein persönliches Zertifikat im Schlüsselbund und ist das Zertifikat des Empfängers bekannt, zeigt Mail beim Verfassen ein Schloss. Nachricht und Anhänge werden dann verschlüsselt.
Thunderbird: Anhang verschlüsseln
Thunderbird beherrscht S/MIME schon lange und bringt OpenPGP seit Version 78 selbst mit. Ist für den Empfänger ein Schlüssel oder Zertifikat vorhanden, verschlüsselt ein Klick auf Verschlüsseln die Nachricht samt Anhängen. Fehlt der Schlüssel, bleibt auch hier nur die geschützte Datei. Wie das im Unternehmen zentral funktioniert, zeigt die Seite zur Thunderbird-E-Mail-Verschlüsselung.
Das Passwort weitergeben
Der schwächste Punkt ist fast immer die Übergabe. Bewährt haben sich:
- Telefon oder SMS für einzelne Sendungen.
- Ein einmal vereinbartes Passwort für Empfänger, die regelmäßig Unterlagen bekommen.
- Keine Hinweise im Betreff wie „Passwort: Geburtsdatum“.
Wann Handarbeit nicht mehr reicht
Jeder der beschriebenen Wege hängt daran, dass der Absender im richtigen Moment daran denkt. Das klappt bei einer Person und zehn Mails im Jahr. Bei einem Team, das täglich Verträge oder Befunde verschickt, wird es zur Lücke, und für die DSGVO lässt sich nicht belegen, welche Mail geschützt war.
Unternehmen lösen das mit einer Regel statt mit Disziplin: Mails mit Anhang an externe Empfänger gehen automatisch als AES-256-verschlüsseltes PDF hinaus, das Passwort legt der Empfänger einmal selbst fest. Wie diese Regel am Anhang aussieht, beschreibt der Beitrag E-Mail-Anhänge verschlüsselt versenden. Die Umsetzung mit Conbool zeigt die Seite zur PDF-Verschlüsselung. Wer bisher eine Outlook-Erweiterung pro Arbeitsplatz nutzt, findet den Unterschied im Vergleich Avamboo Encrypt und Conbool.
Häufige Fragen
Wie verschlüssele ich einen Anhang in Outlook? Am einfachsten schützen Sie die Datei vor dem Anhängen: Office-Dokumente über Datei, Informationen, Mit Kennwort verschlüsseln, andere Dateien als PDF mit Kennwort oder als ZIP mit AES-256. Mit Microsoft 365 und passender Lizenz verschlüsselt die Schaltfläche Verschlüsseln die ganze Nachricht samt Anhang.
Ist der vertrauliche Modus in Gmail eine Verschlüsselung? Nein. Er verhindert Weiterleiten, Kopieren, Drucken und Herunterladen und setzt ein Ablaufdatum. Ende-zu-Ende-Verschlüsselung bietet Gmail nur in bestimmten Google-Workspace-Editionen.
Wie gebe ich das Passwort an den Empfänger weiter? Nie in derselben Mail und am besten nicht per Mail. Geeignet sind Telefon, SMS oder ein einmal vereinbartes Passwort.
Warum kommt meine verschlüsselte ZIP-Datei nicht an? Viele E-Mail-Filter können verschlüsselte Archive nicht prüfen und halten sie zurück. Ein passwortgeschütztes PDF oder ein Download-Link kommt meist zuverlässiger an.
Fazit
Für den Einzelfall genügt eine geschützte Datei: Office mit Kennwort, PDF mit Kennwort oder ZIP mit AES-256, und das Passwort auf einem zweiten Weg. Sobald mehrere Personen regelmäßig vertrauliche Anhänge verschicken, gehört die Entscheidung in eine Regel, nicht in den Kopf des Absenders.
