Wie man eine ZIP-Datei mit einem Passwort schützt

Ein Passwort ist nicht immer Verschlüsselung

Die meisten Archivwerkzeuge versehen ein ZIP bereitwillig mit einem Passwort, aber sie schützen es nicht alle auf dieselbe Weise. Das ZIP-Format unterstützt zwei Verschlüsselungsschemata: die Legacy-Chiffre ZipCrypto, die schnell und schwach ist, und WinZip AES, das langsam anzugreifen und stark ist. Mehrere Werkzeuge verwenden weiterhin standardmäßig ZipCrypto, sodass der wichtigste Teil des Schutzes eines ZIP darin besteht, bewusst AES-256 zu wählen.

Windows: das integrierte ZIP kann es nicht

Die in den Windows-Datei-Explorer integrierte Funktion „In ZIP-Datei komprimieren“ kann überhaupt kein Passwort hinzufügen. Sie erstellt gewöhnliche, unverschlüsselte Archive und bietet nirgendwo im Ablauf ein Passwortfeld. Um ein ZIP unter Windows zu verschlüsseln, benötigen Sie ein separates Werkzeug.

Windows: 7-Zip mit AES-256

7-Zip ist kostenlos, quelloffen und die zuverlässigste Möglichkeit, ein AES-verschlüsseltes ZIP unter Windows zu erstellen. Der einzige Haken ist, dass seine standardmäßige Verschlüsselungsmethode für das ZIP-Format das schwache ZipCrypto ist, sodass Sie sie selbst ändern müssen.

1. 7-Zip installieren. Laden Sie es von der offiziellen Website 7-zip.org herunter und führen Sie den Installer aus.
2. Dateien auswählen. Wählen Sie im Datei-Explorer die Datei oder den Ordner aus, klicken Sie mit der rechten Maustaste und wählen Sie 7-Zip, dann Zu einem Archiv hinzufügen.
3. Das ZIP-Format wählen. Setzen Sie im Dialog Archivformat auf zip.
4. AES-256 einstellen. Öffnen Sie im Abschnitt Verschlüsselung das Menü Verfahren und ändern Sie es von ZipCrypto auf AES-256.
5. Eine starke Passphrase eingeben. Geben Sie eine lange, eindeutige Passphrase in die Felder Passwort eingeben und Passwort bestätigen ein.
6. Das Archiv erstellen. Klicken Sie auf OK. Die entstehende .zip ist mit AES-256 verschlüsselt.

Eine Einschränkung bleibt. Im ZIP-Format sind die Dateinamen innerhalb des Archivs nicht verschlüsselt, sodass sie sichtbar bleiben, selbst nachdem Sie ein Passwort festgelegt haben. Wenn die Namen selbst sensibel sind, wechseln Sie Archivformat auf 7z, was die Option Dateinamen verschlüsseln aktiviert, oder legen Sie die Dateien zuerst in einen einzigen Container.

Überprüfen Sie das Ergebnis. Öffnen Sie das neue Archiv in 7-Zip (Rechtsklick darauf, 7-Zip, dann Öffnen). Die Dateinamen werden aufgelistet, weil ZIP sie nicht verschlüsselt, und die Spalte Verfahren sollte AES-256 Deflate zeigen. Doppelklicken Sie auf eine Datei: 7-Zip sollte nach dem Passwort fragen. Öffnet sich eine Datei ohne Abfrage oder beginnt die Methode mit ZipCrypto, erstellen Sie das Archiv erneut mit der Verfahren AES-256. Der Windows-Datei-Explorer listet die Namen ebenfalls auf, kann AES-Einträge aber nicht öffnen, daher ist eine Fehlermeldung des Explorers hier zu erwarten.

macOS: Keka oder 7-Zip verwenden, nicht das integrierte zip

macOS kann mit zip -e archive.zip datei aus dem Terminal ein verschlüsseltes ZIP erstellen, aber dieser Befehl verwendet die schwache ZipCrypto-Chiffre, sodass er keine gute Wahl für sensible Daten ist. Der Komprimieren-Befehl des Finders selbst hat dieselbe Einschränkung wie der Windows-Explorer: Er erstellt ein unverschlüsseltes Archiv ganz ohne Passwortoption. Für echten Schutz verwenden Sie ein Werkzeug, das AES unterstützt. Keka ist eine unkomplizierte Mac-App, doch ihre ZIP-Dateien nutzen das alte Verfahren Zip 2.0, solange Sie AES nicht einschalten: keka.io schreibt, Keka verwende die „AES-256-Verschlüsselungsspezifikation für Ihre 7z-Dateien und die alte Zip-2.0-Verschlüsselungsspezifikation für Ihre Zip-Dateien“. Aktuelle Keka-Versionen haben dafür zwei Schalter: das Kästchen AES-256-Verschlüsselung verwenden in den erweiterten Komprimierungsoptionen und ZIP-Dateien mit AES-256 verschlüsseln (weniger kompatibel) in den Einstellungen. Aktivieren Sie einen davon vor dem Komprimieren, oder verwenden Sie Kekas 7z-Format, das bereits AES-256 nutzt. Prüfen Sie in beiden Fällen anschließend das Ergebnis im Terminal: zipinfo -v archive.zip meldet einen WinZip-AES-Eintrag als compression method: unknown (99); ein verschlüsselter Eintrag mit einer Methode wie deflated ist also kein WinZip AES. 7-Zip ist eine weitere Möglichkeit, unter macOS aber ein Konsolenprogramm: 7-zip.org bietet für den Mac nur eine Konsolenversion an, die Sie im Terminal ausführen.

Eine Passphrase wählen, die Sie nicht verlieren

Starke Verschlüsselung hilft nur, wenn die Passphrase stark ist, verwenden Sie also etwas Langes und Eindeutiges statt eines kurzen Worts, das Sie anderswo wiederverwenden. Eine zufällige Zeichenfolge aus einem Passwortmanager funktioniert gut, ebenso eine Passphrase aus mehreren unzusammenhängenden Wörtern; beide sind weit stärker als ein einzelnes Wörterbuchwort mit einer angehängten Zahl. AES-256 ist zudem darauf ausgelegt, unnachgiebig zu sein. Eine Passphrase, die stark genug ist, einen Angreifer aufzuhalten, kann Sie ebenso gut für immer aussperren, denn es gibt keine Hintertür und kein Zurücksetzen. Speichern Sie sie in einem Passwortmanager in dem Moment, in dem Sie das Archiv erstellen.

Überspringen Sie das integrierte ZIP, wählen Sie AES-256 in 7-Zip oder Keka und halten Sie die Passphrase sicher fest. Wenn Sie später eine ungeschützte Kopie brauchen, besteht das Entfernen des ZIP-Passworts darin, das Archiv zu entpacken und ohne Passwort neu zu packen. Wenn Sie verstehen möchten, was Sie da einschalten, decken die Übersicht über verschlüsselte ZIP-Dateien und der Hinweis dazu, wie sicher geschützte ZIPs sind, die Begründung hinter jeder Wahl ab.