Wer Lohnabrechnungen, Kontoauszüge oder Bewerbungsunterlagen per E-Mail verschickt, sollte sie nicht offen anhängen. Eine ZIP-Datei mit Passwort ist der Weg, den fast jeder Empfänger öffnen kann. Es gibt zwei Verschlüsselungsverfahren, eines davon ist seit 1994 gebrochen, und die Bordmittel von Windows und macOS helfen nur wenig.
Was Windows 11 und macOS selbst können
Windows 11: Rechtsklick auf Dateien oder einen Ordner, „Komprimieren in“ und „ZIP-Datei“. Das ergibt ein normales ZIP ohne Passwort. Ein Feld für ein Kennwort gibt es nicht. Microsoft schreibt auf seiner Hilfeseite, dass Vorgänge für verschlüsselte Archivdateien nicht unterstützt werden, und verweist auf 7-Zip oder WinRAR. Auch Windows 10 bietet beim Komprimieren kein Kennwortfeld.
macOS: Der Finder-Befehl „Komprimieren“ packt ebenfalls ohne Passwort. Im Terminal geht es mit zip -e -r Belege.zip Belege/; der Befehl fragt zweimal nach dem Kennwort. Das Ergebnis nutzt aber ZipCrypto, das alte Verfahren aus den 1990ern. Für harmlose Dateien reicht es, für Kontoauszüge nicht.
Eine echte Mac-Alternative ist das Festplattendienstprogramm: „Ablage“, „Neues Image“, „Image von Ordner“, dann im Menü „Verschlüsselung“ 128- oder 256-Bit-AES wählen. Heraus kommt eine .dmg-Datei, die auf jedem Mac nach dem Passwort fragt. Windows-Empfänger können sie nicht öffnen. Für den Austausch zwischen zwei Macs ist das trotzdem eine gute Lösung, weil nichts installiert werden muss.
iPhone und Android: Die Dateien-App am iPhone kann über „Komprimieren“ ein ZIP erzeugen, aber ohne Passwort. Unter Android hängt es vom Dateimanager des Herstellers ab. Am Handy ist der Browser-Weg meist der einfachste.
Die Wege im Überblick
| Weg | System | Verfahren | Installation |
|---|---|---|---|
| 7-Zip | Windows | AES-256 oder ZipCrypto (wählbar) | ja, kostenlos |
| Keka | Mac | ZIP: ZipCrypto (Standard), AES nur nach Terminalbefehl; 7z: AES-256 | ja, kostenlos über die Herstellerseite |
Terminal zip -e | Mac, Linux | nur ZipCrypto | nein |
| Verschlüsseltes Image (.dmg) | Mac | AES-128 oder AES-256, kein ZIP | nein |
| ZIP mit Passwort erstellen | jeder Browser | AES-256 (WinZip AE-2) | nein, ohne Upload |
Wichtig für die Wahl ist weniger, womit Sie packen, als womit der Empfänger entpackt. Ein mit AES-256 verschlüsseltes ZIP öffnet der Windows-Explorer nicht, auch nicht mit dem richtigen Passwort. Der Empfänger braucht dann 7-Zip, WinRAR oder ein ähnliches Programm. Auf dem Mac öffnet der Doppelklick ein AES-ZIP ebenfalls nicht; The Unarchiver oder Keka schaffen es. Die genaue Tabelle mit unseren Tests steht auf der Seite des Werkzeugs.
Schritt für Schritt: Ordner mit 7-Zip verschlüsseln
Ein Beispiel aus dem Alltag: Der Ordner „Steuer 2025“ enthält 14 Belege als PDF, zusammen 23 MB. Er soll an die Steuerberaterin gehen.
- 7-Zip von 7-zip.org installieren (die 64-Bit-Version für Windows 10 und 11).
- Rechtsklick auf den Ordner „Steuer 2025“. Unter Windows 11 steht 7-Zip je nach Version direkt im Menü oder unter „Weitere Optionen anzeigen“. Dort „7-Zip“ und „Zu einem Archiv hinzufügen“ wählen.
- Als Archivformat „zip“ einstellen. Rechts unter „Verschlüsselung“ das Passwort zweimal eingeben.
- Als Verschlüsselungsverfahren „AES-256“ wählen. Die Voreinstellung ist bei ZIP oft ZipCrypto; genau hier passiert der häufigste Fehler.
- Mit OK bestätigen. Neben dem Ordner liegt jetzt „Steuer 2025.zip“, etwas kleiner als die Summe der PDFs.
Zur Kontrolle öffnen Sie das ZIP mit 7-Zip und lassen „Testen“ laufen. Nach der Passworteingabe meldet 7-Zip, ob alles lesbar ist. In der Spalte „Methode“ steht dann „AES-256 Deflate“.
Schritt für Schritt im Browser
Wer nichts installieren darf, etwa am Dienstrechner, oder am Handy arbeitet, nutzt ZIP mit Passwort erstellen. Die Dateien bleiben dabei auf Ihrem Gerät: Das Packen und Verschlüsseln läuft im Browser, nichts wird hochgeladen.
- Den Ordner „Steuer 2025“ auf die Ablage ziehen. Unterordner bleiben erhalten.
- Ein eigenes Passwort eingeben oder auf „Vorschlag“ tippen. Der Vorschlag besteht aus fünf Wörtern und einer Zahl, etwa
Tisch-Lampe-Regen-Kiwi-Mond-47. - Bei vertraulichen Namen wie „Kündigung Müller.pdf“ die Option „Dateinamen verbergen“ einschalten.
- „ZIP mit Passwort erstellen“ drücken. Der Download startet von selbst, darunter steht ein Text für den Empfänger mit der Anleitung zum Öffnen.
AES-256 oder ZipCrypto: warum es darauf ankommt
ZipCrypto ist die ursprüngliche Verschlüsselung des ZIP-Formats. Eli Biham und Paul Kocher haben 1994 gezeigt, dass ein Angreifer das ganze Archiv entschlüsseln kann, wenn er rund zwölf Byte des Inhalts kennt. Das ist oft leicht: Eine öffentlich bekannte Datei im Archiv oder vorhersagbare Kopfdaten reichen. Fertige Programme für diesen Angriff sind frei verfügbar. Ein langes Passwort hilft dagegen nicht.
AES-256 nach der WinZip-Spezifikation AE-2 ist das heutige Verfahren. Aus dem Passwort wird ein 256-Bit-Schlüssel abgeleitet, jeder Eintrag bekommt ein eigenes Salz, und ein Prüfcode erkennt Veränderungen. Hier hängt die Sicherheit fast nur noch am Passwort. Weil die Spezifikation für die Schlüsselableitung nur 1.000 Runden vorsieht, kann ein Angreifer viele Passwörter pro Sekunde durchprobieren. Kurze Passwörter wie „Sommer2026!“ halten deshalb nicht lange.
Ein zweiter Punkt, den viele übersehen: Die Dateinamen stehen im ZIP lesbar im Inhaltsverzeichnis, auch bei AES. Wer das Archiv abfängt, sieht „Abmahnung Kunde Schulz.pdf“, ohne das Passwort zu kennen. Zwei Abhilfen: ein ZIP im ZIP, bei dem nur das innere Archiv verschlüsselt ist, oder das 7z-Format. 7-Zip bietet die Option „Dateinamen verschlüsseln“ nur für 7z an, nicht für ZIP. Dann braucht aber auch der Empfänger 7-Zip.
Ein gutes Passwort und der richtige Übertragungsweg
Länge schlägt Sonderzeichen. Das BSI empfiehlt lange Passwörter aus mehreren Wörtern oder kürzere, dafür sehr gemischte. Fünf zufällige Wörter aus einer Liste von rund tausend ergeben etwa 50 Bit, mit einer angehängten Zahl knapp 57 Bit. Das ist für ein ZIP, das ein paar Wochen im Postfach liegt, sehr viel. Und es lässt sich am Telefon diktieren, ohne dass jemand „großes X, Klammer auf“ buchstabieren muss.
Der häufigste Fehler ist das Passwort in derselben E-Mail wie der Anhang. Wer die Mail liest, hat dann beides. Trennen Sie die Wege:
- ZIP per E-Mail oder Cloud-Link, Passwort per Anruf oder SMS.
- Bei regelmäßigem Austausch einmal ein Passwort persönlich vereinbaren und für ein Jahr behalten.
- Nie das Passwort in den Dateinamen, den Betreff oder eine Notiz im Archiv schreiben.
Typische Fehler
- ZipCrypto aus Versehen: In 7-Zip und WinRAR ist bei ZIP nicht immer AES voreingestellt. Prüfen Sie die Methode mit „Testen“ oder in der Dateiliste.
- Empfänger kann nicht öffnen: Der Windows-Explorer meldet bei AES-ZIPs einen Fehler. Das ist kein falsches Passwort, sondern fehlende Unterstützung. Schicken Sie die Anleitung mit, dass 7-Zip nötig ist.
- Mailfilter blockt: Firmen-Postfächer halten verschlüsselte Archive oft zurück, weil der Virenscanner nicht hineinsehen kann. Kündigen Sie die Datei an oder nutzen Sie einen Cloud-Link.
- Passwort vergessen: Bei AES-256 hilft kein Programm und kein Dienstleister. Notieren Sie das Passwort im Passwortmanager, bevor Sie die Originale löschen.
- Leere Ordner fehlen: Manche Programme, auch unser Werkzeug, packen leere Ordner nicht mit. Für Belege spielt das keine Rolle.
Wann ein ZIP nicht die beste Wahl ist
Für ein einzelnes PDF ist ein ZIP ein Umweg. PDFs lassen sich direkt mit einem Öffnungskennwort schützen, und der Empfänger öffnet sie in jedem PDF-Programm ohne Zusatzsoftware. Bei sehr großen Datenmengen, etwa Hunderten Fotos, bremst das Packen im Arbeitsspeicher; hier ist ein verschlüsselter Cloud-Ordner oft bequemer. Und wenn Sie einem Empfänger vorher zeigen wollen, was sich zwischen zwei Vertragsfassungen geändert hat, gehört der Vergleich vor das Verschicken: Das erledigt PDF vergleichen, ebenfalls ohne Upload. Eine Outlook-Nachricht mit Anhang, die als .msg-Datei bei Ihnen landet, öffnen Sie mit MSG-Datei öffnen.