In fast jedem Unternehmen läuft er noch: der Adobe Reader. Installiert vor Jahren, ausgerollt auf jeden Arbeitsplatz, nie hinterfragt. Dabei gilt in der IT-Sicherheit eine einfache Regel: Jede installierte Software vergrößert die Angriffsfläche. Und kaum eine Anwendung ist dafür ein so schönes Beispiel wie der PDF-Reader.

PDF ist Alltag – der Reader hat ausgedient

PDFs sind aus dem Geschäftsleben nicht wegzudenken: Rechnungen, Verträge, Angebote, Behördenbescheide. Das Format selbst ist unverzichtbar. Das Programm, das es anzeigt, ist es nicht.

Denn für das reine Betrachten braucht heute niemand mehr einen eigenen Reader:

• Moderne Browser (Edge, Chrome, Firefox, Safari) öffnen PDFs direkt und zuverlässig.
• Betriebssysteme bringen eigene Viewer mit, etwa Edge unter Windows oder die Vorschau unter macOS.
• Schlanke Alternativen wie SumatraPDF sind schneller, kleiner und bieten deutlich weniger Funktionsumfang, der angegriffen werden könnte.

Warum der gewohnte Reader ein Sicherheitsrisiko ist

Der Adobe Reader ist weit mehr als ein Anzeigeprogramm. Er kann JavaScript ausführen, Dateien einbetten, Multimedia-Inhalte abspielen und mit externen Quellen kommunizieren. Genau diese Funktionsvielfalt macht ihn für Angreifer attraktiv:

• Große Angriffsfläche: Komplexe Parser und Skript-Engines sind ein klassisches Einfallstor. Adobe veröffentlicht regelmäßig Sicherheitsupdates, darunter immer wieder Lücken mit kritischer Einstufung, die das Ausführen von Schadcode erlauben können.
• Perfekter Angriffsvektor: Ein PDF im Anhang einer E-Mail wirkt harmlos. Es ist das häufigste Dateiformat im Geschäftsverkehr, und Mitarbeitende öffnen es routiniert.
• Hoher Verbreitungsgrad: Software, die auf nahezu jedem Rechner läuft, lohnt sich für Angreifer besonders.
• Patch-Aufwand: Jedes Update muss getestet, verteilt und kontrolliert werden. Erschwert durch unterschiedliche Versionen. Bleibt auch nur ein Teil der Geräte zurück, entstehen unbemerkt Lücken.

Der unterschätzte Nebeneffekt: weniger Update-Aufwand

Wer den Reader entfernt, spart nicht nur Risiko, sondern auch Arbeit. Ein Programm weniger bedeutet:

• weniger Sicherheitslücken, die überwacht werden müssen,
• weniger Patch-Zyklen und weniger Testaufwand,
• weniger Ausnahmen in Softwareverteilung und Inventarisierung,
• weniger Lizenz- und Konfigurationsthemen bei Rollouts.

Der Browser wird ohnedies laufend aktualisiert. Der darin integrierte PDF-Viewer fährt dabei einfach mit, ohne zusätzlichen Prozess.

Wann der Adobe Reader doch seine Berechtigung hat

Wir wollen aber nichts pauschal über den Kamm scheren. Es gibt Fälle, in denen er gebraucht wird und nützlich ist. Die sollte man bewusst identifizieren, statt ihn pauschal überall zu belassen:

• Formulare mit XFA oder Skripten, die manche Behörden und Firmen verwenden und die nur im Reader zuverlässig funktionieren
• Qualifizierte digitale Signaturen, deren Validierung und Zertifikatsprüfung im Reader am besten klappt,
  Spezialfälle wie PDF-Portfolios, 3D- oder eingebettete Medieninhalte
• Erweiterte Funktionen wie Schwärzen oder Prüfworkflows (hier meist die Vollversion Acrobat).

Das sind Anwendungsfälle für einzelne Rollen, zumeist aber nicht der Regelfall für alle Arbeitsplätze.

So gehen Sie klar und strukturiert in der Praxis vor

• Bestandsaufnahme: Auf welchen Geräten ist der Reader installiert? Ihre Softwareverteilung oder Inventarisierung liefert die Antwort.
• Bedarf klären: Wer braucht tatsächlich Formulare, Signaturen oder Spezialfunktionen? Eine kurze Rückfrage in den Fachabteilungen genügt oft.
• Standard festlegen: Den Browser oder den Windows-Viewer per Richtlinie als Standardanwendung für PDF definieren.
• Reader deinstallieren, wo er allein zum Betrachten dient, und für allfällige Ausnahmen eine kleine, dokumentierte Gruppe pflegen.
• Härten, was bleibt: für die benötigten Installationen JavaScript in PDFs deaktivieren, den geschützten Modus aktiv lassen und automatische Updates sicherstellen.
• Browser aktuell halten: Wer den Browser als Viewer nutzt, muss dessen Update-Disziplin gewährleisten. Das ist eine Grundaufgabe, die aber zumeist automatisiert ist.

Fazit

PDF lesen ist kein Luxus, aber der Reader dafür ist es inzwischen oft. Wo er nur zum Betrachten dient, bringt er keinen Mehrwert, dafür Risiko und Wartungsaufwand. Sicherheit entsteht nicht nur durch zusätzliche Schutzmaßnahmen, sondern auch durch konsequentes Reduzieren: Was nicht installiert ist, kann nicht angegriffen werden und muss nicht gepatcht werden.

Ein kleiner Schritt, der sich in jeder Umgebung rechnet – vom KMU bis zur großen Verwaltung.