Warum du deine vertraulichen Dokumente keinen cloudbasierten Online-Konvertern mehr anvertrauen solltest

Was beim Klick auf „Hochladen“ tatsächlich passiert

Ein Cloud-Konverter ist per Definition der Computer einer anderen Person. Wenn du eine Datei dort ablegst, öffnet dein Browser eine HTTP-Verbindung und überträgt das gesamte Dokument an einen Server, den du nie gesehen hast, in ein Rechenzentrum, dessen Standort selten genannt wird. Dort wird es auf die Festplatte geschrieben, in eine Warteschlange gestellt, von einem Worker-Prozess aufgenommen, umgewandelt, erneut als Ausgabedatei geschrieben und über einen temporären Download-Link bereitgestellt. Je nach Plattform liegt dieser Link hinter einem CDN, das ihn am Rand des Netzes zwischenspeichert.

Nichts davon ist für sich genommen finster: So funktioniert serverseitige Verarbeitung. Das Problem ist die Anzahl der Kopien, die dabei entsteht. Eine einzige Konvertierung erzeugt routinemäßig das hochgeladene Original, die temporäre Datei des Workers, die erzeugte Ausgabe, den CDN-Cache und eine oder mehrere Zeilen im Zugriffsprotokoll. Rechne die automatischen Backups hinzu, und dein Dokument existiert an fünf oder sechs Stellen, von denen du keine kontrollierst und keine prüfen kannst.

Die Datei ist nicht das Einzige, was du sendest

Mit den Bytes gehen der Dateiname — der oft mehr verrät als der Inhalt, man denke an „Kündigung_Maria_final.pdf“ —, die Dateigröße, deine IP-Adresse, dein Browser und häufig die verweisende Seite. Office-Dokumente und PDFs tragen zusätzlich interne Metadaten: den Namen des Autors, die Organisation, der die Lizenz gehört, die verwendete Software sowie Erstellungs- und Änderungsdatum. Fotos enthalten EXIF-Daten, die exakte GPS-Koordinaten der Aufnahme umfassen können.

„Dateien werden nach einer Stunde gelöscht“ ist eine Richtlinie, kein Mechanismus

Seriöse Dienste veröffentlichen Löschzusagen, und viele halten sie ein. Aber eine Zusage ist eine Absichtserklärung, durchgesetzt vom Code des Dienstes und der Disziplin seiner Mitarbeitenden. Du kannst sie nicht überprüfen, wirst nicht benachrichtigt, wenn sie sich ändert, und sie sagt nichts über das Backup, das zwanzig Minuten nach deinem Upload lief, oder über die Protokolle, für die meist eine ganz andere Aufbewahrungsfrist gilt. Eine Garantie, die man nicht einsehen kann, ist eine Frage des Vertrauens, nicht der Sicherheit.

Die vier Risiken, nach Wahrscheinlichkeit sortiert

1. 1 Längere Speicherung als erwartet. Der Ausgabelink ist oft stunden-, manchmal tagelang gültig und häufig eine lange zufällige URL statt einer authentifizierten Ressource. Wer diese URL erlangt — aus einem Browserverlauf, einer Chatnachricht, einem Proxy-Protokoll —, kann dein Dokument herunterladen.
2. 2 Unterauftragsverarbeiter, denen du nie zugestimmt hast. Die meisten kleinen Konvertierungsseiten betreiben keine eigene Infrastruktur. Deine Datei läuft über einen Cloud-Anbieter, womöglich über einen Objektspeicher, manchmal über eine fremde Konvertierungs-API. Jeder Zwischenschritt ist eine weitere Organisation mit technischem Zugriff auf den Inhalt.
3. 3 Datenpanne. Öffentlich lesbar belassene Speicher-Buckets gehören zu den häufigsten Ursachen für Datenlecks im Internet. Du vertraust nicht nur den Absichten des Betreibers, sondern seiner Konfiguration — an einem Tag, von dem du nichts weißt.
4. 4 Rechtsraum und behördlicher Zugriff. Eine Datei in einem anderen Land unterliegt dessen Offenlegungsregeln. Für ein Urlaubsfoto ist das belanglos. Für den Arztbericht eines Mandanten oder eine noch nicht angemeldete Patentschrift nicht.

Warum das heute mehr wiegt als vor fünf Jahren

Nach der DSGVO — und vergleichbaren Regelwerken anderswo — ist derjenige Verantwortlicher, der über Zweck und Mittel der Verarbeitung personenbezogener Daten entscheidet. Wenn du Anwältin, Steuerberater, Recruiterin, Arzt oder HR-Verantwortlicher bist und ein Dokument mit personenbezogenen Daten Dritter zu einem kostenlosen Konverter hochlädst, hast du einen Auftragsverarbeiter eingeschaltet. Das rechtmäßig zu tun erfordert einen Auftragsverarbeitungsvertrag, eine Rechtsgrundlage, eine Bewertung der Übermittlung außerhalb deines Rechtsraums und einen Eintrag im Verarbeitungsverzeichnis. Praktisch niemand, der unter Zeitdruck einen Gratis-Konverter nutzt, hat davon irgendetwas erledigt.

Das berufsrechtliche Risiko ist real

Anwaltliche Schweigepflicht, ärztliche Verschwiegenheit, Bankgeheimnis und übliche Geheimhaltungsvereinbarungen begründen Pflichten, die nicht pausieren, weil eine Frist drängt. In den meisten dieser Regime ist die Offenlegung eines Dokuments gegenüber einem nicht erforderlichen Dritten bereits ein Verstoß — unabhängig davon, ob der Datei anschließend etwas zustößt. Das Risiko entsteht im Moment des Uploads, nicht im Moment des Missbrauchs.

Was dein Browser längst ohne Server kann

Die Gewohnheit des Hochladens stammt aus einer Zeit, in der Browser diese Arbeit tatsächlich nicht leisten konnten. Diese Zeit ist lange vorbei. Ein moderner Browser kann eine Datei mit der File API von der Festplatte lesen, sie als ArrayBuffer im Speicher halten, Bilder über die Canvas API dekodieren und neu kodieren, schwere nach WebAssembly kompilierte Bibliotheken ausführen, den Objektgraphen eines PDFs in JavaScript neu aufbauen, kryptografische Prüfsummen mit Web Crypto berechnen, all das mit Web Workers im Hintergrund-Thread erledigen und dir das Ergebnis über eine temporäre lokale Blob-URL zurückgeben, die den Rechner nie verlässt.

Genau so ist jedes Tool auf dieser Seite gebaut. Hinter KitYards steht kein Anwendungsserver, der eine Datei entgegennehmen könnte, denn die Seite ist ein statischer Build: HTML, CSS und JavaScript auf einem CDN. Wenn du ein PDF in eines der Tools ziehst, werden die Bytes in den Speicher deines eigenen Tabs gelesen, dort umgewandelt und dir als Download angeboten. Es wird nichts übertragen — und das ist eine stärkere Garantie als jede Löschrichtlinie, weil sie nicht davon abhängt, dass irgendjemand sein Wort hält.

Das Performance-Argument ist überholt

Das alte Argument für serverseitige Verarbeitung war rohe Rechenleistung. Bei Lasten in Dokumentgröße ist es zusammengebrochen: Zwanzig Megabyte hochzuladen und das Ergebnis wieder herunterzuladen dauert meist länger, als die Arbeit auf einem fünf Jahre alten Notebook zu erledigen — und scheitert bei schlechter Verbindung vollständig. Lokale Verarbeitung skaliert zudem perfekt, weil jede Besucherin ihre eigene CPU mitbringt. Deshalb kann sie kostenlos sein, ohne Limits, Wasserzeichen oder Warteschlange.

So prüfst du, ob ein Tool wirklich lokal arbeitet

Du musst niemandes Marketingtext glauben, auch unseren nicht. Fünf Minuten Prüfung klären die Frage, und die Tests funktionieren auf jeder Seite.

1. 1 Beobachte das Netzwerk. Öffne die Entwicklerwerkzeuge, wechsle auf den Tab „Netzwerk“, leere ihn und benutze das Tool. Ein lokales Tool zeigt die eigenen Ressourcen der Seite — und danach nichts mehr: keine POST-Anfrage mit deiner Datei, kein Upload über mehrere Megabyte.
2. 2 Zieh den Stecker. Lade die Seite einmal, trenne dann die Internetverbindung oder aktiviere den Flugmodus und benutze das Tool. Echte lokale Verarbeitung läuft weiter. Ein Cloud-Konverter scheitert sofort.
3. 3 Sieh auf die Antwortzeit. Wird eine 40-MB-Datei in einem Bruchteil der Zeit „verarbeitet“, die ihr Upload mit deiner Leitung brauchen würde, ist die Arbeit lokal passiert. Wächst die Wartezeit mit deiner Upload-Geschwindigkeit, nicht.
4. 4 Achte darauf, was die Seite verlangt. Ein Konto, eine E-Mail-Adresse für den Download-Link oder eine Größenbeschränkung, die sich per Abo aufheben lässt, deuten auf einen Server hin, der die Arbeit macht — und auf ein Geschäftsmodell, das darauf beruht.
5. 5 Suche in der Richtlinie nach „Aufbewahrung“. Eine Seite, die nichts aufzubewahren hat, sagt das klar und kurz. Ein langer, vorsichtig formulierter Abschnitt darüber, wie lange Dateien gespeichert werden, sagt dir, dass sie gespeichert werden.

Eine praktikable Regel für kleine Teams

Pauschale Verbote von Online-Tools überstehen die erste knappe Frist nicht; die Leute hören dann einfach auf zu erzählen, was sie benutzen. Eine funktionierende Regel ist enger gefasst und leichter zu befolgen.

• Klassifiziere nach Inhalt, nicht nach Dateityp. Nichts mit personenbezogenen Daten, Finanzdaten, Zugangsdaten oder unveröffentlichten Geschäftsinformationen geht zu einem Dritten.
• Für die tägliche Dokumentarbeit — komprimieren, teilen, sortieren, konvertieren — bevorzuge Tools, die im Browser laufen. Genau diese Operationen brauchen keinen Server mehr.
• Wenn wirklich ein Server nötig ist, nimm einen Dienst, den deine Organisation geprüft hat und mit dem ein Vertrag besteht, nicht das erste Suchergebnis.
• Entferne Metadaten, bevor du Dateien nach außen gibst, und prüfe den Dateinamen. „Angebot_v3_abgelehnt_Kopie.pdf“ hat der Empfängerin schon etwas mitgeteilt, das du vielleicht nicht mitteilen wolltest.
• Schreib die Regel in einem Absatz auf. Eine Richtlinie, die niemand aufsagen kann, ist keine.

Kurz gefasst

Ein Dokument zu einem kostenlosen Konverter hochzuladen ist nicht deshalb leichtsinnig, weil der Betreiber als unehrlich gelten müsste. Es ist leichtsinnig, weil dabei Kopien entstehen, die du nicht zählen kannst, an Orten, die du nicht siehst, geregelt durch Zusagen, die du nicht prüfen kannst — im Tausch gegen eine Bequemlichkeit, die dein eigener Browser inzwischen bietet. Für die alltäglichen Aufgaben Komprimieren, Teilen, Zusammenfügen, Sortieren und Konvertieren gibt es schlicht keinen Grund mehr, dass die Datei reist. Behalte sie auf deinem Gerät, und diese ganze Risikoklasse verschwindet.