Zieh den Stecker: Welche Online-Dateiwerkzeuge dein Dokument wirklich hochladen

„Sicher“ beantwortet eine Frage, die niemand gestellt hat

Sieh dir den Kopf fast jedes Online-PDF-Werkzeugs an, und du findest dieselben drei Zusicherungen: die Verbindung ist verschlüsselt, die Dateien werden gelöscht, die Server sind sicher. Jede davon kann vollkommen zutreffen, während das, was du eigentlich wissen wolltest, unbeantwortet bleibt. Transportverschlüsselung schützt die Datei vor jemandem, der die Leitung mithört. Gegen den Server am anderen Ende hilft sie nicht — der bekommt die Datei per Definition entschlüsselt, weil er sie sonst nicht bearbeiten könnte.

Löschung nach einer festen Frist ist eine echte Zusage und etwas wert, aber sie ist ein Versprechen über die Zukunft, keine Aussage über die Gegenwart. Zwischen Upload und Löschung liegt ein Zeitraum, in dem eine vollständige Kopie deines Dokuments auf Hardware liegt, die du nicht kontrollierst. Bei iLovePDF sind das nach eigener Auskunft bis zu zwei Stunden; bei den kostenlosen Werkzeugen von Smallpdf eine Stunde, und vierzehn Tage für alles, was durch eSign oder Freigabe läuft. Das gehört zu den kürzeren Fristen der Branche. Der Punkt ist nicht, dass sie lang wären. Der Punkt ist, dass die Frage „wie lange wird es aufbewahrt?“ nur existiert, weil die Antwort auf „wird es überhaupt gesendet?“ ja lautete.

Nichts davon macht diese Dienste unseriös. Sie sind groß, sie werden geprüft, und eine Zwei-Stunden-Frist ist eine echte technische Zusage, die Geld kostet. Es macht sie zu einer anderen Art von Sache als ein Werkzeug, das die Datei nie erhält — und nach der Art solltest du entscheiden, wenn das Dokument eine Gehaltsabrechnung ist, ein Befund, ein Vertrag in Verhandlung oder Kundendaten, für die du haftest.

Warum das Trennen der Verbindung der einzige nicht manipulierbare Test ist

Ein Werkzeug, das Dateien auf einem Server verarbeitet, kann die Aufgabe ohne Netz nicht abschließen. Es gibt keinen cleveren Rückfallweg, keinen Cache, der hilft: der Code, der die Arbeit macht, liegt nicht auf deinem Rechner, also kann er bei getrennter Verbindung nicht laufen. Ein Werkzeug, das im Browser arbeitet, hat alles Nötige schon geladen, wenn du den Knopf drückst, und merkt deshalb nicht, dass das Netz weg ist. Der Test funktioniert, weil er von der Software etwas verlangt, wozu nur eine der beiden Architekturen physisch in der Lage ist.

Es gibt eine ehrliche Komplikation, und man sollte sie kennen, damit das Ergebnis nicht in die Irre führt. Browser-Werkzeuge sind meist groß — eine nach WebAssembly kompilierte Video-Engine wiegt Dutzende Megabyte — und sie holen diese Engine bei der ersten Nutzung. Trennst du die Verbindung, bevor der Download fertig ist, scheitert auch ein vollständig lokales Werkzeug, und es sieht nach Upload aus. Das Gegenmittel steht in Schritt eins: die Seite zur Ruhe kommen lassen, das Werkzeug einmal mit Verbindung benutzen, und erst dann den Stecker ziehen. Getestet wird, ob die Datei sich bewegt, nicht ob das Programm aus dem Nichts entsteht.

Woher die Laufzeit kommt, ist eine eigene Frage

Den Offline-Test zu bestehen beweist, dass deine Datei geblieben ist. Es beweist nicht, dass gar nichts übermittelt wurde, denn viele Browser-Werkzeuge laden ihr WebAssembly von einem öffentlichen CDN statt von der eigenen Domain. Diese eine Anfrage verrät dem CDN-Betreiber deine IP-Adresse, deinen Browser, die Seite, auf der du warst — und damit, was du gleich tun wolltest. Die Datei ist privat; die Tatsache, dass du eine konvertiert hast, nicht.

Diese Seite liefert ihre selbst aus. Die Audio- und Video-Engine kommt von /ffmpeg/ auf dieser Domain und der PDF-Render-Worker von /pdfjs/, sodass die einzige Partei, die erfährt, dass du ein Dateiwerkzeug geöffnet hast, die Seite ist, die du bewusst geöffnet hast. Neben dem Nicht-Hochladen des Dokuments ist das eine Kleinigkeit — und genau die Art Kleinigkeit, die wegfällt, wenn ein CDN-Link eine Zeile Code ist und Selbst-Hosting ein Build-Schritt.

Was Verarbeitung im Browser dich wirklich kostet

Es wäre unehrlich, das als kostenlos darzustellen. Arbeit im Browser läuft auf deinem Prozessor, in deinem Speicher, und ist von beidem begrenzt. Eine Serverfarm kann zweiunddreißig Kerne auf ein Zwei-Gigabyte-Video werfen; dein Laptop nicht, und auf einem Telefon kann das Betriebssystem den Tab schlicht wegen Speicherverbrauchs beenden. Bei sehr großen Mediendateien ist ein Upload-Dienst tatsächlich schneller — und manchmal das Einzige, was überhaupt fertig wird.

Der Handel ist außerdem je nach Dateityp ungleich, und die ehrliche Fassung gehört gesagt. Strukturarbeit an PDFs, Bildgrößen und -kompression, Untertitel und Text sowie die meisten Audio-Operationen laufen auf gewöhnlicher Hardware bequem im Browser. Bei langem Video-Transcoding sinkt die Decke schnell. Ist die Datei klein genug, dass das lokale Werkzeug fertig wird, gibt es keinen Grund, sie irgendwohin zu schicken; ist sie es nicht, ist das ein echter Grund, anders zu wählen — und ein besserer als ein Werbesiegel.

Wann es keine Vorliebe mehr ist, sondern eine Pflicht

Für ein Urlaubsfoto spielt nichts davon eine Rolle. Für Dokumente, die im Beruf durch die Hände gehen, hört es auf, Geschmackssache zu sein. Nach der DSGVO macht das Senden einer Datei mit personenbezogenen Daten Dritter an einen Onlinedienst diesen Dienst zum Auftragsverarbeiter in deinem Auftrag, und diese Konstellation verlangt einen Vertrag mit dem in Artikel 28 festgelegten Inhalt — kein Häkchen, eine echte Vereinbarung. Eine Kundenliste, einen Stapel Bewerbungen oder eine Serie medizinischer Formulare in ein kostenloses Web-Werkzeug zu laden ist im strengen Sinn eine Übermittlung, für die du haftest und die du vermutlich nicht papierseitig geregelt hast.

Der Reiz eines Werkzeugs, das die Datei nie erhält, liegt darin, dass sich die Frage auflöst, statt beantwortet zu werden. Kein Auftragsverarbeiter, weil nichts im fremden Auftrag verarbeitet wird; keine Übermittlung zu dokumentieren, keine Aufbewahrungsfrist mit der eigenen abzugleichen, keine Meldepflicht auf diesem Weg zu bedenken. Ob dir das wichtig ist, hängt ganz davon ab, was im Dokument steht — weshalb sich der Test dieses Artikels einmal an dem lohnt, was du ohnehin benutzt, bevor der Tag kommt, an dem es zählt.

Eine Checkliste für eine Minute

Mach zuerst den Offline-Test, denn er beantwortet die einzige Frage mit einem harten Ja oder Nein. Übersteht das Werkzeug ihn, sieh nach, woher die Laufzeit kam: Netzwerk-Tab bei frischem Laden öffnen und auf die Domains achten, nicht auf die Dateinamen. Kommt alles von der Domain der Seite selbst, hat niemand von außen von deinem Besuch erfahren. Fällt das Werkzeug durch, bist du auf der Upload-Seite, und die nützlichen Anschlussfragen sind die, die der Dienst schriftlich beantworten sollte: wie lange wird es aufbewahrt, in welchem Land, und gibt es einen Weg, sofort zu löschen, statt die Frist abzuwarten.

Eine letzte Gewohnheit, ganz gleich wie du dich entscheidest: beurteile das Werkzeug danach, was es mit den langweiligen Dateien macht, nicht mit den heiklen. Niemand entscheidet in dem Moment sorgfältig, in dem er einen Vertrag verschickt. Man nimmt, was man letztes Mal genommen hat.

Häufige Fragen

Ist der Offline-Test verlässlich, oder kann ein Werkzeug ihn vortäuschen?

In der Richtung, auf die es ankommt, lässt er sich nicht vortäuschen. Ein Werkzeug, das einen Server braucht, kann deine konvertierte Datei ohne ihn nicht erzeugen — der Code liegt schlicht nicht auf deinem Rechner. Der Fehlerfall läuft andersherum: ein wirklich lokales Werkzeug kann durchfallen, wenn du trennst, bevor es seine Laufzeit fertig geladen hat, weshalb man die Seite laden und es zuerst einmal mit Verbindung benutzen sollte. Ein Werkzeug könnte außerdem lokal arbeiten und trotzdem eine Kopie irgendwohin senden, was der Offline-Test nicht sähe; dafür ist der Netzwerk-Tab da, und darum gibt es die zweite Hälfte der Checkliste.

Wenn die Datei den Browser nie verlässt, woher kommt dann der Download?

Von der Seite selbst. Das Werkzeug baut das Ergebnis im Speicher und übergibt es dem Browser als Blob, und der Browser speichert es genau so, wie er etwas von einem Server Geholtes speichern würde — gleicher Dialog, gleicher Downloads-Ordner. Nichts am Download verrät, wo die Bytes entstanden sind, und genau deshalb ist der Offline-Test aussagekräftiger, als die Datei ankommen zu sehen.

Sind Upload-Dienste also unsicher?

Nein, und es wäre eine schlechte Lesart dieses Artikels, das zu folgern. Sie verschlüsseln im Transport, sie löschen nach veröffentlichtem Plan, und die großen werden nach Standards geprüft, die kleine Seiten nie erreichen. Der Unterschied ist, dass sie ein Zeitfenster und eine Jurisdiktion schaffen, wo vorher keine war — und man sollte wissen, dass man eines schafft. Für die meisten Dateien ist das ein guter Handel, und für ein Zwei-Gigabyte-Video vielleicht der einzig gangbare.

Arbeitet ein Browser-Werkzeug weiter, wenn ich den Tab auf halbem Weg schließe?

Nein, und das ist die Kehrseite der Garantie. Die Arbeit existiert nur in der Seite: den Tab zu schließen beendet sie, und es gibt nichts fortzusetzen — keine Warteschlange auf einem Server hält deinen Auftrag. Bei einer langen Videokonvertierung halte den Tab im Vordergrund: manche Browser drosseln Hintergrundtabs so stark, dass die Arbeit kriecht, und ein Telefon kann den Speicher schlicht zurückholen.

Welche Dateien rechtfertigen diesen Aufwand wirklich?

Alles mit personenbezogenen Daten Dritter, denn dort ist die Antwort keine Vorliebe, sondern eine Compliance-Frage — Kundenlisten, Bewerbungen, Befunde, Schulakten. Dann alles, dessen Offenlegung dir direkt schadet: Gehaltsabrechnungen, Kontoauszüge, Ausweise, ein Vertrag vor der Unterschrift, unveröffentlichte Arbeit. Bei einer Speisekarte oder einem Urlaubsfoto ist die vernünftige Antwort, das Schnellste zu nehmen. Der Grund, sein Werkzeug zu kennen, ist: die Gewohnheit von der Speisekarte wendet man später auf den Vertrag an.