Dateikonvertierung im Browser und Datenschutz: Was wirklich mit Ihren Dokumenten passiert
Dateikonvertierung wirkt wie eine triviale Pflicht – bis das Dokument ein Vertrag, ein medizinischer Bericht oder ein Entwurf unter NDA ist. Dann zählt jeder Klick, und die Frage lautet nicht mehr, ob das Tool schnell ist, sondern wohin die Datei tatsächlich geht. Cloud-Konverter und browserbasierte Konverter beantworten diese Frage sehr unterschiedlich – und der Unterschied ist überprüfbar, kein bloßes Vertrauensversprechen.
Dieser Artikel geht den realen Datenfluss der Cloud-Konvertierung durch, das Bedrohungsmodell für sensible Dateien, die Funktionsweise rein clientseitiger Konvertierung und – am wichtigsten – wie Sie die Behauptungen selbst mit nichts als den Entwicklertools Ihres Browsers verifizieren. Er schließt mit den ehrlichen Grenzen des lokalen Ansatzes und dem, was Datenminimierung in der Praxis bedeutet.
Was mit einer hochgeladenen Datei wirklich passiert
Ein typischer Cloud-Konverter tut mehr, als seine Marketingseite vermuten lässt. Zuerst wird die Datei über TLS auf die Server des Anbieters hochgeladen. Die Verarbeitung erfolgt dann auf Maschinen, die Sie nicht kontrollieren, oft auf gemeinsam genutzter Infrastruktur. Das Ergebnis muss zu Ihnen zurück, was in der Regel mindestens einen weiteren Serverkontakt bedeutet, und die Arbeitskopien – Original und konvertierte Datei – verbleiben irgendwo dazwischen.
Dieses Irgendwo wird von der Aufbewahrungsrichtlinie des Anbieters bestimmt, die Dateien in Minuten löschen oder weit länger vorhalten kann, und von der Rechtsprechung des Rechenzentrums. Viele Dienste setzen zudem auf Dritte für Speicher, Warteschlangen, Logging und Analytik. Jede Station ist eine weitere Partei, die Ihr Dokument kurzzeitig in Händen hält – eine weitere Bedingung, die Sie nicht individuell ausgehandelt haben.
Ein Bedrohungsmodell für sensible Dokumente
Bei einer Rezeptsammlung ist all das gleichgültig. Bei einem unveröffentlichten Vertrag, einer Patientenakte, einer Prozessakte oder einem Manuskript unter NDA ändert sich die Rechnung. Die Bedrohung ist selten ein bösartiger Betreiber, der Ihr PDF liest; es ist die Ansammlung von Kopien – auf Festplatten, in Backups, in Logs –, die Sie nicht aufzählen, nicht auf Wunsch löschen und nicht prüfen können.
Sensible Inhalte haben außerdem ein längeres Nachleben als erwartet. Ein heute harmloses Dokument kann in zwei Jahren kommerziell oder rechtlich heikel sein, und Aufbewahrungsrichtlinien schreibt die Partei, die die Daten hält, nicht die, die sie erstellt hat. Die einzige Aufbewahrungsrichtlinie, die Sie vollständig kontrollieren, ist die, bei der die Datei Ihr Gerät nie verlässt.
Wie clientseitige Konvertierung funktioniert
Browserbasierte Konvertierung kehrt den Fluss um: Die Engine reist zur Datei, nicht umgekehrt. Die Website lädt eine Konvertierungs-Engine – in diesem Fall echtes Pandoc, kompiliert zu WebAssembly – in Ihren Browser. WebAssembly läuft in derselben Sicherheits-Sandbox wie gewöhnliches JavaScript: kein Zugriff auf Ihr Dateisystem, keine eigene Netzwerkberechtigung und keine Möglichkeit, nach Hause zu telefonieren, es sei denn, die Seite öffnet ausdrücklich eine Verbindung.
Die Konvertierung selbst läuft in einem Web Worker, einem Hintergrundthread getrennt von der Seiten-UI. Ihr Dokument wird dem Worker als Bytes im Arbeitsspeicher übergeben, geparst, umgewandelt und zurückgegeben; nichts wird auf die Festplatte geschrieben außer dem von Ihnen ausgelösten Download, und kein Server-Roundtrip ist nötig. Nach Abschluss der Konvertierung werden diese Bytes wie jede andere Variable vom Garbage Collector eingesammelt.
Prüfen Sie es selbst nach
Die Behauptungen lassen sich in etwa zwei Minuten testen. Öffnen Sie die Entwicklertools Ihres Browsers, wechseln Sie zum Netzwerk-Tab, laden Sie eine Konverter-Seite und ziehen Sie eine Datei hinein. Während einer clientseitigen Konvertierung bleibt das Panel leer – kein POST, kein Upload-Fortschritt, keine rätselhafte Anfrage an einen API-Endpunkt. Alles, was Sie sehen, sind die Assets, die die Seite selbst geladen hat.
Zwei strengere Prüfungen folgen. Erstens: Sobald die Engine abgerufen und gecacht ist, laden Sie die Seite, gehen Sie über die DevTools oder durch Trennen der Verbindung offline und konvertieren erneut – es funktioniert weiterhin, was nur möglich ist, wenn nichts das Netzwerk braucht. Zweitens: Durchsehen Sie den Application-Tab – der Cache Storage zeigt die gecachte Engine, und Sie können bestätigen, dass nirgends eine Warteschlange ausstehender Uploads existiert. Führen Sie diesen Test bei jedem Tool durch, das lokal zu sein behauptet; vertrauen Sie dem Panel, nicht dem Versprechen.
Die ehrlichen Grenzen
Lokale Konvertierung ist keine Magie, und sie zu übertreiben hilft niemandem. Die Engine selbst – für Pandoc einige Dutzend Megabyte – muss einmal heruntergeladen werden, und dieser erste Abruf offenbart dem ausliefernden Host Ihre IP-Adresse und Ihren User Agent, wie jede Webanfrage. Sie hängt außerdem von TLS und von der Integrität des gelieferten Codes ab.
Weitere Grenzen liegen in der Umgebung. Browser-Erweiterungen können Seiteninhalte lesen, eine bösartige Erweiterung untergräbt also jede Datenschutzzusage; kompromittierte Rechner kompromittieren alles; und eine Seite könnte grundsätzlich ihr Verhalten ändern, nachdem Sie ihr einmal vertraut haben. Die vernünftige Haltung ist, pro Website zu verifizieren, Erweiterungen für sensible Arbeit minimal zu halten und nach größeren Updates erneut zu prüfen.
Was diese Website lokal speichert
Auf dieser Website ist der gespeicherte Zustand bewusst klein. Die Pandoc-WebAssembly-Engine wird im Cache Storage abgelegt, damit Konvertierungen nach der ersten Nutzung offline funktionieren, und die Oberfläche hält eine Einstellung wie Ihre Theme-Wahl im Local Storage. Das ist das gesamte Inventar.
Ihre Dokumente existieren nur im Arbeitsspeicher, solange eine Konvertierung läuft, und die Ausgabe erreicht Ihre Festplatte ausschließlich, weil Sie auf Download geklickt haben. Es gibt kein Konto zu löschen, keine serverseitige Kopie, deren Entfernung Sie beantragen müssten, und keine Analyse-Spur dessen, was Sie konvertiert haben. Beim Schließen des Tabs bleibt nichts zurück außer der gecachten Engine und Ihrem Theme.
Warum Aufsichtsbehörden Datenminimierung mögen
Das Datenschutzrecht kennt ein Prinzip, das sich sauber auf diese Architektur abbilden lässt. Die Datenminimierung der GDPR verlangt, personenbezogene Daten auf das Notwendige zu beschränken – und ein Konverter, der das Dokument nie erhält, erfüllt das quasi von Natur aus. Wenn keine Datei über die Leitung geht, gibt es keinen Auftragsverarbeiter zu prüfen, keine Auftragsverarbeitungsvereinbarung zu unterzeichnen und keinen Drittlandtransfer zu bewerten – für den Konvertierungsschritt selbst.
Das ist keine Rechtsberatung, und es macht nicht jeden Arbeitsablauf konform – die Inhalte müssen weiterhin überall dort rechtmäßig behandelt werden, wo sie gespeichert sind. Aber die Verlagerung der Umwandlung auf den Client entfernt eine ganze Kategorie von Drittanbieter-Risiken aus der Risikobewertung – weshalb datenschutzbewusste Teams, Krankenhäuser und Kanzleien zunehmend auf Tools bestehen, die Dateien auf dem Gerät belassen.