Datenschutz-Leitfaden: Bedrohungsmodelle für Browser-Arbeit

Fast alle arbeiten inzwischen mit Daten von einigem Datenschutzgewicht, und zwar mit einem Werkzeugkasten, dessen Vertrauensmodell sie nie angesehen haben. Dies ist die Landkarte dazu: welche Bedrohungen eine Abwehr verdienen, welcher eine Test die meisten Fragen klärt, und wo die Tools dieser Seite stehen, ehrlich statt vorteilhaft dargestellt.

Erst die Bedrohung benennen, dann das Werkzeug wählen

"Datenschutz" ist nicht eine Sache, und die richtige Antwort ändert sich damit, vor wem Sie sich schützen.

Zufällige Nähe. Jemand ohne Interesse an Ihnen, der aber Ihren Bildschirm sieht, Ihren Laptop leiht oder Ihr altes Handy erbt. Bildschirmsperre, getrennte Konten, eine Hand vor der Webcam. Keine besonderen Werkzeuge nötig.

Kommerzielle Aggregation. Firmen, die ein Profil bauen, indem sie Werbetracking, Datenpannen und zugekaufte Daten verknüpfen. Tracker blockieren, weniger Konten, getrennte E-Mail-Adressen, und die Annahme, dass ein kostenloser Dienst irgendetwas zu Geld macht.

Eine bestimmte Person hinter Ihnen. Ein Ex-Partner, ein Wettbewerber, ein Staat. Das verlangt Metadaten-Disziplin, Kompartimentierung und oft professionelle Hilfe, und nichts auf dieser Seite reicht dafür aus. Es zu benennen hilft vor allem, um zu merken, wann man darin steckt.

Die alltägliche Praxis zielt fast immer auf die ersten beiden.

Die Frage, die das meiste klärt

Erreichen die Daten einen Server oder bleiben sie auf dem Gerät? Das ist eine bauliche Eigenschaft, keine Haltung, und man kann sie beobachten.

DevTools öffnen, Tab Netzwerk, auf Fetch/XHR filtern, das Tool mit etwas Belanglosem ausführen und hinsehen. Ein Upload ist eine Anfrage etwa in der Grösse Ihrer Daten. Ein lokales Tool zeigt nichts, was Ihre Eingabe trägt, höchstens ein WebAssembly-Modul oder eine Schrift.

Dreissig Sekunden. Das ersetzt das Lesen einer Datenschutzerklärung durch das Beobachten von Verhalten, und es funktioniert auf jeder Seite, auch auf dieser.

Warum Ihr PDF-Tool im Browser laufen sollte und Client-seitige Bildkomprimierung gehen für diese beiden Dateitypen im Einzelnen durch, was dabei nach aussen dringt.

Unsere eigenen Tools, gezählt statt behauptet

Frühere Fassungen dieses Leitfadens sagten, alle verlinkten Tools liefen im Browser. Das stimmte nicht, und die genannten Tools waren gerade die Ausnahmen.

Einundzwanzig von zweihundertzweiundsechzig Tools laden hoch. Es sind die, die eine echte Medien-Pipeline brauchen: alle Video- und Audio-Arbeiten, PDF-Komprimierung, PDF-Passwortschutz und Entsperren, die ausdrücklich als Server-Side benannten Varianten, AVIF-Konvertierung, der serverseitige Skalierer und der EXIF-Entferner. Diese Dateien gehen an Server in der EU und werden nach fünfzehn Minuten gelöscht.

Beim EXIF-Entferner lohnt ein Innehalten, weil die Ironie scharf ist: Er entfernt Ortsdaten aus einem Foto, indem er das Foto zuerst hochlädt. Wenn genau dieser Ort das Schützenswerte ist, kodieren Sie das Bild stattdessen lokal mit dem Bildkompressor neu, der über ein Canvas zeichnet und deshalb überhaupt keine Metadaten behält.

Passwörter

1. Länge, nicht Zeichenklassen. NIST verlangt inzwischen mindestens 15 Zeichen für ein Passwort als einzigen Faktor und untersagt Zusammensetzungsregeln ausdrücklich². Sechzehn zufällige Zeichen oder sechs zufällige Diceware-Wörter.
2. Pro Konto einmalig. Der realistische Angriff ist nicht das Knacken Ihres Passworts. Es ist ein Zugangsdatum aus einem Dienst, den Sie 2019 vergessen haben, überall sonst durchprobiert.
3. Im Manager. Eine Passphrase, die Sie sich merken, der Rest nicht.
4. Passkeys, wo angeboten. Sie sind an einen Origin gebunden, Phishing hört also auf zu funktionieren, statt nur schwieriger zu werden.
5. Zweiter Faktor aus einer App, nicht per SMS. SIM-Swapping ist Routine.
6. Kein Wechsel nach Kalender. NIST untersagt, ihn ohne Hinweis auf Kompromittierung zu verlangen², weil er vorhersehbare Hochzählungen erzeugt.

Unser Passwort-Generator nutzt crypto.getRandomValues in der Seite. Unser Passwort-Stärke-Prüfer meldet Zeichensatz-Entropie und markiert einige offensichtliche Muster, und er überschätzt ein selbst gewähltes Passwort, das zufällig alle vier Zeichenklassen nutzt. Behandeln Sie einen niedrigen Wert als endgültig und einen hohen als unbewiesen. Die Begründung steht in Passwortstärke 2026.

Etwas Vertrauliches verschicken

Das Muster ist unabhängig vom Werkzeug dasselbe: die Nutzlast verschlüsseln, sie über einen beliebigen Kanal schicken und die Passphrase über einen anderen. Ein Anruf, eine SMS, eine Übergabe von Hand. Wer dann den E-Mail-Verlauf kompromittiert, hat eine Hälfte.

Unser AES verschlüsseln/entschlüsseln leitet seinen Schlüssel mit PBKDF2-HMAC-SHA256 über 600.000 Iterationen aus einem frischen Zufalls-Salt ab, also genau dem Wert, den OWASP derzeit empfiehlt¹, und nutzt standardmässig AES-256 im GCM-Modus, sodass Manipulation laut scheitert statt zu Müll zu entschlüsseln.

Es verschlüsselt Text, keine Dateien. Eine Passphrase, einen Schlüssel, einen Block Notizen, in ein Feld eingefügt und als base64 zurückgegeben. Für ein echtes Dokument nehmen Sie ein Archivprogramm mit AES-256, age oder ein verschlüsseltes Image. Das ist eine echte Einschränkung, und die vorige Fassung dieses Leitfadens hat sie überdeckt.

Was Sie auch nehmen, die Passphrase bleibt die Schwachstelle. Sechshunderttausend Iterationen kaufen Zeit gegen Raten; sie retten keine Phrase, die jemand erraten kann.

Dokumente, ehrlich betrachtet

Ein schwarzes Rechteck ist keine Schwärzung. Der Text bleibt darunter im Content-Stream, markierbar und durchsuchbar, und wer die Datei bekommt, bekommt ihn. Inhalt entfernen, nicht verdecken.

Metadaten nennen Sie beim Namen. Ein aus einem Office-Paket exportiertes PDF trägt den Autorennamen, meist das Betriebssystemkonto, dazu Organisation, Zeitstempel und Softwareversion. Setzen Sie nicht voraus, dass ein Verarbeitungsschritt das entfernt, sondern prüfen Sie die Ausgabe.

PDF-Passwörter unterscheiden sich enorm. Moderne PDF-2.0-Dateien nutzen AES-256 und sind solide. Ältere nutzen RC4 mit 40 oder 128 Bit und sind es nicht, und meist erkennen Sie nicht, was Sie bekommen. Das Dokument separat zu verschlüsseln ist vorhersagbarer.

EXIF trägt GPS. Handyfotos speichern, wo sie entstanden sind. Ein Neukodieren über ein Canvas entfernt das, und genau das tut der lokale Bildkompressor nebenbei.

Screenshots erfassen mehr als gemeint. Benachrichtigungsvorschauen, ein zweiter Monitor, ein offener Tab-Titel. Sehen Sie das ganze Bild an, bevor Sie es verschicken.

Browser-Hygiene

• Ein Browser, der standardmässig blockt. Firefox mit striktem Schutz oder Brave. Safari ist vertretbar.
• Weniger Erweiterungen. Ein Content Script bekommt direkten DOM-Zugriff auf jede zu seinen Mustern passende Seite³, und dazu gehört alles, was Sie in ein Formular tippen. Kompromittierungen in der Lieferkette von Erweiterungen wiederholen sich, und die Kampagne vom Dezember 2024, beschrieben in Das sollte man niemals in ein zufälliges Online-Tool einfügen, zog Sitzungsdaten aus Seiten ab, die Nutzer einfach offen hatten.
• Container oder Profile, damit Arbeit, Privates und Einkaufen keine Cookies teilen.
• Privater Modus ist kein Datenschutz. Er verzichtet auf lokale Historie. Die Seite und Ihr Netz sehen weiterhin alles.

Downloads prüfen

Anbieter veröffentlichen einen SHA-256 zu Installern und Images, damit Sie bestätigen können, dass Sie die veröffentlichte Datei bekommen haben und nicht die Version eines Spiegelservers.

sha256sum downloaded-file.iso

Vergleichen Sie ihn mit dem Hash auf der eigenen HTTPS-Seite des Anbieters. Unser Hash-Generator macht dasselbe im Browser, die Datei bleibt lokal, was für eine Datei bequem und für eine grosse langsamer als die Kommandozeile ist.

Kompartimentierung, die unterschätzte Massnahme

Getrennte E-Mail-Adressen je Lebensbereich. Getrennte Karten oder virtuelle Karten je Händler. Getrennte Browser-Profile je Rolle. Ein eigener Rechner für die heikelste Arbeit, wenn sie es rechtfertigt.

Niemand macht alles davon. Jeder Baustein nützt für sich, denn es geht nicht darum, jedes Leck zu verhindern, sondern darum, dass ein Leck nicht alle wird.

Die kurze Liste

• Passwort-Manager, für jedes neue Konto genutzt.
• Zweiter Faktor per App bei E-Mail, Bank und Arbeit.
• Tracking-Schutz an, Erweiterungen durchgesehen und ausgemistet.
• Netzwerk-Tab geprüft, bevor Vertrauliches in ein Web-Tool geht, auch in unseres.
• Verschlüsseltes und Passphrase über verschiedene Kanäle.
• Metadaten geprüft, bevor ein Dokument das Haus verlässt.
• Ein Quartalsdurchgang, um tote Konten zu schliessen.

Was Datenschutz wirklich ist

Nicht Geheimhaltung. Kontrolle darüber, wer was weiss und unter welchen Umständen, und sie muss nicht lückenlos sein, um sich zu lohnen. Weniger beiläufige Preisgaben, dünnere Profile, schnellere Erholung, wenn doch etwas schiefgeht.

Die hier verlinkten Tools laufen überwiegend in Ihrem Browser, und jetzt haben Sie eine Liste derer, die es nicht tun. Genau darum geht es: Eine Behauptung, die Sie in dreissig Sekunden prüfen können, ist mehr wert als eine Seite voller Zusicherungen, und diese Gewohnheit trägt in jedes andere Werkzeug hinüber.