Einführung

Sicherer Dokumenten-Upload und geschützter Online-Konvertierungs‑Workflow

Das Hochladen eines sensiblen Dokuments zu einem Online-Konverter kann riskant erscheinen. Die Datei könnte abgefangen, länger als erwartet gespeichert oder auf eine Weise verarbeitet werden, die Datenschutzbedenken erzeugt. Front‑End‑Ingenieure in SaaS‑Unternehmen können dieses Risiko verringern, indem sie einen sicheren, datenschutzorientierten Viewer einsetzen, der den Zugriff steuert, Dokumente während der Verarbeitung schützt und die Verfügbarkeit temporärer Dateien zeitlich begrenzt.

Dieser Beitrag untersucht die Risiken, die mit generischen Online-Konvertern einhergehen, und unterscheidet anschließend zwei häufig miteinander verwechselte Dinge: den kostenlosen öffentlichen Viewer bei OnlineDocumentViewer.com und das Doconut SDK, das ein SaaS‑Team in sein eigenes Produkt einbettet. Es handelt sich nicht um dasselbe Produkt, und sie beantworten unterschiedliche Fragen.

Verständnis der Bedrohungslandschaft für Dateikonvertierungsdienste

Selbst ein ausgereifter Online-Konverter kann sensible Daten preisgeben, wenn die Sicherheit nicht sorgfältig gehandhabt wird. Die häufigsten Risiken umfassen unsichere Übertragungen, unklare Aufbewahrungsrichtlinien und schwache Zugriffskontrollen.

Bedrohung	Wie es geschieht	Auswirkungen in der Praxis
Man‑in‑the‑Middle‑Abfangen	Schwache oder unsichere Übertragungseinstellungen können Dateien während des Hochladens oder Zugriffs preisgeben.	Vertrauliche Verträge, Gesundheitsdaten, Finanzberichte oder Quellcodedateien könnten offengelegt werden.
Persistente Speicherung auf Drittanbieter‑Servern	Einige Dienste bewahren hochgeladene Dateien stunden‑ oder tagelang auf, ohne klare Sichtbarkeit für den Nutzer.	Dies kann Datenschutzrisiken, Compliance‑Probleme und Prüfungsbedenken erzeugen.
Schwache Isolation eingebetteter Viewer	Schlecht gesteuerte eingebettete Vorschaumerlebnisse können die Exposition gegenüber unerwünschten Skripten oder unbefugtem Zugriff erhöhen.	Der Inhalt sensibler Dokumente kann einem höheren Risiko ausgesetzt sein, wenn der Viewer nicht ordnungsgemäß isoliert ist.

Für ein SaaS‑Produkt, das vertrauliche Dateien verarbeiten muss, können diese Schwächen ernsthafte geschäftliche und compliance‑relevante Bedenken hervorrufen. Die Lösung besteht nicht nur darin, sichere Übertragungen zu verwenden. Sie benötigen außerdem einen Viewer, der die Dokumentenexposition begrenzt, den Zugriff steuert und datenschutzorientierte Workflows unterstützt.

Zwei verschiedene Produkte, und der Unterschied ist hier entscheidend

Bevor wir weitergehen: OnlineDocumentViewer.com ist eine kostenlose öffentliche Website. Jeder lädt eine Datei hoch, liest sie, und die Datei wird gelöscht, sobald die Sitzung endet. Es gibt keine Konten, Rollen, Berechtigungen oder Prüfprotokolle, weil es niemanden gibt, dem diese zugeordnet werden könnten. Es ist eine gute Antwort auf „Ich kann diese Datei nicht öffnen“, aber keine Antwort auf „Wer in meiner Organisation darf diesen Vertrag lesen“.

Die Antwort auf die zweite Frage ist das Doconut SDK: dieselbe Rendering‑Engine, lizenziert und auf Ihren eigenen Servern installiert, wobei Ihre Anwendung Authentifizierung, Autorisierung, Speicherung und Protokollierung rund um das SDK bereitstellt.

Der Großteil dieses Artikels befasst sich mit dem zweiten.

Warum zeitlich begrenzter Zugriff wichtig ist

Wenn ein Viewer in eine Webanwendung eingebettet ist, bestimmt die Art und Weise, wie Dokumente abgerufen werden, die gesamte Sicherheitsgeschichte. Ein direkter Dateilink ist einfach zu implementieren und bleibt lange gültig, nachdem die empfangende Person ihn nicht mehr benötigt.

Das sicherere Muster ist ein kurzlebiger, serverseitig erzeugter Verweis, der auf ein Dokument und eine Sitzung beschränkt ist, wobei die Autorisierungsprüfung bei jeder nachfolgenden Anfrage erneut durchgeführt wird.

Dieses Muster wird von Ihrer Anwendung implementiert. Es ist keine Eigenschaft einer Viewer‑Komponente und sicherlich nicht eine Eigenschaft einer öffentlichen Website: OnlineDocumentViewer.com verfügt über kein Identitätsmodell, dem etwas zugeordnet werden könnte. Stattdessen hat es eine Sitzung, die endet und die Datei mitnimmt.

Automatisches Löschen von Dateien und Datenschutz: Was Sie überprüfen müssen

Datenschutzbestimmungen und interne Sicherheitsrichtlinien verlangen häufig, dass Teams persönliche oder vertrauliche Daten nicht länger als nötig aufbewahren. Viele kostenlose oder generische Konverter erwähnen automatisches Löschen, aber die Details sind nicht immer klar. Einige löschen Dateien nur nach einer festen Verzögerung, während andere temporäre Kopien länger als erwartet behalten.

Bei der Bewertung eines Dokumentbetrachters oder Konverters sollten Sie überprüfen:

Wie lange hochgeladene Dateien verfügbar bleiben.
Ob temporäre Dateien nach der Ansichtssitzung gelöscht werden.
Ob Sicherungskopien oder Rohdokumentprotokolle erstellt werden.
Ob Zugriffsprotokolle zur Überprüfung verfügbar sind.
Ob der Dienst Ihre internen Datenschutz- und Compliance-Anforderungen unterstützt.

Auf dieser Seite lautet die Antwort auf alle fünf Punkte kurz: Der Upload wird gelöscht, wenn die Ansichtssitzung endet, es gibt kein Konto und keine Bibliothek, es wird kein Zugriffsprotokoll geführt, weil keine Identität zugeordnet werden kann, und keine Zertifizierung unterstützt dies. Das ist ein gutes Modell für eine Datei, die Sie ohnehin per E‑Mail verschicken würden, und das falsche für eine Aktenakte.

Einbetten eines Betrachters ohne Plugins

Hier trennen sich die beiden Produkte endgültig, also seien Sie genau, welches Sie bewerten.

	Kostenlose Website	Doconut SDK
Wo es läuft	Unsere Server	Ihre
Einbettbar in Ihr Produkt	Nein	Ja
Selbstgehostet	Nein	Ja
Authentifizierung und Rollen	Keine. Es gibt keine Konten	Ihre Anwendung
Audit‑Protokoll	Keines	Was immer Ihre Anwendung aufzeichnet
Aufbewahrung	Nach der Ansichtssitzung gelöscht	Ihre Richtlinie
Kosten	Kostenlos	Kommerzielle Lizenz
Formate	73 Erweiterungen	75 über 18 Familien, DICOM enthalten

Beide sind pluginfrei und rendern serverseitig, sodass nichts auf dem Rechner des Benutzers ausgeführt wird. Alles andere in dieser Liste ist ein Unterschied, und die falsche Spalte zu wählen, führt zu einer schlechten Sicherheitsüberprüfung.

Praktische Integrationstipps für sichere SaaS‑Workflows

Diese gelten für einen eingebetteten Betrachter in Ihrem eigenen Produkt – also das SDK. Sie können nicht auf die öffentliche Website angewendet werden, die keinen Ihrer Server enthält.

1. Kurzlebigen Zugriff auf dem Server erzeugen

Lösen Sie eine an die Anwendung gebundene Dokument‑ID auf, anstatt die Originaldatei offenzulegen. Binden Sie die Referenz an ein Dokument, eine Operation und eine Sitzung und geben Sie ihr eine kurze Lebensdauer.

2. Nur das zurückgeben, was der Client benötigt

Das Frontend sollte nur die Ansicht‑Referenz erhalten, niemals den Speicherpfad oder Anmeldedaten.

3. Berechtigungen pro Rolle auf dem Server anwenden

Einige Benutzer dürfen nur lesen; andere dürfen auch drucken oder exportieren. Durchsetzen sollten Sie das bei der Anfrage, nicht indem Sie einen Symbolleisten‑Button ausblenden.

4. Zugriffsereignisse protokollieren

Benutzer, Mandant, Dokument‑ID, Operation, Autorisierungsergebnis, Zeitstempel. Identifikatoren und Ergebnisse – nicht Dokumenteninhalt, nicht Tokens, nicht Speicher‑URLs.

Wichtige Erkenntnisse

Sensiblen Dokumente sollten nicht über permanente öffentliche Links zugänglich gemacht werden.
Die Frage an einen gehosteten Konverter lautet Aufbewahrung, nicht Verschlüsselung: Wie lange wird die Datei gespeichert und wer kann darauf zugreifen, solange sie existiert.
Der kostenlose Betrachter auf dieser Seite hat keine Konten, keine Rollen und kein Audit‑Protokoll. Er löscht den Upload nach der Sitzung, und das ist das gesamte Zugriffsmodell.
Alles, was Autorisierung, Berechtigungen, Protokollierung oder Selbst‑Hosting erfordert, ist Aufgabe des SDK, das in Ihrer Anwendung läuft.
Pluginfreie Vorschau hält Benutzer in Ihrem Produkt – aber nur das eingebettete SDK gibt Ihnen das Produkt, um sie dort zu halten.
Compliance‑Ansprüche gelten für Ihr bereitgestelltes System, nicht für eine Komponente. Wir besitzen keine Zertifizierungen, und kein Produkt ändert daran.

Häufige Fragen

Q: Kann ich verhindern, dass Benutzer ein Dokument herunterladen?

A: Nicht auf dieser Website – sie hat keine Konten, keine Rollen und kein Berechtigungsmodell. In Ihrer eigenen Anwendung mit dem SDK können Sie die Symbolleiste konfigurieren, und Ihr Server muss jede dahinterstehende Anfrage autorisieren. Einen Button auszublenden ist keine Zugriffskontrolle.

Q: Meine Anwendung speichert Dokumente im Cloud‑Speicher. Kann dieser Workflow trotzdem angewendet werden?

A: Mit dem SDK, ja. Ihr Backend löst eine an die Anwendung gebundene Dokument‑ID zu ihrem Speicherort auf, prüft, ob der Benutzer Zugriff hat, und übergibt die Datei an den Betrachter. Der ursprüngliche Speicherpfad gelangt nie zum Browser. Die kostenlose Website kann das nicht: Sie hat nur eine Eingabe, nämlich einen Datei‑Upload von der Person an der Tastatur.

Q: Ist automatisches Löschen von Dateien ausreichend für die Compliance?

A: Nein. Aufräumen ist nur eine von vielen Kontrollen; Compliance hängt von Ihrem Workflow, Ihren Richtlinien, Protokollierung, Zugriffskontrollen und der Datenverarbeitung ab. Überprüfen Sie das Aufbewahrungsverhalten in der Umgebung, in der Sie tatsächlich arbeiten, und beachten Sie, dass keine unserer Zertifizierungen dies unterstützt – wir besitzen keine.

Q: Was ist, wenn ein Benutzer ein Dokument drucken muss?

A: Der kostenlose Betrachter druckt; es gibt nichts zu konfigurieren und niemanden, für den es konfiguriert werden muss. In Ihrer eigenen Anwendung ist das Drucken eine rollenbasierte Entscheidung, die Sie treffen und serverseitig durchsetzen.

Fazit

Das Hochladen einer sensiblen Datei zu einem Online‑Konverter ist eine Entscheidung über Aufbewahrung und Zugriff, nicht über das Upload‑Formular. Fragen Sie, wie lange die Datei aufbewahrt wird, wer darauf zugreifen kann und wo sie verarbeitet wird.

Für eine einmalige Datei, die nicht vertraulich ist, öffnet der Online‑Dokumentenbetrachter sie kostenlos, ohne Konto, und löscht sie, wenn Sie den Tab schließen. Für die Dokumentvorschau in Ihrem eigenen SaaS‑Produkt – mit Ihrer Authentifizierung, Ihren Berechtigungen und Ihrem Speicher – ist das, was Sie benötigen, das Doconut SDK, das auf Ihren Servern läuft und das Dokument nirgendwohin sendet.

Zwei Produkte. Wählen Sie dasjenige, das zum Dokument passt.