Rechtsabteilungen bearbeiten Verträge, Beweisdateien und andere hoch vertrauliche Dokumente. Der gängige Arbeitsablauf, ein PDF zu einem cloud‑basierten Sharing‑Dienst hochzuladen, erzeugt sofort ein Sicherheitsrisiko: Die Datei befindet sich außerhalb Ihres Unternehmensperimeters, und Sie verlieren die feinkörnige Kontrolle darüber, wer sie ansehen darf und wie lange.

Was wäre, wenn Sie einen sicheren, verschlüsselten PDF‑Viewer direkt in Ihr .NET‑Web‑Portal einbetten könnten und damit garantieren, dass das Dokument niemals einen Drittanbieter‑Server berührt?

In diesem Leitfaden führen wir Sie durch eine praxisnahe Architektur, die auf Doconut Viewer, dem .NET‑Document‑Viewer‑SDK, basiert. Das SDK wird in Ihre eigene Anwendung integriert und ruft keinerlei Doconut‑Server auf, sodass das Dokument Ihre Infrastruktur niemals verlässt.

Zwei Dinge müssen vor dem ersten Schritt klar sein, weil der Rest des Leitfadens davon abhängt. Doconut.app ist der kostenlose Web‑Viewer – eine Website, kein Komponenten‑Paket und nicht das, was Sie hier installieren. Und die Verschlüsselung, die Tokens sowie das Audit‑Log unten sind von Ihnen zu implementieren: Das SDK rendert Dokumente, liefert jedoch kein Compliance‑Programm. Doconut besitzt weder ein ISO‑27001‑Zertifikat, noch einen SOC‑2‑Report und keine HIPAA‑Bestätigung, sodass das Compliance‑Argument, das Sie einem Regulierer tatsächlich vorlegen können, architektonischer Natur ist – die Datei bleibt innerhalb einer von Ihnen bereits kontrollierten Grenze.

Warum herkömmliches Cloud‑Sharing nicht ausreicht

Risiko	Typischer Cloud‑Dienst	Was diese Architektur stattdessen tut
Datenexil – Datei auf externen Servern gespeichert	Dateien werden im Speicher des Anbieters abgelegt, oft in Regionen, die Sie nicht kontrollieren können.	Das PDF bleibt in Ihrer eigenen Infrastruktur. Das SDK rendert es dort und ruft niemanden auf.
Verlust der Kontrolle über Zugriffszeiten	Freigabelinks können unbegrenzt weitergeleitet werden.	Sie geben kurzlebige, einmalige Tokens aus. Das ist Code, den Sie schreiben, kein Schalter, den Sie umlegen.
Compliance‑Lücken	Audit‑Logs beschränken sich häufig auf „Download“-Ereignisse.	Sie protokollieren jede Vorschau‑Anfrage, weil die Anfrage an Ihren eigenen Endpunkt geht.
Abhängigkeit von Plugins	Viele Viewer benötigen Flash, ActiveX oder Browser‑Erweiterungen.	Auf dem Rechner des Lesers wird nichts installiert; der Browser erhält gerenderte Seiten.

Lösungsübersicht

Installieren Sie Doconut Viewer in Ihrem .NET‑Projekt.
Verschlüsseln Sie PDFs im Ruhezustand mit einem serverseitigen Schlüssel, unter Verwendung der .NET‑Kryptografie.
Betten Sie den Viewer in eine Razor‑Seite oder MVC‑View ein, hinter einem Token, das Ihre Anwendung ausgibt.
Protokollieren Sie jede Vorschau‑Anfrage für Audit‑Spuren und Anomalieerkennung.

Schritte 2, 3 und 4 sind Ihre Anwendungs‑Aufgabe. Der Teil des SDK ist Schritt 1 und das Rendering; alles Schutz‑relevante in diesem Design ist Code, den Sie besitzen, was auch der Grund ist, warum er von Ihrem eigenen Team geprüft werden kann.

Im Folgenden finden Sie eine detaillierte Durchgangsanleitung für jeden Schritt, inklusive Best‑Practice‑Empfehlungen für Schlüsselverwaltung, Token‑Sicherheit und Compliance‑Logging.

Schritt 1 – Bereiten Sie Ihre .NET‑Umgebung vor

Öffnen Sie Ihre Lösung in Visual Studio (2022 oder neuer empfohlen).
Wählen Sie Ihr Ziel‑Framework. Doconut Viewer unterstützt ASP.NET, MVC, .NET Core, .NET 6+ und Blazor. Notieren Sie die Version, für die Sie sich entscheiden – die Integrationsdetails sind versionsabhängig.
Installieren Sie das SDK von der Doconut‑Downloadseite, indem Sie das Paket und die Dokumentation verwenden, die zu der von Ihnen gewählten Version passen. Nehmen Sie den Paketnamen und die Installationsschritte aus dieser Dokumentation statt aus einem Artikel; beide haben sich über die Releases hinweg geändert.

Bewahren Sie die Lizenzkonfiguration außerhalb der Versionskontrolle auf, solange Sie dort sind. Sie ist das am häufigsten vorkommende, was aus einem funktionierenden Prototypen leckt.

Zusätzliche Tipps

Speichern Sie die Paketreferenz in einer Directory.Packages.props‑Datei für eine zentrale Versionsverwaltung über mehrere Dienste hinweg.

Schritt 2 – PDFs mit starker Verschlüsselung speichern

2.1 Wählen Sie einen Verschlüsselungsalgorithmus

Das ist Ihre Entscheidung und Ihr Code. System.Security.Cryptography in .NET stellt Ihnen AES-256-GCM zur Verfügung, das authentifizierte Verschlüsselung bietet — Vertraulichkeit und Integrität zusammen — und ist ein verteidigungsfähiger Standard für ruhende Dokumente.

Kein Verschlüsselungsalgorithmus macht ein System automatisch konform mit DSGVO, HIPAA oder ISO 27001. Diese Rahmenwerke fragen nach Prozessen, Zugriffskontrolle, Aufbewahrung und Nachweisen. Verschlüsselung ist nur eine von vielen Maßnahmen, und eine Viewer‑Bibliothek kann den Rest nicht bereitstellen.

2.2 Implementieren Sie ein sicheres Schlüsselmanagement

Kodieren Sie Schlüssel niemals fest ein. Verwenden Sie Azure Key Vault, AWS KMS oder HashiCorp Vault, um den Verschlüsselungsschlüssel zur Laufzeit abzurufen.
Drehen Sie Schlüssel regelmäßig — alle 90 Tage ist gängige Praxis. Planen Sie den Re‑Verschlüsselungs‑Job, bevor Sie ihn benötigen; zu entdecken, dass Sie keinen Weg haben, einen Schlüssel zu rotieren, ist eine unangenehme Erkenntnis im Falle eines Vorfalls.

Schritt 3 – Erzeugen Sie ein zeitlich begrenztes Einmal‑Token

Das Vorschau‑Token wirkt wie ein Einmal‑Badge, das automatisch verfällt. Es enthält:

User‑ID – Wer das Dokument einsehen darf.
PDF‑ID – Welche verschlüsselte Datei gestreamt werden soll.
Ablauf – In der Regel 5–10 Minuten, je nach Richtlinie konfigurierbar.
Signatur – HMAC‑ oder RSA‑signiert, um Manipulation zu verhindern.

3.1 Sicherheitsüberlegungen

TLS überall – Das Token immer über HTTPS bereitstellen.
Minimalprinzip – Nur die für die Vorschau erforderlichen Daten kodieren; das Einbetten zusätzlicher Ansprüche vermeiden.
Token‑Widerruf – Eine einfache „Blacklist“ in Redis ermöglicht sofortigen Widerruf, wenn sich die Zugriffsrechte eines Benutzers ändern.

Schritt 4 – Betten Sie den DoconutApp Viewer ein

4.1 Serverseitiger Streaming‑Endpunkt

Entschlüsseln Sie im Speicher, falls Ihr Bedrohungsmodell dies erfordert, sodass der Klartext nie auf die Festplatte geschrieben wird. Dies ist Ihr Endpunkt, also liegt die Entscheidung und der Code bei Ihnen.
Rendering erfolgt auf Ihrem Server, nicht im Browser des Lesers. Das ermöglicht dem Browser, das Dokument anzuzeigen, ohne jemals die Quelldatei zu erhalten — und es ist zudem der Grund, zu prüfen, wo das SDK temporäre Renderausgaben schreibt und was sie entfernt.

4.2 Keine Plugins erforderlich

Der Leser erhält gerenderte Seiten über standardisierte Webtechnologien, sodass der Viewer in Chrome, Edge, Firefox und Safari ohne Plugin, ActiveX‑Steuerung oder Flash‑Abhängigkeit funktioniert. Auf dem Laptop eines Anwalts wird nichts installiert, was meist den Unterschied zwischen einer abgeschlossenen Sicherheitsüberprüfung und einer, die scheitert, ausmacht.

Schritt 5 – Zugriff prüfen und protokollieren für Compliance

Rechtsteams benötigen häufig eine manipulationssichere Spur, wer welchen Vertrag wann eingesehen hat. Implementieren Sie eine strukturierte Logging‑Pipeline:

Feld	Beschreibung
`UserId`	Kennung des anfragenden juristischen Fachpersonals
`PdfId`	Interne Referenz zum verschlüsselten Dokument
`Timestamp`	UTC‑Zeitpunkt der Vorschau‑Anfrage
`IpAddress`	Quell‑IP (hilfreich für Geo‑Standort‑Prüfungen)
`UserAgent`	Browser‑String für forensische Analyse
`Result`	Erfolg / Fehler (z. B. ungültiges Token, Entschlüsselungsfehler)

Bewährte Verfahren

Speichern Sie Protokolle in einem append‑only, unveränderlichen Datenspeicher (z. B. Azure Log Analytics, Splunk oder einem Write‑Once‑S3‑Bucket).
Aktivieren Sie Alarmierungen für abnormale Muster — zum Beispiel wenn dasselbe Token innerhalb von Sekunden von zwei unterschiedlichen IPs verwendet wird.
Aufbewahrungsrichtlinie: Bewahren Sie Protokolle für den von Ihrer Rechtsordnung geforderten Zeitraum auf (üblich sind 7 Jahre für juristische Unterlagen).

Kurze Zusammenfassung

Installieren Sie Doconut Viewer in Ihr .NET‑Projekt, indem Sie die Dokumentation für Ihre Version verwenden.
Verschlüsseln Sie PDFs beim Schreiben mit AES-256-GCM aus der eigenen Kryptobibliothek von .NET; verwalten Sie Schlüssel über einen Vault‑Dienst.
Geben Sie ein kurzlebiges, einmaliges Vorschau‑Token aus, wenn ein Benutzer eine Ansicht anfordert.
Rendern Sie auf Ihrem Server und betten Sie den Viewer in eine Razor‑Seite ein. Das Dokument gelangt nie an Dritte, und es wird nichts auf dem Gerät des Lesers installiert.
Protokollieren Sie jede Vorschau für Auditierbarkeit, mit Alarmierungen bei verdächtigen Mustern.

Punkte 2, 3 und 5 sind Ihr Code. Das ist die ehrliche Arbeitsteilung, und es lohnt sich, dies klar in Ihrer eigenen Sicherheitsdokumentation zu formulieren, da ein Prüfer letztlich fragen wird, welche Partei für was verantwortlich ist.

Fazit

Sicheres Teilen von PDFs muss nicht einen Drittanbieterdienst einbeziehen. Mit Doconut Viewer in Ihrem eigenen .NET-Portal kann Ihre Rechtsabteilung vertrauliche Verträge, Gerichtsunterlagen und interne Richtlinien präsentieren, ohne dass die Datei jemals Ihre Infrastruktur verlässt.

Was das SDK Ihnen bietet, ist genau dieser letzte Teil: Rendering in Ihrer Umgebung, ohne dass Daten nach außen gesendet werden. Die Ende-zu-Ende-Verschlüsselung, die Zugriffskontrolle und das Prüfprotokoll gehören Ihnen – das ist der Kern, denn ein Viewer, der behauptet, diese zu liefern, würde Sie bitten, die Compliance eines Anbieters statt Ihrer eigenen zu vertrauen.

Bereit, es auszuprobieren? Besuchen Sie doconut.com — die Testlizenz ist kostenlos, und die Live-Demos sind der schnellste Weg, um zu prüfen, ob das Rendering bei Ihrem schlimmsten Exponat hält, bevor Sie irgendeinen der obigen Code schreiben.

Die Umsetzung dieser Schritte gibt Compliance‑Beauftragten Sicherheit, reduziert die Angriffsfläche und hält Ihre PDFs fest innerhalb Ihrer Unternehmens‑Firewall – genau die Sicherheitslage, die jedes Rechts‑Team benötigt.

Bleiben Sie sicher, bleiben Sie konform und bewahren Sie diese versiegelten Umschläge dort auf, wo sie hingehören: in Ihrem eigenen Tresor.