Geschrieben für Sicherheitsteams und über unser eigenes Produkt genauso wie jedes andere.

Einführung

Dieser Artikel wird im Blog eines kostenlosen Online‑Dokumenten‑Viewers veröffentlicht. Das ist bereits in der ersten Zeile zu erwähnen, weil das Genre, zu dem er gehört – „die verborgenen Gefahren kostenloser PDF‑Tools“ – meist ein Verkaufspitch im Laborkittel ist, und Sie diesen Beitrag mit diesem Hintergrund lesen sollten.

Hier also die Offenlegung zu Beginn. Doconut.app ist ein kostenloser gehosteter Viewer. Wenn Sie ihn nutzen, wird Ihr PDF auf unsere Server hochgeladen, dort gerendert und gelöscht, sobald Ihre Ansichtssitzung endet. Alles, was im Folgenden über die strukturellen Risiken des Hochladens eines Dokuments in die Infrastruktur eines Dritten gesagt wird, gilt auch für uns. Wir werden nicht darüber streiten; wir werden konkret darlegen, was wir tun und was wir nicht tun, und Sie entscheiden lassen, welche Dokumente hierher gehören.

1. Das Risiko ist strukturell, nicht exotisch

Die interessanten Risiken sind keine Zero‑Days. Es sind die gewöhnlichen Folgen, dass die Datei an einem Ort liegt, den Sie nicht kontrollieren.

Der Upload ist real. Ein gehosteter Viewer muss das Dokument erhalten, um es rendern zu können. Jeder, der einen gehosteten Service behauptet, bei dem „die Datei niemals Ihren Rechner verlässt“, beschreibt entweder ein rein client‑seitiges Tool oder beschreibt etwas ungenau. Auf Doconut.app erfolgt der Upload über HTTPS, was die Übertragung schützt – und dann liegt die Datei auf unseren Servern, weil sie dort sein muss.

Aufbewahrung ist ein Versprechen, kein prüfbarer Mechanismus. Wir sagen, die Datei wird gelöscht, wenn die Sitzung endet. Das stimmt, und Sie können es von außen nicht verifizieren. Das ist das Kernproblem jedes kostenlosen Viewers, einschließlich dieses: Sie vertrauen einer Organisation, mit der Sie keinen Vertrag haben.

Gemeinsame Infrastruktur ist gemeinsam. Ein kostenloser öffentlicher Service verarbeitet die Dokumente vieler Kunden auf gemeinsamer Infrastruktur. Das ist eine andere Risikoposition als Software, die in Ihrem eigenen Netzwerk läuft, unabhängig davon, wie sorgfältig sie betrieben wird.

Kein Vertrag bedeutet keine rechtliche Basis. Wenn Sie personenbezogene Daten nach DSGVO oder Gesundheitsdaten nach HIPAA verarbeiten, ist das Verschieben einer Datei zu einem Prozessor ohne Datenverarbeitungs‑ oder Business‑Associate‑Vereinbarung bereits im Moment des Uploads problematisch – unabhängig davon, ob jemals etwas verletzt wird. Doconut.app hat weder DPA noch BAA mit Ihnen. Für reguliertes Material ist das die gesamte Antwort, und keine Menge an Verschlüsselung ändert das.

2. Was wir nicht tun

Das Genre, zu dem dieser Artikel gehört, neigt dazu, alles zu versprechen. Da es hier um Kalibrierung geht, ist die nützlichere Liste die der fehlenden Funktionen:

Keine Sicherheitszertifizierungen. Kein ISO 27001, kein SOC 2, keine HIPAA‑Bestätigung, keine PCI‑DSS‑Bewertung. Nicht für die kostenlosen Seiten und nicht für das SDK. Wenn Ihr Lieferanten‑Fragebogen nach einem Zertifikat fragt, haben wir keins.
Kein Audit‑Log. Es gibt keine Konten auf Doconut.app, daher gibt es nichts, dem man einen Zugriff zuordnen könnte, und keinen Verlauf, den wir Ihnen übergeben könnten.
Kein Entfernen von Metadaten. Wir rendern das Dokument so, wie es ist. Autorennamen, Versionsgeschichte und Kommentare bleiben in der Datei – was man wissen sollte, bevor man einen Vertrag weiterleitet, obwohl dieses Risiko eher beim Dokument liegt als bei uns.
Keine Verschlüsselung im Ruhezustand. Wir bieten keinen verschlüsselten Speicher an, weil wir keinen Speicher anbieten. Etwas nicht zu behalten ist eine stärkere Eigenschaft als es zu verschlüsseln, aber es ist eine andere Eigenschaft, und Anbieter verwischen die beiden.
Keine konfigurierbare Aufbewahrung. Der Zeitplan ist unser. Es gibt keine Einstellung, die Sie anpassen könnten.

3. Was wir tun

Der Upload erfolgt über HTTPS.
Das Dokument wird auf unseren Servern gerendert, und der Browser erhält Seiten statt der Quelldatei.
Rendering ist keine Ausführung: Makros in einer Office‑Datei werden nicht ausgeführt, und PDF‑Aktionen werden nicht ausgelöst. Der Viewer zeichnet das Dokument.
Die Datei wird gelöscht, wenn die Anzeigesitzung endet. Keine Bibliothek, keine Historie, kein Konto.
Der Uploader verweigert, was er nicht verarbeiten kann bevor er sendet – eine feste Liste von über 70 Erweiterungen, mit einer Größengrenze pro Format von 5 MB bis 25 MB.
DICOM ist bewusst ausgeschlossen. .dcm und .ima werden nicht akzeptiert, genau weil eine DICOM‑Datei Patientenkennungen zusammen mit dem Bild enthält und ein öffentlicher Upload‑Endpunkt dafür ungeeignet ist.

4. Ein Test, den Sie auf jeden kostenlosen Viewer anwenden können, einschließlich diesem

Statt einer Bedrohungsinventur vier Fragen, die das Gebrauchbare vom Unbrauchbaren trennen:

Gibt es eindeutig an, ob die Datei hochgeladen wird? Wenn die Antwort vage ist, gehen Sie davon aus, dass sie hochgeladen wird.
Gibt es einen Aufbewahrungszeitraum in konkreten Begriffen an? „Gelöscht, wenn Ihre Sitzung endet“ oder „nach 60 Minuten entfernt“ sind Antworten. „Ihre Dateien sind bei uns sicher“ ist es nicht.
Wird ein Vertrag unterschrieben? Für regulierte Daten ist dies die einzige relevante Frage, und kostenlose Dienste werden das fast nie tun. Wir tun es nicht.
Behauptet es Zertifizierungen? Falls ja, fordern Sie das Zertifikat und dessen Geltungsbereich an. Viele Behauptungen in dieser Kategorie halten dieser Anfrage nicht stand.

Auf Doconut.app angewendet: Ja, es lädt hoch, ja, die Löschung erfolgt am Sitzungsende, nein, wir werden keinen DPA unterschreiben, und nein, wir besitzen keine Zertifizierungen. Diese Kombination ist für viele Dokumente in Ordnung und für einige disqualifizierend. Der Punkt ist, dass Sie erkennen können, was was ist.

5. Wenn ein gehosteter Viewer das falsche Werkzeug ist

Wenn das Dokument einem Compliance‑Regime unterliegt, durch eine Vertraulichkeitsverpflichtung des Kunden gedeckt ist oder einfach etwas, das Sie in einer Vorfallanalyse nicht erklären möchten, ist kein kostenloser gehosteter Viewer die richtige Lösung – unser eingeschlossen. Die strukturelle Lösung besteht darin, das Rendering innerhalb Ihres eigenen Netzwerks zu behalten.

Dafür ist das Doconut SDK gedacht: dieselbe .NET‑Rendering‑Engine hinter dieser Seite, installiert in Ihrer eigenen Umgebung. Es rendert auf Ihren Servern und stellt keine Anfragen an uns, sodass das Dokument nie eine Grenze überschreitet, die Sie nicht bereits bewertet haben.

Seien Sie ebenso klar darüber, was das SDK nicht ist. Es liefert keine Verschlüsselung im Ruhezustand, kein Schlüsselmanagement, keine Integration eines Identitätsanbieters oder ein Audit‑Log, und es kann Ihre Anwendung nicht konform zu irgendetwas machen. Diese Kontrollen liegen bei Ihnen – das ist der Punkt, weil sie auch die sind, die Sie bereits nachweisen können. Eine Komponente, die innerhalb Ihres Netzwerks läuft und niemanden aufruft, ist ein architektonisches Argument und für die meisten Sicherheitsreviews ein nützlicheres Argument als ein Zertifikat eines Dritten.

Fazit

Kostenlose PDF‑Viewer sind wirklich nützlich, und die meisten Dokumente, die die meisten Menschen handhaben, sind nicht sensibel. Das Problem ist nicht, einen zu verwenden; es ist, einen zu verwenden, ohne zu wissen, in welche Kategorie Ihre Datei fällt.

Für ein gewöhnliches Dokument, das Sie einmal lesen müssen, ist ein Viewer, der nichts speichert, eine vernünftige Wahl – und sicherer, als die Datei herunterzuladen und sie mit einem beliebigen installierten Programm zu öffnen. Doconut.app erledigt das, kostenlos, ohne Konto, und löscht die Datei anschließend.

Für alles, was einer Verpflichtung unterliegt, die Sie verteidigen müssten, behalten Sie die Verarbeitung auf von Ihnen kontrollierter Hardware.

Sofortige Maßnahmen

Audit der PDF‑Workflows in Ihrer Organisation und Katalogisierung der bereits genutzten kostenlosen Werkzeuge – es gibt meist mehr, als man erwartet.
Klassifizieren Sie, welche Dokumenttypen überhaupt zu einem gehosteten Service gehen dürfen. Das ist eine politische Entscheidung, keine technische.
Verlagern Sie den Rest intern, sei es mit dem Doconut SDK oder einer gleichwertigen Lösung, und bewahren Sie die Nachweise, die Ihre Prüfer verlangen werden.