Laden Online-Konverter Ihre Dateien hoch?

Sie ziehen einen Vertrag, einen Scan Ihres Reisepasses oder ein Familienfoto in einen kostenlosen Konverter, und einen Moment später laden Sie das Ergebnis herunter. Was dazwischen passiert ist, bleibt meist unsichtbar. Entweder reiste die Datei zu einem Server, über den Sie nichts wissen, oder die Seite hat die Arbeit auf Ihrem eigenen Computer erledigt. So finden Sie es bei jeder Website heraus, und das sahen wir, als wir unsere eigene geprüft haben.

Zwei Arten von Online-Konvertern

• Hochladen und umwandeln. Die Seite schickt Ihre Datei an die Server des Unternehmens, wandelt sie dort um und bietet das Ergebnis zum Herunterladen an. So funktionieren die meisten Konverter, weil Server jede Software ausführen können.
• Im Browser umwandeln. Die Seite lädt den Konverter selbst herunter, zu WebAssembly kompiliert oder gestützt auf die Video-, Bild- und Grafik-Engines des Browsers, und führt ihn auf Ihrem Gerät aus. Die Datei wird von Ihrer Festplatte in die Seite gelesen und nie irgendwohin geschickt.

Die zweite Art ist erst in den letzten Jahren praktikabel geworden, seit Browser schnelles WebAssembly, Zugriff auf Hardware-Video-Encoder und die Grafikkarte bekommen haben. Tooloat ist so gebaut, ebenso eine wachsende Zahl anderer Werkzeuge.

Warum das wichtig ist

Eine hochgeladene Datei ist eine Kopie auf dem Computer eines anderen. Viele Dienste mit Upload versprechen, Dateien nach einer bis 24 Stunden zu löschen, und viele tun das sicher auch, aber Sie können es nicht prüfen. In der Zwischenzeit kann die Kopie in Backups und Protokollen liegen, von Hosting- und Speicheranbietern des Dienstes in anderen Ländern verarbeitet werden und bei einem Einbruch beim Dienst offenliegen. Bei einem Meme spielt das keine Rolle. Bei einem Ausweis, einem Arztbrief oder einem Vertrag unter Verschwiegenheitsvereinbarung vielleicht schon.

Auch darin, was sie erlauben, unterscheiden sich die Richtlinien. Manche Dienste behalten sich das Recht vor, hochgeladene Inhalte zur Verbesserung ihrer Produkte zu nutzen. Das sollte man vor dem Hochladen wissen, und in einer langen Datenschutzerklärung überliest man es leicht.

So prüfen Sie jede Website in einer Minute

Das Netzwerk beobachten

1. Öffnen Sie den Konverter auf einem Computer in Chrome, Edge oder Firefox und drücken Sie F12 (Cmd + Option + I auf dem Mac). Öffnen Sie den Tab Netzwerk.
2. Klicken Sie auf die Schaltfläche zum Leeren, damit die Liste leer ist, und wandeln Sie dann eine Testdatei um, am besten eine große, damit ihr Upload leicht zu erkennen ist.
3. Schauen Sie auf die Spalte Methode, oder filtern Sie nach Fetch/XHR. Downloads von Code und Bildern nutzen GET. Uploads nutzen POST oder PUT.
4. Klicken Sie auf eine POST- oder PUT-Anfrage und öffnen Sie ihren Tab Nutzlast. Sehen Sie dort den Namen Ihrer Datei, oder eine Anfrage, deren Größe der Ihrer Datei nahekommt, wurde sie hochgeladen.

Offline gehen

Laden Sie den Konverter und führen Sie ihn einmal mit einer harmlosen Testdatei aus, damit die Seite alles heruntergeladen hat, was sie braucht. Trennen Sie dann die Verbindung: Flugmodus einschalten, Kabel ziehen oder im Drosselungsmenü des Netzwerk-Tabs Offline wählen. Wandeln Sie erneut um. Funktioniert es weiterhin, kann die Seite Ihre Datei nirgendwohin schicken. Schlägt es fehl, beweist das keinen Upload, weil manche Werkzeuge für bestimmte Dateien zusätzlichen Code nachladen, aber es ist ein Grund, das Netzwerk zu prüfen.

Was wir auf unserer eigenen Website sahen

Wir haben den Bildkompressor auf tooloat.com in einem frischen Browser-Tab geöffnet, ein PNG mit 7,6 MB hinzugefügt und es auf 500 KB komprimiert. Heraus kamen 480 KB. Das sind alle Anfragen, die der Tab gestellt hat, vom Öffnen der Seite bis zum Herunterladen des Ergebnisses:

Unsere Seiten zeigen außerdem einen Zähler in der oberen Leiste, „Dateien: 0 B gesendet“. Er umschließt die Funktionen, mit denen eine Seite Daten senden kann, etwa fetch, XMLHttpRequest, sendBeacon und WebSocket, und addiert die Bytes jedes Anfrageinhalts. Er blieb während des ganzen Tests bei null. Ein Klick darauf zeigt die Details, einschließlich dessen, was der Werbecode von Google an seine eigenen Server sendet, das getrennt von den Werkzeugen gezählt wird.

Einem Zähler auf unserer Seite müssen Sie nicht einfach vertrauen, genau dafür sind die Schritte oben da. Der Netzwerk-Tab Ihres Browsers sieht alles, was die Seite sendet, egal was die Seite selbst behauptet.

Was Sie im Hinterkopf behalten sollten

• Werkzeuge im Browser laden trotzdem Code herunter. Der erste Besuch lädt den Konverter, und manche Werkzeuge laden zusätzliche Engines von mehreren Megabyte. Das sind Daten, die zu Ihnen kommen, nicht solche, die hinausgehen.
• Eine Website kann beides mischen. Eine Vorschau kann im Browser entstehen, während die vollständige Umwandlung auf einem Server läuft, oder ein Werkzeug einer Website lädt hoch und ein anderes nicht. Prüfen Sie das Werkzeug, das Sie nutzen.
• Browsererweiterungen können Seiten lesen. Eine Erweiterung mit Zugriff auf alle Websites kann Dateien sehen, die Sie in einer Webseite öffnen, was auch immer die Website tut. Nutzen Sie für sensible Dateien ein privates Fenster ohne Erweiterungen.
• Handys sind schwerer zu prüfen. Mobile Browser haben keinen Netzwerk-Tab. Prüfen Sie auf einem Computer, oder machen Sie den Offline-Test.