Dateien sicher teilen: was beim Upload wirklich passiert

„Ich schick dir das schnell.“ Datei auf einen Gratisdienst ziehen, Link kopieren, fertig — dreißig Sekunden. Was in diesen dreißig Sekunden mit der Datei geschieht, weiß praktisch niemand, und meistens ist das auch folgenlos.

Meistens. Dieser Text sortiert, wann es folgenlos ist und wann nicht, was hinter der Formulierung „wird nach einer Stunde automatisch gelöscht“ steckt, und wie man in einer halben Minute selbst nachprüft, ob eine Datei den eigenen Rechner überhaupt verlassen hat.

Was beim Hochladen tatsächlich geschieht

Eine hochgeladene Datei wird kopiert, nicht bewegt. Ab dem Moment, in dem der Fortschrittsbalken durchgelaufen ist, existiert sie mindestens zweimal — und im Rechenzentrum selten nur einmal:

• Sie liegt auf einer Festplatte, meist gespiegelt auf mehreren, weil Redundanz normaler Serverbetrieb ist.
• Sie passiert Zwischenschichten: Lastverteiler, Zwischenspeicher, ein Auslieferungsnetz, oft einen Virenscanner.
• Der Server protokolliert den Vorgang: IP-Adresse, Zeitpunkt, Dateiname, Browser. Diese Protokolle haben eigene Aufbewahrungsfristen, häufig längere als die Datei selbst.
• Nächtliche Sicherungen greifen ab, was zum Zeitpunkt der Sicherung da war. Eine Datei, die „sofort gelöscht“ wurde, kann im Backup weiterleben, bis dessen Zyklus sie überschreibt.

Das ist kein Vorwurf an einen Anbieter, sondern schlicht, wie Serverbetrieb funktioniert. Wer hochlädt, gibt die Kontrolle ab — an den Betreiber, dessen Hoster, jeden mit dem Link und, je nach Serverstandort, an das dort geltende Recht.

„Wird nach einer Stunde gelöscht“ ist ein Versprechen, kein Mechanismus

Der Satz stimmt vermutlich sogar. Das Problem ist ein anderes: Er ist eine Zusage, keine Eigenschaft.

• Du kannst ihn nicht überprüfen. Von außen sieht eine gelöschte Datei genauso aus wie eine behaltene: Der Link führt ins Leere. Das ist alles, was du je zu sehen bekommst.
• Er gilt für die Arbeitskopie. Protokolle, Zwischenspeicher, Auslieferungsnetz und Sicherungen sind davon selten gemeint und werden selten mitgenannt.
• Er hängt an einer Firma und ihren aktuellen Bedingungen. Beides ändert sich. Ein Verkauf, ein Betreiberwechsel oder eine Insolvenz ändert es mit, und die Daten sind in solchen Fällen ein Vermögenswert.

Der Unterschied zu einem Werkzeug, das im Browser rechnet, ist deshalb nicht „mehr Vertrauen“. Es ist: Es gibt nichts zu löschen, weil nie etwas ankam.

Wann das egal ist — und wann nicht

Datei	Worum es geht	Sinnvoller Weg
Urlaubsfoto für Freunde	wenig	egal, ruhig hochladen
Flyer, Speisekarte, ohnehin öffentliches PDF	nichts	egal
Bewerbungsunterlagen	Name, Anschrift, Geburtsdatum, ganzer Werdegang	lokal
Gehaltsabrechnung, Kontoauszug	Einkommen, Bankverbindung, Arbeitgeber	lokal
Arztbrief, Befund, Krankschreibung	Gesundheitsdaten	lokal
Ausweis- oder Führerscheinkopie	Rohstoff für Identitätsdiebstahl	lokal
Kundendaten, Personalakten aus dem Betrieb	Daten Dritter	nur mit Vertrag

Zwei Zeilen verdienen eine Erläuterung.

Gesundheitsdaten sind in der DSGVO nicht irgendwelche Daten. Artikel 9 zählt sie zu den besonderen Kategorien personenbezogener Daten, deren Verarbeitung grundsätzlich untersagt ist und nur unter engen Ausnahmen erlaubt. Ein Befund gehört nicht auf einen Server, über den man nichts weiß.

Eine Ausweiskopie ist etwas anderes als ein Dokument mit Adresse darauf. Sie ist das Material, mit dem sich Konten und Verträge im fremden Namen eröffnen lassen. Wenn du eine weitergeben musst, schreib Zweck und Datum quer darüber — keine Garantie, aber für eine Weiterverwendung deutlich unbrauchbarer.

Der berufliche Fall: Artikel 28 DSGVO

Privat gilt für rein persönliche und familiäre Tätigkeiten die Haushaltsausnahme der DSGVO (Art. 2 Abs. 2 lit. c). Wer sein eigenes Urlaubsfoto irgendwohin lädt, tut niemandem außer sich selbst etwas.

Beruflich sieht es anders aus. Sobald du Daten anderer Menschen verarbeitest — Kundenliste, Bewerbungsunterlagen, Personalstammdaten — und dafür einen externen Dienst nutzt, ist dieser Dienst ein Auftragsverarbeiter. Artikel 28 DSGVO verlangt dafür einen Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen sowie die Pflichten des Auftragsverarbeiters festlegt. Dazu kommen die technischen und organisatorischen Maßnahmen nach Artikel 32; liegt der Server außerhalb von EU und EWR, greifen zusätzlich die Regeln zur Übermittlung an Drittländer aus Kapitel V (Art. 44 ff.).

Der praktische Punkt daran ist unbequem: Ein Gratisdienst ohne Konto schließt in aller Regel keinen solchen Vertrag mit dir. Damit ist seine Nutzung für fremde Daten nicht zulässig — unabhängig davon, wie sauber der Anbieter technisch arbeitet.

Ein Werkzeug, das im Browser rechnet, umgeht das nicht durch einen Trick: Findet keine Übermittlung an einen Dritten statt, gibt es auch keinen Auftragsverarbeiter — die Frage stellt sich dann nicht.

Das ist keine Rechtsberatung. Im Unternehmen entscheidet die interne Richtlinie, im Zweifel der oder die Datenschutzbeauftragte.

Metadaten: was in der Datei steht, ohne sichtbar zu sein

Ein Foto trägt mehr mit sich als das Bild. Im EXIF-Block stehen Aufnahmezeitpunkt, Kameramodell und Einstellungen, oft auch die GPS-Koordinaten des Aufnahmeorts. Ein PDF trägt Autorennamen, das Erstellungsprogramm und gelegentlich den Firmennamen aus der Softwarelizenz — die Lizenz der alten Arbeitsstelle inklusive.

Das wirkt harmlos, bis es das nicht mehr ist: Wer eine Rechnung oder ein Schadensfoto zu Hause abfotografiert und weitergibt, verschickt unter Umständen die eigene Wohnadresse als Koordinatenpaar mit.

Manche Plattformen entfernen EXIF beim Hochladen automatisch, viele Messenger ebenfalls — aber eben nicht alle, nicht in jedem Sendemodus, und was heute gilt, kann nach dem nächsten Update anders sein. Wer „als Datei senden“ wählt, umgeht die Bereinigung häufig sogar bewusst.

Und auch hier gehört der Preis dazu: Bei einer Schadensmeldung oder einer Reklamation kann genau der Aufnahmezeitpunkt das sein, worauf es ankommt. Die saubere Lösung ist deshalb nicht „alles löschen“, sondern: Original behalten, bereinigte Kopie verschicken.

„Im Browser verarbeitet“ und „hochgeladen“ sehen gleich aus

Von außen ist beides identisch — Datei hineinziehen, kurz warten, Ergebnis herunterladen. Der Unterschied liegt einzig darin, ob die Datei den Rechner verlassen hat. Diese Anzeichen sprechen für einen Server:

• Der Fortschrittsbalken skaliert mit der Geschwindigkeit deiner Leitung statt mit der Größe der Datei.
• Eine Warteschlange erscheint („Position 4 von 11“).
• Statt eines direkten Downloads gibt es einen Link zum Ergebnis.
• Das Ergebnis lässt sich von einem anderen Gerät aus abrufen. Dann lag es auf einem Server, und die Frage ist nur noch, wie lange.
• Für das Ergebnis werden E-Mail-Adresse oder Konto verlangt.

Wie du es selbst prüfst — dreißig Sekunden

1. Die Seite aufrufen und warten, bis sie vollständig geladen ist.
2. Die Internetverbindung trennen: WLAN aus oder Flugmodus an.
3. Die Datei einfügen und das Werkzeug ganz normal benutzen.
4. Kommt ein Ergebnis heraus, wurde nichts übertragen. Es gab keinen Kanal, es konnte nichts gehen.

Bleibt es hängen oder erscheint eine Fehlermeldung, lief mindestens ein Teil über einen Server. Genauer geht es mit den Entwicklerwerkzeugen des Browsers (meist F12), Reiter „Netzwerk“: Während der Verarbeitung darf keine Anfrage auftauchen, die deine Datei im Rumpf trägt. Das ist umständlicher, dafür eindeutig.

Die Grenze der Methode sollte man kennen: Sie zeigt, dass in diesem Moment nichts hochgeladen wurde — nicht, was dieselbe Seite nach dem nächsten Update tut. Wer regelmäßig heikle Dokumente verarbeitet, prüft gelegentlich erneut.

Was sonst noch hilft

• Link statt Anhang nur dann, wenn der Link ablaufen kann und ein Passwort erlaubt. Ohne beides ist er eine öffentliche Datei mit schwer zu erratender Adresse.
• Passwort nie im selben Kanal. Link per Mail und Passwort in derselben Mail ist ein Kanal, kein zweiter. Telefon oder Messenger dafür nehmen — das Passwort aus dem Passwort-Generator, nicht aus dem Kopf.
• Ein QR-Code verbirgt nichts. Er enthält die Adresse im Klartext und spart nur das Abtippen; wer ihn abfotografiert, hat den Link. Der QR-Code-Generator ist eine Bequemlichkeit, keine Schutzmaßnahme.
• Schwärzen ist kein schwarzes Rechteck. Wer in einem PDF eine Fläche über eine Textstelle legt, verdeckt sie optisch — der Text darunter bleibt markierbar und kopierbar. Sicherer ist, die betreffenden Seiten gar nicht erst mitzuschicken: mit PDF teilen heraustrennen und nur den Rest wieder zusammenfügen.
• E-Mail ist kein sicherer Umschlag. Der Transport zwischen den Servern ist heute meist verschlüsselt, der Inhalt beim Anbieter jedoch lesbar und liegt dort, bis jemand ihn löscht — in zwei Postfächern gleichzeitig.

Die Kurzfassung

Frag dich vor dem Hochladen nur zwei Dinge: Stehen darin Daten, die einem anderen Menschen gehören? Und wäre es ein Problem, wenn diese Datei in fünf Jahren noch irgendwo läge?

Zweimal Nein heißt: hochladen und weitermachen, es ist wirklich egal. Einmal Ja heißt: den Weg gehen, der eine Minute länger dauert. Bei Gehaltsabrechnung, Arztbrief, Ausweiskopie und allem aus dem Betrieb ist das die günstigste Versicherung, die es gibt.