Sicherheit

1. Dateien bleiben auf Ihrem Gerät

Alle Dateiwerkzeuge, auch Komprimierung, OCR und Konvertierungen, laufen in Ihrem Browser (JavaScript und WebAssembly). Die Datei wird nicht an einen Server gesendet, daher hat niemand auf unserer Seite Zugriff darauf. Sie können das selbst prüfen: Öffnen Sie die Entwicklertools Ihres Browsers (F12), den Reiter „Netzwerk“, und verarbeiten Sie eine Datei — Sie werden keinen Upload der Datei sehen. Auf den Server gelangen nur Text bei den KI-Funktionen und eine Seitenadresse bei URL zu PDF.

2. Verschlüsselte Verbindung

Die Website funktioniert nur über HTTPS. Der HSTS-Header (mit Eintrag in der Preload-Liste der Browser) sorgt dafür, dass der Browser immer verschlüsselt verbindet, auch beim ersten Besuch.

3. Schutz im Browser

• Eine Content Security Policy begrenzt, woher die Website Skripte laden und womit sie sich verbinden darf: mit unserer Domain und den darin genannten Diensten (Google-Anmeldung, Dropbox, Microsoft und nach Einwilligung Google Analytics).
• Die Website kann nicht in fremde Seiten eingebettet werden (X-Frame-Options: DENY, frame-ancestors) — das schützt vor Clickjacking.
• Permissions-Policy sperrt den Zugriff auf Kamera, Mikrofon, Standort, USB und Zahlungen.
• X-Content-Type-Options und Referrer-Policy begrenzen das Erraten von Dateitypen und die Weitergabe von Seitenadressen.

4. Schutz des Servers

• API-Anfragen werden nur von unserer eigenen Website angenommen (Prüfung der Header Origin und Referer — CSRF-Schutz).
• Anfragelimits: 30 pro Minute und IP-Adresse für die API, 15 pro Tag für die KI-Funktionen, 30 pro 10 Minuten für URL zu PDF; eine Größenbegrenzung für Anfragen von 100 MB.
• URL zu PDF lehnt Adressen privater und lokaler Netze sowie der Cloud-Dienste des Servers ab, und die geprüfte Adresse ist dieselbe, mit der sich der Server verbindet (Schutz vor SSRF und DNS-Rebinding).
• API-Eingaben werden auf dem Server geprüft (Textlänge, erlaubte Übersetzungssprachen).

5. KI-Funktionen

An die KI senden wir nur den aus der Datei extrahierten Text und Ihre Frage — ohne Ihre IP-Adresse oder Browserdaten, über unseren Server und dessen API-Schlüssel (Sie brauchen keinen eigenen). Jede Anfrage verlangt einen Anbieter, der laut OpenRouter Daten nicht über die Anfrage hinaus speichert und keine Modelle damit trainiert; ist keiner verfügbar, wird die Anfrage nicht ausgeführt.

6. Keine Konten, keine Profile

Wir verlangen keine Registrierung oder Anmeldung, speichern keine Passwörter und erstellen keine Nutzerprofile. Passwörter zum Schützen und Entsperren von PDFs sowie Zertifikate zum Signieren werden nur in Ihrem Browser verwendet.

7. Abhängigkeiten

Wir halten Bibliotheken aktuell und prüfen sie mit npm audit und einem Test, der jede neue Warnung der Stufe hoch oder kritisch in den von der Website genutzten Abhängigkeiten meldet, auf bekannte Schwachstellen.

8. Schwachstellen melden

Wenn Sie eine Sicherheitslücke finden, schreiben Sie an kontakt@optimapdf.com. Wir verpflichten uns,

• den Eingang innerhalb von 24 Stunden zu bestätigen,
• sie zu analysieren und innerhalb von 14 Tagen (je nach Schwere) eine Korrektur auszuliefern,
• Ihnen mitzuteilen, was wir getan haben,
• keine rechtlichen Schritte gegen Personen einzuleiten, die Schwachstellen in gutem Glauben melden.

9. Zertifizierungen

OptimaPDF hat keine eigene ISO-27001- oder SOC-2-Zertifizierung. Unser Hosting-Anbieter Vercel ist nach ISO 27001:2022 zertifiziert und hat einen SOC-2-Typ-2-Bericht. Da Dateien unseren Server nie erreichen, gibt es auf unserer Seite keine „ruhenden“ Dateien zu verschlüsseln.

10. Digitale Signaturen und eIDAS

Das Werkzeug „PDF signieren“ erstellt mit Ihrem eigenen Zertifikat (.p12/.pfx) eine digitale PAdES-Signatur — vollständig im Browser; weder Datei noch Zertifikat werden gesendet. Es ist eine echte kryptografische Signatur, aber nicht automatisch eine qualifizierte elektronische Signatur (QES) im Sinne der eIDAS-Verordnung (EU 910/2014): Der QES-Status hängt davon ab, ob das Zertifikat von einem qualifizierten Vertrauensdiensteanbieter ausgestellt wurde und der Schlüssel auf einem qualifizierten Gerät liegt.