Skip to content
Dropfile
Preise14 Tage kostenlos testenCredits10

Sind Online-PDF-Tools sicher? Ein evidenzbasierter Test für 2026

Sicherheit hängt von Architektur, Aufbewahrung und KI-Trainingspolitik ab, nicht vom Markennamen. Das veröffentlichen iLovePDF und Smallpdf, plus eine kurze Prüfliste für jedes Tool.

Zur Vergleichstabelle springen →

Illustrated otter avatar

Von Sarah W. · Geprüft von DropFile Editorial Team

Veröffentlicht Zuletzt geprüft

Sind Online-PDF-Tools sicher?

Kurz gesagt: manche ja, manche nein. Der Unterschied liegt meist in der Architektur und nicht in der Marke. Wichtig ist, wie die Datei verarbeitet wird, wie lange sie gespeichert bleibt und ob sie für mehr als nur die angeforderte Verarbeitung genutzt wird.

  • Browser-only-Tools arbeiten vollständig auf dem Gerät des Nutzers. Die Datei verlässt den Rechner nicht.
  • Ephemere Server-Tools laden hoch, verarbeiten und löschen Datei und Ergebnis innerhalb eines veröffentlichten kurzen Zeitfensters.
  • Cloud-Dienste mit Speicherung laden Dateien hoch und bewahren sie für Verlauf, Freigabe oder Zusammenarbeit auf.
Vergleich dreier PDF-Architekturen: Browser-only, ephemerer Server und Cloud mit Speicherung.
Drei Architekturen, drei Risikoprofile. DropFile nutzt den Browser für Seitenwerkzeuge und ephemere Serververarbeitung für KI.

Bei DropFile laufen Seitentools wie Zusammenführen, Teilen, Organisieren und Bildkonvertierung im Browser. KI-Funktionen wie Zusammenfassen, Extrahieren und Chat nutzen ephemere Serververarbeitung ohne Aufbewahrung. Mehr dazu auf der Datenschutzseite und der Sicherheitsseite.

Was passiert beim Upload eines PDFs an ein kostenloses Online-Tool?

Bei einem Browser-only-Tool verlässt die Datei das Gerät nicht. Bei einem serverseitigen Tool geht sie über TLS an die Infrastruktur des Anbieters, wird dort verarbeitet und nach dem angegebenen Zeitplan gelöscht. Das Risiko steckt in Details wie Aufbewahrung, Subprozessoren, Rechtsraum und Zweitnutzung.

  • TLS schützt die Datei auf dem Transportweg, nicht innerhalb der Systeme des Anbieters.
  • Jeder Cloud-Hoster, OCR-Dienst, Analyseanbieter oder KI-Provider erweitert die Vertrauensgrenze.
  • "Wir löschen nach X Stunden" bedeutet weiterhin ein Zeitfenster, in dem die Datei verfügbar ist.
  • Die Frage nach KI-Training ist wesentlich: Manche Anbieter schließen es ausdrücklich aus, andere sagen nichts.

Wie vergleichen sich DropFile, iLovePDF und Smallpdf beim Datenschutz?

Die Tabelle basiert auf den öffentlich zugänglichen Seiten der Anbieter. Wenn dort "Nicht angegeben" steht, behandelt der Anbieter das Thema auf seinen primären Datenschutz-, Sicherheits- oder Trust-Seiten zum Prüfzeitpunkt nicht.

Datenschutzvergleich zwischen DropFile, iLovePDF und Smallpdf auf Basis der jeweiligen öffentlichen Anbieterangaben (April 2026).
DropFileiLovePDFSmallpdf
DiensttypBrowserbasierte PDF-Werkzeuge + ephemere KI-ToolsOnline-PDF-SuiteOnline-PDF-Suite
ArchitekturBrowser für Merge/Split/Organize/Convert; ephemerer Server für KIServerseitig im Web; Desktop-App für lokale Verarbeitung vorhanden3Serverseitig6
Upload erforderlich?Nein für Seitentools; ja für KIJa im Web3Ja6
Aufbewahrung ohne KontoNichts gespeichert bei Browser-Tools; KI-Ausgaben nur mit Verlauf1"one, two or twenty-four hours..."4"within one hour"6
Aufbewahrung mit KontoVerlauf verschlüsselt, 7 Tage / 30 Tage / 1 Jahr je nach Plan1Gleiche 1/2/24-Stunden-Frist; iLoveSign bis zu 5 Jahre3Löschung in einer Stunde, außer bei Speicherung im Konto6
KI-Trainingshaltung"Nothing stored. Nothing trained on."1Auf primären Seiten nicht angegeben3"We do not use these files to train models"6
Genannter Cloud-AnbieterGoogle Cloud (Cloud Run, Cloud SQL)2Nicht genannt; gelistete Subprozessoren: Cloudflare, Stripe, PayPal, Sentry4Hetzner für Verarbeitung; Cloudflare für Auth-Daten6
RechtsraumUSA (DropFile AI)Nicht klar angegeben; globaler Dienst5Smallpdf AG in der Schweiz; Server in Irland6
ZertifizierungenGCP-Plattformebene: SOC 1/2/3 und ISO 27001; keine Produkt-SOC-2- oder HIPAA-Angabe2ISO/IEC 27001; GDPR- und eIDAS-konform3ISO/IEC 27001; GDPR, CCPA, nFADP, eIDAS7
Eigenes Metadata-Removal-ToolNoch nicht — RoadmapKein dediziertes Tool gelistetNicht als Kernwerkzeug gelistet; Blog-Anleitung vorhanden8
Eigenes Redaction-ToolNoch nicht — RoadmapNicht gelistetNicht gelistet

So liest man die Tabelle: Eine klar genannte Aufbewahrungsfrist ist gut, eine klare Aussage zum KI-Training ebenfalls, und ein benannter Cloud-Anbieter ist ein echter Transparenzhinweis.

Was verrät ein PDF tatsächlich über dich?

Ein PDF ist ein Container. Neben sichtbarem Text speichert es oft Autor, Erstellungssoftware, Betriebssystembenutzer, Zeitstempel, Miniaturansichten, Anmerkungen, Formulare, eingebettete Dateien und manchmal JavaScript. ISO 32000 behandelt Metadaten als vollwertigen Inhalt.

Dadurch kann selbst ein harmlos wirkendes Dokument Ursprungsdetails offenlegen oder sich unerwartet verhalten. Die Shadow Attacks-Forschung zeigte, dass ein signiertes PDF visuell verändert werden kann, ohne die Signatur zu brechen12.

Warum ein schwarzer Balken keine echte Schwärzung ist

Ein schwarzes Rechteck über Text ist Annotation, nicht Redaction. Die ursprüngliche Textebene kann über Copy-Paste, PDF-Suche oder Tools wie pdftotext erhalten bleiben13.

Echte Schwärzung entfernt den Text aus dem Content Stream und schreibt die Datei neu. NIST SP 800-88 Rev. 1 ist dafür die praktische Referenz14.

Ein PDF mit sichtbaren schwarzen Balken, während die verborgene Textebene darunter intakt bleibt.
Der schwarze Balken verdeckt nur die sichtbare Ebene; der Textstream darunter kann erhalten bleiben.

Wie du jedes PDF-Tool selbst überprüfen kannst

Man muss Werbeaussagen zum Upload nicht glauben. Die Entwicklertools des Browsers beantworten die Grundfrage in weniger als einer Minute.

  1. Netzwerk-Tab öffnen. Entwicklertools öffnen und die Liste der Anfragen leeren.
  2. Mit einer kleinen Testdatei arbeiten. Keine sensiblen Unterlagen verwenden.
  3. Ausgehende Datei-Anfragen suchen. Bei Browser-only-Tools erscheint kein Upload; bei Server-Tools meist schon.

Das ist kein vollständiges Audit, reicht aber aus, um die meisten "kein Upload"-Aussagen zu überprüfen.

Sieben Fragen vor dem Upload eines sensiblen PDFs

  1. Wo läuft die Datei? Im Browser, auf dem Anbieter-Server oder gemischt?
  2. Falls hochgeladen wird: Wie lange bleibt sie? Suche nach einer klaren Frist und Löschpolitik.
  3. Wer sind die Subprozessoren? Cloud, OCR, KI, Analytics, Support.
  4. Wird der Inhalt zum Training genutzt? Diese Antwort sollte eindeutig sein.
  5. Welcher Rechtsraum gilt? Wo sitzt das Unternehmen und wo liegen die Daten?
  6. Entfernt Redaction den Text wirklich? Den Copy-Paste-Test durchführen.
  7. Wie sieht die Incident-Historie aus? Klare Offenlegung ist besser als Schweigen.

Was erwarten Aufsichtsbehörden von Dokument-Workflows?

2026 betrachten Regulierer die Dokumentenverarbeitung als Teil technischer und organisatorischer Maßnahmen. Drei Verweise tauchen immer wieder auf.

  • GDPR Article 25 bevorzugt Architekturen mit Datensparsamkeit by design16.
  • GDPR Article 32 fokussiert Vertraulichkeit, Integrität, Resilienz und angemessene Schutzmaßnahmen17.
  • HIPAA 45 CFR §164.312 verlangt Zugriffs-, Audit-, Integritäts- und Übertragungsschutz bei Gesundheitsdaten18.

Browser-only-Workflows sind heute praktikabel, weil moderne Browser ausreichend Dateischnittstellen bieten. Dazu gehört auch die File System Access API15.

DropFiles Seitenwerkzeuge — zusammenführen, teilen, organisieren und in Bilder umwandeln — laufen lokal. KI-Werkzeuge wie zusammenfassen und extrahieren werden ephemer verarbeitet und nicht zum Training genutzt.

Quellen

  1. DropFile — Privacy policy — Retention by plan, AI-training stance, history toggle

  2. DropFile — Security page — Infrastructure, encryption, compliance posture

  3. iLovePDF — Security & Data Protection — Retention, encryption, ISO 27001, desktop app

  4. iLovePDF — Privacy Policy (hosted on iubenda) — Granular 1/2/24-hour retention windows; listed subprocessors

  5. iLovePDF — PDF Compliance & GDPR — "Global online service"; desktop app as local-processing option

  6. Smallpdf — Privacy Notice — No model training; Hetzner + Cloudflare subprocessors; Swiss HQ; 1-hour retention

  7. Smallpdf — Trust Center — ISO 27001, GDPR, CCPA, nFADP; TLS

  8. Smallpdf — Ways to remove PDF metadata (blog)

  9. Scribd Inc. — About

  10. Everand — homepage

  11. ISO 32000-2 — Document management — Portable document format

  12. Shadow Attacks on PDF signatures

  13. Nitro — Best PDF Redaction Tools 2026

  14. NIST SP 800-88 Rev. 1 — Guidelines for Media Sanitization

  15. File System Access API — MDN Web Docs

  16. GDPR Article 25 — Data protection by design and by default

  17. GDPR Article 32 — Security of processing

  18. HIPAA 45 CFR §164.312 — Technical safeguards

Häufige Fragen

Ist iLovePDF sicher?
iLovePDF nennt eine ISO-27001-Zertifizierung und Löschen nach einer, zwei oder vierundzwanzig Stunden je nach Kontotyp. Ob Uploads für KI-Training genutzt werden, wird auf den primären Seiten nicht klar beantwortet.
Ist Smallpdf sicher?
Smallpdf sagt, Dateien innerhalb einer Stunde zu löschen, sofern sie nicht im Kontospeicher abgelegt werden. Die Datenschutzseite schließt KI-Training mit diesen Dateien ausdrücklich aus.
Ist es sicher, einen Kontoauszug oder Reisepass hochzuladen?
Nur wenn du mit Aufbewahrung, Trainingspolitik und Rechtsraum des Anbieters einverstanden bist oder wenn das Tool browser-only arbeitet.
Redigiert ein schwarzer Balken Text wirklich?
Nein. Er verdeckt nur die sichtbare Darstellung. Die Textebene kann weiterhin in der Datei vorhanden sein.
Wie erkenne ich versteckte Metadaten in einem PDF?
Dokumenteigenschaften prüfen, besonders Autor, Creator, Producer und Keywords. Für mehr Details helfen pdfinfo oder exiftool.
Lädt DropFile meine Dateien hoch?
Nicht bei den Seitenwerkzeugen. Bei KI-Werkzeugen ja, aber nur für ephemere Verarbeitung ohne Aufbewahrung und ohne Training.
Was tun, wenn ich bereits ein sensibles PDF hochgeladen habe?
Aufbewahrungsfrist prüfen, Datei aus möglichem Kontospeicher löschen und alle Geheimnisse oder Zugangsdaten rotieren, die im Dokument standen.

PDFs zusammenführen, teilen und organisieren ohne Upload

Unsere Seitenwerkzeuge laufen vollständig im Browser. Die Datei erreicht unsere Server nicht, daher gibt es weder Aufbewahrungsfenster noch KI-Trainingsfrage.

DropFile PDF-Tools öffnen