Sicherheit: So schützen wir Ihre PDF-Dateien

Wir verkaufen Ihre personenbezogenen Daten nicht, zeigen keine zielgerichtete Werbung und verwenden weder Werbe-Cookies noch Tracking-Cookies von Drittanbietern. Die Content Security Policy der Website erlaubt unseren Seiten nur Verbindungen zu unserer eigenen Domain (connect-src 'self').

Für die Tools brauchen Sie kein Konto. Unsere Statistik betreiben wir selbst: Wir speichern Ihre IP-Adresse nie im Klartext, sondern wandeln sie mit einem täglich wechselnden Geheimwert in ein gehashtes Token um. Tool-Protokolle enthalten nie Ihre Dateinamen oder Dateiinhalte, sondern nur das Tool, wo es lief, ob es funktioniert hat, wie lange es gedauert hat und einen ungefähren Größenbereich.

Die Datei wird in Ihrem Browser gelesen und verarbeitet, und Sie laden das Ergebnis direkt aus dem Browser herunter. Die Datei wird an keinen Server gesendet. Das gilt für die meisten PDF- und Bild-Tools, etwa Zusammenfügen, Teilen, Drehen, das Signieren Ihrer eigenen Datei und das Komprimieren von Bildern.

Manche Tools brauchen Software, die im Browser nicht gut läuft, etwa Office-Konvertierungen und OCR. Hier wird Ihre Datei über eine verschlüsselte Verbindung an unseren Konvertierungsdienst gesendet, der sie verarbeitet und löscht, sobald Ihr Ergebnis gesendet ist.

PDF zusammenfassen, PDF übersetzen und Chat mit PDF extrahieren den Text aus Ihrer Datei und senden diesen Text, nicht die Datei, über eine verschlüsselte Verbindung an Anthropic. Einzelheiten finden Sie im Abschnitt KI. Wir empfehlen, diese Tools nicht für hochsensible Dokumente zu verwenden.

Wenn Sie andere Personen bitten, ein Dokument zu unterschreiben, bewahren wir es auf, bis alle unterschrieben haben: das Dokument, Namen und E-Mail-Adressen der Unterzeichnenden und ein Prüfprotokoll jedes Schritts. Diese Funktion steht nur Kontoinhabern zur Verfügung. Wie lange wir die Daten aufbewahren, steht unter Aufbewahrung und Löschung.

Ein offizielles „DSGVO-Zertifikat“ gibt es nicht, und wir behaupten auch nicht, eines zu haben. Wir wenden aber ihre Grundsätze an: Wir erheben so wenige Daten wie möglich, setzen für alles, was wir speichern, eine Frist und erklären, wo jede Datei verarbeitet wird. Zu Ihren Rechten gehören:

• Löschung: Löschen Sie Ihr Konto selbst auf der Seite „Mein Konto“.
• Berichtigung: Ändern Sie Ihren Namen und Ihre Sprache auf der Seite „Mein Konto“; für alles andere schreiben Sie uns eine E-Mail.
• Auskunft und Datenübertragbarkeit: Fordern Sie eine Kopie Ihrer Kontodaten unter [email protected] an.

Wir wenden Praktiken aus den OWASP-Empfehlungen zur Sicherheit von Webanwendungen an, darunter:

• Content Security Policy (CSP): Skripte und Verbindungen sind auf unsere Domain beschränkt, und die Website kann nicht in andere Websites eingebettet werden.
• SSRF-Schutz: HTML in PDF und Webseite als Bild akzeptieren nur öffentliche http- und https-Links, und wir prüfen die IP-Adresse bei jeder Verbindung und jeder Weiterleitung, sodass keine Anfrage unser internes Netzwerk erreichen kann.
• Isoliertes Rendering: Der Browser, der Webseiten rendert, hat keinen direkten Internetzugang; jede seiner Anfragen durchläuft dieselbe Prüfung, und in hochgeladenen HTML-Dateien sind Skripte standardmäßig deaktiviert. Makros in Office-Dateien werden nie ausgeführt, und jede Konvertierung läuft in einem eigenen Prozess mit Zeitlimit und einer Obergrenze dafür, was sie schreiben darf.

Im Irak gilt das Gesetz über elektronische Signaturen und elektronische Transaktionen Nr. 78 von 2012. Signaturen in Safha sind einfache elektronische Signaturen: Wir führen ein Prüfprotokoll mit dem Zeitpunkt jedes Schritts und speichern einen SHA-256-Fingerabdruck des ursprünglichen und des finalen Dokuments. Sie sind keine von einer Zertifizierungsstelle zertifizierten Signaturen, und wir geben keine Rechtsberatung zu ihrer Gültigkeit. Wenn Ihr Dokument eine Signatur mit einer bestimmten Rechtswirkung braucht, wenden Sie sich an eine juristische Fachperson.

• ISO/IEC 27001: Aufbau eines Informationssicherheits-Managementsystems nach diesem Standard, als Vorbereitung auf eine unabhängige Bewertung.
• Ein unabhängiger Penetrationstest durch ein externes Unternehmen.
• Zwei-Faktor-Authentifizierung für Administratorkonten.
• Verschlüsselung der Dateien von Signaturanfragen im Ruhezustand.

Safha läuft auf einem Server, der bei der Contabo GmbH gemietet ist und dessen Adressbereich laut dem Register des RIPE NCC in Deutschland registriert ist. Jeder Dienst läuft in einem eigenen Docker-Container, verwaltet mit Coolify: die Website-App, der Konvertierungsdienst und eine PostgreSQL-Datenbank.

Der Datenverkehr der Website läuft über das Netzwerk von Cloudflare, dessen Dienst einen automatischen Schutz vor verteilten Denial-of-Service-Angriffen (DDoS) umfasst. Auf dem Server liegt die Datenbank in einem internen Netzwerk ohne Verbindung zum Internet, und der Konvertierungsdienst nimmt keine Verbindungen von außen an: Nur die Website-App kann ihn erreichen, und zwar mit einem gemeinsamen geheimen Token.

• Die gesamte Website läuft über HTTPS, und HTTP-Anfragen werden auf HTTPS umgeleitet.
• Verbindungen unterstützen TLS 1.3.
• Wir senden einen HSTS-Header für zwei Jahre (max-age=63072000; includeSubDomains), sodass Ihr Browser die Website nur über eine verschlüsselte Verbindung öffnet.
• Auch die Verbindung zwischen Cloudflare und unserem Server ist verschlüsselt, mit einem gültigen TLS-Zertifikat.

Auf dem Server speichern wir wenig: Konten, Workflows, gespeicherte Lebensläufe und Statistiken in der Datenbank sowie die Dateien von Signaturanfragen auf der Festplatte des Servers. Passwörter und Tokens von Signaturlinks werden nur als Hashes gespeichert (bcrypt und SHA-256). Damit es klar ist: Derzeit verschlüsseln wir weder die Datenbank noch die Dateien von Signaturanfragen im Ruhezustand mit einem eigenen Schlüssel; sie sind durch Netzwerkisolation und Serverberechtigungen geschützt.

Safha kennt nur zwei Rollen: Mitglied und Administrator. Das Admin-Dashboard öffnet sich nur für ein Konto mit der Administratorrolle, und wir prüfen diese Rolle zweimal auf dem Server: beim Aufruf des Dashboards und dann bei jeder Seite und jeder Aktion darin. Wird die Rolle eines Kontos geändert oder das Konto gesperrt, enden seine Sitzungen sofort.

• Der Konvertierungsdienst läuft als Nicht-Root-Benutzer auf einem schreibgeschützten Dateisystem und schreibt nur in einen temporären Ordner im Arbeitsspeicher.
• Er liest seine Geheimnisse einmal beim Start und gibt dann die Root-Rechte ab; diese Geheimnisse erreichen die Konvertierungsprozesse nie.
• Der Anthropic-Schlüssel liegt nur im Konvertierungsdienst; er erreicht nie die Website-App oder den Browser.
• Das Datenbankpasswort und der Schlüssel zum Signieren der Sitzungen werden von der Deployment-Plattform erzeugt; niemand tippt sie von Hand ein.

Zwei-Faktor-Authentifizierung für Administratorkonten bieten wir derzeit nicht an, und wir behaupten es auch nicht. Bis wir sie einführen, wird das erste Administratorpasswort von der Deployment-Plattform zufällig erzeugt, und Anmeldeversuche sind wie bei jedem Konto begrenzt.

Aktionen, die die Geräte der Nutzer erreichen, etwa das Senden von Benachrichtigungen und das Veröffentlichen von App-Versionen, werden mit der Identität des Administrators und dem Zeitpunkt protokolliert.