Privacy by Design für Tools zur Dateiübertragung
So wenden Sie Privacy by Design auf Tools zur Dateiübertragung an und verankern Datenschutz in jeder Phase des Freigabeprozesses fest.
Privacy by Design in einem Dateiübertragungstool bedeutet, dass die Standardkonfiguration personenbezogene Daten bereits schützt, ohne dass der Nutzer eine einzige Einstellung anfassen muss. DSGVO Artikel 25 kodifiziert zwei Ausprägungen: Datenschutz durch Technikgestaltung (Artikel 25 Abs. 1) verlangt, dass angemessene technische Maßnahmen bereits in der Planungsphase in das Produkt eingebaut werden; Datenschutz durch datenschutzfreundliche Voreinstellungen (Artikel 25 Abs. 2) schreibt vor, dass die Standardkonfiguration nur das Notwendige verarbeitet, nur an Berechtigte weitergibt und nur so lange aufbewahrt wie erforderlich. Für ein Übertragungstool übersetzt sich das in: clientseitige Verschlüsselung standardmäßig aktiviert, Ablauf unter 30 Tagen, minimale Metadatenerhebung und Ein-Klick-Widerruf.
Die sieben Cavoukian-Prinzipien auf Übertragungen angewendet
Ann Cavoukians Rahmenwerk der 1990er — proaktiv statt reaktiv, Datenschutz als Standard, eingebettet ins Design, volle Funktionalität, durchgängige Sicherheit, Sichtbarkeit und Transparenz, Respekt für die Privatsphäre der Nutzer — lässt sich direkt auf die Dateiübertragungsarchitektur übertragen. Proaktiv: Schwache Cipher im Code durch automatische SAST-Scans vor dem Deployment erkennen. Standard: AES-256-GCM aktiviert ohne Opt-out. Eingebettet: Verschlüsselung erfolgt in der Upload-Pipeline, nicht als separater Schritt. Volle Funktionalität: Verschlüsselte Dateien unterstützen weiterhin Vorschauen durch clientseitige Entschlüsselung. Durchgängig: Die Plattform kommt nie mit Klartext in Berührung. Sichtbarkeit: Die Verschlüsselungsspezifikation wird veröffentlicht. Respekt: Nutzer behalten Kontrolle über Aufbewahrung und Ablauf.
Artikel 25 Abs. 1: Designpflichten
Artikel 25 Abs. 1 verlangt Maßnahmen „sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung." Das bedeutet Datenschutzpflichten bereits bei der Architekturentwicklung, nicht nachträglich. Wählen Sie ein Transportprotokoll (HTTPS mit TLS 1.3), eine Cipher-Suite (AES-256-GCM oder XChaCha20-Poly1305), eine Schlüsselableitungsfunktion (PBKDF2-SHA-256 mit 600.000 Iterationen oder Argon2id) und eine Speicherregion (EU), bevor die erste Codezeile geschrieben wird. Dokumentieren Sie die Entscheidungen in einem Architecture Decision Record, damit künftige Entwickler die Einschränkungen verstehen.
Artikel 25 Abs. 2: Pflichten zur Standardkonfiguration
Artikel 25 Abs. 2 legt vier Standardanforderungen fest: Begrenzung der erhobenen personenbezogenen Daten, Begrenzung der Verarbeitung, Begrenzung der Aufbewahrungsdauer und Begrenzung der Zugänglichkeit. Für ein Übertragungstool bedeutet das: Fragen Sie nur nach Absender- und Empfänger-E-Mail (nicht nach vollständigem Namen, Telefon, Adresse); verarbeiten Sie die Datei einmal und löschen Sie sie; bewahren Sie 7 Tage, nicht unbegrenzt, auf; beschränken Sie den Zugang auf die spezifischen Empfänger, nicht auf eine öffentlich indexierte URL. Im Vergleich dazu: WeTransfers öffentlich teilbare Links sind zwar komfortabel, aber ohne zusätzliche Schutzmaßnahmen nicht Artikel-25-Abs.-2-konform.
Datensparsamkeit im Upload-Formular
Das Upload-Formular des Absenders ist der Ausgangspunkt der Datensparsamkeit. Schlechtes Design: Absendername, Unternehmen, Telefon, Empfängername, Empfängerunternehmen, Nachricht abfragen. Jedes Feld ist ein gespeicherter und analysierter personenbezogener Datenpunkt. Gutes Design: Nur E-Mail, optionales Nachrichtenfeld, keine Tracking-Pixel. SwissTransfer und HexaTransfer implementieren beide Minimal-Formulare; WeTransfer und Dropbox Transfer erfassen mehr. Entfernen Sie EXIF-Metadaten aus Bildern serverseitig, wenn clientseitiges Entfernen nicht verfügbar ist. Protokollieren Sie keine Dateinamen, wenn diese personenbezogene Daten enthalten — hashen Sie sie für das Prüfprotokoll und speichern Sie die Zuordnungstabelle serverseitig unter strengen Zugriffskontrollen.
Standardmäßig aktivierte Verschlüsselung ohne Performance-Ausreden
AES-256-GCM in modernen Browsern über die Web-Crypto-API läuft auf einem Laptop von 2020 mit ungefähr 200–500 MB/s. Eine 100-MB-Datei ist in deutlich unter einer Sekunde verschlüsselt. Libsodiums XChaCha20-Poly1305 läuft ähnlich schnell. Die Performance-Ausrede für optionale Verschlüsselung ist hinfällig. Verwenden Sie dateiindividuelle Schlüssel, die von einem nutzerseitig gehaltenen Geheimnis abgeleitet werden — einem Passwort oder einem zufälligen Schlüssel, der im URL-Fragment eingebettet ist (nach dem #, so dass Server ihn nie sehen). Firefox Sends Architektur von 2017–2019 ist ein bewährtes Vorbild: Das URL-Fragment trug den Schlüssel, der Server sah nur Chiffretext.
Pseudonymisierung, wo möglich
Artikel 4 Nr. 5 DSGVO definiert Pseudonymisierung. Erwägungsgrund 28 empfiehlt sie durchgängig in der gesamten Verordnung. Für Dateiübertragungen bedeutet Pseudonymisierung die Ersetzung direkter Kennungen in System-Metadaten: absender@unternehmen.de wird im Prüfprotokoll zu einem SHA-256-Hash, mit der Zuordnungstabelle separat unter strengeren Zugriffskontrollen gespeichert. Empfänger entsprechend. Wenn ein Angreifer das Prüfprotokoll allein kompromittiert, sieht er Hashes, kein Kontaktgraph. Die Zuordnungstabelle — kleiner und in einem separaten Tresor — ist mit anderen Schlüsseln und Zugriffsrichtlinien geschützt.
Transparenz durch veröffentlichte Architektur
Artikel 25 schreibt keine Open-Source-Pflicht vor, aber Transparenz ist ein Privacy-by-Design-Prinzip. Veröffentlichen Sie: die Verschlüsselungsspezifikation (Cipher, KDF, Iterationen, Authentifizierungs-Tag-Länge), das Datenflussdiagramm, die Unterauftragnehmer-Liste mit Jurisdiktionen, den Aufbewahrungsplan, die Meldungsfrist bei Datenpannen und das Prüfprotokoll-Schema. Proton, Tresorit und HexaTransfer veröffentlichen technische Whitepapers. Kryptografische Behauptungen, die nicht verifizierbar sind — vage „militärische Verschlüsselung" — sind Warnsignale. Wenn ein Anbieter den Cipher nicht nennt, ist von schwacher Sicherheit auszugehen.
Nutzerkontrolle als Standard, nicht als Premium-Funktion
Privacy by Design scheitert, wenn Kontrollen hinter kostenpflichtigen Tarifen versteckt werden. Passwortgeschützte Links sollten nichts extra kosten. Download-Limits sollten keine Premium-Funktion sein. Link-Widerruf sollte nicht den Kundendienst erfordern. Das Mindest-Datenschutzniveau — Ablauf, Passwort, Widerruf, Download-Benachrichtigungen — sollte kostenlos sein, mit kostenpflichtigen Tarifen, die Skalierung (Speicher, Teamverwaltung) oder Komfort (gebrandete Links, längere Aufbewahrung) hinzufügen. Das ist sowohl eine DSGVO-Haltung als auch eine kommerzielle: Nutzer vertrauen Produkten, die ihnen Kontrolle ohne Bezahlmauer geben.
Protokollierung, die das Prinzip respektiert
Prüfprotokolle sind selbst personenbezogene Daten. Zu viel protokollieren schafft eine neue Angriffsfläche. Zu wenig protokollieren macht es unmöglich, Artikel 33 zu erfüllen oder Compliance nach Artikel 5 Abs. 2 nachzuweisen. Die Balance: Ereignistyp, Zeitstempel, Datei-ID-Hash, Akteur-ID-Hash, Ergebnis protokollieren. Keine vollständigen IPs — auf /24 (IPv4) oder /64 (IPv6) kürzen. Keine vollständigen User Agents — Browserfamilie und Hauptversion extrahieren. Für den für Sicherheit und Compliance erforderlichen Mindestzeitraum aufbewahren (typischerweise sechs Monate), dann rollieren. Verschlüsseln Sie die Protokoll-Pipeline von Ende zu Ende; der Protokollzugang selbst wird zum Ereignis.
Die Datenschutzhaltung vor dem Launch testen
Führen Sie eine Datenflussaudit mit einem Entwickler durch, der am Aufbau nicht beteiligt war. Fragen Sie für jedes System: Welche personenbezogenen Daten passieren es? Wo werden sie gespeichert? Wie lange? Wer kann darauf zugreifen? Wie wird der Zugriff protokolliert? Wie werden sie gelöscht? Vergleichen Sie die Antworten mit den Artikel-25-Zusagen aus der DSFA. Testen Sie die angegebene Architektur mit Penetrationstests — sieht der Server tatsächlich nur Chiffretext? Ist der URL-Fragment-Schlüssel wirklich aus den Protokollen heraus? Dienste mit schwachen Privacy-by-Design-Behauptungen scheitern an diesen Tests schnell. Dienste mit soliden — HexaTransfers 7-Tage-Ablauf mit clientseitigem AES-256-GCM — bestehen sie, weil die Architektur das hält, was die Dokumentation verspricht.
Datenschutz einbauen, nicht aufschrauben. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.
Große Dateien sicher mit Ende-zu-Ende-Verschlüsselung senden
Übertragen Sie Dateien bis zu 10 GB kostenlos mit Ende-zu-Ende-Verschlüsselung. Kein Konto erforderlich. Ihre Dateien werden in Ihrem Browser verschlüsselt, bevor sie hochgeladen werden — niemand sonst kann sie lesen.
Datei senden