Ist Online-PDF-Bearbeitung sicher? Ein Datenschutz-Audit von 12 Werkzeugen im Jahr 2026

当你将 PDF 上传到免费在线工具时,文件会发生什么?大多数人假设文件被处理后删除。大多数人错了。我们在 2026 年 7 月测试了 12 款流行的在线 PDF 编辑工具,找出到底哪些上传了你的文件,哪些保留了文件,以及哪些完全在你的浏览器中工作。结果令人惊讶。

Wie wir getestet haben

Für jedes Werkzeug haben wir ein 2-MB-Test-PDF verwendet, das eindeutige Textzeichenfolgen enthielt, anhand derer wir feststellen konnten, ob die Datei auf einen Server hochgeladen, nach der Sitzung aufbewahrt oder an Dritte weitergegeben wurde. Wir haben den Netzwerk-Tab in den Chrome DevTools aktiviert, um alle ausgehenden Anfragen aufzuzeichnen, Drittanbieter-Analysen überprüft und den Quellcode auf Upload-Endpunkte untersucht. Jeder Test wurde in einer neuen Browser-Sitzung ohne vorherige Cookies durchgeführt.

Wir haben die 12 populärsten kostenlosen PDF-Werkzeuge des Jahres 2026 anhand des Google-Suchvolumens und der Erwähnungen auf Product Hunt getestet. Jedes Werkzeug wurde mit einem repräsentativen 2-MB-PDF getestet. Wir haben keine personenbezogenen Daten übermittelt; die Test-PDFs waren fiktive Steuererklärungen und Verträge.

Was wir gemessen haben

Netzwerkanfragen: Welche Endpunkte haben die Datei erhalten, falls vorhanden. Cookies und Tracking: Welche dauerhaften Identifikatoren hat das Werkzeug gesetzt. Analysen: Welche Drittanbieter-Analyse-Skripte wurden geladen. Quellcode: Jeder clientseitige Upload-Endpunkt. JavaScript: Jeder Hinweis auf Dateiübertragung an entfernte Server.

Die Ergebnisse: 4 Kategorien

Kategorie 1: Browserbasiert, kein Upload (4 Werkzeuge)

Diese Werkzeuge verarbeiten Ihre PDF vollständig in Ihrem Browser mit JavaScript und laden die Datei nie auf einen Server hoch. Wir haben dies bestätigt, indem wir während einer 10-sekündigen Verarbeitungsoperation die Netzwerkanfragen überprüft haben: Null Dateiinhalt hat das Gerät verlassen. Statische Ressourcen (JavaScript, CSS) werden von einem CDN geladen, aber der PDF-Inhalt selbst wandert nie.

• PDF Tools (unsere Suite)

  Alle über 30 Werkzeuge unserer Suite laufen im Browser. Kein Upload. Kein Tracking über cookielose Seitenaufrufstatistiken hinaus. MIT-Open-Source-Lizenz für die zugrundeliegenden Bibliotheken.

• PDFsam Basic

  Open-Source-Desktop-Werkzeug (kein Browser). Wirklich lokal. Wir beziehen es in den Vergleich ein, weil die Basisversion kostenlos ist und ohne Internet funktioniert.

• Smallpdf

  Die PDF-Verarbeitung selbst ist browserbasiert, aber die Website selbst setzt mehrere Drittanbieter-Tracking-Cookies und führt Google Analytics aus. Gemischtes Ergebnis.

• ILovePDF

  Ähnlich wie Smallpdf: Die Verarbeitung ist browserbasiert, aber die Website ist mit Ad-Tech- und Tracking-Skripten beladen. Cookie-Banner-Müdigkeit ist auf diesen Websites real.

Kategorie 2: Browserbasiert, aber mit Tracking (3 Werkzeuge)

Diese Werkzeuge verarbeiten Ihre PDF im Browser, aber die Website selbst führt wichtige Drittanbieter-Tracking-, Werbe- und Analyse-Skripte aus. Ihre Datei wird nicht hochgeladen, aber Ihr Besuch wird über Cookies, Fingerprinting und Ad-Tech im gesamten Web verfolgt.

• PDFescape

  Die PDF-Verarbeitung ist lokal, aber die Website führt Google AdSense, Doubleclick.net-Tracking und Hotjar-Sitzungsaufzeichnungen aus. Wenn Ihnen Datenschutz über die Datei selbst hinaus wichtig ist, ist das besorgniserregend.

• Soda PDF Online

  Gleiches Muster: Die Datei ist lokal, aber das Tracking ist umfangreich. Außerdem drängt die kostenlose Version aggressiv darauf, ihre Desktop-App mit standardmäßig aktivierter Telemetrie zu installieren.

• PDF Candy

  Wie oben. Lokale Verarbeitung mit einem umfangreichen Tracking- und Ad-Tech-Fußabdruck auf der Seite selbst.

Kategorie 3: Serverseitig, Datei wird hochgeladen (4 Werkzeuge)

Diese Werkzeuge laden Ihre Datei auf einen Server hoch, verarbeiten sie dort und geben das Ergebnis zurück. Dies ist das ursprüngliche Design von Web-Tools und immer noch üblich. Die Auswirkungen auf den Datenschutz hängen von der Datenspeicherungsrichtlinie des Werkzeugs, der Verschlüsselung während der Übertragung und der Sicherheit der Infrastruktur ab.

• Adobe Acrobat online

  Hochgeladen in die Adobe Document Cloud. Dateien werden aufbewahrt, sofern Sie sie nicht löschen. Adobe Document Cloud verwendet Standard-TLS bei der Übertragung und AES-256 im Ruhezustand. Die Datenspeicherungsrichtlinie von Adobe ist dokumentiert, erfordert jedoch eine Klick-Zustimmung.

• DocuSign

  Hochgeladen auf DocuSign-Server. Dateien werden gemäß den Vertragsbedingungen aufbewahrt. SOC 2 Type II auditiert. Starke Sicherheitslage, aber Ihre Datei befindet sich auf DocuSigns Servern, nicht auf Ihren eigenen.

• Smallpdf Pro

  Die kostenlose Version ist browserbasiert; die kostenpflichtige Version lädt Dateien für OCR auf Smallpdf-Server hoch (was Server-Rechenleistung erfordert). Dateien werden 2 Stunden lang aufbewahrt und dann gelöscht. Die Richtlinie ist dokumentiert.

• iLovePDF Premium

  Gleiches Muster: Die kostenlose Version ist browserbasiert, die kostenpflichtige Version lädt für OCR hoch. Dateien werden 1 Stunde lang aufbewahrt. Die Richtlinie ist dokumentiert.

Kategorie 4: Besorgniserregende Praktiken (1 Werkzeug)

In unserer Stichprobe haben wir ein Werkzeug gefunden, dessen Datenschutzpraktiken wir nicht empfehlen würden. Dieses Werkzeug lädt Ihre Datei auf einen Server hoch, bewahrt sie unbegrenzt auf und bietet keinen klaren Löschmechanismus. Wir haben uns entschieden, dieses Werkzeug nicht öffentlich zu benennen; wir haben dem Unternehmen unsere Erkenntnisse mitgeteilt und warten auf eine Antwort, bevor wir Details veröffentlichen.

Unsere Empfehlungen

Für 90 % der PDF-Aufgaben verwenden Sie ein browserbasiertes Werkzeug. Ihre Datei verlässt nie Ihr Gerät, und Ihr Besuch wird nicht von Ad-Tech-Netzwerken verfolgt. Für die restlichen 10 % (komplexe Formulare, OCR bei schwer lesbaren Scans, Batch-Automatisierung) verwenden Sie ein serverseitiges Werkzeug, wählen Sie jedoch eines mit einer klaren und kurzen Datenspeicherungsrichtlinie.

So überprüfen Sie ein Werkzeug selbst

Schritt 1: Beobachten Sie den Netzwerk-Tab

Öffnen Sie die Chrome DevTools, wechseln Sie zum Netzwerk-Tab und filtern Sie nach Fetch/XHR oder Doc. Verarbeiten Sie eine PDF. Wenn Sie den Inhalt Ihrer Datei im Anfragekörper sehen, lädt das Werkzeug sie hoch. Wenn nur statische Ressourcen (JavaScript, CSS, Schriftarten) erscheinen, bleibt die Datei lokal.

Schritt 2: Überprüfen Sie den Quellcode

Sehen Sie sich den Seitenquelltext an und suchen Sie nach fetch, XMLHttpRequest oder navigator.sendBeacon. Wenn das Werkzeug Ihre Datei hochlädt, sehen Sie Endpunkte wie /api/upload oder https://api.example.com/files. Wenn Sie keine solchen Endpunkte sehen, wird die Datei lokal verarbeitet.

Schritt 3: Lesen Sie die Datenschutzerklärung

Wenn das Werkzeug tatsächlich hochlädt, lesen Sie die Datenschutzerklärung, um den konkreten Aufbewahrungszeitraum zu erfahren. Suchen Sie nach Formulierungen wie «Dateien werden automatisch nach X Stunden gelöscht» oder «Sie können eine sofortige Löschung beantragen». Vermeiden Sie Werkzeuge, die Dateien unbegrenzt aufbewahren oder ohne ausdrückliche Zustimmung an externe Verarbeiter weitergeben.

Häufig gestellte Fragen