Datenfluss im Detail
Diese Seite legt offen, was mit einer Datei passiert, von dem Moment an, in dem Ihr Mandant sie auswählt, bis sie bei Ihnen ankommt. Vollständig, einschließlich der Stellen, an denen der Schutz endet.
Warum wir das veröffentlichen
Ein Sicherheitssystem darf nicht davon abhängen, dass niemand weiß, wie es gebaut ist. Es muss sicher bleiben, wenn ein Angreifer die gesamte Konstruktion kennt, und darf nur an den Schlüsseln hängen. Dieses Prinzip ist seit dem 19. Jahrhundert Grundlage der Kryptografie.
Praktisch bedeutet das: Sie müssen uns nicht glauben. Sie können nachvollziehen, was passiert, und mit Ihrem Datenschutzbeauftragten beurteilen, ob es für Ihre Mandate genügt.
Der Weg einer Datei
-
Ihr Mandant öffnet den Link
Der Link enthält einen Zufallscode mit 256 Bit. Unser Server bildet davon eine kryptografische Prüfsumme (SHA-256) und sucht damit die zugehörige Anfrage. Der Code selbst wird bei uns nie gespeichert, nur diese Prüfsumme. Aus ihr lässt sich der Code nicht zurückrechnen.
Verbindung: TLS-verschlüsselt -
Die Seite lädt Ihr Branding
Ausgeliefert werden nur Name und Gestaltung Ihrer Kanzlei, der Name des Mandanten und der Text der Anfrage. Interne Kennungen Ihrer Kanzlei, Ihrer Mandanten oder anderer Anfragen verlassen den Server nicht.
Herkunft: Datenbank in Nürnberg -
Der Browser erzeugt einen Schlüssel
Für jede einzelne Datei erzeugt der Browser Ihres Mandanten einen eigenen Zufallsschlüssel, 256 Bit, über die Kryptografie-Schnittstelle des Browsers. Dieser Schlüssel gehört nur zu dieser einen Datei.
Ort: ausschließlich im Browser des Mandanten -
Die Datei wird im Browser verschlüsselt
Die Datei wird in Stücke zu 8 MB zerlegt. Jedes Stück wird einzeln mit AES-256-GCM verschlüsselt und bekommt einen eigenen Initialisierungsvektor sowie eine Authentisierungsmarke, die nachträgliche Veränderungen auffliegen lässt. Die Zerlegung ist nötig, weil eine 2-GB-Datei nicht am Stück in den Arbeitsspeicher eines Browsers passt, und sie sorgt nebenbei dafür, dass eine abgebrochene Übertragung fortgesetzt statt neu begonnen wird.
Ort: im Browser, bevor irgendetwas gesendet wird -
Die verschlüsselten Stücke gehen direkt in den Speicher
Sie laufen nicht über unseren Anwendungsserver. Der Browser lädt direkt in den Objektspeicher, mit einer von uns signierten Berechtigung, die nach einer Stunde verfällt und nur für genau diesen einen Speicherplatz gilt. Unser Anwendungsserver sieht die Dateiinhalte zu keinem Zeitpunkt.
Ziel: Objektspeicher, Hetzner Nürnberg -
Der Dateischlüssel wird verpackt
Der Browser sendet den Dateischlüssel über die TLS-Verbindung an unsere API. Dort wird er sofort mit einem Hauptschlüssel verschlüsselt und nur in dieser verpackten Form gespeichert. Der Hauptschlüssel liegt ausschließlich in der Umgebung des Anwendungsservers, weder in der Datenbank noch im Objektspeicher.
Ablage: Datenbank in Nürnberg, verpackt -
Wir prüfen, was tatsächlich ankam
Die gespeicherte Größe wird am Objekt selbst gemessen, nicht geglaubt. Passt sie nicht zur Ankündigung oder sprengt sie das Volumen der Anfrage, wird das Objekt gelöscht und gar nicht erst verzeichnet. Der Vorgang wird im Protokoll Ihrer Kanzlei vermerkt.
Protokoll: unveränderlicher Eintrag je Upload -
Sie öffnen die Unterlagen
Beim Abruf entpackt der Server den Dateischlüssel mit dem Hauptschlüssel und entschlüsselt die Datei. Erst dieser Schritt macht sie wieder lesbar. Möglich ist er nur für angemeldete Mitarbeiter Ihrer Kanzlei.
Zugriff: nur mit bestehender Mitgliedschaft
Was ein Angreifer tatsächlich bekäme
Der ehrlichste Weg, ein Sicherheitskonzept zu beurteilen, ist die Frage, was bei welchem Einbruch herausfällt.
| Angreifer erlangt | Was er damit hat |
|---|---|
| Nur den Objektspeicher | Verschlüsselte Datenblöcke ohne Dateinamen und ohne Zuordnung. Ohne die Schlüssel aus der Datenbank wertlos. |
| Nur die Datenbank | Mandantennamen, Dateinamen und verpackte Schlüssel. Die Schlüssel lassen sich ohne den Hauptschlüssel nicht öffnen, die Dokumente bleiben unlesbar. |
| Einen Zugriffslink | Ausschließlich die eine Anfrage, zu der er gehört, und nur solange er gültig ist. Kein Zugriff auf andere Mandanten, andere Anfragen oder bereits übermittelte Unterlagen. |
| Das Passwort eines Mitarbeiters | Die Daten dieser einen Kanzlei. Andere Kanzleien bleiben unerreichbar, weil die Trennung in der Datenbank selbst verankert ist und bei jeder Abfrage greift. |
| Vollständige Kontrolle über unseren Server | Alles. Diese Grenze benennen wir ausdrücklich, statt sie zu verschweigen. Siehe den nächsten Abschnitt. |
Wo der Schutz endet
Wir können Ihre Unterlagen entschlüsseln. FileDock ist kein System, bei dem der Anbieter technisch ausgesperrt ist. Der Hauptschlüssel liegt bei uns, und damit ist alles lesbar, wer immer die vollständige Kontrolle über unseren Server erlangt.
Das ist eine bewusste Entscheidung. Die Alternative wäre, den Schlüssel allein Ihrer Kanzlei zu geben. Dann könnten wir Ihnen kein Sammelarchiv erstellen, keine Schadsoftware prüfen und bei keinem Problem mit einer Datei helfen. Vor allem aber: Ein vergessenes Passwort würde sämtliche je empfangenen Mandantenunterlagen unwiederbringlich vernichten. Für Unterlagen, die Sie gesetzlich aufbewahren müssen, halten wir dieses Risiko für das größere.
Was der Aufbau leistet, ist deshalb genau umrissen: Er schützt gegen den Diebstahl einzelner Bausteine, gegen Zugriff durch den Speicheranbieter und gegen ein Datenbankleck. Er schützt nicht gegen einen Angreifer, der unseren Anwendungsserver vollständig übernimmt.
Ebenfalls offen gesagt: Der Besitz des Links ist die Berechtigung. Wer einen gültigen Link hat, kann hochladen. Wir prüfen nicht, wer die Person am anderen Ende ist. Für besonders sensible Anfragen lässt sich deshalb ein zusätzlicher Einmalcode per E-Mail vorsehen.
Was wir bewusst nicht veröffentlichen
Eingesetzte Softwareversionen und Patchstände, interne Adressen, die genauen Schwellenwerte unserer Missbrauchsbremse sowie Zeitpunkte und Orte der Sicherungskopien. Diese Angaben helfen niemandem bei der Beurteilung, wohl aber jemandem beim Angriff.
Stand der Umsetzung
FileDock wird laufend weiterentwickelt. Damit Sie wissen, worauf Sie sich heute verlassen können, führen wir den Stand hier mit.
| Verschlüsselung im Browser vor dem Upload | in Betrieb |
|---|---|
| Direktübertragung ohne Umweg über den Anwendungsserver | in Betrieb |
| Trennung der Kanzleien in der Datenbank | in Betrieb |
| Befristung und Widerruf von Links | in Betrieb |
| Protokollierung der Zugriffe | in Betrieb |
| Betrieb ausschließlich in Deutschland | in Betrieb |
| Kein Anbieter und keine Verarbeitung außerhalb der EU | in Betrieb |
| Prüfung auf Schadsoftware | in Umsetzung |
| Verschlüsselte Ablage der Verwaltungsdaten | in Umsetzung |
| Einmalcode als zusätzlicher Schutz je Anfrage | in Umsetzung |
| Automatische Löschung nach Aufbewahrungsfrist | in Umsetzung |
Hinweis für Kanzleien außerhalb Deutschlands
Die Speicherung erfolgt in Nürnberg. Für eine österreichische oder Schweizer Kanzlei bedeutet das, dass die Unterlagen das eigene Land verlassen. Sie bleiben dabei innerhalb der Europäischen Union und innerhalb des Geltungsbereichs der DSGVO, es findet also keine Übermittlung in ein Drittland statt. Für die österreichische Berufsverschwiegenheit ist die Einbindung eines Dienstleisters innerhalb der EU regelmäßig zulässig, die Prüfung im Einzelfall bleibt aber Ihre.
Fragen Ihres Datenschutzbeauftragten
Wenn hier etwas fehlt, das Sie für Ihre Dokumentation brauchen, schreiben Sie uns an [email protected]. Wir antworten konkret und schriftlich, auch zu Details, die auf dieser Seite nicht stehen.
Stand: 2. August 2026. Diese Seite wird gemeinsam mit der Software gepflegt. Wenn sich am Aufbau etwas ändert, ändert sie sich mit.
Zurück zur Übersicht Sicherheit