Was wirklich mit einer Datei passiert, die Sie von einer Website „löschen"

Sie laden ein Dokument in ein Online-Tool, es erledigt seine Aufgabe, und eine beruhigende Zeile teilt Ihnen mit, Ihre Datei werde nach einer Stunde gelöscht. Sie schließen den Tab und fühlen sich gut dabei. Aber was ist mit dieser Datei tatsächlich passiert, und was bedeutet „gelöscht“ eigentlich, sobald sie auf den Servern eines anderen liegt? Das lohnt einen genaueren Blick, denn die bequeme Antwort und die ehrliche sind nicht dieselbe.

„Gelöscht“ ist ein Versprechen, keine Garantie

Hier liegt das eigentliche Problem: Sobald Ihre Datei auf einem Server liegt, den Sie nicht kontrollieren, haben Sie keine Möglichkeit mehr, irgendetwas darüber zu überprüfen. Die Meldung „nach einer Stunde gelöscht“ ist eine Richtlinienaussage. Sie vertrauen ihr so, wie Sie jedem Satz auf einer Website vertrauen. Es gibt keine Quittung, keine Bestätigung, keine Möglichkeit für Sie, nachzuprüfen, dass es wirklich geschehen ist.

Das heißt nicht, dass jeder Dienst lügt. Viele bemühen sich tatsächlich, Dateien planmäßig zu löschen. Der Punkt ist enger gefasst und schwieriger: Sie können es nicht bestätigen. Sie nehmen es auf gut Glück hin, und „vertrau mir“ ist ein schwaches Fundament für alles, was heikel ist.

Wo eine „gelöschte“ Datei hängen bleiben kann

Selbst bei den besten Absichten ist ein einzelner Löschvorgang selten die ganze Geschichte vom Leben einer Datei auf einem Server:

• Backups. Server werden routinemäßig gesichert. Eine aus dem Live-System gelöschte Datei kann in einer Backup-Momentaufnahme tage- oder wochenlang fortbestehen, ganz gewollt, ganz ohne böse Absicht.
• Caches und Kopien. Dateien wandern durch Caches, Zwischenspeicher und Content-Delivery-Netzwerke. Ein „Löschen“ im Hauptspeicher erreicht nicht immer jede flüchtige Kopie sofort.
• Protokolle. Selbst wenn die Datei selbst verschwindet, können Aufzeichnungen über sie, wann sie hochgeladen wurde, von wo, ihr Name, ihre Metadaten, in Protokollen sitzen, die das Dokument überdauern.
• Dritte und Rechtsräume. Der Dienst läuft womöglich auf Infrastruktur, die von jemand anderem gemietet ist, in einem Land mit anderen Regeln. Über das Schicksal Ihrer Datei entscheidet nun eine Kette von Parteien, von denen Sie nie gehört haben.

Nichts davon setzt voraus, dass irgendjemand in böser Absicht handelt. So funktioniert Server-Infrastruktur ganz normal. „Gelöscht“ ist verworrener, als es ein einzelner selbstbewusster Satz vermuten lässt.

Wo eine Kopie das „Löschen“ überlebt

Wo	Warum sie noch da ist
Backups	Laufen nach Zeitplan; das Löschen greift nicht in den Stand von gestern zurück
Versionen im Objektspeicher	Viele Buckets behalten frühere Versionen bewusst
CDN- und Proxy-Caches	Eine an jemand anderen ausgelieferte Kopie kann das Original überleben
Protokolle	Namen, Größen und Zeitstempel überleben, auch wenn die Bytes verschwinden
Unterauftragnehmer	Das Löschen muss sich zu allen fortpflanzen, an die weitergegeben wurde
Die Platte selbst	Einen Block als frei zu markieren heißt nicht, ihn zu überschreiben

Und das ist noch der gute Fall

Das Obige geht von einem sorgfältigen, gutmeinenden Dienst aus. Derselbe Upload setzt Sie auch den schlechten Fällen aus: einer Panne, die gespeicherte Dateien preisgibt, einer Änderung der Unternehmensrichtlinie oder der Eigentümerschaft, einer behördlichen Datenanforderung oder schlicht einem Dienst, der nie so sorgfältig war, wie seine Startseite behauptet hat. Sobald die Datei Ihre Hände verlassen hat, liegt all das außerhalb Ihrer Kontrolle.

Die einzige Datei, bei der Sie sicher sein können

Es gibt genau eine Version eines PDF, über deren Schicksal Sie sich vollkommen sicher sein können: die, die nie hochgeladen wurde. Eine Datei, die Ihren Rechner nie verlassen hat, hat keine Backups auf dem Server eines Fremden, nichts in irgendwelchen Protokollen, keine Aussetzung gegenüber einer Panne, von der Sie nächstes Jahr lesen. Es gibt nichts zu löschen, weil es nie eine Kopie gab. Das ist kein stärkeres Versprechen; es ist das Wegfallen jeglichen Bedarfs an einem.

Das ist die ganze Idee hinter reader.me. Die Tools laufen in Ihrem Browser, auf Ihrem eigenen Gerät. Wenn Sie ein PDF zusammenführen, komprimieren oder schützen, wird die Datei in den Arbeitsspeicher Ihres Rechners eingelesen, dort verarbeitet und an Sie zurückgegeben. Sie wird nie hochgeladen. Sie müssen keiner Löschrichtlinie vertrauen, weil es keine Serverkopie gibt, deren Löschung Sie vertrauen müssten.

Und das können Sie überprüfen, was ein Upload-basiertes Tool niemals bieten kann. Öffnen Sie ein beliebiges reader.me-Tool, öffnen Sie die Entwicklertools (F12) und beobachten Sie den Tab „Netzwerk“, während Sie arbeiten, Sie werden sehen: nichts geht weg. Oder schalten Sie Ihr Internet ganz aus und nutzen Sie es offline. Es funktioniert trotzdem, was nur möglich ist, weil die Datei ohnehin nirgendwohin unterwegs war.

Das Fazit

„Wir löschen Ihre Dateien“ verlangt von Ihnen, einem Versprechen zu vertrauen, das Sie nicht überprüfen können, über Kopien, die Sie nicht sehen, auf Servern, die Sie nie betreten werden. Für ein Urlaubsfoto ist das in Ordnung. Für alles, was wirklich zählt, einen Vertrag, eine Krankenakte, einen Ausweis, ist die bessere Antwort kein besseres Versprechen. Es ist, die Datei gar nicht erst hochzuladen. Erledigen Sie die Arbeit in Ihrem Browser, und die Frage, was mit Ihrer Datei auf dem Server eines anderen geschieht, stellt sich schlicht nie.