Glauben Sie uns nicht. Prüfen Sie.

Die 30-Sekunden-Prüfung

1. Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers und gehen Sie auf den Reiter Netzwerk

   F12 unter Windows und Linux, oder Option-Command-I auf einem Mac. Haken Sie „Protokoll beibehalten“ an, damit beim Navigieren nichts verschwindet.

2. Laden Sie diese Seite neu und leeren Sie dann das Protokoll

   Sie sehen die Seite selbst, ein Stylesheet, zwei Schriftdateien und, auf einer Werkzeugseite, die Editor- und Worker-Skripte, jedes davon von dieser Domain ausgeliefert. Sie sehen außerdem das Google-Analytics-Tag, die einzige Anfrage an Dritte auf dieser Seite und die einzige, die einen zweiten Blick wert ist.

3. Gehen Sie nun auf ein Werkzeug und fügen Sie etwas ein. Irgendetwas. Zehn Megabyte davon

   Formatieren, umwandeln, kaputtmachen, validieren, und beobachten Sie dabei den Netzwerk-Reiter. Die einzigen Anfragen sind die Analyse-Pings, und Sie können jeden davon öffnen: Sie tragen die Seiten-URL, Ihre Bildschirmgröße und eine Besucher-ID. Zehn Megabyte JSON passen in keinen davon, und sie stecken auch in keinem. Sonst wird nichts gesendet, weder während Sie tippen noch beim Klicken noch beim Verlassen der Seite.

Der Teil, der es zur Garantie macht

Der Netzwerk-Reiter sagt Ihnen, was diesmal passiert ist. Der Header unten sagt Ihnen, was überhaupt möglich ist. Sehen Sie sich im selben Reiter die Antwort-Header einer beliebigen Seite an, und Sie finden ihn.

default-src 'self';
connect-src https://*.google-analytics.com https://*.analytics.google.com https://*.googletagmanager.com;
script-src 'self' https://www.googletagmanager.com;
style-src 'self' 'unsafe-inline';
img-src 'self' data: https://*.google-analytics.com https://*.googletagmanager.com;
font-src 'self';
form-action 'none';
frame-ancestors 'none';
base-uri 'self';
object-src 'none';
worker-src 'self' blob:

Die Zeile, auf die es ankommt, ist connect-src. Sie ist eine Erlaubnisliste, und sie nennt den Analyse-Endpunkt und sonst nichts. Jede andere ausgehende Anfrage, die diese Seite versuchen könnte, wird abgelehnt: kein fetch, kein XMLHttpRequest, kein WebSocket, kein EventSource, kein sendBeacon an irgendeinen Ort, an dem Ihr Dokument landen könnte.

Das ist keine Aussage über unsere Absichten. Es ist eine Regel, die der Browser jedem auf dieser Seite laufenden Code auferlegt, auch Code, den wir morgen versehentlich ergänzen, auch einer kompromittierten Abhängigkeit, und auch dem Analyse-Skript selbst, das Google erreichen kann und sonst nichts. Würde etwas auf dieser Seite je versuchen, Ihr Payload irgendwohin zu senden, würde der Browser es blockieren und einen Verstoß in Ihrer Konsole protokollieren.

Sie können es sich selbst beweisen. Öffnen Sie auf einer beliebigen Seite hier die Konsole und führen Sie fetch('https://example.com') aus. Es wird abgelehnt, und der Browser sagt Ihnen, warum.

Worauf wir verzichtet haben, um das sagen zu können

Ein so enger Header hat Kosten, und es lohnt sich, sie auszusprechen, denn sie sind der Grund, warum die meisten Seiten keinen ausliefern. Er hat genau eine Ausnahme, und das ist der erste Eintrag unten.

Eine Ausnahme: Analyse

Google Analytics zählt Seitenaufrufe und ist der einzige Host, den die Erlaubnisliste zulässt. Es sieht die Seite, auf der Sie sind, woher Sie gekommen sind, Ihre Sprache, Ihre Bildschirmgröße und eine Besucher-ID. Den Editor sieht es nicht, und derselbe Header, der es mit Google sprechen lässt, hindert es und alles andere hier daran, mit irgendeinem anderen Ort zu sprechen.

Keine Werbung

Ein Werbe-Tag ist ein Drittanbieter-Skript, das Netzwerkanfragen stellt und die Seite liest. Es ist mit allem auf dieser Seite unvereinbar, und eines später zu ergänzen würde die Aussage dauerhaft und nicht nur teilweise verspielen.

Kein Datei-Upload und kein Laden von einer URL

Dateien werden mit dem FileReader des Browsers gelesen, der nie etwas sendet. Ein Dokument von einer entfernten URL zu laden, wird überhaupt nicht angeboten, denn Browser blockieren Anfragen über Ursprungsgrenzen hinweg, und der einzige Weg dahin führt über einen Server-Proxy. Genau gegen diesen Server argumentieren wir.

Keine Konten, keine gespeicherten Links, kein Teilen-Dienst

Eine Funktion „diesen Ausschnitt speichern“ ist eine Datenbank fremder Payloads. Genau diese Funktion hat im November 2025 80.000 Einfügungen offengelegt, und die offengelegten Daten enthielten Active-Directory-Zugangsdaten, Cloud-Zugriffsschlüssel und Bankunterlagen.

Keine Schriften oder Stile von einem CDN

Jede Schrift, jedes Stylesheet und jedes Skript außer dem Analyse-Tag wird von dieser Domain ausgeliefert. Eine Schriftanfrage an einen Dritten bleibt eine Anfrage an einen Dritten, und sie trägt Ihre IP-Adresse und die Seite mit, auf der Sie sind.

Nichts wird in die Konsole geschrieben

Nicht Ihre Eingabe, nicht Ihre Ausgabe, auch nicht „hilfreich“ innerhalb eines Fehlerbehandlers. Der Build schlägt fehl, wenn eine Log-Anweisung in die Nähe von Nutzerinhalten gerät.

Wovor das Sie nicht schützt

Über die Grenzen offen zu sprechen gehört dazu, damit die Aussage etwas wert ist.

• / Eine Browser-Erweiterung mit der Berechtigung, Seiteninhalte zu lesen, kann diese Seite lesen wie jede andere. Keine Website kann das verhindern.
• / Wer Zugriff auf Ihren Rechner hat, kann sehen, was auf Ihrem Bildschirm und in Ihrem localStorage steht.
• / Unser Hoster kann sehen, dass Ihr Browser eine Seite angefordert hat, samt Ihrer IP-Adresse, denn genau das heißt, eine Seite auszuliefern. Er kann nicht sehen, was Sie einfügen, denn das wird nie gesendet.
• / Wenn Sie die Ausgabe kopieren und anderswo einfügen, ist das eine Sache zwischen Ihnen und dem Ort, an dem Sie sie einfügen.

Fragen

Warum sollte ich irgendetwas davon glauben?

Sollten Sie nicht. Deshalb gibt es diese Seite. Jede Aussage darauf können Sie in unter einer Minute selbst prüfen, mit Werkzeugen, die Ihr Browser schon hat. Ein Versprechen in einer Datenschutzerklärung ist nichts wert; einen Content-Security-Policy-Header erzwingt der Browser, ganz gleich, was unser Code zu tun versucht.

Was ist mit einer Browser-Erweiterung, die meine Daten liest?

Eine Erweiterung mit der Berechtigung, Seiteninhalte zu lesen, kann auf jeder Seite alles lesen, auch hier. Keine Website kann das verhindern, und jede Seite, die das Gegenteil behauptet, irrt. Was wir tun können, ist sicherzustellen, dass die Seite selbst keinen Ort hat, an den sie Ihr Dokument senden könnte, und genau das tut die connect-src-Erlaubnisliste.

Wird irgendetwas gespeichert?

Ihr aktueller Entwurf und Ihre Werkzeugeinstellungen liegen im localStorage, auf Ihrem eigenen Gerät, damit ein Neuladen Ihre Arbeit nicht verliert. Entwürfe über 512 KB werden gar nicht gespeichert. Das Löschen der Websitedaten entfernt alles, und übertragen wird nie etwas.

Warum gibt es keine Funktion „von URL laden“?

Weil sie sich nicht ehrlich bauen lässt. Browser blockieren Anfragen über Ursprungsgrenzen hinweg, der einzige Weg, sie anzubieten, führt also über einen Server, und damit laufen die URL und ihre Antwort durch uns hindurch. Jede Seite, die diese Funktion anbietet, hat diesen Server. Auf sie zu verzichten ist genau der Punkt.

Was sieht die Analyse?

Google Analytics 4 erfasst die Seite, auf der Sie sind, woher Sie gekommen sind, Ihre Sprache, Ihre Bildschirmgröße, einen groben Standort aus Ihrer IP-Adresse und eine in einem Cookie gespeicherte Besucher-ID. Was Sie einfügen, erfasst es nicht, und es könnte es auch nicht: Das Dokument liegt im Editor und in dem Worker, der es formatiert, und das Analyse-Skript kommt an keines von beiden heran. Cookies für diese Domain zu blockieren oder ein beliebiger Inhaltsblocker schaltet es vollständig ab, und jedes Werkzeug arbeitet weiter.