Datei-Uploads in Formularen: Grösse, Formate, Sensibilität

Eine Liegenschaftsverwaltung in Baden stellt ihr Anmeldeformular für Mietwohnungen online. Bisher kamen Bewerbungen per E-Mail mit Anhängen in allen denkbaren Formen: Fotos vom Betreibungsregisterauszug, eingescannte Ausweise, Lohnabrechnungen als Word-Datei, ein ZIP-Archiv mit dreissig Megabyte. Jetzt soll das Formular die Dateien direkt entgegennehmen.

Ein Upload-Feld ist schnell hinzugefügt. Es ist aber ein anderes Feld als die anderen: Was darin landet, weiss man vorher nicht, es kann gross sein, und es enthält oft die empfindlichsten Angaben des ganzen Vorgangs. Ein paar Entscheidungen vorab machen es für beide Seiten einfacher.

Warum ein Upload anders ist als ein Textfeld

Ein Textfeld nimmt ein paar Zeilen entgegen, die man sieht. Ein Dateifeld nimmt einen Behälter entgegen, dessen Inhalt man erst beim Öffnen kennt. Drei Unterschiede folgen daraus:

• Der Inhalt ist unbekannt. Eine Datei kann mehr enthalten, als ihr Name verspricht — zusätzliche Seiten, Metadaten, im schlechtesten Fall schädlichen Code.
• Die Grösse ist offen. Ein Foto aus einem aktuellen Telefon ist ein Vielfaches eines Textfelds; ein Video noch mehr.
• Die Sensibilität ist hoch. Hochgeladen werden oft genau die Dokumente, die man nicht ins Textfeld tippen würde: Ausweise, Arztzeugnisse, Lohnausweise.

Welche Formate

Das OWASP-Projekt, eine gemeinnützige Organisation für Anwendungssicherheit, empfiehlt in seinem Cheat Sheet zu Datei-Uploads, erlaubte Dateiendungen aufzulisten und nur die zuzulassen, die für den Zweck nötig sind — statt gefährliche Endungen zu sperren, was sich leicht umgehen lässt.

Für die Liegenschaftsverwaltung ergibt sich daraus eine kurze Liste: PDF, JPG und PNG. Word-Dateien lassen sich in PDF umwandeln, ZIP-Archive braucht es nicht. Behörden gehen ähnlich vor: Die Steuerverwaltung des Kantons Bern etwa nimmt für Belege PDF, PNG und JPG entgegen.

Eine kurze Zeile unter dem Feld — «PDF, JPG oder PNG» — erspart Rückfragen. Wer ein Foto im HEIC-Format vom iPhone hat, weiss dann, dass er es umwandeln muss.

Welche Grösse

OWASP empfiehlt, Grössenbegrenzungen festzulegen, auch um den Speicher zu schützen. Für das Formular heisst das, eine Grenze zu wählen, die zu den erwarteten Dokumenten passt: Ein gescannter Auszug braucht wenige Megabyte, ein Foto in voller Auflösung schnell mehr. Der Kanton Bern setzt für seine Belege 5 MB pro Dokument.

Hilfreich für die Person, die das Formular ausfüllt:

• die Grenze beim Feld angeben, nicht erst in der Fehlermeldung;
• bei Überschreitung sagen, wie man die Datei kleiner bekommt;
• mehrere Dateien erlauben, statt eine grosse zu verlangen.

Was in den Dateien steht

Für eine Mietbewerbung werden oft Dokumente verlangt, die viel über eine Person verraten: der Betreibungsregisterauszug über ihre finanzielle Lage, der Lohnnachweis über ihr Einkommen, die Ausweiskopie über ihre Identität. Der EDÖB nennt in seinem Leitfaden zu Datensicherheitsverletzungen den Verlust von Kopien von Identitätsdokumenten ausdrücklich als Beispiel für Daten, die ein hohes Risiko bedeuten können, auch wenn sie nicht zu den besonders schützenswerten Personendaten zählen. Und wo Formulare Arztzeugnisse oder andere Gesundheitsangaben entgegennehmen, handelt es sich um besonders schützenswerte Personendaten (Art. 5 Bst. c Ziff. 2 DSG).

Daraus folgen zwei Fragen, die sich vor dem Einrichten des Feldes lohnen:

1. Braucht es das Dokument wirklich, und in diesem Moment? Personendaten dürfen nur erhoben werden, soweit es verhältnismässig ist (Art. 6 Abs. 2 DSG). Eine Ausweiskopie kann für den Vertragsabschluss nötig sein, aber nicht zwingend für die erste Bewerbung.
2. Wer sieht die Dateien? Die Datenschutzverordnung verlangt Massnahmen, damit berechtigte Personen nur auf die Daten Zugriff haben, die sie für ihre Aufgaben brauchen (Art. 3 Abs. 1 Bst. a DSV).

Sicherheit, in einfachen Worten

Die meisten technischen Punkte liegen beim Anbieter des Formularwerkzeugs, nicht beim Betrieb. Das OWASP Cheat Sheet nennt unter anderem:

Punkt	Was OWASP empfiehlt
Dateiendung	Erlaubte Endungen auflisten
Angegebener Dateityp	Der vom Browser mitgeschickte Typ kann gefälscht werden und ist nicht vertrauenswürdig
Dateisignatur	Den tatsächlichen Dateityp anhand des Inhalts prüfen
Dateiname	Serverseitig zufällige Namen vergeben
Speicherort	Getrennt von der Website speichern
Prüfung	Dateien, wo möglich, mit einem Virenscanner oder in einer Sandbox prüfen

Für einen Betrieb, der ein Werkzeug auswählt, sind das nützliche Fragen an den Anbieter: Welche Formate lassen sich einschränken? Wo werden die Dateien gespeichert, und wie lange? Wer hat beim Anbieter Zugriff darauf?

Wie lange die Dateien bleiben

Personendaten werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind (Art. 6 Abs. 4 DSG). Für die Liegenschaftsverwaltung heisst das: Die Unterlagen der Bewerberinnen, die die Wohnung nicht erhalten, haben ihren Zweck erfüllt, sobald die Wohnung vergeben ist. Eine feste Regel — etwa Löschung einige Wochen nach der Vergabe — verhindert, dass sich im Postfach oder im Formularwerkzeug über Jahre Betreibungsauszüge ansammeln.

Was beim Feld stehen kann

Wer Personendaten beschafft, informiert die betroffene Person angemessen darüber (Art. 19 Abs. 1 DSG). Beim Upload-Feld selbst ist der Ort, an dem diese Information am meisten nützt, weil dort die Entscheidung fällt, ob jemand eine Datei hochlädt:

• wozu das Dokument gebraucht wird;
• wer es sieht;
• wann es gelöscht wird;
• welche Formate und welche Grösse möglich sind.

Vier kurze Zeilen genügen. Sie beantworten die Fragen, die sonst per Telefon oder E-Mail kommen.

Für die Person, die hochlädt

Auch wer ein Formular ausfüllt, hat Möglichkeiten. Wird ein Dokument verlangt, das mehr enthält als nötig — ein Kontoauszug mit allen Buchungen des Monats, wenn nur der Lohn belegt werden soll —, lässt sich fragen, ob ein Auszug genügt. Wer Teile unkenntlich machen möchte, tut das mit einer echten Schwärzungsfunktion statt mit einem darübergelegten Rechteck, weil ein Rechteck den Text darunter oft nicht entfernt. Und wer ein Foto hochlädt, kann vorher den gespeicherten Aufnahmeort entfernen; bei einem Foto, das zu Hause entstanden ist, ist das die eigene Adresse.

Ein PDF, etwa direkt aus dem E-Banking oder vom Lohnprogramm, ist oft die bessere Wahl als ein Foto des ausgedruckten Dokuments: kleiner und besser lesbar.

Das Formular in Baden

Die Verwaltung kommt am Ende mit einem schlanken Aufbau aus: Im Bewerbungsformular gibt es ein Upload-Feld für den Betreibungsregisterauszug, begrenzt auf PDF, JPG und PNG bis 5 MB, mit einem Satz, wozu er verlangt wird und wann er gelöscht wird. Ausweiskopie und Lohnnachweise werden erst verlangt, wenn eine Bewerbung in die engere Wahl kommt.

In der Formulare-App, die wir entwickeln, werden Antworten und hochgeladene Dateien bereits im Browser der antwortenden Person verschlüsselt und erst im Browser der Empfängerin wieder entschlüsselt, mit ihrem persönlichen Schlüssel. Aufbewahrungsfristen und automatische Löschregeln werden sich je Formular festlegen lassen.