Ein Upload Feld ist eine kleine Tür mit ungewöhnlich großem Risiko. Dahinter können ein hilfreiches Foto, eine 900 Megabyte große Videodatei, ein falsch benanntes Archiv oder ein Dokument mit vertraulichen Personendaten liegen. Wer nur die Endung prüft und die Datei anschließend in einen öffentlichen Ordner legt, hat keinen professionellen Upload gebaut
Eine Datei behauptet viel
Der Name rechnung.pdf beweist weder Format noch Inhalt. Auch der vom Browser gemeldete Medientyp kann manipuliert sein. Eine belastbare Prüfung kombiniert erlaubte Endungen, erkannte Dateisignatur, tatsächlichen Medientyp und Größenlimit. Bei Bildern kann eine sichere Neucodierung zusätzliche eingebettete Inhalte entfernen. Archive benötigen eigene Regeln, weil sie extrem viele oder stark komprimierte Dateien enthalten können
Die erlaubte Liste folgt dem Anwendungsfall. Für eine Schadensmeldung reichen vielleicht JPEG, PNG und PDF. Ein Projektbriefing kann zusätzlich Tabellen oder CAD Formate benötigen. Die Option „Alle Dateien“ lässt offen, welche Formate das Produkt tatsächlich verarbeiten kann
Der sichere Weg durch das System
- Der Server erzeugt eine Upload Sitzung mit zufälliger Kennung und erwarteten Grenzen
- Die Datei erhält einen internen Namen, der nicht vom Nutzernamen oder Originalpfad abhängt
- Sie landet in einem getrennten, nicht öffentlich ausführbaren Speicherbereich
- Prüfung, Virenscan und gegebenenfalls Inhaltsverarbeitung laufen in einer isolierten Warteschlange
- Erst nach Freigabe wird die Datei dem fachlichen Vorgang zugeordnet
- Downloads erfolgen über eine Berechtigungsprüfung oder kurz gültige signierte Adresse
Dieser Ablauf verhindert, dass eine gerade hochgeladene Datei sofort unter einer erratbaren URL erreichbar ist. Er macht auch den Zwischenzustand sichtbar: „hochgeladen und wird geprüft“ ist etwas anderes als „für die Bearbeitung freigegeben“
Große Dateien brauchen ein Protokoll
Bei mobilen Verbindungen scheitert ein einzelner langer Upload leicht in der letzten Minute. Teilbare und fortsetzbare Uploads übertragen Blöcke und bestätigen ihren Stand. Ein Prüfsummenvergleich stellt anschließend fest, ob die Datei vollständig angekommen ist. Wiederholungen dürfen nicht mehrere Kopien am Fall erzeugen
Fortschrittsanzeigen müssen den echten Transfer zeigen. Eine Animation ohne gemessenen Stand erzeugt falsche Sicherheit. Nach dem Schließen des Tabs sollte klar sein, ob der Upload fortgesetzt werden kann oder neu begonnen werden muss
Fotos sind Datenpakete
Smartphone Fotos können Standort, Gerät und Aufnahmezeit in Metadaten enthalten. Manchmal ist der Standort fachlich nützlich, etwa bei einer Störungsmeldung. Dann sollte er bewusst abgefragt und bestätigt werden. In anderen Fällen werden Metadaten vor der internen Weitergabe entfernt
Vorschaubilder dürfen nicht direkt aus ungeprüften Originalen im Browser anderer Nutzer geladen werden. Eine serverseitig erzeugte, sichere Vorschau verringert das Risiko und beschleunigt die Bearbeitung
Datenschutz endet nicht beim Hinweistext
Das Formular erklärt, welche Dokumente benötigt werden und welche Informationen nicht hochgeladen werden sollen. Ein Lebenslauf, ein Ausweis und ein Anlagenfoto haben völlig verschiedene Schutzbedarfe. Aufbewahrungsfristen sollten an den Vorgang gebunden sein. Abgebrochene Uploads und nicht abgesendete Entwürfe brauchen ebenfalls eine automatische Löschung
Interne Bearbeiter sehen nur Dateien ihrer Fälle. Besonders sensible Dokumente können eine zusätzliche Rolle oder erneute Anmeldung verlangen. Jeder Download einer kritischen Datei sollte nachvollziehbar sein
Fehlertexte sind Teil der Sicherheitsarchitektur
„Ungültige Datei“ lässt Nutzer raten. Besser: „Die Datei ist größer als 25 MB“ oder „Dieses Formular akzeptiert PDF, JPG und PNG“. Technische Details des Scanners bleiben intern, aber der Nutzer erhält einen korrigierbaren Grund. Eine Referenznummer verbindet seine Meldung mit dem Protokoll des Systems
Der fachliche Nutzen kommt nach dem Scan
Eine sichere Datei ohne Kontext bleibt schwer bearbeitbar. Das Formular erfasst deshalb, was auf der Datei zu sehen ist, zu welchem Standort oder Auftrag sie gehört und welche Handlung erwartet wird. Für technische Dienste bietet der Beitrag über Anfragen mit Foto, Standort und Dringlichkeit ein passendes Modell. Wenn Dokumente Versionen, Fristen und Freigaben besitzen, wird aus dem Formular eher ein Lieferantenportal
Ein guter Upload ist für den Nutzer unspektakulär: klare Grenzen, echter Fortschritt, eindeutige Bestätigung. Die Komplexität bleibt dort, wo sie hingehört, in einer kontrollierten Verarbeitungskette