Datenschutz und Sicherheit

Audio transkribieren mit Datenschutz: nichts wird hochgeladen

Die Seite liest deine Datei im Tab deines Browsers und schreibt dort das Transkript. Die Website hat keine Möglichkeit, die Datei zu empfangen: Es gibt keinen Upload-Endpunkt, und die Seite darf sich nur mit dieser Website verbinden. Unten steht, was dein Browser herunterlädt, was er behält, was der Hoster trotzdem sieht und wie du es selbst prüfst.

Bleibt auf deinem Gerät

Die Audio- oder Videodatei, die du hinzufügst
Der Ton, den die Seite daraus liest
Die Sprache, die du wählst
Das Transkript und deine Suche darin
Die TXT-Dateien, die du lädst, und der Text, den du kopierst

Wird nie an uns gesendet

Das Audio oder Video
Der Dateiname
Die Metadaten, etwa Datum oder Ort der Aufnahme
Das Transkript, das daraus entsteht
Deine Suchbegriffe im Transkript

Wo die Transkription passiert

Die Transkriptions-Engine, der Teil, der Sprache in Text umwandelt, läuft in deinem Browser-Tab. Sie besteht aus einem WebAssembly-Programm und einem Open-Source-Spracherkennungsmodell, die beide beim ersten Hinzufügen einer Datei von dieser Website geladen werden. Im Tab liest die Seite den Ton deiner Datei und gibt ihn stückweise an die Engine; das Transkript wird in die Seite geschrieben. Zurück an die Website geht nichts. Wie die Transkription in deinem Browser läuft erklärt jeden Schritt.

Was dein Browser herunterlädt, und sonst nichts

Beim Öffnen des Transkriptions-Tools werden die Seite selbst, ihre Styles, ihre Skripte und ein paar Bilder heruntergeladen, alles von dieser Website. Wenn du deine erste Datei hinzufügst, lädt die Seite außerdem von dieser Website die Engine (etwa 1,5 MB), den Medienleser, der den Ton deiner Datei dekodiert (etwa 0,3 MB), und das gewählte Modell herunter: etwa 60 MB für das kleinere oder etwa 265 MB für das größere, in Teilen, dazu eine Sprachaktivitätserkennung von unter 1 MB, die die Stellen mit Sprache findet. Bietet dein Browser einen nutzbaren WebGPU-Adapter, lädt sie auch die WebGPU-Version der Engine (etwa 3,4 MB). Keine Schriften oder Skripte anderer Websites, keine Webanalyse, keine Werbung.

Was danach in deinem Browser bleibt

Das Modell und die Sprachaktivitätserkennung. Die Seite speichert ihre geprüften Teile im Cache-Speicher (Cache Storage) deines Browsers für diese Website, wenn der Browser Platz dafür hat, damit spätere Besuche den Download überspringen. Sie enthalten nur das Modell und die Sprachaktivitätserkennung, nie deine Aufnahmen oder Transkripte. Um sie zu entfernen, lösche die Websitedaten in deinem Browser; die nächste Datei lädt das Modell dann neu. Wie die übrigen Dateien der Seite kann auch die Engine im normalen Browser-Cache liegen. Das Transkript existiert nur im offenen Tab, und der Browser verwirft es, wenn du den Tab schließt. Abgesehen von diesen Teilen speichern die Skripte der Seite nichts: keine Cookies, kein localStorage oder sessionStorage und keine IndexedDB.

Die Seite kann nur die Datei lesen, die du ihr gibst

Du gibst der Seite eine Datei, indem du sie auswählst oder in den Ablagebereich ziehst. Eine Webseite kann deine Ordner nicht durchsuchen: Der Browser gibt ihr genau die eine Datei, die du gewählt hast, und sonst nichts. Die Seite prüft, ob es eine Audio- oder Videodatei ist, und lehnt alles andere mit einer Meldung ab.

Was der Browser durchsetzt

Die Website sendet mit jeder Seite Sicherheits-Header, und dein Browser setzt sie durch, egal was die Skripte der Seite versuchen. Im Klartext:

Sicherheits-Header auf jeder Seite (aus den Header-Regeln der Website)
Header	Was er bewirkt
`Content-Security-Policy: connect-src 'self'`	Die Skripte der Seite dürfen sich nur mit dieser Website verbinden. Der Browser blockiert jede Anfrage an einen anderen Server.
`Content-Security-Policy: form-action 'self'`	Ein Formular auf der Seite kann nur an diese Website gesendet werden.
`Content-Security-Policy: script-src 'self' 'wasm-unsafe-eval'`	Es laufen nur Skripte, die diese Website ausliefert. Der zweite Wert erlaubt dem Browser, WebAssembly zu kompilieren, das Format, in dem die Transkriptions-Engine gebaut ist.
`Content-Security-Policy: media-src 'none'`	Die Seite kann von nirgendwo Audio oder Video abspielen. Das braucht sie auch nicht: Sie liest den Inhalt deiner Datei, statt sie abzuspielen.
`Permissions-Policy: camera=(), microphone=(), geolocation=()`	Kamera, Mikrofon und Standort sind für die Seite abgeschaltet. Sie kann nicht einmal danach fragen: Das Tool nimmt Dateien an, nie Live-Ton.
`Content-Security-Policy: frame-ancestors 'none' und X-Frame-Options: DENY`	Keine andere Website kann diese Seite in einem Rahmen anzeigen. Das verhindert Clickjacking (eine gefälschte Seite, die über die echte gelegt wird).
`Content-Security-Policy: worker-src 'self' blob:`	Die Worker, die deine Datei lesen und die Engine ausführen, dürfen nur aus den Skripten dieser Website oder aus dem Tab selbst starten.
`Cross-Origin-Opener-Policy und Cross-Origin-Embedder-Policy`	Sie isolieren den Tab von anderen Websites. Browser verlangen diese Isolation, bevor eine Seite Speicher zwischen Threads teilen darf, und die Mehr-Thread-Version der Engine nutzt das.

Hinter den Headern besteht die Website aus statischen Dateien in einem Content-Delivery-Netzwerk. Dahinter läuft kein Serverprogramm von uns, es gibt also keinen Endpunkt, der eine Datei annehmen könnte, selbst wenn die Seite versuchen würde, eine zu senden.

Prüf es selbst

Die Entwicklertools deines Browsers zeigen jede Anfrage einer Seite, also kannst du das auf deinem eigenen Computer prüfen (die Anleitung zum Netzwerk-Bereich von Chrome erklärt ihn):

Öffne das Transkriptions-Tool auf einem Computer und drücke F12 (oder Cmd+Option+I auf einem Mac), um die Entwicklertools zu öffnen, und wähle den Tab Netzwerk. In Safari schaltest du zuerst die Entwicklerfunktionen unter Einstellungen, Erweitert ein.
Lade die Seite neu. Du solltest die Seite, ihre Styles, Skripte und Bilder sehen, alle von transcribe-audio.online.
Füge eine Audio- oder Videodatei hinzu. Beim ersten Mal erscheinen neue Zeilen für die Engine und die Teile des Modells, alle von transcribe-audio.online. Bei einem späteren Besuch kommen die Teile des Modells aus dem Speicher deines Browsers, und nur ein paar kleine Dateien, die sie auflisten, werden erneut angefragt.
Sieh dir die Spalte Methode an (ist sie ausgeblendet, klick mit der rechten Maustaste auf eine Spaltenüberschrift, um sie einzublenden). Jede Zeile sollte GET oder HEAD zeigen und jede Adresse transcribe-audio.online sein. Zeilen, die mit blob: oder data: beginnen, sind Verweise innerhalb deines Tabs, keine Übertragungen über das Netz.

Ein Upload sieht anders aus: eine Anfrage mit der Methode POST oder PUT, die etwa so groß ist wie deine Datei, oft an eine andere Domain. Wenn du hier beim Hinzufügen einer Datei je eine siehst, stimmt etwas nicht, und wir wollen davon erfahren: support@transcribe-audio.online.

Was unser automatischer Test prüft

Ein automatischer Browsertest lädt eine gebaute Kopie der Website in Chromium, der Engine hinter Chrome und Edge, und fügt eine Datei hinzu. Er läuft bei jeder Änderung an der Website. Unter anderem prüft er:

Jede Anfrage der Sitzung geht an diese Website, und jede ist eine GET- oder HEAD-Anfrage ohne Inhalt. Es wird also nichts hochgeladen. Eine Anfrage an einen anderen Server lässt den Test scheitern.
Das Öffnen der Seite lädt weder Engine noch Modell noch einen Worker: Sie kommen erst von dieser Website, wenn du eine Datei hinzufügst.
Beispielaufnahmen werden im Tab transkribiert (eine WAV-Datei, ein MP4-Video und eine WebM-Datei, stückweise gelesen), und das Transkript lautet wie erwartet.
Der kopierte Text und die geladene TXT-Datei enthalten genau die Absätze, die die Seite zeigt, mit und ohne Zeitstempel.
Abbrechen stoppt eine Transkription, und die nächste Datei nutzt das Modell, das der Browser schon hat, ohne einen Teil neu zu laden.
Die Website läuft mit ihren Produktions-Headern, und der Browser meldet keinen Verstoß gegen die Content-Security-Policy.

Was „kein Upload“ nicht abdeckt

Der Hoster sieht gewöhnliche Anfragen. Wie bei jeder Website verarbeitet der Hosting- und Auslieferungsanbieter übliche Anfragedaten wie deine IP-Adresse und Browserangaben, um die Dateien auszuliefern und die Website zu schützen. Diese Anfragen enthalten nichts aus deiner Datei.
Zum Laden braucht die Seite eine Verbindung. Einen Offline-Modus gibt es nicht.
Erweiterungen können die Seite sehen. Eine Erweiterung, der du erlaubt hast, Websites zu lesen und zu ändern, sieht, was diese Seite zeigt. Nutze für eine heikle Aufnahme ein Browserprofil ohne Erweiterungen.
Downloads sind gewöhnliche Dateien. Sobald du ein Transkript gespeichert hast, folgt es den Regeln deines Geräts: Ein synchronisierter Ordner, ein Backup oder ein E-Mail-Anhang nimmt es dorthin mit, wohin er geht. Text, den du kopierst, landet in deiner Zwischenablage, die manche Systeme mit deinen anderen Geräten abgleichen.
Dein Gerät gehört dir. Schadsoftware oder andere Personen mit Zugang zu deinem Computer liegen außerhalb dessen, was eine Webseite kontrollieren kann.

Fragen zum Datenschutz

Wie lösche ich, was die Website gespeichert hat?

Lösch die Websitedaten dieser Website in deinem Browser. Damit verschwinden die gespeicherten Teile des Modells und der Sprachaktivitätserkennung, das Einzige, was die Seite speichert. In Chrome oder Edge öffnest du die Entwicklertools, dann App (Application), Speicher (Storage) und Websitedaten löschen (Clear site data) (Anleitung von Chrome); Firefox erklärt es unter Cookies und Website-Daten löschen. Deine nächste Datei lädt das Modell dann neu.

Kann ich es für vertrauliche Aufnahmen nutzen, etwa mit Blick auf die DSGVO?

Aufnahme und Transkript erreichen uns nie, wir können sie also weder sehen noch speichern noch verlieren. Ob ein Tool zu deinen Pflichten passt, nach der DSGVO oder gegenüber Mandanten, Patienten oder Arbeitgeber, können wir nicht für dich entscheiden; die Fakten auf dieser Seite sind das, was du prüfen kannst.

Kann eine Browsererweiterung meine Aufnahme sehen?

Ja, wenn du ihr erlaubt hast, die besuchten Seiten zu lesen und zu ändern. Eine solche Erweiterung sieht, was diese Seite zeigt, das Transkript eingeschlossen, und keine Webseite kann das verhindern. Nutz für eine heikle Aufnahme ein Browserprofil ohne Erweiterungen.