Wie ONYRI Sanitize ein Dokument in Ihrem Browser anonymisiert

ONYRI Sanitize liest, prüft und schwärzt Ihr Dokument im Tab Ihres Browsers. Die Datei wird nie hochgeladen. Sobald das Dokument anonymisiert ist, noch bevor die geschwärzte Vorschau erscheint, erhält unser Server Zähler und Statistiken ohne Inhalt: die Zahl der Dokumente, Seiten und geschwärzten Stellen, die Schwärzungen je Kategorie, die Dateiart, ob es ein Scan ist, das im Dokument erkannte Land und die erkannte Sprache sowie die Sprache Ihres Browsers, dazu ein Token des Dateinamens, in Ihrem Browser mit einem Schlüssel berechnet, der Ihr Gerät nie verlässt (nie der Name selbst).

Wenn Sie eine Meldung „Etwas falsch geschwärzt?“ ankreuzen, gehen auch nur die angekreuzten Felder hinaus. Sonst nichts über das Dokument. Hier sind der Ablauf, ein Zwei-Minuten-Test zum Nachprüfen und die Grenzen.

Was passiert zwischen dem Ablegen und dem Download?

Fünf Schritte, alle auf Ihrem Gerät. Nehmen wir einen Vertrag, der Erika Mustermann, ihre E-Mail-Adresse und ihre IBAN nennt.

1. Öffnen. Sie legen ein PDF, eine Word-Datei (.docx) oder ein Bild ab. Der Browser öffnet die Datei im Speicher des Tabs. Es startet kein Upload.
2. Lesen. Die Textebene eines PDFs wird direkt gelesen, mit den Wortpositionen. Ein Scan läuft durch eine OCR auf Ihrem Gerät. Eine Word-Datei wird auf A4-Seiten umbrochen.
3. Erkennen. Rund 40 Detektoren durchsuchen den Text, dazu Ihre eigenen Regeln und die Begriffe unter „Außerdem schwärzen“.
4. Prüfen. Jede erkannte Stelle erscheint als Kasten in der Vorschau. Sie entfernen das Häkchen bei allem, was sichtbar bleiben soll, und ergänzen, was fehlt.
5. Exportieren. Jede Seite wird als Bild gezeichnet, die Masken sind eingebrannt. Die Bilder ergeben ein neues PDF, bei einem einzelnen Bild ein PNG.

Ein Server ist dafür nicht nötig. PDF-Seiten liest PDF.js, eine Open-Source-Bibliothek von Mozilla und weiteren Beitragenden. Die OCR nutzt Tesseract.js, das auf einer WebAssembly-Portierung der Tesseract-Engine aufbaut. Laut MDN führt WebAssembly Hochleistungscode direkt im Browser aus.

Was bleibt auf Ihrem Gerät, und was erhält unser Server?

Die Zähler dienen dazu, Ihren Tarif anzuwenden: Der Free-Tarif erlaubt 1 Dokument pro Tag, also muss der Server es zählen.

Die Statistiken zeigen, wo das Produkt Schwächen hat. Scheitert ein Dokument, wird außerdem eine technische Diagnose ohne Dateinamen und Inhalt gesendet. Das Token des Namens verhindert, dass dasselbe Dokument zweimal gezählt wird. Eine Meldung „Etwas falsch geschwärzt?“ wird nur gesendet, wenn Sie sie ankreuzen. Nichts davon braucht den Inhalt, also bekommt der Server ihn nicht. Ein Hinweis: Eine gespeicherte eigene Regel liegt bei Ihrem Konto. Für einen Begriff, der nirgends gespeichert werden soll, nutzen Sie „Außerdem schwärzen“.

Das ist Datenminimierung in der Praxis. Artikel 25 DSGVO (EU) verlangt vom Verantwortlichen Datenschutz durch Technikgestaltung, mit Maßnahmen wie Pseudonymisierung. Nach Erwägungsgrund 78 sollen auch die Hersteller von Anwendungen ermutigt werden, den Datenschutz schon bei der Entwicklung zu berücksichtigen. Ein Werkzeug, das Ihre Datei nie erhält, besitzt keine Kopie, die es sichern oder löschen müsste.

Wie können Sie das selbst überprüfen?

Verlassen Sie sich nicht auf unser Wort. Der Bereich Netzwerk in Chrome und die Netzwerkanalyse in Firefox listen die Anfragen einer Seite auf. Laut der Chrome-Dokumentation protokollieren die Entwicklertools die Netzwerkaktivität nur, wenn sie geöffnet sind. Öffnen Sie sie also zuerst. Derselbe Test funktioniert bei jedem Online-Werkzeug.

1. Öffnen Sie die Seite Dokumente. Drücken Sie in Chrome Strg+Umschalt+J (Mac: Befehlstaste+Wahltaste+J) und wechseln Sie in den Bereich Netzwerk. In Firefox drücken Sie Strg+Umschalt+E (Mac: Cmd+Opt+E).
2. Legen Sie eine Testdatei ab. Dateien der Engine, etwa die OCR, können von unserer Website kommen. Das sind Downloads.
3. Klicken Sie in Chrome auf den Filter Fetch/XHR (oder Abrufen/XHR). Die Spalte Methode ist standardmäßig ausgeblendet: Blenden Sie sie per Rechtsklick auf die Kopfzeile der Tabelle ein. Laut MDN ist POST die Methode, die Daten an den Server sendet.
4. Klicken Sie auf Anonymisieren. Eine POST-Anfrage erscheint, noch bevor die geschwärzte Vorschau erscheint. Ihr Tab Nutzlast (Payload) zeigt die Kennung Ihres Arbeitsbereichs, die Zähler, die Statistiken ohne Inhalt und das Token des Dateinamens.
5. Öffnen Sie die anderen Anfragen. Keine enthält Ihre Datei, ihren Namen oder ihren Text.

Welche Formate und OCR-Sprachen werden gelesen?

Der Export ist immer abgeflacht: ein PDF oder ein PNG aus Bildern. Ohne Textebene liegt unter einer Maske nichts verborgen. Der Preis dafür: Der Text lässt sich nicht mehr markieren oder durchsuchen, und eine Word-Datei kommt als PDF zurück.

Der Schwarze Marker zeichnet deckende Balken und lässt sich nicht rückgängig machen. Der Token-Modus (Pro) ersetzt jeden Wert durch einen einheitlichen Platzhalter: Aus Erika Mustermann wird überall im Dokument [NAME1]. Das ist Pseudonymisierung im Sinne von Artikel 4 Nr. 5 DSGVO, keine Anonymisierung. Kein Modus stellt das Original wieder her. Bewahren Sie Ihre Originaldatei auf.

Was erkennt das Werkzeug, und was übersieht es?

Rund 40 Detektoren arbeiten in 6 Familien: personenbezogene Daten (Namen, E-Mail-Adressen, Telefonnummern, Postanschriften, amtliche Kennnummern, Datumsangaben), Finanzdaten (IBAN, BIC, mit dem Luhn-Algorithmus geprüfte Kartennummern, Steuernummern, Beträge mit Währung), Zugangsdaten (Passwörter im Text, Einmalcodes), technische Geheimnisse (API-Schlüssel, Cloud-Token, JWT), Unternehmenskennungen (SIREN, SIRET, USt-IdNr.) und interne URLs. Technische Geheimnisse und private SSH-Schlüssel erkennt nur Pro. Die Erkennung berücksichtigt sieben Länder: FR, US, GB, BE, DE, AT, CH.

• Nur Text wird erkannt. Eine Unterschrift, ein Foto oder eine handschriftliche Notiz bleiben sichtbar.
• Es gibt keinen Detektor für medizinische Begriffe in Worten oder Gehälter als solche; ein Firmenname wird nur mit Rechtsform erkannt. Ergänzen Sie diese per eigener Regel oder unter „Außerdem schwärzen“.
• Die OCR irrt sich bei unscharfen oder schiefen Scans. Ein falsch gelesenes Wort wird nicht erkannt.
• Die Erkennung ist nicht lückenlos, auch nicht bei sauberem Text. Ein ungewöhnlicher Name kann durchrutschen.

Darum gehört die Prüfung fest zum Ablauf. Sie ist keine Option. Kontrollieren Sie die Vorschau Stelle für Stelle vor dem Download. Lesen Sie den Export danach noch einmal, bevor Sie ihn weitergeben.

Was kostet das?

Stand Oktober 2026 deckt der Free-Tarif 1 Dokument pro Tag und 5 Seiten pro Dokument ab, mit Schwarzem Marker, Basis-Detektoren und 3 eigenen Regeln. Pro kostet 9,90 € pro Monat oder 99 € pro Jahr (11,90 $ oder 119 $): unbegrenzt viele Dokumente und Seiten, Token-Modus, Detektoren für technische Geheimnisse, unbegrenzt viele eigene Regeln und Profile. Ein 7-Tage-Pass als Einmalzahlung (5,90 €) bietet eine Woche lang den vollen Pro-Umfang, ohne Abonnement.

Team kostet 24,90 € pro Nutzer und Monat oder 249 € pro Nutzer und Jahr (28,90 $ oder 289 $), ab 3 Plätzen. Jeder Platz erhält Pro und bevorzugten E-Mail-Support. Gemeinsamer Arbeitsbereich, Einladungen, Rollen und Audit-Logs folgen bald; noch sind sie nicht verfügbar. Das Enterprise-Angebot gibt es nicht mehr: Seit Oktober 2026 ersetzt es ein Lifetime-Angebot, für 198 € bei Pro oder 498 € bei Team mit 3 Plätzen, einmal zu zahlen.

Häufige Fragen

Quellen und Verweise