Sicherheit & Datenschutz: So funktioniert die Übertragung

Wer seinen Bildschirm teilt, zeigt oft Vertrauliches. Deshalb beschreiben wir hier offen, wie Bildschirm-teilen.de technisch arbeitet: was verschlüsselt ist, was unsere Server sehen und speichern und wo die Grenzen liegen.

Der Weg deines Bildes – im Überblick

1. Webseite und Anmeldung laufen über HTTPS (TLS) mit HSTS auf unserem Server in Deutschland.
2. Verbindungsaufbau (Signaling): Über eine verschlüsselte WebSocket-Verbindung (WSS) tauschen die Browser technische Verbindungsdaten aus: Codecs, Schlüssel-Fingerabdrücke und mögliche Netzwerkadressen. Bildinhalte laufen hier nicht durch.
3. Übertragung des Bildes: Bild und Ton werden per WebRTC übertragen und dabei immer mit DTLS-SRTP verschlüsselt. Für WebRTC ist das verpflichtend, unverschlüsselt geht es gar nicht.
4. Direkt oder über Relay: Wenn möglich, fließen die Daten direkt von Browser zu Browser. Lassen Firewalls das nicht zu, leitet unser eigener TURN-Server in Deutschland die bereits verschlüsselten Pakete weiter. Er hat keine Schlüssel und kann den Inhalt nicht lesen.

Was unsere Server sehen – und was nicht

Aufgezeichnet wird nur, wenn du es ausdrücklich startest (Premium-Funktion). Die Aufnahme entsteht dann in deinem eigenen Browser und wird auf unseren Server in Deutschland hochgeladen. Nur du kannst sie abrufen, und nach 30 Tagen löschen wir sie automatisch. Solange die Aufnahme läuft, sehen alle Zuschauer einen deutlichen Hinweis. Ohne gestartete Aufnahme gibt es auf unserer Seite keine Komponente, die Bildschirminhalte entschlüsselt oder speichert. Welche Daten wir wie lange speichern, steht in der Datenschutzerklärung.

Wer kann zuschauen?

• Jeder Viewer-Link ist zufällig erzeugt (192 Bit Zufall) und lässt sich nicht erraten.
• Links laufen ab: Eine Session endet, wenn du sie beendest, spätestens aber nach 2 Stunden (Privatkonto) bzw. 12 Stunden (Geschäftskonto). Danach ist der Link wertlos.
• Du siehst die Zahl deiner Zuschauer live auf der Teilen-Seite. Ist jemand Unerwartetes dabei, beende die Session und starte eine neue.
• Behandle den Link wie einen Schlüssel: Wer ihn hat, kann zuschauen, solange die Session läuft.
• Mehr Kontrolle mit Premium: Ein Passwort schützt den Raum zusätzlich zum Link; das Passwort prüft unser Server, bevor der Verbindungsaufbau überhaupt erlaubt wird. Im Warteraum lässt du jeden Zuschauer einzeln herein, und verbundene Zuschauer kannst du jederzeit entfernen.

Was der Browser schützt

Keine Webseite kann deinen Bildschirm heimlich aufnehmen. Der Standard schreibt vor, dass du selbst im Dialog des Browsers auswählst, was geteilt wird. Während der Freigabe zeigt der Browser das dauerhaft an, und du kannst sie jederzeit über die Browserleiste beenden.

Konto und Webseite

• Passwörter speichern wir nur als bcrypt-Hash, nie im Klartext.
• Nach mehreren Fehlversuchen wird die Anmeldung vorübergehend gesperrt. Das bremst Passwort-Rateangriffe aus.
• Anmeldungen laufen nach längerer Inaktivität automatisch ab.
• Eine strikte Content-Security-Policy erlaubt nur Skripte von unserem eigenen Server. Es gibt keine Drittanbieter-Skripte, keine externen Schriften, keine Tracking-Pixel und keine Werbe-Cookies.
• Wir setzen nur ein technisch notwendiges Cookie für die Anmeldung, siehe Cookie-Hinweis.

Grenzen, die du kennen solltest

Zu ehrlicher Sicherheit gehört auch, die Grenzen zu benennen:

• IP-Adressen: Bei einer direkten Verbindung erfahren sich die beteiligten Browser gegenseitig ihre IP-Adressen. Das ist bei WebRTC technisch bedingt.
• Vertrauen in den Verbindungsaufbau: Die Schlüssel-Fingerabdrücke laufen über unseren Signaling-Server. Ihr verlasst euch also darauf, dass dieser Server sie nicht verfälscht. Das gilt für praktisch alle browserbasierten WebRTC-Dienste.
• Was du teilst, sehen andere: Teilst du den ganzen Bildschirm, sind auch Benachrichtigungen sichtbar. Teile lieber nur ein Fenster oder einen Tab und schalte Nicht stören ein.
• Sehr restriktive Netze: TURN über TLS auf Port 443 bieten wir noch nicht an. In Netzen, die ausschließlich HTTPS erlauben, kommt deshalb keine Verbindung zustande.

Sicherheitslücke gefunden?

Wir freuen uns über verantwortungsvolle Hinweise. Unsere Kontaktwege für Sicherheitsmeldungen stehen in der security.txt nach dem Standard RFC 9116. Alternativ erreichst du uns über das Kontaktformular.