Sicheres Online-Formular erstellen: die praktische Anleitung

Ein Online-Formular zu erstellen ist das Einfachste, was Sie diese Woche tun werden. Jeder Editor auf dem Markt bringt Sie in rund zehn Minuten von der leeren Seite zum funktionierenden Link — und in keiner dieser zehn Minuten fällt eine einzige Entscheidung über Sicherheit. Genau das ist das Problem. Das Formular, aus dem Daten abfliessen, ist fast nie das gehackte: es ist das, das ein Geburtsdatum verlangte, das niemand brauchte, als öffentlicher Link in einem Gruppenchat kursierte, vier Jahre lang Antworten sammelte und von sechs Personen gelesen werden konnte, die längst nicht mehr im Unternehmen sind.

Diese Anleitung ist bewusst herstellerneutral: jeder Schritt gilt, ob Sie Schweizerform, Google Forms, einen Microsoft-Tenant oder ein selbst gehostetes LimeSurvey einsetzen. Wo ein Schritt von einer Plattformfähigkeit abhängt, sagen wir es ausdrücklich, und wir verwenden unser eigenes Produkt als Beispiel, ohne zu behaupten, es sei die einzige Option. Wenn Sie das Werkzeug noch auswählen, ist unsere Übersicht der Online-Formular-Tools für Schweizer Unternehmen der bessere Startpunkt.

Was bedeutet «sicher» bei einem Formular überhaupt?

«Sicher» bezeichnet vier verschiedene Eigenschaften, und Anbieter trennen sie selten. Zu wissen, welche davon Sie kaufen — und welche Sie selbst herstellen müssen — ist der grösste Teil der Arbeit.

• Vertraulichkeit auf dem Transportweg. Niemand im Netz kann die Einsendung mitlesen. Das leistet HTTPS, überall und unspektakulär. Es ist Grundausstattung, kein Merkmal — und es endet an der Serverhaustür, weshalb wir warum HTTPS allein nicht genügt geschrieben haben.
• Vertraulichkeit im Ruhezustand. Die gespeicherten Daten liegen verschlüsselt auf der Festplatte. Fast jeder Anbieter macht das mit eigenen Schlüsseln: Schutz gegen eine gestohlene Festplatte, nicht gegen den Anbieter, seine Support-Werkzeuge oder eine an ihn gerichtete behördliche Anordnung.
• Vertraulichkeit gegenüber dem Anbieter. Nur Sie können die Antworten lesen, weil die Entschlüsselung in Ihrem Browser mit einem Schlüssel geschieht, den der Anbieter nie erhält. Das ist Ende-zu-Ende-Verschlüsselung — die einzige der vier Eigenschaften, die verändert, wer innerhalb Ihres Vertrauensbereichs steht.
• Integrität und Verfügbarkeit. Die Antworten, die Sie lesen, sind die eingesandten, sie sind nächsten Monat noch da, und Sie bekommen sie wieder heraus. Unglamourös — und der Fehlerfall, den Organisationen tatsächlich erleben.

Dazu kommt die Eigenschaft, die mit Kryptografie gar nichts zu tun hat: Daten, die Sie nie erhoben haben, können nicht abfliessen, nicht herausverlangt, nicht falsch geteilt und nicht gelöscht werden müssen. Jeder Schritt unten folgt aus diesem Gedanken.

Schritt 1: Klären, was Sie überhaupt fragen dürfen

Beginnen Sie mit den Feldern, nicht mit dem Werkzeug. Nach Art. 6 des Schweizer Datenschutzgesetzes muss die Bearbeitung rechtmässig, nach dem Grundsatz von Treu und Glauben und verhältnismässig erfolgen und an den bei der Erhebung angegebenen Zweck gebunden sein. Praktisch heisst das: zu jedem Feld gehört ein Satz, der erklärt, was Sie damit tun. Lautet der Satz «könnte später nützlich sein», hat das Feld auf dem Formular nichts zu suchen.

Besondere Vorsicht gilt bei den Kategorien, die das Gesetz als besonders schützenswert einordnet — Daten über Gesundheit, religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten, Rassenzugehörigkeit oder Ethnie, genetische und biometrische Daten, die Intimsphäre, verwaltungs- und strafrechtliche Verfolgungen und Sanktionen sowie Massnahmen der sozialen Hilfe (Art. 5 lit. c nDSG; das DSGVO-Pendant ist Art. 9). Eine harmlos aussehende Checkbox kann Ihr ganzes Formular in diese Kategorie verschieben — mit der Folge, dass eine ausdrückliche Einwilligung nötig wird, wo die Einwilligung Ihre Grundlage ist, und bei hohem Risiko eine Datenschutz-Folgenabschätzung nach Art. 22.

Schritt 2: Fragen so formulieren, dass die Antworten brauchbar sind

Fragedesign ist eine Datenschutzmassnahme, nicht bloss eine Frage der Benutzerführung. Strukturierte Antworten lassen sich aggregieren, filtern, exportieren und präzise löschen. Freitext nicht: er sammelt, was die teilnehmende Person zu erzählen beschliesst, auch das, wofür Ihnen jede Rechtsgrundlage fehlt — und er ist der Feldtyp, der sich am schwersten nachträglich anonymisieren lässt.

• Geschlossene Antworten, wo Sie auswerten wollen. Einzelauswahl, Mehrfachauswahl, Skala, Datum, Dropdown. Das hält die Daten sauber und die Auswertung ehrlich.
• Freitext bewusst einsetzen — und darauf hinweisen. Ein Satz — «bitte keine Gesundheitsangaben und keine Namen Dritter nennen» — verändert messbar, was Menschen schreiben.
• Pflichtfelder wirklich als Pflicht behandeln. Jedes Pflichtfeld kostet Abschlüsse und ist ein Zwang: ohne Preisgabe der Daten kommt die Person nicht weiter. Ist ein Feld für den Zweck nicht erforderlich, darf es nicht Pflicht sein — und gehört oft gar nicht aufs Formular.
• Lange Formulare in Seiten oder Schritte teilen. Die Abschlussquote steigt, und Sie können den sensiblen Teil erst erheben, wenn die Person verstanden hat, warum er nötig ist.
• In der Sprache der Teilnehmenden beschriften. In der Schweiz heisst das mindestens DE, FR und IT. Eine falsch übersetzte Einwilligungsfrage ist keine Einwilligung.

Ein praktischer Trick für die richtige Feldliste: Schreiben Sie zuerst den Export auf, den Sie am Ende haben wollen — die Spalten, die Sie in der Auswertungssitzung tatsächlich verwenden — und leiten Sie das Formular daraus ab. Felder, aus denen keine Spalte wird, verschwinden von selbst. Wenn Sie lieber mit etwas Erprobtem beginnen: unsere Formularvorlagen sind genau nach dieser Disziplin gebaut, und das Hilfe-Center erklärt die Mechanik in Formular-Editor: Grundlagen und Fragetypen.

Schritt 3: Den Teilnehmenden sagen, was mit ihren Daten geschieht

Art. 19 nDSG verlangt, dass der Verantwortliche die betroffene Person vorab und in verständlicher Form über seine Identität und Kontaktdaten, den Zweck der Bearbeitung, gegebenenfalls die Empfänger sowie über den Staat einer Bekanntgabe ins Ausland samt der dabei genutzten Garantie informiert. Ein Formular ist der Erhebungspunkt — also gehört der Hinweis auf das Formular und nicht drei Klicks entfernt in einen Website-Footer, den niemand öffnet.

Vier bis fünf Zeilen in klarer Sprache reichen: wer erhebt, wozu, wer es sieht, wie lange es bleibt, wohin man sich mit einem Anliegen wendet — plus ein Link auf die vollständige Datenschutzerklärung. Länge ist hier kein Qualitätsmerkmal; eine Person, die den Hinweis versteht, ist mehr wert als ein juristisch vollständiger Text, an dem sie vorbeigescrollt ist.

Schritt 4: Datei-Uploads als riskantestes Feld behandeln

Ein Upload-Feld ist die einzige Stelle, an der Sie die Kontrolle darüber verlieren, was Sie erheben. Verlangen Sie einen Wohnsitznachweis, erhalten Sie Bankauszüge; verlangen Sie ein Foto, erhalten Sie einen Passscan; verlangen Sie «Unterlagen», erhalten Sie eine vollständige Krankengeschichte. Drei Regeln halten das im Rahmen: benennen Sie die akzeptierten Dokumente genau, beschränken Sie Dateitypen und Grössen, damit Überraschungen schwerer werden, und stellen Sie sicher, dass die Dateien genauso geschützt sind wie die Antworten — eine verschlüsselte Einsendung mit Anhängen in unverschlüsseltem Objektspeicher ist keine verschlüsselte Einsendung.

Uploads bringen zudem Metadaten mit, die man vergisst: Fotos können GPS-Koordinaten und Gerätekennungen enthalten, PDFs führen Autorennamen und Versionsgeschichte mit, Office-Dokumente behalten Änderungsverfolgung. Wer Empfangenes weiterleitet oder veröffentlicht, leitet das mit. Das vollständige Bedrohungsmodell samt Lebenszyklus von Browser bis Speicher steht in der kompletten Anleitung für sichere Datei-Uploads.

Schritt 5: Den Link teilen, ohne ihn zu einem öffentlichen Dokument zu machen

Hier passieren die meisten realen Vorfälle — und sie haben mit Verschlüsselung nichts zu tun. Ein Formularlink ist eine URL. URLs werden weitergeleitet, in Gruppenchats eingefügt, indexiert, sobald sie auf einer öffentlichen Seite stehen, in Browserverläufen an gemeinsam genutzten Rechnern gespeichert und in Präsentationen abfotografiert. Ein nicht erratbarer Link ist eine milde Verschleierung, keine Zugriffskontrolle.

1. Entscheiden, wer einsenden darf, und dann den Mechanismus wählen, der das durchsetzt: offener Link, Freischaltcode, einzelne Einladungen oder Anmeldung, wenn der Kreis bekannt ist.
2. Bei Vertraulichem einen Freischaltcode setzen. Er verwandelt «jede Person mit dem Link» in «jede Person, der wir den Code gegeben haben» — eine viel kleinere und besser begründbare Menge.
3. Ein Zeitfenster setzen. Ein Formular, das am Montag öffnet und am Freitag schliesst, kann nicht ein halbes Jahr später von jemandem ausgefüllt werden, der den Link in einer alten E-Mail findet.
4. Die Antwortzahl begrenzen, wo der Kreis endlich ist — 40 Plätze, 200 Mitglieder, eine Einsendung pro Fall. Eine Obergrenze ist zugleich die günstigste Abwehr gegen eine Flut.
5. Den Link nie dort platzieren, wo Sie die Antworten nicht platzieren würden. Eine offene Intranetseite, ein Facebook-Post und ein QR-Code auf einem Plakat sind Publikationsentscheide.

Die Mechanik dazu ist im Hilfe-Center dokumentiert — Link und QR-Code teilen, Freischaltcodes, Zeitplan und Antwortlimits und Regeln.

Schritt 6: Bots und Doppeleinsendungen abwehren, ohne ein Tracking-System zu bauen

Jedes Formular mit öffentlichem Link bekommt irgendwann Müll, und jedes Formular, hinter dem etwas Begehrtes steht, bekommt Doppeleinsendungen. Die Falle: jeder Abwehrmechanismus ist ein Identifikationsmerkmal — eine IP-Adresse, ein Cookie, eine E-Mail-Adresse, ein Login. Jedes davon schmälert die Anonymität, die Sie möglicherweise versprochen haben, und wird zu Personendaten, deren Aufbewahrung Sie dann begründen müssen.

Der brauchbare Mittelweg: zuerst Massnahmen, die niemanden identifizieren — Ratenbegrenzung, Honeypot-Felder, Pflichtfeldprüfung, Schliessen des Formulars, sobald die erwartete Zahl an Antworten da ist. Zu Identifikationsmerkmalen greifen Sie erst, wenn das Doppelproblem real ist, in der schwächsten Form, die es löst, und mit einer Aufbewahrungsfrist versehen. Den ganzen Abwägungsgang, inklusive des Musters «anonym, aber verifiziert», behandeln wir in Spam, Bots und doppelte Einsendungen verhindern.

Schritt 7: Steuern, wer die Antworten lesen kann

Stellen Sie die Frage genau so: Zählen Sie jede Stelle auf, die heute eine Einsendung lesen könnte. Bei einem typischen Cloud-Formular lautet die ehrliche Liste: die Formularinhaberin, alle Kolleginnen und Kollegen mit Kontozugang, wer das Konto administriert, das Personal des Anbieters mit Produktivzugriff, seine Unterauftragsverarbeiter — und jede Stelle, die den Anbieter rechtlich zwingen kann. Diese Liste ist die Sicherheit Ihres Formulars. Alles andere ist Detail.

Zwei Hebel kürzen sie. Der erste ist organisatorisch: rollenbasierter Zugriff, damit Personen die Antworten sehen, die sie brauchen, und nicht das ganze Archiv — mit Entzug, wenn jemand die Rolle wechselt. Der zweite ist architektonisch: Ende-zu-Ende-Verschlüsselung, bei der die Antworten im Browser der teilnehmenden Person verschlüsselt werden und nur die Person mit dem Schlüssel sie entschlüsseln kann. Das entfernt den Anbieter und seine Unterauftragsverarbeiter vollständig von der Liste — und lässt eine behördliche Anordnung an den Anbieter Geheimtext produzieren. Das Verfahren beschreibt unsere Sicherheitsseite, die Begründung dahinter Zero-Knowledge-Architektur erklärt.

Schritt 8: Die Aufbewahrungsregel vor der ersten Einsendung festlegen

Art. 6 Abs. 4 nDSG verlangt, Personendaten zu vernichten oder zu anonymisieren, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind. Niemand verletzt diese Regel absichtlich; man verletzt sie, indem man nie entscheidet. Ein Formular für eine Rekrutierungsrunde hält die Bewerbungen drei Jahre später noch, weil das Löschen niemandes Aufgabe war.

• Die Frist in der Dokumentation des Formulars festhalten, in Monaten, neben dem Zweck. «Sechs Monate nach der Veranstaltung, dann gelöscht» ist eine Regel; «solange erforderlich» ist ein Wunsch.
• Den Datensatz von der Arbeitskopie unterscheiden. Exporte auf Laptops, Benachrichtigungs-E-Mails mit Antworten und Tabellen auf gemeinsamen Laufwerken überleben den Plattformdatensatz — und sind die Kopien, aus denen tatsächlich Daten abfliessen.
• Prüfen, dass das Löschen Exporte und Backups erreicht, und wissen, wie lange die Backup-Rotation einen gelöschten Datensatz wiederherstellbar hält.
• Den Nachweis aufbewahren. Eine Revision fragt nicht, ob Sie löschen, sondern wie Sie es belegen — Löschprotokoll, datiertes Vorgehen, Screenshot eines leeren Archivs.

Aufbewahrungsfristen kollidieren mit gesetzlichen Pflichten — Buchführungsunterlagen nach OR, Krankengeschichten, Personaldossiers —, weshalb «alles schnell löschen» ebenfalls nicht automatisch die sichere Antwort ist. Unser Beitrag zur Aufbewahrungsfrist für Formulardaten zeigt, wie Sie begründbare Fristen wählen; die operative Liste der übrigen Pflichten steht in der nDSG-Checkliste für Formulare und Umfragen.

Schritt 9: So testen, wie eine unachtsame Person es benutzen würde

Die Zehn-Minuten-Fassung

Wenn Sie das Formular heute brauchen und keine vollständige Prüfung durchführen können, holt diese Reihenfolge den grössten Teil des Schutzes mit sehr wenig Aufwand.

1. Zwei Felder löschen, die Sie nicht in je einem Satz begründen können.
2. Alles freiwillig machen ausser dem, worauf Sie wirklich reagieren.
3. Vier Zeilen ergänzen: wer erhebt, wozu, wer sieht es, wie lange.
4. Uploads auf benannte Dokumente und eine sinnvolle Grösse begrenzen.
5. Bei vertraulichem Inhalt einen Freischaltcode setzen und ein Schlussdatum.
6. Benachrichtigungs-E-Mails auf einen Hinweis ohne Antworten reduzieren.
7. Das Löschdatum am Tag der Veröffentlichung in den Kalender schreiben.

Sechs Fehler, die wir immer wieder sehen

• Den Link für ein Geheimnis halten. Er ist keines. Wenn er nicht öffentlich sein darf, gehört eine Kontrolle darauf.
• Antworten in Benachrichtigungs-E-Mails. Der häufigste Weg, auf dem verschlüsselte Einsendungen in unverschlüsselten Archiven ausserhalb der Plattform landen.
• Ein Formular duplizieren und die Kopie vergessen. Duplikate erben die Fragen und verlieren den Aufbewahrungsentscheid. Alte Kopien mit aktiven Links sind eine ständige Quelle verirrter Einsendungen.
• «Anonym» erheben und dabei personalisierte Einladungslinks verschicken. Entweder lässt sich eine Antwort einer Person zuordnen oder nicht; siehe anonyme vs. pseudonyme Formulare.
• Annehmen, ein schweizerisch aussehender Anbieter speichere in der Schweiz. Eine .ch-Domain sagt nichts über die Datenbank — die Standortfrage arbeiten wir in welche Formular-Tools in der Schweiz gehostet sind durch.
• Keine zuständige Person. Ein Formular ohne benannte Verantwortung wird von niemandem geprüft, geschlossen oder gelöscht.

Fazit

Ein sicheres Online-Formular ist vor allem ein gut zugeschnittenes. Weniger Felder, klarere Formulierungen, ein ehrlicher Hinweis, ein kontrollierter Link, ein kurzer Kreis von Lesenden und ein Löschdatum bringen den Menschen, die es ausfüllen, mehr als jeder Funktionsvergleich — und all das sind Entscheidungen, die Sie treffen, keine Funktionen, die Sie kaufen. Die Aufgabe der Plattform ist schmaler als das Marketing suggeriert: Vertraulichkeit auf dem Transportweg und im Ruhezustand, den Anbieter aus Ihrem Vertrauensbereich heraushalten, wo Sie das brauchen, und die obigen Kontrollen leicht anwendbar und schwer vergessbar machen.

Wenn Sie aus dieser Anleitung nur eines umsetzen: Schritt 1. Jeder weitere Schritt wird günstiger, wenn es weniger Daten zu schützen gibt.