Verlässt das, was ich in einen Base64-Decoder einfüge, meinen Browser?

Das ist die richtige Frage vor dem Einfügen, denn Base64 ist keine Verschlüsselung. Alles, was darin codiert ist, kann jeder lesen, der es hat, und was Menschen decodieren, sind regelmäßig Tokens, API-Schlüssel, Sitzungscookies und Konfiguration mit Passwörtern. So etwas in eine Webseite einzufügen ist eine Offenlegung, wenn die Seite es irgendwohin sendet.

Viele Online-Decoder senden es. Die Seite nimmt Ihre Eingabe entgegen, schickt sie an einen Server und zeigt an, was zurückkommt. Das ist der naheliegende Weg, so etwas zu bauen, er ist von außen nicht zu erkennen, und eine Datenschutzerklärung, die sagt, die Daten würden nicht gespeichert, ist ein Versprechen über die Zeit nach der Ankunft — kein Grund, warum sie nie angekommen wären.

Sie müssen das niemandem glauben. Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers, wechseln Sie auf den Netzwerk-Tab, leeren Sie ihn und decodieren Sie dann etwas. Läuft das Werkzeug in Ihrem Browser, erscheint nichts Neues. Lädt es hoch, sehen Sie die Anfrage und können genau lesen, was darin stand. Das funktioniert auf jeder Seite, dauert etwa zehn Sekunden, und es ist die einzige Antwort, die nicht davon abhängt, dem Betreiber zu vertrauen.

Dieses Werkzeug läuft vollständig in Ihrem Browser, und das ist eine Eigenschaft seiner Bauweise, keine Richtlinie, an die es sich hält. Die Seite besteht aus statischen Dateien: Dahinter steht kein Anwendungsserver, also gibt es auch keine Stelle, die eine Nutzlast entgegennehmen könnte — selbst wenn der Code es versuchte. Die Umwandlung geschieht, nachdem die Seite geladen ist, auf Ihrem Rechner, ohne Rückkanal.

Was jeder Webserver sieht, ist der Abruf der Seite selbst; so funktioniert das Web, und kein Werkzeug kann das umgehen. Hier wird die Adresse der Besucherin oder des Besuchers gekürzt, bevor sie ins Protokoll geschrieben wird, und die Datenschutzerklärung legt dar, was genau wie lange aufbewahrt wird.

Ein Rat, der unabhängig davon gilt: Bei einem Geheimnis, auf das es wirklich ankommt, nehmen Sie besser etwas, das gar keinen Browser berührt. Unter Linux und macOS liest base64 --decode aus einer Pipe oder Datei und ist niemandem Rechenschaft schuldig.