Wie vertrauenswürdig ist Excalidraw?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
21 BelegeSOC-2-Type-I- und Type-II-Compliance ist öffentlich genannt.
Quelle prüfen ↗Der freie Editor speichert Zeichnungen lokal und schützt geteilte Szenen mit Ende-zu-Ende-Verschlüsselung.
Quelle prüfen ↗Excalidraw+ dokumentiert AES-256-Verschlüsselung im Ruhezustand und TLS bei der Übertragung.
Quelle prüfen ↗Öffentliche Security-Materialien nennen jährliche Pentests und Vulnerability-Scanning.
Quelle prüfen ↗Die DPA begrenzt autorisierten Kundendatenzugriff auf Personal innerhalb der EU.
Quelle prüfen ↗Das Release v0.18.1 im April 2026 brachte eine Mermaid-XSS-Mitigation.
Quelle prüfen ↗Die Rechtsdokumente nennen Excalidraw s.r.o. in Brno, Tschechien.
Quelle prüfen ↗Das Haupt-Repository des Editors bleibt MIT-lizenziert und öffentlich verfügbar.
Quelle prüfen ↗Die DPA veröffentlicht Processor-Rollen, Transferbedingungen, TOM-Verweise und einen Link zur Subprozessorliste.
Quelle prüfen ↗Die Privacy Policy sagt, dass Excalidraw personenbezogene Daten nicht verkauft hat und künftig nicht verkaufen wird.
Quelle prüfen ↗Das Haupt-Repository zeigt eine große öffentliche Community mit etwa 123k Stars und 13,5k Forks.
Quelle prüfen ↗Das Changelog dokumentiert eigene AI-Tokens für OpenAI, Claude, Gemini und OpenRouter.
Quelle prüfen ↗Der öffentliche GitHub-Release-Stream erreichte v0.18.1 im April 2026.
Quelle prüfen ↗Das öffentliche Changelog listet Produktupdates bis März 2026.
Quelle prüfen ↗Kundendatenbanken werden täglich gesichert, mit 14 Tagen Point-in-Time-Recovery.
Quelle prüfen ↗Die Security-Seite verlinkt eine öffentliche Statusseite für überwachte Dienste.
Quelle prüfen ↗Excalidraw exportiert PNG, SVG, Clipboard-Daten und offene .excalidraw-JSON-Dateien.
Quelle prüfen ↗Abos können im Konto gekündigt werden und enden zum Ablauf der bezahlten Laufzeit.
Quelle prüfen ↗Der freie Editor braucht kein Konto und unterstützt Echtzeit-Kollaboration mit unbegrenzt vielen Eingeladenen.
Quelle prüfen ↗Die öffentliche Preisseite zeigt einen Free-Plan und Plus für 6 Dollar pro Nutzer und Monat bei Jahreszahlung.
Quelle prüfen ↗Die Bedingungen sagen, dass Nutzerzeichnungen standardmäßig privat sind und kommerziell genutzt werden dürfen.
Quelle prüfen ↗Vorbehalte
13 PunkteDie Privacy Policy stammt aus 2021 und erklärt keine AI-spezifische Prompt-, Output-, Retention- oder Trainingsnutzung.
Quelle prüfen ↗Die GitHub-Security-Seite zeigt weiterhin keine SECURITY.md und keinen öffentlichen Disclosure-Prozess.
Quelle prüfen ↗Die DPA erlaubt Subprozessoren außerhalb des EWR, einschließlich der USA, abgesichert über SCCs.
Quelle prüfen ↗Die DPA gibt Kunden keine formalen Widerspruchsrechte gegen Subprozessor-Änderungen außer Kündigung.
Quelle prüfen ↗Eine Abo-Kündigung löscht Kundendaten oder Nutzerkonten nicht automatisch.
Quelle prüfen ↗Die Nutzungsbedingungen schließen HIPAA-, FISMA- und GLBA-regulierte Nutzung ausdrücklich aus.
Quelle prüfen ↗Die Bedingungen erlauben Änderung, Aussetzung oder Einstellung des Dienstes ohne Wartungs- oder Updatepflicht.
Quelle prüfen ↗Die Haftung ist grundsätzlich auf die in einem Monat vor dem Anspruch gezahlten Gebühren begrenzt.
Quelle prüfen ↗Ein offenes GitHub-Issue dokumentiert, dass LocalStorage-Grenzen zu unbeabsichtigtem Datenverlust führen können.
Quelle prüfen ↗Das Haupt-Repository hat eine große offene Issue- und Pull-Request-Queue.
Quelle prüfen ↗CVE-2024-32472 war eine moderate Stored-XSS-Lücke in der Web-Embed-Komponente vor den gefixten Versionen.
Quelle prüfen ↗Ein offenes Issue nennt fehlende Dokumentation für den Betrieb eines selbst gehosteten Collaboration-Servers.
Quelle prüfen ↗Bezahlte Abos sind nicht erstattungsfähig und enden erst zum Ablauf der bezahlten Laufzeit.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.