Wie vertrauenswürdig ist Paperless-ngx?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
18 BelegeDie Doku sagt, dass Nutzerdaten lokal gespeichert und standardmäßig nicht übertragen oder geteilt werden.
Quelle prüfen ↗Die Security Policy leitet Schwachstellenmeldungen über private GitHub Security Advisories.
Quelle prüfen ↗Release Notes markieren Security Fixes klar und empfehlen betroffenen Nutzern Updates.
Quelle prüfen ↗Die Nutzerdoku enthält eingebaute Zwei-Faktor-Authentifizierung mit Recovery Codes.
Quelle prüfen ↗Die REST-API dokumentiert Basic-, Session-, Token- und Remote-User-Authentifizierung.
Quelle prüfen ↗Die Setup-Doku unterstützt Docker Secrets über _FILE-Konfigurationsvariablen.
Quelle prüfen ↗Die Setup-Doku rät wegen des Vollzugriffs von Superusern zu einem separaten normalen Konto für den Alltag.
Quelle prüfen ↗Nicht-triviale Pull Requests brauchen Tests, manuelles Review und Freigabe durch mindestens zwei Teammitglieder.
Quelle prüfen ↗Das Projekt verlangt, dass finaler PR-Code aus AI-Quellen attribuiert wird und nicht größtenteils AI-abgeleitet ist.
Quelle prüfen ↗GitHub markiert die Paperless-ngx-Organisation als für die Projektdomain verifiziert.
Quelle prüfen ↗GitHub zeigt v2.20.15 als Release vom 27. April 2026.
Quelle prüfen ↗Das Haupt-Repo zeigt breite Adoption mit zehntausenden Stars und tausenden Forks.
Quelle prüfen ↗Die Administrationsdoku enthält einen Sanity Checker für fehlende, unzugängliche, korrupte und verwaiste Dokumentdateien.
Quelle prüfen ↗Die Website verweist Nutzer für Community-Support auf GitHub Discussions und Matrix.
Quelle prüfen ↗Die offizielle Setup-Doku bietet Docker-Compose- und Bare-Metal-Wege für Self-Hosting.
Quelle prüfen ↗Der Exporter schreibt Dokumente, Thumbnails, Metadaten, Datenbankinhalte und Manifest-Dateien für Backup oder Migration.
Quelle prüfen ↗Die Doku sagt, dass Dokumente als plain files mit PDF/A-Archiven neben unveränderten Originalen gespeichert werden.
Quelle prüfen ↗Paperless-ngx liefert eine dokumentierte REST-API mit browsable Schema-Interface.
Quelle prüfen ↗Vorbehalte
13 PunkteEin High-Severity-Advisory von März 2026 erlaubte delegierten User-Admins vor v2.20.11 das Erstellen von Superuser-Konten.
Quelle prüfen ↗Ein Advisory von Februar 2026 sagte, dass Nutzer mit Share-Link-Rechten öffentliche Links für Dokumente erstellen konnten, die sie nicht sehen durften.
Quelle prüfen ↗Ein Advisory von Februar 2026 fand, dass der Mail-Account-Test-Endpunkt per übergebener ID das gespeicherte Passwort eines anderen Kontos nutzen konnte.
Quelle prüfen ↗Ein Advisory von Februar 2026 sagte, dass jeder authentifizierte Nutzer über den Storage-Path-Test-Endpunkt Inhalte anderer Dokumente lesen konnte.
Quelle prüfen ↗Ein Advisory von Januar 2026 sagte, dass authentifizierte Nutzer über Storage Paths Dateien außerhalb der Anwendungsverzeichnisse schreiben konnten.
Quelle prüfen ↗Ein Advisory von März 2026 sagte, dass die globale Suche Mail-Account- und Mail-Rule-Metadaten anderer Nutzer leaken konnte.
Quelle prüfen ↗CVE-2024-35184 erlaubte Remote-User-Authentifizierung den API-Zugriff, obwohl API-Zugriff deaktiviert war.
Quelle prüfen ↗Die Doku sagt, dass eingebaute Verschlüsselung entfernt wurde und Dokumenttext sowie Dateinamen nicht durch Paperless-ngx selbst verschlüsselt werden.
Quelle prüfen ↗Der Contributing Guide nennt nur zwei Repo-Admins mit vollen Rechten und sagt, dass weitere dedizierte Maintainer gesucht werden.
Quelle prüfen ↗Automatische Wartung kann nicht reproduzierbare Issues nach sieben Tagen auf stale setzen und Feature Requests mit wenig Votes schließen.
Quelle prüfen ↗Offizieller Support läuft community-basiert über GitHub Discussions und Matrix statt über einen SLA-gestützten Vendor-Kanal.
Quelle prüfen ↗Die Troubleshooting-Doku warnt, dass manche Network Shares mmap-Verhalten des Suchindex oder das Watching des Consume-Ordners brechen können.
Quelle prüfen ↗Die Doku warnt, dass Exporte einer Paperless-Version nicht in eine andere Version importiert werden können.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.