The power of web extensions and the web as a plattform

The power of web extensions

Ich bin wirklich mal wieder absolut begeistert vom Web als Plattform. Der Browser ist in den letzten Jahren zur wichtigsten Programm-Runtime geworden und es ist immer wieder erstaunlich, was in modernen Browsern (aber auch modernen JavaScript-Frameworks wie z. B. React) möglich ist.

Wir haben lange nach einer Lösung für den Import von Bildern aus WhatsApp gesucht

Seit ca. zwei Jahren denke ich immer wieder darüber nach, wie wir den Import (oder den Export) von Bildern oder Dokumenten aus WhatsApp auf eine sichere und datenschutzkonforme Art in andere Programme gestalten können. WhatsApp gehört zu Meta und ist – ob man es gutheißen mag oder nicht – nun mal der Messenger mit der größten Verbreitung.

Was cool ist: Nachrichteninhalte in WhatsApp sind Ende-zu-Ende-verschlüsselt.

Was nicht cool ist: WhatsApp bietet keine API an, um programmatisch WhatsApp-Nachrichten zu empfangen. Das ist in Zeiten der aktuellen Automatisierungstools (n8n, verschiedene LegalTech-Tools, MaraDocs …) ärgerlich, weil es bedeutet, dass händische Schritte erforderlich bleiben, um an die Dokumente zu kommen.

Was man kaum glauben mag: Ich habe eben geschrieben, dass es keine API gebe. Das ist nicht ganz richtig. Es gibt eine von Meta angebotene API, mit der sich Nachrichten empfangen und versenden lassen. Allerdings ist dafür ein WhatsApp-Business-Account notwendig. Und Meta lässt sich umfassende Nutzungsrechte an den versendeten (und empfangenen) Inhalten einräumen:

Die WhatsApp Business Terms sind aus datenschutzrechtlicher Sicht inakzeptabel

Hier ein Auszug aus den aktuellen WhatsApp Business Terms:

Ich denke, es leuchtet ein, dass ein Import vertraulicher Mandantenkommunikation über einen derartigen WhatsApp-Business-Account nicht machbar ist. Es gibt also keine nutzbare API.

Meta lässt sich also umfassende Nutzungsrechte an den versendeten (und empfangenen) Inhalten einräumen. Damit kann niemand, der personenbezogene oder sonstige vertrauliche Daten seiner Kunden / Mandanten verarbeitet, einen WhatsApp-Business-Account nutzen. Und mit diesem steht und fällt die Möglichkeit, programmatisch (also per API) auf die Nachrichten bzw. die übersandten Bilder zuzugreifen.

Wie also bekommen wir Bilder aus WhatsApp ohne Datenschutzdesaster exportiert?

Hier dürfen sie scheinen: Webextensions, bzw. auf Deutsch: Browser-Erweiterungen.

Browser-Erweiterungen sind Programme, die nachträglich vom Browser in bestimmte Webseiten geladen werden und (auf sehr definierte Weise) mit den darin enthaltenen Inhalten interagieren können.

Und WhatsApp hat in seinem sehr geschlossenen und verbarrikadierten Ökosystem eine Flanke zu seinen Interna geöffnet, indem es WhatsApp Web erschaffen hat. Man kann sich über einen QR-Code mit seiner WhatsApp-App auf dem Handy bei web.whatsapp.com anmelden und erhält dann alle Chats in einem Browserfenster zur bequemen Nutzung.

Und in dieses Browserfenster können wir mit Extensions eingreifen.

Die Architektur einer Browser-Extension

Die Extension stellt im Wesentlichen drei Komponenten bereit:

• Ein background script, welches unabhängig von einer aktuellen Webseite läuft
• Je ein content script, welches in vorher definierte Webseiten „injected“ wird und in deren Kontext läuft

Aus Sicherheitsgründen sind einzelne Browsertabs sehr stark voneinander isoliert. Das bedeutet, eine direkte Kommunikation ist zwischen zwei Webseiten nicht möglich.

Das background script der Extension übernimmt dabei die Funktion einer Messaging-Stelle. Sowohl das content script in web.whatsapp.com als auch das content script auf app.maradocs.io können jeweils Nachrichten an das background script verschicken und Nachrichten von dort erhalten.

Will also das WhatsApp-content-script ein Bild an das MaraDocs-content-script schicken, verpackt es das Bild in eine als Text kodierte (Base64-encoded) Nachricht und schickt diese an das background script. Je nach definiertem Nachrichtentyp wird diese dann entsprechend weitergeleitet.

Das MaraDocs-content-script wiederum wartet auf derlei Nachrichten, validiert diese und sendet sie (jetzt über sog. CustomEvents) weiter an den originalen MaraDocs-Code.

Der Hund hat hier natürlich ein paar mehr Flöhe: Neben allgemeiner Validierung der Daten (ist das alles korrekt, was da in dieser Nachricht steht?) müssen Daten aus verschiedenen Messages zusammengesetzt werden (CustomEvents haben ein Size-Limit von einem Megabyte …). Was ist mit doppelt gesendeten Nachrichten, was ist mit fehlenden Nachrichten … 100 weitere potenzielle Probleme.

Aber wenn diese Einzelschritte sauber modelliert und umgesetzt sind, ist der Zaubertrick vollbracht und (mehrere) Bilddateien sind mit einem Klick aus WhatsApps normalerweise geschlossenem Ökosystem zu MaraDocs migriert und können dort dann bequem in ordentliche PDF-Dokumente umgewandelt werden.

Mich fasziniert das auch nach einem intensiven Coding-Wochenende immer noch.

Das ist MaraDocs: Optimieren, Kombinieren, Download

Der Workflow ist konsequent an den Bedürfnissen des Kanzleialltags ausgerichtet: Es muss schnell und einfach gehen!

• E-Mail mit Anhängen oder Dateien per Drag & Drop oder Copy & Paste in die App ziehen
• Alle Anhänge werden automatisch extrahiert und analysiert
• Dokumente werden automatisch erkannt und ausgeschnitten und in durchsuchbare Scans umgewandelt
• PDFs werden verkleinert, gegebenenfalls wird eine Texterkennung durchgeführt
• Alle Seiten werden automatisch nach der Textrichtung ausgerichtet und gedreht
• Seiten lassen sich sehr einfach zu neuen PDFs zusammenfügen
• Umbenennung ist nur ein einziger Klick
• Download. Fertig.