HTML-Viewer: HTML-Datei online öffnen und als Vorschau ansehen

Q: Haben die Skripte Zugriff auf meine Konten, wenn ich „Skripte ausführen“ einschalte?

Nein. Der Rahmen hat kein `allow-same-origin`; der Code kann deshalb weder Cookies noch Speicher dieser Website lesen, und seine Netzwerkanfragen sind blockiert. Skripte können aber verändern, was die Seite anzeigt; lassen Sie den Schalter bei Dateien, denen Sie nicht vertrauen, also aus.

So funktioniert es

Datei öffnen oder Code einfügen. Ziehen Sie eine .html-, .htm-, .xhtml- oder .svg-Datei auf die Seite, wählen Sie eine auf Ihrem Gerät aus oder fügen Sie HTML in das Textfeld ein. Dateien dürfen bis zu 5 MB groß sein.
Vorschau ansehen. Die Seite wird in einem abgeschotteten Rahmen angezeigt. Wählen Sie Smartphone, Tablet oder volle Breite, um zu sehen, wie sie sich bei verschiedenen Breiten verhält.
Info-Bereich prüfen. Dort sehen Sie Größe, Zeilen, Titel, Dokumenttyp, Zeichensatz und Sprache, wie viele Skripte, Stylesheets, Bilder, Links und Formulare die Datei enthält und welche externen Domains sie kontaktieren würde.
Schalter nur bei Bedarf einschalten. Wirkt die Seite ungestaltet oder leer, probieren Sie „Externe Ressourcen laden“ oder „Skripte ausführen“. Beides bleibt in der Sandbox; bei Dateien, denen Sie nicht vertrauen, lassen Sie die Schalter aber aus.

So funktioniert die Vorschau

Eine HTML-Datei ist nur Text, den ein Browser in eine Seite verwandelt. Per Doppelklick öffnet sie sich in Ihrem Browser mit allen Rechten: Sie kann Skripte ausführen und beliebige Inhalte aus dem Internet laden. Dieser Viewer öffnet denselben Code stattdessen in einem eingeschränkten Rahmen, damit Sie ihn sich zuerst ansehen können.

Abgeschotteter Rahmen. Die Vorschau ist ein iframe mit dem Attribut sandbox und ohne allow-same-origin. Die Datei gilt als Inhalt unbekannter Herkunft und kann weder Daten noch Cookies dieser Website lesen.
Content-Security-Policy. Standardmäßig wird am Anfang des Dokuments eine Richtlinie eingefügt. Sie blockiert Skripte und alles, was von anderen Websites geladen würde: Bilder, Schriften und Stylesheets aus dem Internet werden nicht geladen. Als data: eingebettete Bilder und CSS direkt in <style> funktionieren normal.
Kein Upload. Die Datei wird in Ihrem Browser mit der File API gelesen. Sie wird an keinen Server gesendet, und mit den Standardeinstellungen löst das Öffnen keine Anfragen an Dritte aus.
Formulare und Navigation. Formulare lassen sich aus der Vorschau nicht absenden, und Netzwerkanfragen von Skripten (fetch, XHR) bleiben auch bei eingeschalteten Skripten blockiert.

Weil externe Ressourcen blockiert sind, kann eine gespeicherte Webseite hier schlichter aussehen als in einem normalen Browser. Das ist beabsichtigt und sogar nützlich: Sie sehen, was die Datei von sich aus enthält.

Der Info-Bereich wird per Mustererkennung aus dem Quelltext berechnet, nicht mit einem vollständigen HTML-Parser. Verstehen Sie die Zahlen als schnelle Übersicht: Kommentare und der Inhalt von Skript- und Style-Blöcken werden beim Zählen der Tags ignoriert.

Die zwei Schalter und was sie ändern

Zwei Schalter legen fest, was die Seite in der Vorschau darf. Beide sind standardmäßig aus. Wie auch immer Sie sie stellen: Der Rahmen bleibt in der Sandbox und erhält nie Zugriff auf diese Website.

Externe Ressourcen	Skripte	Was passiert
Aus	Aus	Standard und am sichersten. Angezeigt werden nur HTML, eingebettetes CSS und `data:`-Bilder. Kein Skript läuft, und nichts wird von anderen Websites angefordert.
An	Aus	Bilder, Schriften und Stylesheets aus dem Internet werden geladen, die Seite sieht also wie das Original aus. Ihr Browser kontaktiert dafür diese Server, die Ihre IP-Adresse sehen können. Kein Skript läuft.
Aus	An	Eingebettete Skripte laufen, können aber nichts aus dem Internet laden. Praktisch für einen in sich geschlossenen Bericht, dessen Diagramme vom eigenen Code gezeichnet werden.
An	An	Skripte laufen und können weitere Skripte und Ressourcen nachladen. Das kommt einem normalen Browser am nächsten. Nutzen Sie es nur für Dateien, denen Sie vertrauen.

Auch mit eingeschalteten Skripten bleiben Anfragen von Skripten (fetch, XHR) blockiert, und Formulare lassen sich nicht absenden. Das Laden externer Ressourcen löst jedoch echte Anfragen an fremde Server aus.

Wofür der Viewer nützlich ist

Ein Newsletter mit Zählpixeln

Sie haben einen Newsletter als .html-Datei gespeichert und möchten wissen, ob er Sie verfolgt. Öffnen Sie ihn mit beiden Schaltern auf „Aus“: Text und Layout erscheinen, die externen Bilder nicht. Im Info-Bereich sehen Sie dann womöglich eine Liste externer Domains, darunter einen Server, der ein Bild von 1 × 1 Pixel ausliefert. Das ist das typische Zählpixel (Tracking-Pixel): Lädt ein E-Mail-Programm es, erfährt der Absender, dass die Nachricht geöffnet wurde. Sie entscheiden, ob Sie Bilder dieses Absenders weiterhin laden.

Ein unbekannter HTML-Anhang

Eine E-Mail bringt eine unerwartete rechnung.html mit. Phishing-Anhänge sind oft HTML-Dateien, die eine gefälschte Anmeldeseite zeigen. Wenn Sie die Datei hier mit ausgeschalteten Skripten öffnen, können Sie sie lesen, ohne etwas auszuführen. Der Info-Bereich zeigt, ob sie ein Formular enthält und auf welche Domains sie verweist. Fragt sie nach einem Passwort, schließen Sie sie: Geben Sie nie Zugangsdaten in eine Seite ein, die aus einem Anhang stammt.

Ein aus einer Software exportierter Bericht

Viele Programme exportieren Berichte, Testergebnisse oder Dokumentationen als einzelne .html-Datei. Öffnen Sie sie mit ausgeschalteten Skripten, um den Inhalt zu prüfen; fehlen Tabellen oder Diagramme, schalten Sie „Skripte ausführen“ ein und sehen Sie erneut hin. Die Breiten für Smartphone und Tablet zeigen, wie sich der Bericht auf kleineren Bildschirmen liest.

Eine SVG-Datei prüfen

Eine .svg-Datei ist ein als Text geschriebenes Bild. Öffnen Sie sie, um zu sehen, wie sie dargestellt wird, und lesen Sie dann den Quelltext, um Größe und Titel zu prüfen und festzustellen, ob sie Skripte oder Links zu anderen Websites enthält.

Einen Codeschnipsel ausprobieren

Fügen Sie ein Fragment ein, etwa eine Überschrift mit etwas eingebettetem CSS, und sehen Sie das Ergebnis sofort, ohne eine Datei anzulegen. Der Info-Bereich erkennt es als Fragment und nicht als vollständige Seite.

Wie sicher ist das und was der Viewer nicht leistet

Eine verdächtige Datei hier mit den Standardeinstellungen anzusehen, ist sicherer als ein Doppelklick, denn nichts wird ausgeführt und nichts geladen. Die Schutzmechanismen sind die Sandbox des Browsers und die Content-Security-Policy, also dieselben Mechanismen, die Browser für jeden eingebetteten Rahmen verwenden.

Es bleibt trotzdem ein Viewer und kein Sicherheitsprodukt.

Kein Virenschutz. Der Viewer sucht nicht nach Schadsoftware, erkennt keine bekannten Bedrohungen und gibt kein Urteil „sicher“ oder „unsicher“ ab.
Eine Seite kann Sie trotzdem täuschen. Ein gefälschtes Anmeldeformular sieht echt aus, auch wenn es keine Daten senden kann. Geben Sie nie Passwörter, Kartennummern oder Codes in eine Seite ein, die Sie aus einem Anhang geöffnet haben.
Links. Klicken Sie in einer nicht vertrauenswürdigen Vorschau keine Links an. Fordert eine Seite Sie auf, etwas herunterzuladen oder zu installieren, tun Sie es nicht.
Die Schalter verändern das Risiko. Externe Ressourcen zu laden kontaktiert fremde Server; Skripte auszuführen startet den Code der Datei in der Sandbox.
Die Zahlen sind Näherungswerte. Der Info-Bereich fasst den Text der Datei zusammen und kann übersehen, was Skripte erst zur Laufzeit erzeugen.

Dateien, denen Sie wirklich nicht trauen können, öffnen Sie am sichersten gar nicht; fragen Sie den Absender lieber über einen anderen Kanal. Halten Sie Betriebssystem und Browser aktuell.

Den Info-Bereich lesen

Der Bereich ist eine Checkliste, die Sie in wenigen Sekunden lesen. Er zeigt die Größe in Bytes und die Zahl der Zeilen, dann:

Titel, Typ, Doctype. Das Dokument ist eine vollständige HTML-Seite, ein SVG-Bild oder ein Fragment. Eine Seite ohne Doctype stellen Browser unter Umständen im Quirks-Modus (Kompatibilitätsmodus) dar.
Zeichensatz und Sprache. Gibt die Datei keinen Zeichensatz an, erscheinen Umlaute und ß womöglich als Zeichensalat. Das Attribut lang hilft Screenreadern und Übersetzungsdiensten.
Elemente. Die Zahl der im Markup gefundenen Tags.
Skripte und Stylesheets. Eingebettete und externe getrennt gezählt. Externe Skripte sind der übliche Weg, auf dem eine Seite Code von anderen Websites einbindet.
Bilder, Links, Formulare, Iframes. Schnelle Warnsignale: Ein Formular auf einer Seite, mit der Sie nicht gerechnet haben, oder ein iframe, der woandershin zeigt, verdient Aufmerksamkeit.
Externe Domains. Die Server, die in src, href, srcset, url(...) und @import vorkommen. Ein paar bekannte Domains sind für eine gespeicherte Webseite normal; viele unbekannte lohnen einen genaueren Blick.

Um mit Datums- oder Zeitangaben aus einem exportierten Bericht zu rechnen, nutzen Sie den Datumsrechner.

Häufige Fragen

Wird meine Datei irgendwohin hochgeladen?

Nein. Die Datei wird in Ihrem Browser mit der File API gelesen und in einem Rahmen auf Ihrem Gerät angezeigt. Sie wird an keinen Server gesendet.

Warum sieht die Seite anders aus als das Original?

Standardmäßig sind Skripte und Ressourcen aus dem Internet blockiert: Externe Bilder, Schriften und Stylesheets laden nicht, und von Skripten erzeugte Inhalte fehlen. Schalten Sie „Externe Ressourcen laden“ oder „Skripte ausführen“ ein, um näher ans Original zu kommen, sofern Sie der Datei vertrauen.

Ist es sicher, einen verdächtigen HTML-Anhang hier zu öffnen?

Es ist sicherer als ein Doppelklick, denn mit den Standardeinstellungen läuft kein Skript und nichts wird von anderen Websites angefordert. Der Viewer ist aber kein Virenschutz und gibt kein Urteil ab. Geben Sie nie Passwörter oder andere Zugangsdaten in eine solche Seite ein.

Wie sehe ich, welche Server eine Seite kontaktiert?

Öffnen Sie die Datei und lesen Sie im Info-Bereich die Liste der externen Domains. Dort stehen die Server, die in Links, Bildern, Skripten, Stylesheets und CSS vorkommen. Ein Zählpixel in einem Newsletter zeigt sich typischerweise als unbekannte Domain.

Wie groß darf die Datei sein?

5 MB. Bei größeren Dateien fügen Sie nur den benötigten Teil ein oder verkleinern die Datei vorher.

Welche Dateitypen kann ich öffnen?

Dateien mit den Endungen .html, .htm, .xhtml und .svg sowie jedes als Text eingefügte HTML. Andere Formate wie .mht oder .pdf werden nicht unterstützt.

Haben die Skripte Zugriff auf meine Konten, wenn ich „Skripte ausführen“ einschalte?

Nein. Der Rahmen hat kein allow-same-origin; der Code kann deshalb weder Cookies noch Speicher dieser Website lesen, und seine Netzwerkanfragen sind blockiert. Skripte können aber verändern, was die Seite anzeigt; lassen Sie den Schalter bei Dateien, denen Sie nicht vertrauen, also aus.

Wie öffne ich eine HTML-Datei auf dem Smartphone?

Tippen Sie auf „Datei auswählen“ und wählen Sie die Datei aus Ihren Downloads oder aus der Dateien-App. Die Vorschau erscheint direkt auf der Seite, ohne dass Sie eine weitere App installieren müssen.

Zuletzt aktualisiert am Mittwoch, 14. Oktober 2026