Geheime Nachrichten sicher teilen – So funktioniert's
Im digitalen Alltag müssen wir regelmäßig vertrauliche Informationen weitergeben: Passwörter, API-Schlüssel, Zugangsdaten, private Notizen oder sensible Geschäftsinformationen. Der übliche Weg – per E-Mail, Chat oder Messenger – ist dabei oft unsicher. Nachrichten bleiben auf Servern gespeichert, werden in Backups archiviert und können von Dritten eingesehen werden.
Unser kostenloses OneTimeSecret-Tool löst dieses Problem mit einem cleveren Prinzip: Einmal-Links, die sich nach dem Lesen selbst zerstören. Kombiniert mit starker Ende-zu-Ende-Verschlüsselung entsteht ein sicherer Kanal für vertrauliche Daten.
Ende-zu-Ende-Verschlüsselung mit AES-256-GCM
Die Verschlüsselung erfolgt vollständig in deinem Browser mit der Web Crypto API und dem Algorithmus AES-256-GCM – demselben Standard, den Banken, Militär und Regierungen weltweit einsetzen. Der entscheidende Unterschied zu anderen Diensten: Der Schlüssel wird niemals an unseren Server übertragen.
Der Verschlüsselungsschlüssel wird im URL-Fragment (dem Teil nach dem #) gespeichert. Browser senden URL-Fragmente grundsätzlich nicht an den Server – das ist ein fest eingebautes Sicherheitsmerkmal des HTTP-Protokolls. Unser Server speichert nur die verschlüsselten Daten, ohne jede Möglichkeit, sie zu entschlüsseln.
Wie funktioniert der Prozess?
- Schritt 1 – Verschlüsselung: Deine Nachricht wird direkt im Browser mit einem zufällig generierten AES-256-Schlüssel verschlüsselt.
- Schritt 2 – Speicherung: Nur die verschlüsselten Daten werden an unseren Server gesendet. Der Schlüssel bleibt in deinem Browser.
- Schritt 3 – Link-Erstellung: Du erhältst einen Link, der die Secret-ID und den Schlüssel (im Fragment) enthält.
- Schritt 4 – Entschlüsselung: Der Empfänger öffnet den Link, sein Browser lädt die verschlüsselten Daten und entschlüsselt sie mit dem Schlüssel aus dem URL-Fragment.
- Schritt 5 – Löschung: Nach dem Abruf werden die Daten sofort und unwiderruflich vom Server gelöscht.
Zusätzliche Sicherheitsebene: Optionaler Passwortschutz
Für besonders sensible Nachrichten bieten wir eine zusätzliche Verschlüsselungsschicht: Ein optionales Passwort, das der Empfänger kennen muss. Das Passwort wird mit dem AES-Schlüssel kombiniert, sodass selbst der Besitz des Links allein nicht ausreicht, um die Nachricht zu entschlüsseln. Ideal, wenn du den Link über einen Kanal sendest und das Passwort über einen anderen mitteilst.
Wann sollte man Einmal-Links verwenden?
- Passwörter teilen: Statt Zugangsdaten per E-Mail zu senden, teile sie als Einmal-Link.
- API-Schlüssel übermitteln: Sensible Schlüssel gehören nicht in Slack oder Teams-Nachrichten.
- Vertrauliche Notizen: Persönliche Informationen, die nur einmal gelesen werden müssen.
- Onboarding-Daten: Neue Mitarbeiter sicher mit Zugangsdaten versorgen.
- DSGVO-konforme Kommunikation: Minimale Datenspeicherung durch automatische Löschung.
Häufig gestellte Fragen
Wie sicher ist die Verschlüsselung?
Wir verwenden AES-256-GCM über die Web Crypto API deines Browsers. Der Schlüssel wird nur im URL-Fragment (#) übertragen und erreicht niemals unseren Server. Das ist derselbe Verschlüsselungsstandard, den Banken und Regierungen verwenden.
Was passiert nach dem Lesen der Nachricht?
Die verschlüsselten Daten werden sofort und unwiderruflich von unserem Server gelöscht. Der Link funktioniert danach nicht mehr. Niemand – auch wir nicht – kann die Nachricht wiederherstellen.
Kann jemand meine Nachricht mitlesen?
Nein. Da die Verschlüsselung vollständig in deinem Browser stattfindet und der Schlüssel nie an den Server gesendet wird, können weder wir noch Dritte den Inhalt lesen. Nur wer den vollständigen Link (inklusive Fragment) hat, kann die Nachricht entschlüsseln.
Wie lange ist der Link gültig?
Du kannst die Gültigkeitsdauer beim Erstellen wählen: 5 Minuten, 1 Stunde, 24 Stunden oder 7 Tage. Nach Ablauf wird die Nachricht automatisch gelöscht – auch wenn sie noch nicht gelesen wurde.
Was passiert bei einem falschen Passwort?
Wenn die Nachricht mit einem zusätzlichen Passwort geschützt wurde und du das falsche Passwort eingibst, schlägt die Entschlüsselung fehl. Achtung: Der Abruf zählt trotzdem – der Einmal-Link wird dadurch ungültig. Stelle sicher, dass du das richtige Passwort hast, bevor du den Link öffnest.
Werden meine Daten auf dem Server gespeichert?
Es werden nur die verschlüsselten Daten temporär gespeichert – niemals der Klartext. Unser Server hat keine Möglichkeit, die Nachrichten zu entschlüsseln. Nach dem Abruf oder Ablauf der Frist werden alle Daten vollständig gelöscht.