Passwort sicher versenden statt im Klartext per Mail

Warum Passwörter im Klartext per Mail riskant sind

Eine E-Mail wirkt flüchtig, ist es aber nicht. Sobald du ein Passwort im Klartext verschickst, existiert es an mehr Stellen, als du kontrollieren kannst. Das Problem ist nicht der einzelne Moment des Versands, sondern die vielen Kopien, die danach zurückbleiben.

• Die Nachricht liegt dauerhaft im gesendeten Ordner deines Postfachs und im Posteingang des Empfängers, oft über Jahre.
• Mailserver, Spamfilter und Gateways protokollieren den Verkehr. Solche Logs werden selten gezielt gelöscht.
• Backups sichern ganze Postfächer. Ein Passwort von heute steckt so noch in Sicherungen des nächsten Jahres.
• Wird ein Konto später kompromittiert, hat der Angreifer Zugriff auf das komplette Archiv, inklusive aller je verschickten Zugangsdaten.

Das Gleiche gilt für Chat-Nachrichten in Messengern oder Team-Tools: Verläufe werden synchronisiert, exportiert und gesichert. Ein Passwort, das einmal darin steht, verschwindet nicht mehr von allein. Genau hier setzt ein Einmal-Link an.

Wie ein selbstzerstörender Einmal-Link das löst

Statt das Passwort selbst zu verschicken, verschickst du nur einen Link. Der eigentliche Inhalt wird schon in deinem Browser verschlüsselt, bevor überhaupt etwas den Server erreicht. Der Server speichert also nur einen unlesbaren Datenblock, nie das Passwort im Klartext.

Der Schlüssel zum Entsperren steckt im Link selbst, genauer im Teil hinter dem #. Dieser Teil wird von Browsern technisch nicht an den Server gesendet. Der Betreiber sieht den Klartext deshalb zu keinem Zeitpunkt. Man spricht von clientseitiger Verschlüsselung mit AES-256-GCM.

Das Entscheidende: Sobald der Empfänger den Link einmal geöffnet hat, wird der verschlüsselte Datenblock auf dem Server gelöscht. Ein zweiter Aufruf läuft ins Leere. So bleibt kein dauerhaftes Archiv zurück, weder bei dir noch beim Empfänger.

Passwort sicher versenden: Schritt für Schritt

Der Ablauf dauert weniger als eine Minute und braucht keine Registrierung.

• Inhalt eingeben: Öffne das Tool und trage das Passwort oder die Zugangsdaten in das Feld ein. Optional kannst du eine kurze Notiz ergänzen.
• Link erstellen: Mit einem Klick wird der Inhalt in deinem Browser verschlüsselt und ein Einmal-Link erzeugt. Du bekommst den fertigen Link direkt angezeigt.
• Link teilen: Kopiere den Link und schicke ihn dem Empfänger. Er öffnet ihn, sieht den Inhalt einmal, danach ist der Link verbraucht.

Praxis-Tipp: Link und Passwort über getrennte Kanäle

Ein Einmal-Link ist schon deutlich sicherer als das Passwort im Klartext. Noch robuster wird es, wenn du zwei Wege kombinierst. Schicke den Link zum Beispiel per E-Mail und die Info, dass gleich etwas kommt, über einen anderen Kanal wie Telefon oder Messenger.

So müsste ein Angreifer beide Wege gleichzeitig kompromittieren, um überhaupt eine Chance zu haben. Und selbst dann schützt der Einmal-Charakter: Hat der eigentliche Empfänger den Link schon geöffnet, ist der Inhalt weg. Ein zu spät abgefangener Link ist wertlos. Als kleine Zusatzsicherung lohnt es sich, beim Empfänger kurz nachzufragen, ob der Link angekommen und lesbar war. Kam er nicht durch, kannst du das Passwort ändern und neu teilen.

Häufige Fragen

Ist ein Einmal-Link wirklich sicherer als eine E-Mail?

Ja, in den entscheidenden Punkten. Das Passwort verlässt deinen Browser nur verschlüsselt, der Server sieht es nie im Klartext, und nach dem einmaligen Lesen wird der Inhalt gelöscht. Eine normale Mail dagegen bewahrt das Passwort dauerhaft in Postfächern, Logs und Backups auf. Ehrlich gesagt handelt es sich nicht um klassische Ende-zu-Ende-Verschlüsselung, sondern um clientseitige Verschlüsselung im Browser. Du vertraust dabei darauf, dass der ausgelieferte Code korrekt arbeitet. Für das Teilen einzelner Geheimnisse ist das ein deutlich besserer Weg als Klartext.

Kann der Empfänger den Link mehrfach öffnen?

Nein. Der Link ist für genau einen Abruf gedacht. Beim ersten Öffnen wird der Inhalt entschlüsselt angezeigt und der verschlüsselte Datenblock auf dem Server gelöscht. Jeder weitere Aufruf zeigt nur noch, dass der Link bereits eingelöst wurde.

Was passiert, wenn die Mail mit dem Link abgefangen wird?

Wenn der eigentliche Empfänger den Link schon geöffnet hat, ist der Inhalt bereits gelöscht und ein abgefangener Link nutzlos. Kritisch wäre nur der seltene Fall, dass ein Angreifer den Link vor dem Empfänger öffnet. Genau deshalb der Tipp, Link und Kontext über getrennte Kanäle zu schicken und beim Empfänger kurz nachzufragen, ob alles angekommen ist.

Kostet das Tool etwas oder brauche ich ein Konto?

Nein. Das Tool ist kostenlos, werbefrei und ohne Registrierung nutzbar. Es speichert keine Zugangsdaten von dir und der Server steht in Deutschland, was die Verarbeitung DSGVO-konform hält.