Was ist die beste OneTimeSecret-Alternative? 10 Tools im Vergleich

Keine OneTimeSecret-Alternative passt allen: LinkPilot gehostet mit Audit-Verlauf, Password Pusher oder PrivateBin selbst gehostet. Zehn Tools im Vergleich.

LinkPilot Team · 9. Juli 2026 · Aktualisiert am 22. Oktober 2026

Die eine beste OneTimeSecret-Alternative gibt es nicht; es kommt darauf an, was bei Ihnen den Ausschlag gibt. Für ein gehostetes Tool, das festhält, wann ein Geheimnis geöffnet wurde, und einen Link zurückziehen kann: LinkPilot. Für Self-Hosting: Password Pusher, PrivateBin oder Yopass. Für Verschlüsselung im Browser ganz ohne Konto: 1time.io, SnapPwd oder die gehostete Instanz von Yopass. Unten vergleichen wir zehn Tools.

Der Unterschied, den Sie selbst nachprüfen können, Stand 14. Oktober 2026: In der Dokumentation von OneTimeSecret steht: „Ihre Geheimnisse werden auf unseren Servern sicher verschlüsselt.“ Die meisten Tools unten, LinkPilot eingeschlossen, verschlüsseln das Geheimnis in Ihrem Browser, bevor irgendetwas gesendet wird, und legen den Schlüssel in den Teil des Links nach dem #, den Browser nie übertragen. Ohne Konto können Sie das mit dem kostenlosen Secret-Link-Generator ausprobieren.

Seit über zehn Jahren ist OneTimeSecret die Standardantwort auf die Frage „Wie schicke ich dieses Passwort?“: Geheimnis einfügen, Link erhalten, der Link funktioniert einmal. Das Tool ist Open Source, einfach und vertrauenswürdig. Es ist aber auch bewusst minimal gehalten, und wer hier gelandet ist, ist vermutlich an eine seiner Grenzen gestoßen: kein Nachweis, wer was geöffnet hat, keine Dateianhänge im gehosteten Angebot, kein Team-Workspace und keine Möglichkeit, einen Link über ein Dashboard zurückzuziehen.

Schnellvergleich: Tools für Einmal-Geheimnisse (geprüft am 14. Oktober 2026)

Die Angaben stammen von der Website oder Dokumentation des jeweiligen Projekts zum oben genannten Datum. Funktionen ändern sich; prüfen Sie beim Projekt nach, bevor Sie sich festlegen.

Was ist die beste OneTimeSecret-Alternative?

Einen klaren Sieger gibt es nicht. Es kommt darauf an, was bei Ihnen den Ausschlag gibt. Ein Team, das wissen muss, wann ein Geheimnis geöffnet wurde, Links zurückziehen und Dateien anhängen will, und zwar in einem gehosteten Produkt, sollte sich LinkPilot ansehen. Ist Self-Hosting Pflicht, führen Password Pusher, PrivateBin und Yopass das Open-Source-Feld an. Wenn Sie Verschlüsselung im Browser ohne Konto und ohne Vertragsbeziehung zu einem Anbieter wollen, leisten 1time.io, SnapPwd und die gehostete Instanz von Yopass genau das.

Ist OneTimeSecret sicher?

Für die meisten privaten Zwecke ja. OneTimeSecret ist Open Source, läuft seit Jahren und löscht ein Geheimnis nach dem ersten Aufruf. Laut Dokumentation werden Geheimnisse „auf unseren Servern sicher verschlüsselt“, der Betreiber hält also den Schlüssel. Im Free-Tarif gibt es weder einen Widerruf über ein Dashboard noch ein Audit-Log. Die ausführliche Bewertung steht unter Ist OneTimeSecret sicher?. Sie wollen denselben einmaligen Abruf, aber mit Verschlüsselung in Ihrem Browser? Der kostenlose Generator für One-Time-Secret-Links braucht kein Konto.

So haben wir bewertet

Wir haben jedes Tool anhand von sieben Fragen geprüft, sortiert danach, wie wichtig sie für jemanden sind, der von OneTimeSecret wechselt:

1. Wo wird verschlüsselt, und kann der Betreiber das Geheimnis lesen?
2. Welche Ablaufoptionen gibt es, und wird der Link beim ersten Aufruf ungültig?
3. Erfährt der Absender, dass das Geheimnis geöffnet wurde, und was wird dabei aufgezeichnet?
4. Werden Dateianhänge unterstützt, und bis zu welcher Größe?
5. Lässt sich das Tool selbst hosten, und ist der Code öffentlich?
6. Was kostet es, sobald Sie mehr als ein paar Geheimnisse brauchen?
7. Gibt es ein Team- oder Workspace-Modell mit Widerruf über ein Dashboard?

Jede Antwort stammt von der Website oder Dokumentation des Anbieters, Stand 14. Oktober 2026, verlinkt in den Quellen. Wo eine Website etwas nicht angibt, steht in der Tabelle „Keine Angabe“, statt dass wir raten.

Sicherheitsmodelle im Vergleich

Die praktische Frage lautet: Könnte der Betreiber des Dienstes Ihr Geheimnis lesen? Bei den zehn Tools finden sich drei Muster.

Im Browser verschlüsselt, Schlüssel im Teil des Links nach dem #. PrivateBin, Bitwarden Send, Vanishing Vault, SnapPwd, 1time.io und LinkPilot erzeugen den Schlüssel alle in Ihrem Browser und setzen ihn hinter das # im Link, den Sie teilen. Browser senden diesen Teil, das Fragment, nie an einen Server, der Betreiber hat also Geheimtext und keinen Schlüssel. Die Folge ist bei allen gleich: Ist der Link verloren, ist das Geheimnis verloren, und wer den Link weiterleitet, leitet das Geheimnis weiter. LinkPilot nennt zwei Ausnahmen: Geheimnisse, die vor dem 29. September 2026 erstellt wurden, waren bis zu ihrem Ablauf im Klartext gespeichert, und Name, Größe und Typ einer Datei bleiben als Metadaten sichtbar.

Im Browser verschlüsselt, Schlüssel aus einer Passphrase abgeleitet. OncePad leitet den Schlüssel aus einer Passphrase mit sieben Wörtern ab, die getrennt verschickt wird. Der Link allein nützt also nichts. Auch Yopass und password.link verschlüsseln im Browser; password.link teilt den Schlüssel auf, sodass ein Teil im Fragment bleibt. Password Pusher beschreibt seine Verschlüsselung als clientseitig und auf GitHub prüfbar.

Auf dem Server verschlüsselt. Laut Dokumentation von OneTimeSecret werden Geheimnisse auf den eigenen Servern verschlüsselt. Bei einem vertrauenswürdigen Betreiber ist das ein vernünftiges Design, und der Code ist offen. Es ist aber ein anderes Vertrauensmodell als bei den ersten beiden Gruppen: Der Betreiber kann grundsätzlich lesen, was er speichert.

Eine Passphrase ist nicht dasselbe wie Verschlüsselung. Bei Bitwarden Send ist das Passwort nur eine Zugangsprüfung und nicht Teil der Verschlüsselung. Bei LinkPilot wird die Passphrase mit PBKDF2 gestreckt und in den Entschlüsselungsschlüssel eingerechnet, sodass weder der Link allein noch die Passphrase allein das Geheimnis öffnet. Lesen Sie die Formulierung des Anbieters genau, wenn eine Seite „passwortgeschützt“ verspricht.

Preise im Vergleich

• LinkPilot: Free-Tarif mit 5 Secret-Links und Ablauf nach 1 Stunde, 24 Stunden oder 7 Tagen; der anonyme Secret-Link-Generator braucht kein Konto. Pro für 29 $ im Monat bringt Passphrasen, eigenen Ablauf und den Audit-Verlauf. Die vollständige Tabelle steht unter Preise.
• Password Pusher: kostenlos ohne Konto; Pro ab 19 $ im Monat für Einzelpersonen und 29 $ im Monat für Teams; Lizenzen für Self-Hosting ab 59 $ im Monat bei jährlicher Abrechnung.
• Yopass: kostenlos und Open Source; die Business-Lizenz für 149 € im Jahr bringt Lesebestätigungen und Support.
• Bitwarden Send: Text-Sends im Free-Tarif; Datei-Sends brauchen Premium.
• PrivateBin, SnapPwd, 1time.io, OncePad, Vanishing Vault: gehostete Nutzung kostenlos; PrivateBin und SnapPwd lassen sich auch selbst hosten.
• password.link: kostenloses Angebot mit begrenzter Zahl an Geheimnissen; Anhänge, Benachrichtigungen, API und eigenes Branding brauchen ein Konto.
• OneTimeSecret: kostenloses gehostetes Angebot; bezahlte Tarife bringen eigene Domains und mehr Kapazität. Siehe die Preisseite.

1. LinkPilot: für alle, die im Auftrag eines Unternehmens teilen

LinkPilot bietet denselben Grundbaustein, Löschen nach dem Lesen, und ergänzt die Ebene, die OneTimeSecret gar nicht erst anbietet: einen Verlauf pro Geheimnis (erstellt, angezeigt, falsche Passphrase, gelöscht, abgelaufen, widerrufen) mit gehashter IP, grobem Standort und Browserkennung zu jedem Ereignis; Widerruf über ein Dashboard; Team-Workspaces mit fünf Rollen; Dateianhänge mit denselben Einstellungen für Passphrase und Ablauf; und, was ungewöhnlich ist, Kurzlinks mit eigener Domain und datenschutzfreundlichen Statistiken im selben Workspace. Anzeigen und Löschen geschehen in einem einzigen, unteilbaren Schritt: Öffnen zwei Personen den Link im selben Moment, können nicht beide den Inhalt lesen. Eine Linkvorschau aus Slack oder einer E-Mail kann ein Geheimnis nicht löschen, weil Vorschauen nur Metadaten abrufen.

Seit dem 29. September 2026 wird das Geheimnis in Ihrem Browser mit AES-GCM-256 verschlüsselt, und der Schlüssel bleibt im Teil des Links nach dem #. Der Verschlüsselungscode ist mit Testvektoren im MIT-lizenzierten CLI-Repository veröffentlicht. Sie müssen ihm also nicht glauben, sondern können ihn lesen. Die Kehrseite, ohne Beschönigung: LinkPilot lässt sich nicht selbst hosten, und der Dienst selbst ist nicht Open Source. Wie One-Time-Secret-Links funktionieren erklärt den Mechanismus; die Seite zur Sicherheitsarchitektur listet, was protokolliert wird und wo die Grenzen liegen. Der vollständige Direktvergleich: LinkPilot vs. OneTimeSecret.

2. Password Pusher: die Wahl der IT-Abteilung

Password Pusher (pwpush) gehört seit fünfzehn Jahren zum Standardwerkzeug von IT-Teams: Ablauf nach Tagen und nach Aufrufen, löschbare Links, Passphrasen, Datei-Pushes, eine API und ein gut gepflegter Weg zum Self-Hosting mit einer kostenlosen Community-Edition. Die Pro-Tarife bringen ein Audit-Log, das zeigt, wann jeder Aufruf stattfand. Genau diese Funktion vermissen die meisten Teams bei OneTimeSecret. Was fehlt, ist ein Workspace-Modell mit Rollen. Vergleich: LinkPilot vs. Password Pusher.

3. PrivateBin: das am besten nachprüfbare Verschlüsselungsmodell

PrivateBin verschlüsselt im Browser mit AES-GCM, hält den Schlüssel im Fragment der URL und ist Open Source, sodass sich die ganze Kette prüfen lässt. Es bietet Löschen nach dem Lesen, mehrere Ablaufzeiten bis hin zu „nie“, Passwortschutz und Datei-Uploads. Es gibt kein Dashboard, keinen Nachweis von Aufrufen und kein Team-Modell, und das Projekt weist selbst darauf hin, dass ein Serveradministrator zur Herausgabe von Zugriffsprotokollen gezwungen werden kann. Vergleich: LinkPilot vs. PrivateBin.

4. Yopass: Verschlüsselung im Browser mit wenig Betriebsaufwand

Yopass verschlüsselt im Browser, bietet Einmal-Links mit Ablauf nach 1 Stunde, 1 Tag oder 1 Woche, unterstützt Dateien und eine CLI und lässt sich kostenlos selbst hosten. Die Business-Lizenz für 149 € im Jahr bringt Lesebestätigungen per E-Mail oder Webhook, Sie erfahren also, wann ein Geheimnis geöffnet wurde. Ein guter Mittelweg, wenn Ihnen PrivateBin zu schwerfällig ist.

5. Bitwarden Send: die naheliegende Wahl, wenn Sie Bitwarden schon nutzen

Send verschlüsselt clientseitig mit dem Schlüssel im Fragment des Links. Sie können ein Löschdatum bis zu 31 Tage in der Zukunft, einen Ablauf und eine maximale Zahl an Aufrufen festlegen, und der Absender sieht einen laufenden Zähler der Aufrufe. Passwörter auf einem Send sind eine Zugangsprüfung, kein Teil der Verschlüsselung. Text-Sends sind kostenlos; Datei-Sends brauchen Premium. Arbeitet Ihr Team bereits mit Bitwarden, ist das die Option mit dem geringsten Aufwand.

6. Vanishing Vault: Zero-Knowledge nach eigener Beschreibung

Vanishing Vault verschlüsselt im Browser mit AES-256-GCM, hält den Schlüssel im Fragment, löscht beim ersten Aufruf und begrenzt den Ablauf auf sieben Tage. Der Dienst beschreibt sich als Zero-Knowledge und veröffentlicht seinen Code zur Prüfung. Zu Passwortschutz, Dateiunterstützung und Lesebenachrichtigungen macht die Website keine Angaben.

7. password.link: Benachrichtigungen und Teams in einem gehosteten Produkt

password.link verschlüsselt im Browser, unterstützt Zeit- und Aufruflimits sowie Passwort- und CAPTCHA-Pflicht pro Link und benachrichtigt per E-Mail, Slack oder Webhook, wenn ein Link erstellt, angezeigt wird oder abläuft. Teams, SSO und eigene Domains gibt es mit Konto. Bei der Frage „Wurde es geöffnet?“ kommt es LinkPilot unter den gehosteten Diensten am nächsten, nur fehlt ihm der Teil für Link-Management.

8. SnapPwd: kein Konto, offener Code

SnapPwd verschlüsselt im Browser mit dem Schlüssel im Fragment, löscht nach dem ersten Anzeigen oder nach Ablauf (1 Stunde bis 2 Wochen oder frei wählbar), nimmt Dateien bis 1 MB an, braucht kein Konto und veröffentlicht Client und Server, sodass Sie es selbst hosten können. Eine optionale E-Mail-Benachrichtigung meldet Ihnen, wann das Geheimnis aufgerufen wurde.

9. 1time.io: großzügige Limits, keine Registrierung

1time.io verschlüsselt im Browser mit dem Schlüssel im Fragment, bietet einen Ablauf von 1 Stunde bis 30 Tagen und Aufruflimits von 1 bis 10, nimmt Dateien bis 250 MB an, bietet eine optionale Passphrase und ist Open Source, mit Browsererweiterung und CLI. Ob Absender sehen können, dass ein Geheimnis geöffnet wurde, gibt der Dienst nicht an.

10. OncePad: zwei Kanäle als Prinzip

OncePad verschlüsselt im Browser mit einem Schlüssel, der aus einer Passphrase mit sieben Wörtern abgeleitet wird. Der Link enthält also überhaupt keinen Schlüssel, und die Passphrase geht über einen zweiten Kanal. Geheimnisse liegen nur im Arbeitsspeicher, werden beim ersten Öffnen gelöscht und laufen nach 24 Stunden ab. Dateien bis 25 MB. Aufrufe werden nicht erfasst, und genau das ist der Sinn des Designs.

Ein Hinweis zu Privnote

Privnote ist die schnellste anonyme Option und für beiläufige Notizen in Ordnung. Es ist aber Closed Source, finanziert sich über Werbung, und über Phishing-Klone, die Privnote nachahmen, wurde vielfach berichtet. Eine ausführlichere Bewertung steht in Ist Privnote sicher?, außerdem gibt es eine eigene Übersicht der Alternativen.

Die Risiken von Einmal-Links, egal welches Tool Sie wählen

• Wer den Link weiterleitet, leitet das Geheimnis weiter. Kein Tool kann verhindern, dass der Empfänger den Link weitergibt, bevor er ihn öffnet. Ein kurzer Ablauf und eine getrennt übermittelte Passphrase begrenzen das Risiko.
• Vorschauen können einen Link verbrauchen. Manche Chat- und E-Mail-Systeme rufen Links ab, sobald sie eingefügt werden. Tools, die bei diesem Abruf nur Metadaten zurückgeben (LinkPilot, PrivateBin, die meisten Designs mit dem Schlüssel im Fragment), sind sicher. Prüfen Sie das, bevor Sie einem Tool Zugangsdaten anvertrauen. Mehr dazu unter Link-Scanner und Einmal-Geheimnisse.
• „Verschlüsselt“ hat mehrere Bedeutungen. Verschlüsselung auf dem Server schützt vor einer gestohlenen Festplatte, nicht vor dem Betreiber. Verschlüsselung im Browser mit dem Schlüssel im Fragment schützt auch vor dem Betreiber. Entscheiden Sie, was Sie brauchen.
• Der Eintrag beweist einen Aufruf, keine Person. Auch das beste Audit-Log zeigt einen Zeitpunkt, eine gehashte Adresse und eine Browserkennung. Hat die falsche Person den Link geöffnet, erneuern Sie die Zugangsdaten, statt darüber zu streiten, wer es war.
• Klon-Websites. Tippen Sie die Domain selbst ein oder nutzen Sie ein Lesezeichen. Das ist das Hauptproblem bei Privnote, und es betrifft jedes beliebte kostenlose Tool.

Welches Tool sollten Sie wählen?

• Unternehmen oder MSP, die Zugangsdaten an Kunden übergeben: LinkPilot. Verlauf, Widerruf und Dateien sind genau die Aufgabe, und das Geheimnis wird in Ihrem Browser verschlüsselt statt auf dem Server.
• Self-Hosting ist nicht verhandelbar: Password Pusher für Workflow-Funktionen, PrivateBin oder Yopass für die einfachste nachprüfbare Verschlüsselung.
• Kein Konto, kein Anbieter, Verschlüsselung im Browser: 1time.io oder SnapPwd.
• Sie nutzen bereits Bitwarden: Send.
• Sie wollen wissen, wann geöffnet wurde, aber nicht von wem: password.link, die Business-Lizenz von Yopass, Password Pusher Pro oder LinkPilot Pro.
• Gelegentliche private Nutzung: Das gehostete Angebot von OneTimeSecret ist weiterhin völlig ausreichend. Das ist eine ehrliche Antwort von einem Konkurrenten.

Egal, wofür Sie sich entscheiden, gewöhnen Sie sich dieselben Abläufe an: kurzer Ablauf, Passphrase über einen anderen Kanal und neue Zugangsdaten, wenn die falsche Person einen Link geöffnet hat. Mehr dazu in Passwörter sicher teilen: 5 Methoden im Vergleich.

Was sich mit diesem Update geändert hat

1. Oktober 2026: von sechs auf zehn Tools erweitert (neu sind Bitwarden Send, Vanishing Vault, password.link, SnapPwd, 1time.io und OncePad), die Spalte „Erkennt, wann geöffnet wurde“ ergänzt, dazu die Abschnitte zu Sicherheitsmodellen und Preisen sowie der Abschnitt zu den Risiken. Jede Zeile wurde an diesem Tag erneut mit der Website des Anbieters abgeglichen.

Quellen

1. OneTimeSecret-Dokumentation, Introduction: „Ihre Geheimnisse werden auf unseren Servern sicher verschlüsselt.“ https://docs.onetimesecret.com/en/introduction/
2. Password Pusher, Produktseite und Preise. https://eu.pwpush.com/
3. PrivateBin, Projektseite. https://privatebin.info/
4. Yopass. https://yopass.se/
5. Bitwarden Send, Lebensdauer und Verschlüsselung. https://bitwarden.com/help/send-lifespan/ und https://bitwarden.com/help/send-encryption/
6. Vanishing Vault. https://vanishingvault.com/
7. password.link. https://password.link/
8. SnapPwd. https://snappwd.io/
9. 1time.io. https://1time.io/
10. OncePad. https://oncepad.com/
11. LinkPilot, Sicherheitsarchitektur. https://uselinkpilot.com/security-architecture

Passphrasen, eigener Ablauf und der Audit-Verlauf gehören zu Pro für 29 $ im Monat. Probieren Sie den Mechanismus aus, bevor Sie weiter vergleichen: Der kostenlose Secret-Link-Generator braucht kein Konto.