Ein ablaufender Secret-Link vernichtet das Geheimnis zum Stichtag: Bei LinkPilot wird der gespeicherte Geheimtext überschrieben, danach lässt sich nichts mehr abrufen. Ein Linkkürzer, der ab einem Zeitpunkt 410 Gone zurückgibt, hat nur die Weiterleitung eingestellt. Jeder Link, der ein Geheimnis trägt, braucht einen Ablauf. Ohne ihn wird Ihre „Einmal“-Garantie mit jedem Tag, an dem der Link ungelesen liegt, still und leise schwächer. Dieser Beitrag zeigt, was ein Ablauf tatsächlich schützt, wie Sie ein Zeitfenster wählen, das Sie begründen können, welche Sonderfälle in der Praxis Ärger machen und wann ablaufende Links das falsche Werkzeug sind. Wenn Sie das Verhalten zuerst ausprobieren möchten: Der kostenlose Generator für Einmal-Links versieht jedes Geheimnis, das er erstellt, mit einem Ablauf.
Was schützt ein Ablauf eigentlich?
Der Ablauf begrenzt das Zeitfenster, in dem etwas durchsickern kann. Ein Link, der fünf Minuten lang funktioniert hat, ist für einen Angreifer weit weniger wert als einer, der eine Woche lang funktioniert hat, selbst wenn beides „Einmal“-Links waren.
Überlegen Sie, wo eine URL mit einem Geheimnis landet, nachdem Sie auf Senden geklickt haben: im Posteingang des Empfängers, im Speicher seines E-Mail-Anbieters, vielleicht in einer weitergeleiteten Kopie, in einem Chatverlauf, der auf ein Handy synchronisiert wird, im Browserverlauf. Keine dieser Kopien haben Sie unter Kontrolle. Was Sie sehr wohl steuern können, ist, wie lange jede davon einlösbar bleibt. Bei einem Ablauf von einer Stunde ist jede verirrte Kopie dieser URL sechzig Minuten nach dem Erstellen wertlos, ganz gleich, wo sie gelandet ist.
Der Ablauf fängt außerdem einen sehr menschlichen Fehler ab, gegen den Löschen nach dem Lesen nichts ausrichtet: Der Empfänger öffnet den Link nie. Löschen nach dem Lesen greift erst beim Lesen. Ein ungelesener Link ohne Ablauf liegt unbegrenzt im Posteingang, weiterhin gültig, weiterhin durchsuchbar und nur eine Weiterleitung von der falschen Person entfernt.
Ablauf und Löschen nach dem Lesen decken verschiedene Fehler ab
Diese beiden Mechanismen werden ständig verwechselt. Sie sind voneinander unabhängig, und am stärksten ist eine Einrichtung, die beide nutzt:
| Fehlerfall | Fängt Löschen nach dem Lesen ihn ab? | Fängt der Ablauf ihn ab? |
|---|---|---|
| Der Empfänger liest es, der Link bleibt danach im Posteingang liegen | Ja, er ist bereits ungültig | Ja, irgendwann |
| Der Empfänger öffnet ihn nie | Nein, er bleibt für immer gültig | Ja |
| Die falsche Person öffnet ihn zuerst | Teilweise: Der Inhalt wird gelöscht, und der Audit-Verlauf zeigt es | Nein |
| Die URL gerät Wochen später über einen E-Mail-Export nach außen | Nur wenn er gelesen wurde | Ja, er ist längst ungültig |
Beachten Sie die Zeile „falsche Person“: Keiner der beiden Mechanismen verhindert dieses Lesen. Dafür gibt es die Passphrase, die über einen anderen Kanal übermittelt wird. Der Ablauf begrenzt die Zeit, das Löschen begrenzt die Zahl der Lesevorgänge, die Passphrase begrenzt, wer liest. Drei getrennte Stellschrauben.
Wie lange sollte ein Secret-Link gültig sein?
So lange, wie die Übergabe voraussichtlich dauert, plus eine vertretbare Verzögerung, und nicht länger. Eine Faustregel nach Situation:
| Situation | Zeitfenster | Begründung |
|---|---|---|
| Übergabe in Echtzeit (Chat, Anruf, Bildschirmfreigabe) | 1 Stunde (die kürzeste Voreinstellung) | Der Empfänger ist da; Löschen nach dem Lesen schließt den Link in dem Moment, in dem er ihn liest |
| E-Mail an einen bekannten, aktiven Empfänger | 1 Stunde | Deckt Verzögerungen im Posteingang ab, ohne ein Fenster über Nacht offen zu lassen |
| Geplante Übergabe (Onboarding morgen um 10 Uhr) | 24 Stunden | Übersteht Terminverschiebungen und ist am Tag danach trotzdem ungültig |
| Empfänger in einer weit entfernten Zeitzone | 24 bis 48 Stunden | Sein Arbeitstag überschneidet sich womöglich gar nicht mit Ihrem |
| Alles, was mehr als 7 Tage braucht | Stopp | Der Link ist das falsche Mittel, nutzen Sie einen Tresor |
Das Prinzip hinter der Tabelle: Setzen Sie das Fenster auf die erwartete Übergabezeit plus eine vertretbare Verzögerung, nicht auf „so lange, dass ich nie wieder darüber nachdenken muss“. Zeitfenster, die nach Bequemlichkeit gewählt werden, streben gegen unendlich.
Eine zeitlich geplante Übergabe, Schritt für Schritt
Eine neue Entwicklerin fängt morgen um 10:00 Uhr an. Sie müssen ihr das Passwort für den Lesezugriff auf die Produktionsdatenbank übergeben.
- 09:55: Erstellen Sie den Secret-Link in Ihrem LinkPilot-Konto mit aktiviertem Löschen nach dem Lesen, einer Passphrase und einem eigenen Ablauf um 11:00 Uhr. Der Ablauf zu einer Uhrzeit und die Passphrase sind beide Pro-Funktionen. Angemeldet stehen die Voreinstellungen 1 Stunde, 24 Stunden oder 7 Tage zur Wahl, und der Generator ohne Konto setzt 7 Tage.
- 09:56: Senden Sie den Link per E-Mail.
- 09:58: Senden Sie die Passphrase per SMS oder als Slack-Direktnachricht, also über einen anderen Kanal als den Link. So reicht ein einzelner kompromittierter Kanal nicht aus.
- 10:05: Die Empfängerin öffnet den Link, gibt die Passphrase ein und liest das Passwort einmal. Der Link wird gelöscht.
- 10:30: Sie prüfen den Audit-Verlauf. Ein Aufruf, richtige Uhrzeit, plausibler Standort. Erledigt.
- Falls um 10:30 noch ungelesen: Widerrufen Sie den Link, melden Sie sich bei ihr und teilen Sie das Passwort erneut, während Sie beide erreichbar sind. Warten Sie nicht einfach auf den Ablauf, denn ein ungelesener gültiger Link ist ein offenes Fenster.
Das Fenster ist so kurz, dass eine abgefangene E-Mail eine Stunde später wertlos ist. Die Passphrase schützt davor, dass jemand den Link innerhalb dieser Stunde abfängt. Das Löschen verhindert erneutes Lesen. Jeder Mechanismus fängt ab, was die anderen übersehen.
Sonderfälle, die Sie kennen sollten
E-Mail-Scanner verbrauchen weder die Zeit noch das Geheimnis
Sicherheitstools für Firmen-E-Mail rufen URLs ab, sobald eine Nachricht eintrifft. Ein gut gebauter Secret-Link behandelt diese Abrufe als Anfragen nach Metadaten: Der Endpunkt zum Anzeigen bei LinkPilot liefert auf ein GET nur den Status zurück, und ein Aufruf wird erst bei einem ausdrücklichen POST zum Anzeigen erfasst. Ein Scanner, der Ihren Link um 09:56 aufruft, löscht ihn also nicht und erfährt nichts Brauchbares. Was Sie Scannern nicht verwehren können, ist zu sehen, dass eine URL verschickt wurde. Auch deshalb gehört die Passphrase in einen anderen Kanal.
Der Empfänger in Minute 59
Der Ablauf wird beim Anzeigen durchgesetzt, nicht durch einen Hintergrundjob, von dem Sie hoffen müssen, dass er gelaufen ist. Bei LinkPilot wechselt ein abgelaufenes Geheimnis beim nächsten Zugriff in den Status expired, und der Inhalt wird im selben Schreibvorgang unkenntlich gemacht. Ein Anzeigen, das vor dem Stichtag beginnt und danach endet, wird eindeutig in die eine oder andere Richtung entschieden. Einen halb abgelaufenen Zustand gibt es nicht.
Rechnen mit Zeitzonen
„Läuft in 24 Stunden ab“ ist eindeutig, „läuft morgen Abend ab“ nicht. Legen Sie Zeitfenster als Dauer ab jetzt fest, und nennen Sie dem Empfänger den Stichtag in seiner Zeitzone. Erstaunlich viele Beschwerden der Art „Der Link war schon ungültig, als ich ihn geöffnet habe“ gehen auf Rechenfehler mit Zeitzonen zurück.
Der Blick auf Compliance
Der Ablauf setzt außerdem zwei Grundsätze praktisch um, die in den meisten aktuellen Datenschutzregelungen vorkommen: Datenminimierung und Speicherbegrenzung (in der DSGVO, Artikel 5(1)(c) und 5(1)(e)). Wenn Sie personenbezogene Daten übermitteln müssen, etwa ein Ausweisdokument, einen Kundendatensatz oder Zugangsdaten, die an eine Person gebunden sind, lässt sich einem Prüfer ein Link, der nachweislich nach einem begrenzten Zeitfenster nicht mehr existiert, viel leichter erklären als „das liegt irgendwo im E-Mail-System“. Ein Audit-Verlauf, der für jede Freigabe das Erstellen, das Öffnen und den Ablauf zeigt, macht aus Ihrer Aussage zur Aufbewahrung einen Nachweis statt einer Behauptung. Nichts davon macht ein Tool für sich genommen „DSGVO-konform“, denn Compliance ist eine Eigenschaft Ihres gesamten Prozesses. Begrenzte Lebensdauern und Ereignisprotokolle sind aber das Rohmaterial dafür.
Wobei ein Ablauf nicht hilft
Ein Ablauf ersetzt nicht:
- Das Erneuern. Ist das Geheimnis selbst kompromittiert, macht der Ablauf des Links die Zugangsdaten nicht ungültig. Erneuern Sie sie im Quellsystem. Der Ablauf begrenzt, wie lange das Transportmittel scharf ist, sagt aber nichts über den Inhalt, nachdem er zugestellt wurde.
- Den Schutz per Passphrase. Der Ablauf begrenzt die Zeit, die Passphrase begrenzt den Zugriff. Die beiden sind voneinander unabhängig und lassen sich ohne großen Aufwand kombinieren.
- Die Audit-Protokollierung. Der Ablauf sagt Ihnen nichts darüber, wer das Geheimnis wann gesehen hat. Dafür gibt es Audit-Ereignisse pro Link: LinkPilot protokolliert Erstellen, Öffnen, falsche Passphrase, Löschen, Ablauf und Widerruf, jeweils mit Zeitstempel und gehashter IP-Adresse.
Das Antimuster „Ich verlängere ihn einfach“
Verlockend und fast immer falsch. Der Empfänger hat sich auf ein Zeitfenster eingestellt. Eine stille Verlängerung bricht das Vertrauensmodell: Er ging davon aus, dass der Link ungültig ist, und hat das Geheimnis womöglich entsprechend behandelt oder den Posteingang, in dem der Link liegt, nicht mehr geschützt.
Der saubere Weg: Widerrufen Sie den alten Link, erstellen Sie einen neuen mit neuem Ablauf und sagen Sie dem Empfänger Bescheid. Der Audit-Verlauf bleibt wahrheitsgetreu: ein Link, ein Zeitfenster, ein Ergebnis pro Freigabe. Deshalb können Sie bei LinkPilot ein aktives Zeitfenster verkürzen oder sofort widerrufen, eine Schaltfläche zum Verlängern gibt es aber bewusst nicht.
Wann ablaufende Links das falsche Werkzeug sind
Eine ehrliche Liste der Grenzen:
- Wiederkehrender Zugriff. Braucht jemand den Wert auch nächste Woche noch, legen Sie ihn in einen Passwortmanager und teilen Sie den Eintrag im Tresor. Links nach Zeitplan neu zu verschicken ist ein Tresor mit zusätzlichen Schritten und schwächeren Garantien.
- Maschinen als Abnehmer. CI-Pipelines und Dienste sollten Geheimnisse aus einem Secrets-Manager (oder dem nativen Secret-Speicher der Plattform) beziehen, nicht Einmal-URLs abrufen.
- Breite Verteilung. Ein Link, den fünfzehn Personen brauchen, ist keine Übergabe eines Geheimnisses mehr. Das ist Zugriffskontrolle, und die gehört in ein System, das eine hat.
Ablaufende Links sind für genau eine Aufgabe stark: einen sensiblen Wert einmal von einer Person zur anderen zu bringen, mit begrenztem Schadensradius.
Weiterlesen
- So funktionieren Einmal-Links für Geheimnisse
- Passwörter sicher teilen: 5 Methoden im Vergleich
- Warum URLs sensible Informationen preisgeben
- Kostenloser Generator für Secret-Links