In E-Mails leben Zugangsdaten für immer. Ein Passwort, das am Montag verschickt wurde, liegt danach im Postausgang des Absenders, im Posteingang des Empfängers, auf jedem Handy und Laptop, das eines der beiden Konten synchronisiert, und in den Backups von zwei E-Mail-Anbietern. Wird es einmal weitergeleitet, verdoppelt sich die Zahl der Kopien.
Wer Zugangsdaten sicher ohne E-Mail teilen will, braucht einen Kanal, der keine Kopien hinterlässt, oder zumindest keine, die man nicht selbst kontrolliert. Es gibt vier gute Möglichkeiten. Welche passt, hängt davon ab, ob der Empfänger die Zugangsdaten einmal oder dauerhaft braucht und ob er zu Ihrer Organisation gehört.
Vier Wege, Zugangsdaten ohne E-Mail zu teilen
| Methode | Am besten für | Was sie nicht leistet |
|---|---|---|
| Teilen im Passwortmanager | Teammitglieder, die dauerhaft Zugriff brauchen | Hilft nicht bei einem einmaligen Empfänger außerhalb Ihres Tresors |
| Einmal-Link | Eine einzelne Übergabe an beliebige Personen, intern wie extern | Kontrolliert nicht, was nach dem Anzeigen passiert |
| Verschlüsselter Messenger mit selbstlöschenden Nachrichten | Schnelle Übergaben zwischen Personen, die die App schon nutzen | Verhindert weder Screenshots noch die Synchronisierung auf andere Geräte |
| Telefonat oder persönlich | Besonders wertvolle Geheimnisse, kurze Zeichenfolgen | Skaliert nicht und hinterlässt keinerlei Nachweis der Übergabe |
Ein Passwortmanager ist der richtige Ort für Zugangsdaten, die ein Team wiederholt nutzt. Gemeinsame Tresore in 1Password, Bitwarden und ähnlichen Tools bieten namentlichen Zugriff, Widerruf und Erneuerung. Die Lücke ist die Person, die nicht in Ihrem Tresor ist: ein externer Dienstleister, ein Kunde, eine neue Kollegin am ersten Tag, der Support-Techniker eines Anbieters. Sie für ein einziges Passwort einzuladen ist aufwendig, und die öffentlichen Freigabelinks vieler Passwortmanager sind nur zeitlich begrenzte Seiten im Klartext.
Ein Einmal-Link ist für genau diese einzelne Übergabe gemacht. Die vertrauliche Information wird verschlüsselt, bevor sie gespeichert wird, die Nachricht, die Sie senden, enthält nur einen Link, und die gespeicherte Kopie wird vernichtet, sobald der Link zum ersten Mal geöffnet wird. Im Chat oder im Ticket bleibt nichts zurück, und öffnet niemand den Link, funktioniert er nach seinem Ablauf nicht mehr. Der Leitfaden Secret-Links oder Passwortmanager erklärt, wann welche Lösung besser ist.
Selbstlöschende Nachrichten in Signal oder WhatsApp schützen die Nachricht während der Übertragung und entfernen sie nach einer festgelegten Zeit aus dem Chat. Einen Screenshot verhindern sie nicht, und bei den meisten Menschen werden Chats gesichert oder auf ein zweites Gerät synchronisiert. Nutzen Sie sie für Übergaben mit geringem Risiko zwischen Personen, die die App bereits verwenden.
Ein Telefonat funktioniert weiterhin für eine kurze Zeichenfolge an eine Person, die Sie an der Stimme erkennen. Es skaliert nicht, und der Empfänger schreibt sie irgendwo auf. Am besten eignet es sich deshalb für die Passphrase, die einen Link schützt, nicht für die Zugangsdaten selbst.
So erstellen Sie einen befristeten Link für Anmeldedaten
Der Weg über einen Einmal-Link dauert etwa eine Minute. Die folgenden Schritte nutzen das kostenlose Secret-Link-Tool von LinkPilot, das für Text mit bis zu 10.000 Zeichen kein Konto braucht. Mit Anmeldung kommen die Voreinstellungen für den Ablauf, Abruflimits und Dateianhänge hinzu.
- Prüfen Sie zuerst den Empfänger. Bestätigen Sie die Person und die Adresse oder den Benutzernamen über einen Kanal, den Sie mit ihr ohnehin nutzen. Wenn Zugangsdaten beim Falschen landen, hat meist die Autovervollständigung den falschen Namen gewählt.
- Fügen Sie nur das Passwort ein. Benutzername, Anmelde-URL und Anweisungen gehören in eine separate Nachricht. Ein Link, der in falsche Hände gerät, sollte einem Angreifer einen toten Link oder nutzlosen Kontext liefern, nie beide Hälften.
- Stellen Sie den Ablauf auf das tatsächliche Zeitfenster ein. Eine Stunde, wenn die Person wartet, 24 Stunden, wenn sie in einer anderen Zeitzone ist, sieben Tage nur mit gutem Grund. Der Link wird außerdem beim ersten Öffnen gelöscht. Der Ablauf ist also die Absicherung für einen Link, den niemand öffnet.
- Setzen Sie das Abruflimit auf eins, es sei denn, zwei Personen müssen ihn wirklich öffnen. Links mit mehreren Abrufen gibt es für diesen Fall, doch die Standardeinstellung für Anmeldedaten sollte ein einziges Anzeigen sein.
- Fügen Sie mit Pro eine Passphrase hinzu, wenn es um etwas geht, das Sie nicht in einem öffentlichen Kanal sehen wollen, und senden Sie die Passphrase auf einem anderen Weg, zum Beispiel per SMS oder in einem Telefonat.
- Senden Sie den Link mit einer Zeile Kontext: wofür er gedacht ist und wann er abläuft. Senden Sie dann Benutzername und Anmelde-URL in einer zweiten Nachricht.
- Lassen Sie sich das Öffnen bestätigen. Meldet der Link, dass er bereits angesehen wurde, und der Empfänger sagt, er habe ihn nicht geöffnet, ändern Sie das Passwort sofort. Mit einem Pro-Konto zeigt der Audit-Verlauf den genauen Zeitpunkt des Anzeigens.
Die Verschlüsselung geschieht in Ihrem Browser, bevor irgendetwas an LinkPilot gesendet wird. Der Entschlüsselungsschlüssel steht in dem Teil der URL, den Browser für sich behalten. Deshalb hat der Dienst den Klartext nie, und auch niemand, der den Link unterwegs sieht. Die Details stehen im Artikel Clientseitige Verschlüsselung für das Teilen vertraulicher Informationen.
Bereiten Sie die Zugangsdaten vor, nicht nur den Kanal
Ein sicherer Kanal macht schlechte Zugangsdaten nicht besser. Bevor Sie etwas teilen:
- Geben Sie dem Empfänger ein eigenes Login, wenn das System es erlaubt. Ein separates Konto lässt sich einschränken und entfernen, ein gemeinsames nicht.
- Verwenden Sie ein Passwort, das nirgends sonst gilt. Öffnet dieselbe Zeichenfolge noch etwas anderes, teilen Sie das gleich mit.
- Lassen Sie alles weg, was der Empfänger nicht braucht. Keine Wiederherstellungscodes, keine Daten eines zweiten Kontos, keine Extras nach dem Motto „wenn ich schon dabei bin“.
- Legen Sie das Enddatum jetzt fest. Soll der Zugriff enden, wenn die Arbeit endet, tragen Sie das Datum in Ihren Kalender ein, bevor Sie den Link senden.
Nach der Übergabe
Sobald sich der Empfänger angemeldet hat, liegen die Zugangsdaten bei ihm und nicht mehr in Ihrer Hand. Drei Dinge bleiben trotzdem Ihre Aufgabe:
- Widerrufen Sie den Link, wenn er nie geöffnet wurde und nicht mehr gebraucht wird, statt auf den Ablauf zu warten.
- Erneuern oder entfernen Sie das Login, wenn die Arbeit endet. Der Ablauf des Links ändert am Konto nichts.
- Beobachten Sie den Anmeldeverlauf des Kontos ein oder zwei Tage lang. Eine Anmeldung von einem unerwarteten Ort ist eine Nachfrage wert.
Zugangsdaten werden weiterhin zwischen Menschen wandern müssen. Es kommt darauf an, dass dabei nichts zurückbleibt, damit später in keinem Postfach etwas zu finden ist.