OneTimeSecret ist sicher für ein privates Geheimnis, bei dem es Sie nicht stören würde, wenn eine falsche Person es liest. Für geschäftliche Zugangsdaten fehlen drei Dinge, die ein IT-Team früher oder später braucht: eine Verschlüsselung, bevor der Text Ihr Gerät verlässt, eine Möglichkeit, einen Link zurückzuholen, und ein Nachweis, wer was geöffnet hat. Der Mechanismus mit der einmaligen Ansicht ist solide, und das Projekt ist Open Source. Diese Prüfung zeigt, was das Modell schützt, was nicht und wann ein anderes Tool besser passt.
Alle Angaben zu OneTimeSecret stammen von dessen eigenen Seiten, der Dokumentation und der Preisseite, Stand 19. Oktober 2026. Funktionen ändern sich. Prüfen Sie sie, bevor Sie sich darauf verlassen. Wir entwickeln LinkPilot, einen Konkurrenten von OneTimeSecret. Lesen Sie die Vergleiche hier mit diesem Wissen.
Was OneTimeSecret ist
OneTimeSecret ist ein Webdienst und zugleich ein Open-Source-Projekt, mit dem Sie einen Text über einen Link teilen, der sich einmal öffnen lässt. Die gehostete Instanz ist onetimesecret.com. Der Code liegt auf GitHub unter github.com/onetimesecret/onetimesecret, eine Anleitung zum Self-Hosting steht in der Dokumentation.[1][2] Sie fügen den Text ein, legen auf Wunsch einen Ablauf und eine Passphrase fest und verschicken den Link. Die Startseite fasst das Versprechen in einem Satz zusammen: „Sobald der Empfänger den Link öffnet, werden die Daten dauerhaft vernichtet.“[1]
Der kostenlose gehostete Tarif („Basic“) erlaubt eine eigene Domain, eine REST-API und Ablaufzeiten „bis zu 14 Tage“. Identity Plus (35 € im Monat) erhöht den Ablauf auf 30 Tage und erlaubt unbegrenzt viele Domains. Team Plus (125 € im Monat) ergänzt Single Sign-on, rollenbasierten Zugriff und einen Audit-Verlauf, der als Beta gekennzeichnet ist.[3]
Was schützt das Modell mit einmaliger Ansicht?
Es verhindert, dass ein Geheimnis dort weiterlebt, wo es sonst bleiben würde, und genau das leistet das Design gut. Ein Passwort, das in eine E-Mail oder in Slack eingefügt wird, liegt in zwei Postfächern, zwei Suchindizes und jeder Sicherung von beiden. Ein Passwort hinter einem Einmal-Link existiert beim Dienst nur bis zum ersten Öffnen. Danach ist es weg, und der Link, der im Chatverlauf bleibt, führt ins Leere. Dieser Schutz ist echt, und deshalb sind Einmal-Links die richtige Grundeinstellung für Zugangsdaten, die verschickt werden müssen.
OneTimeSecret ergänzt zwei Kontrollen. Einen Ablauf, damit ein Link, den niemand öffnet, nicht unbegrenzt bestehen bleibt. Und eine optionale Passphrase, damit sich ein Link, der an die falsche Person weitergeleitet wird, nicht einfach öffnen lässt.[1] Nutzen Sie beide jedes Mal.
Zwei weitere Punkte sprechen für den Dienst. Der Code ist öffentlich, und das Projekt bezeichnet ihn als von der Community geprüft. Das bieten die meisten gehosteten Konkurrenten nicht.[2] Außerdem sagt die Startseite, dass jedes Geheimnis in der Region gespeichert und verarbeitet wird, die Sie wählen. Das ist wichtig für Teams mit einer Vorgabe zur Datenresidenz.[1]
Was schützt OneTimeSecret nicht?
Drei Dinge: Der Betreiber hält den Schlüssel, ein verschickter Link lässt sich nicht zurückholen, und nichts hält fest, wer ihn geöffnet hat.
Der Betreiber hält den Schlüssel
In der Dokumentation von OneTimeSecret steht: „Ihre Geheimnisse werden auf unseren Servern sicher verschlüsselt, um den Datenschutz zu gewährleisten.“[2] Wörtlich genommen bedeutet das: Der Dienst erhält Ihren Klartext und verschlüsselt ihn erst danach. Der Betreiber oder jemand mit ausreichendem Zugriff auf dessen Systeme könnte ein Geheimnis also grundsätzlich lesen, solange es gespeichert ist. Bei einem Open-Source-Projekt, das seit Jahren offen betrieben wird, ist das eine vertretbare Vertrauensentscheidung, und die meisten treffen sie, ohne darüber nachzudenken. Es bleibt trotzdem eine Entscheidung. Ein Tool, das im Browser verschlüsselt und den Schlüssel in dem Teil des Links ablegt, den Browser nie an einen Server senden, streicht den Betreiber von der Liste derer, die das Geheimnis lesen könnten.
Eine Passphrase verkleinert das Risiko. Die öffentliche Dokumentation sagt aber nicht, wie die Passphrase gespeichert wird oder ob sie in den Schlüssel einfließt. Wie stark sie das Risiko senkt, können wir deshalb nicht sagen. Verwenden Sie trotzdem eine und schicken Sie sie über einen anderen Kanal als den Link.
Keine Möglichkeit, einen Link zurückzuholen
Nach dem Versand eines OneTimeSecret-Links zeigt die Ansicht für den Absender, ob das Geheimnis empfangen oder gelöscht wurde.[1] Wie sich ein ungelesener Link über ein Dashboard zurückrufen ließe, beschreibt die öffentliche Dokumentation nicht. Haben Sie Zugangsdaten an die falsche Person geschickt oder verlässt die Person das Unternehmen, bevor sie den Link öffnet, bleibt Ihnen nur, die Zugangsdaten zu erneuern oder den Ablauf abzuwarten. Für eine private Notiz ist das in Ordnung. Beim Admin-Passwort eines Kunden ist es die Lücke, die am meisten zählt.
Kein Nachweis, wer den Link geöffnet hat
Der kostenlose gehostete Tarif sagt Ihnen, dass ein Geheimnis geöffnet wurde. Einen Verlauf, wann, von wo oder ob vorher jemand eine falsche Passphrase probiert hat, führt er nicht. Der Audit-Verlauf ist eine Funktion von Team Plus und auf der Preisseite als Beta gekennzeichnet.[3] Kein Einmal-Link-Tool kann Ihnen sagen, wer einen Link geöffnet hat, denn ein Link trägt keine Identität. Ein Zeitstempel und ein grober Standort reichen aber, um zu entscheiden, ob Sie erneuern müssen. Lässt sich sehen, wer einen Einmal-Link geöffnet hat? vergleicht, was sieben Tools aufzeichnen.
Was ein Einmal-Link bei keinem Tool leisten kann
Das sind keine Probleme von OneTimeSecret, sondern Probleme von Einmal-Links. Sie gelten für LinkPilot genauso wie für alle anderen.
- Wird ein Link vor dem Öffnen weitergeleitet, landen die Zugangsdaten in falschen Händen. Ein kurzer Ablauf und eine Passphrase über einen zweiten Kanal sind die einzigen Gegenmittel.
- Eine Linkvorschau kann einen Einmal-Link verbrauchen, wenn der Dienst das Geheimnis schon bei einem einfachen Abruf anzeigt. OneTimeSecret zeigt vor dem Anzeigen eine Bestätigungsseite, LinkPilot ebenso. Prüfen Sie das Verhalten jedes anderen Tools, bevor Sie einen Link in Slack einfügen. Link-Scanner und Einmal-Geheimnisse erklärt den Mechanismus.
- Domains, die zum Verwechseln ähnlich sind. Die Kategorie hat Phishing-Klone angezogen (die dokumentierten Fälle betreffen Privnote, nicht OneTimeSecret). Tippen Sie die Domain selbst ein und rufen Sie ein Tool für vertrauliche Informationen nie über eine Anzeige auf.
Wann OneTimeSecret die richtige Wahl ist
- Sie wollen ein Tool für genau einen Zweck, dessen Quellcode Sie lesen und das Sie auf Ihrem eigenen Server betreiben können. LinkPilot lässt sich nicht selbst hosten, hier ist die Entscheidung also eindeutig.
- Sie verschicken gelegentlich ein privates Geheimnis und brauchen weder einen Nachweis noch eine Möglichkeit, es zurückzuholen.
- Datenresidenz ist eine feste Vorgabe, und die Regionen, die OneTimeSecret anbietet, passen zu Ihrer.
Wann ein anderes Tool besser passt
- Sie müssen einen Link nach dem Versand widerrufen können.
- Sie brauchen einen Nachweis über jedes Öffnen, für ein Audit, einen Sicherheitsfragebogen eines Kunden oder Ihre eigene Reaktion auf Vorfälle.
- Das Geheimnis soll verschlüsselt sein, bevor es Ihren Browser verlässt, damit kein Betreiber den Schlüssel hält.
- Sie teilen vertrauliche Informationen als Team und wollen Rollen, einen Workspace und eine Slack-App statt eines persönlichen Kontos.
Für diese Fälle verschlüsselt der kostenlose Generator für One-Time-Secret-Links von LinkPilot im Browser, ohne Konto. Widerruf, der Verlauf pro Geheimnis und Passphrasen gibt es im Pro-Tarif, den direkten Vergleich finden Sie unter LinkPilot vs. OneTimeSecret. Weitere Tools, darunter Password Pusher, PrivateBin und Yopass für alle, die selbst hosten wollen, vergleicht die besten OneTimeSecret-Alternativen. Die Methode zum Teilen von Passwörtern selbst beschreibt sicheres Teilen von Passwörtern im Team.
OneTimeSecret sicher verwenden
- Tippen Sie onetimesecret.com selbst ein und folgen Sie keiner Suchanzeige.
- Wählen Sie den kürzesten Ablauf, den der Empfänger einhalten kann.
- Setzen Sie eine Passphrase und schicken Sie sie über einen anderen Kanal als den Link (Link per E-Mail, Passphrase per Chat oder Telefon).
- Sehen Sie nach einem Tag in die Absenderansicht. Wurde das Geheimnis nicht empfangen, erneuern Sie die Zugangsdaten, statt den Link noch einmal zu schicken.
- Schreiben Sie das Geheimnis und seinen Kontext (welches System, welches Konto) nie in dieselbe Nachricht.
Quellen
[1] Onetime Secret. Homepage. https://onetimesecret.com/. Abgerufen am 19. Oktober 2026.
[2] Onetime Secret. Documentation. https://docs.onetimesecret.com/. Abgerufen am 19. Oktober 2026.
[3] Onetime Secret. Pricing. https://onetimesecret.com/en/pricing. Abgerufen am 19. Oktober 2026.
[4] Quellcode-Repository von OneTimeSecret. https://github.com/onetimesecret/onetimesecret.