Ist Privnote sicher? Ist privnote.com seriös?

Privnote reicht für eine private Notiz, nicht für Zugangsdaten: dokumentiertes Phishing über Klone, nicht prüfbare Verschlüsselung, kein Widerruf.

W. Miller · 9. Juli 2026 · Aktualisiert am 22. Oktober 2026

Ist Privnote sicher? Für eine Notiz, bei der es Sie nicht stört, wenn die falsche Person sie einmal liest: ja. Für ein Passwort, einen API-Schlüssel oder irgendetwas, das einem Unternehmen wichtig ist: nein. Ist privnote.com seriös? Ja. Es ist der echte Dienst, und er läuft seit Jahren. Die Gefahr sind die nachgebauten Seiten drumherum.

Der Mechanismus mit dem einmaligen Aufruf funktioniert. Die drei Risiken unten betreffen alles um ihn herum, und das erste hat echte Menschen echtes Geld gekostet.

Aktualisiert am 2. Oktober 2026. Ergänzt: was wir aus dem Quelltext der Live-Seite über die Verschlüsselungsbibliothek von Privnote prüfen konnten, und das 2024 von Krebs on Security dokumentierte Netz von Klonen. Korrigiert: eine frühere Aussage über die Verschlüsselung von LinkPilot. Wo dieser Beitrag „wir haben geprüft“ sagt, ist das Prüfdatum der 2. Oktober 2026.

Dieser Beitrag ist das Urteil zur Sicherheit. Wenn Sie schon wissen, dass Sie etwas anderes wollen, vergleicht die Übersicht die besten Privnote-Alternativen sieben Tools nach Verschlüsselung, Widerruf, Audit-Logs und Preis, und LinkPilot vs. Privnote ist der direkte Vergleich mit unserem eigenen Produkt. Wenn Sie heute ein Passwort versenden müssen, erklärt der Leitfaden zum sicheren Teilen von Passwörtern den sicheren Weg, das kostenlose Tool für selbstlöschende Notizen funktioniert ohne Konto, und die Preise von LinkPilot zeigen, was Free und Pro enthalten.

Was macht Privnote gut?

Das muss man anerkennen: Das Kernprodukt ist wirklich bequem. Kein Konto, Notiz einfügen, Link bekommen, nach dem Lesen wird die Notiz gelöscht. Laut Privnotes eigener Seite wird die Notiz „in Ihrem Browser verschlüsselt und dann bei Privnote gespeichert“. Die Seite bietet ein „manuelles Passwort“ zum Verschlüsseln der Notiz, Ablaufzeiten von 1 Stunde, 24 Stunden, 7 Tagen oder 30 Tagen, eine E-Mail-Benachrichtigung, wenn die Notiz gelöscht wird, und den vernünftigen Rat, das Passwort auf „einem anderen Weg“ als den Link zu schicken.^[1] Für „hier ist das WLAN-Passwort, nach dem Lesen löschen“ zwischen Menschen, die einander vertrauen, reicht das.

Welche 3 Risiken gibt es?

1. Phishing über geklonte Seiten, die Ihre Notiz mitlesen

Die Bekanntheit von Privnote hat nachgebaute Domains hervorgebracht, und die am besten dokumentierten wurden zum Stehlen gebaut.

Im Juni 2020 berichtete Brian Krebs, dass privnotes.com (mit „s“) Privnote imitierte, Notizen gar nicht verschlüsselte und ein Skript ausführte, das Bitcoin-Adressen in einer Notiz erkannte und durch eigene Adressen der Betrüger ersetzte. Das geschah nur, wenn Absender und Empfänger die Notiz von unterschiedlichen IP-Adressen öffneten. Wer die eigene Notiz zur Kontrolle aufrief, sah den Austausch also nie.^[2] Im April 2024 dokumentierte er ein ganzes Netz von Klonen, darunter privnote[.]co, tornote[.]io, privatenote[.]io, pirvnota[.]com, privatemessage[.]net, privnode[.]com und privnate[.]com, die „mehr oder weniger wie beworben funktionieren, aber still ihre eigenen Kryptowährungs-Zahlungsadressen einfügen, wenn eine Notiz erstellt wird, die Krypto-Wallets enthält“. Vier Adressen, die zu einer dieser Seiten gehörten, nahmen in vier Tagen fast 18.000 $ ein, und die Betreiber wechselten ungefähr alle fünf Tage zu neuen Adressen.^[3]

Die Gefahr ist nicht die echte Seite. Die Gefahr ist, dass ein Klick auf ein Suchergebnis oder eine Anzeige Sie auf eine überzeugende Fälschung bringt, deren einziger Zweck es ist, Ihr Geheimnis zu lesen. Wenn Sie Privnote nutzen, tippen Sie die Domain selbst ein. Ein Reputations-Check wie unser kostenloses Tool Link Trust Score zeigt Ihnen schnell, ob eine verdächtige URL plausibel ist, bevor Sie etwas hineinkopieren.

2. Verschlüsselung, die Sie nicht prüfen können

Privnote sagt, Notizen seien so verschlüsselt, dass der Server sie nicht lesen kann. 2020 sagte das Unternehmen gegenüber Krebs, das echte Privnote nutze Verschlüsselung, „sodass nicht einmal Privnote selbst den Inhalt lesen kann“.^[2] Das kann durchaus stimmen. Der Code ist aber nicht öffentlich, also kann niemand außerhalb des Unternehmens es bestätigen, und was von außen zu sehen ist, beruhigt nicht.

Was wir am 2. Oktober 2026 prüfen konnten und was nicht:

• Geprüft: Die Live-Seite von privnote.com lädt aus ihren statischen Dateien eine JavaScript-Datei namens gibberish-aes.js.^[1]
• Geprüft: Das ursprüngliche Gibberish-AES-Projekt auf GitHub wurde am 16. Oktober 2018 archiviert (schreibgeschützt). Laut seiner eigenen README unterstützt es „nur den Verschlüsselungsmodus CBC AES“, ist auf Kompatibilität mit der MD5-basierten Schlüsselableitung von OpenSSL ausgelegt und trägt einen Hinweis, dass es veraltet ist. Dieser empfiehlt stattdessen libsodium oder die Stanford JavaScript Crypto Library, weil Gibberish-AES „ziemlich alt ist und einen älteren, nicht authentifizierten Verschlüsselungsmodus nutzt, CBC“.^[4]
• Nicht geprüft: Wir haben den minifizierten Anwendungscode von Privnote nicht per Reverse Engineering untersucht. Wir haben also nicht bestätigt, dass heute genau diese Bibliothek eine neue Notiz verschlüsselt und nicht nur ein alter Codepfad für ältere Notizen ist. Verstehen Sie den Befund als „die einzige Krypto-Bibliothek, die die Seite ausliefert“, nicht als Beweis dafür, was tatsächlich läuft.

Zum Vergleich Tools, deren Quellcode Sie lesen können: PrivateBin dokumentiert 256-Bit-AES im Galois Counter Mode (einem authentifizierten Modus), ausgeführt im Browser, mit dem Schlüssel im Teil des Links nach dem #,^[5] und Yopass verschlüsselt im Browser mit OpenPGP unter der Lizenz Apache-2.0.^[6] Bei einem Tool für Geheimnisse ist „Vertrauen Sie uns“ eine deutlich schwächere Position als „Prüfen Sie selbst“.

3. Keine Möglichkeit, einen Fehler rückgängig zu machen

Die Notiz an die falsche Person geschickt? Es gibt kein Dashboard, um sie zu widerrufen. Sie müssen einem Kunden belegen, dass Zugangsdaten nie geöffnet wurden? Es gibt keinen Audit-Verlauf: Die E-Mail zur Löschung sagt Ihnen, dass die Notiz gelesen wurde, aber nicht von wem oder von wo. Sie fragen sich, ob der gewünschte Empfänger sie gelesen hat oder ein E-Mail-Sicherheitsgateway, das den Link abgerufen hat? Das können Sie nicht erkennen.

Für private Notizen spielt nichts davon eine Rolle, bei der Arbeit alles.

Was sollten Sie stattdessen nutzen?

Den vollständigen Vergleich der sieben Tools mit Preistabelle und Quellenangabe zur Preisseite jedes Anbieters finden Sie unter die besten Privnote-Alternativen. Unser eigenes Produkt im Vergleich zu Privnote, Funktion für Funktion und mit dem ehrlichen Hinweis, dass LinkPilot nur gehostet verfügbar und nicht quelloffen ist, finden Sie unter LinkPilot vs. Privnote. Um den Mechanismus ohne Konto auszuprobieren, nutzen Sie für ein Passwort oder einen Schlüssel den Generator für Einmal-Links und für eine Nachricht das Tool für selbstlöschende Notizen.

Korrekturverlauf: In der ersten Fassung dieses Beitrags stand, LinkPilot behaupte nicht, im Browser zu verschlüsseln. Seit dem 29. September 2026 verschlüsselt LinkPilot Texte und Anhänge im Browser, der Schlüssel steht im Teil des Links nach dem #. Geheimnisse, die vor diesem Datum erstellt wurden, lagen bis zu ihrem Ablauf als Klartext vor. Hier steht genau, was LinkPilot zusagt.

Wie nutzen Sie ein Tool für Einmal-Notizen sicher?

1. Tippen Sie die Domain selbst ein. Rufen Sie ein Tool für Geheimnisse nie über Anzeigen oder Suchergebnisse auf. Genau so funktioniert der Angriff über geklonte Seiten.
2. Fügen Sie eine Passphrase hinzu und schicken Sie sie über einen anderen Kanal als den Link.
3. Wählen Sie den kürzesten praktikablen Ablauf, damit ungeöffnete Notizen von selbst verschwinden.
4. Erneuern Sie das Geheimnis, wenn Ihnen etwas merkwürdig vorkommt. Ein Status „gelöscht“, obwohl noch niemand die Notiz gelesen haben sollte, oder eine E-Mail zur Löschung, bevor der Empfänger den Link geöffnet hat, ist Ihr Frühwarnzeichen: Jemand anderes hat die Notiz geöffnet.
5. Schreiben Sie das Passwort selbst nie in eine E-Mail oder einen Chat, nur den Link. Unser Leitfaden zum sicheren Teilen von Passwörtern vergleicht die fünf Wege, auf denen Teams Zugangsdaten teilen, und erklärt, warum diese Regel wichtig ist.

Der Mechanismus mit dem einmaligen Aufruf ist eine wirklich gute Idee, deshalb setzen ihn so viele Tools um. Bei der Sicherheitsfrage geht es um alles um den Mechanismus herum: wer ihn betreibt, ob Sie ihn prüfen können und was Sie tun können, wenn etwas schiefgeht. Beurteilen Sie Privnote und jede Alternative, unsere eingeschlossen, nach diesen drei Fragen.

Quellen

[1] Privnote. Home page and page source (geprüft am 2. Oktober 2026). https://privnote.com/

[2] Krebs, B. (14. Juni 2020). Privnotes.com Is Phishing Bitcoin from Users of Private Messaging Service Privnote.com. Krebs on Security. https://krebsonsecurity.com/2020/06/privnotes-com-is-phishing-bitcoin-from-users-of-private-messaging-service-privnote-com/

[3] Krebs, B. (4. April 2024). Fake Lawsuit Threat Exposes Privnote Phishing Sites. Krebs on Security. https://krebsonsecurity.com/2024/04/fake-lawsuit-threat-exposes-privnote-phishing-sites/

[4] mdp/gibberish-aes. A fully OpenSSL compliant javascript library for AES encryption (Repository archiviert am 16. Oktober 2018). GitHub. https://github.com/mdp/gibberish-aes

[5] PrivateBin/PrivateBin. A minimalist, open source online pastebin where the server has zero knowledge of pasted data. GitHub. https://github.com/PrivateBin/PrivateBin

[6] jhaals/yopass. Secure sharing of secrets, passwords and files. GitHub. https://github.com/jhaals/yopass