Ein Passwortmanager speichert Zugangsdaten, die ein Team immer wieder braucht. Ein Einmal-Link übergibt Zugangsdaten einmal an eine Person und vernichtet danach die Kopie, die er transportiert hat. Nutzen Sie den Manager als maßgebliche Ablage und den Link für die Übergabe. Die meisten sicherheitsbewussten Teams brauchen beides, und die meiste Reibung entsteht, wenn das eine dort eingesetzt wird, wo das andere hingehört.
Wofür das jeweilige Werkzeug gebaut ist
| Aufgabe | Passwortmanager | Secret-Link |
|---|---|---|
| Unbefristete Speicherung | Ja | Nein |
| Teilen mit Personen ohne Tresor-Zugang | Umständlich | Kernfunktion |
| Einmalige Zustellung | Möglich | Standardverhalten |
| Nachverfolgung von Passwortwechseln | Ja | Nein |
| Audit-Log jedes Abrufs | Eingeschränkt | Pro Geheimnis |
| Funktioniert ohne Registrierung des Empfängers | Nein | Ja |
| Autofill in Browser und CLI | Ja | Nein |
| Garantiertes Vergessen nach der Übergabe | Nein | Ja, durch Löschung oder Ablauf |
Ein Manager ist eine maßgebliche Ablage. Ein Secret-Link ist ein Zustellweg, der zuverlässig vergisst: Nach der Übergabe wird der Link gelöscht, läuft ab oder wird widerrufen, und die URL, die im Chat oder in der E-Mail zurückbleibt, führt ins Leere.
Wann der Passwortmanager die bessere Wahl ist
- Ein bekanntes Team wird die Zugangsdaten wiederholt nutzen.
- Sie wollen eine einzige verbindliche Kopie, die sich überall aktualisiert.
- Der Empfänger ist bereits in Ihrem Tresor.
- Sie brauchen Autofill in Browsern und CLI-Tools.
- Sie wollen Warnungen bei Datenlecks und Berichte über schwache Passwörter für den gesamten Bestand an Zugangsdaten.
Wann der Secret-Link die bessere Wahl ist
- Der Empfänger ist ein Freelancer, ein Kunde oder ein Dienstleister, der nicht in Ihrem Tresor ist und auch nie sein wird.
- Sie müssen die Zugangsdaten nur einmal zustellen.
- Sie wollen für die Übergabe einen eindeutigen Audit-Eintrag wie „um 14:32 gelesen“, der genau an diese Zustellung gebunden ist.
- Es geht um ein kurzlebiges Token, ein Einmalpasswort (OTP) oder ein Rotationsgeheimnis, das nirgends liegen bleiben soll.
- Der sensible Wert soll aus dem Kanal verschwinden, den Sie zwangsläufig nutzen müssen. E-Mail und Chat bewahren alles auf; ein gelöschter Link bewahrt nichts auf.
Auswahl nach Situation
| Situation | Greifen Sie zu | Warum |
|---|---|---|
| Ein Teammitglied in Ihrem Tresor braucht den Staging-Login | Passwortmanager | Teilen Sie den Tresor-Eintrag; er bleibt nach einem Passwortwechsel aktuell |
| Ein Freelancer braucht für einen zweiwöchigen Auftrag ein Datenbank-Passwort | Secret-Link | Kein Tresor-Platz nötig; die Zustellung ist nachprüfbar; nichts bleibt liegen |
| Zugangsdaten für den ersten Arbeitstag einer neuen Person im Team | Beides | Die Werte liegen im Manager; die Übergabe läuft über einen Einmal-Link |
| Ein Kunde braucht den API-Schlüssel, den Sie für ihn angelegt haben | Secret-Link | Kunden sind nie in Ihrem Tresor; eine E-Mail würde den Schlüssel für immer aufbewahren |
| Wer einen Sicherheitsvorfall bearbeitet, braucht sofort das erneuerte Admin-Passwort | Secret-Link | Kurzer Ablauf; im Vorfall-Kanal steht am Ende nur eine tote URL |
| WLAN-Passwort fürs Büro | Passwortmanager (geteilter Tresor) | Langlebig, wenig sensibel, wird immer wieder gebraucht |
Drei Beispiele Schritt für Schritt
Übergabe an einen Freelancer
- Holen Sie die Zugangsdaten aus dem Manager (oder besser: Legen Sie eigene, eingeschränkte und befristete Zugangsdaten nur für den Freelancer an).
- Erstellen Sie einen Einmal-Link: Löschen nach einem Abruf, Ablauf nach 24 Stunden, Passphrase gesetzt.
- Schicken Sie den Link per E-Mail, die Passphrase per SMS oder als Slack-Direktnachricht.
- Achten Sie auf das Abruf-Ereignis. Sobald der Link gelesen wurde, ist er tot, und der E-Mail-Verlauf enthält nichts Sensibles.
- Wenn der Auftrag endet, widerrufen Sie die Zugangsdaten an der Quelle.
Onboarding neuer Mitarbeitender
Der Manager hält die verbindlichen Werte. Das Problem bei der Übergabe: Die neue Person ist noch nicht im Tresor, ihre ersten Zugangsdaten sind der Tresor-Zugang. Stellen Sie diese Start-Zugangsdaten über einen Einmal-Link zu, der noch am selben Tag abläuft. Alles Weitere läuft wie gewohnt über den Manager.
API-Schlüssel an Kunden zustellen
Schicken Sie niemals den Schlüssel selbst per E-Mail: E-Mails liegen unbegrenzt auf mehreren Servern und sind ein Hauptziel bei Kontoübernahmen. Erzeugen Sie den Schlüssel, senden Sie einen Einmal-Link, und nutzen Sie die Löschung zugleich als Zustellbestätigung. Läuft der Link ungelesen ab, wissen Sie, dass die Zustellung gescheitert ist, bevor sich der Kunde beschwert. Stellen Sie dann einen neuen Link aus.
Das kombinierte Muster, bei dem die meisten Teams landen
- Die langlebigen Zugangsdaten des Teams liegen im Passwortmanager (1Password, Bitwarden, Vaultwarden).
- Braucht jemand außerhalb des Tresors Zugangsdaten, holt ein berechtigtes Teammitglied sie aus dem Manager und schickt einen Secret-Link mit kurzem Ablauf.
- Der Empfänger legt die Zugangsdaten in seinem Manager ab.
- Der Link wird gelöscht. Der Manager behält die verbindliche Kopie und den Verlauf der Passwortwechsel.
So teilen sich die Nachweise sinnvoll auf: Der Manager beantwortet „Wer hat worauf Zugriff?“, der Link beantwortet „Wann fand die Übergabe statt, und hat genau eine Person den Inhalt gelesen?“
Und die eingebauten Freigabelinks der Manager?
Mehrere Manager bieten inzwischen eigene Freigaben mit Ablaufdatum an, etwa 1Password item sharing und Bitwarden Send (Stand Juli 2026; prüfen Sie die aktuelle Dokumentation, bevor Sie sich auf Details verlassen). Spielt sich bei Ihnen alles in einem einzigen Manager ab, sind diese Funktionen eine legitime und bequeme Lösung.
Ein eigener Secret-Link lohnt sich trotzdem, wenn Sie eine Passphrase über einen separaten Kanal übermitteln wollen, einen Audit-Verlauf pro Geheimnis brauchen, auf den Sie später verweisen können, Schutz vor Vorschau-Bots in Chat und E-Mail wünschen oder ein Tool brauchen, das nichts darüber voraussetzt, welchen Manager die andere Seite nutzt (falls überhaupt einen).
Und die Rotation?
Ein Secret-Link verfolgt keine Passwortwechsel. Teilen Sie denselben Wert zweimal über zwei verschiedene Links, weiß keiner der beiden Links vom anderen. Für die Übergabe ist das in Ordnung, für die laufende Verwaltung ist es nutzlos. Diese Aufgabe bleibt beim Manager, und jeder Passwortwechsel ist eine neue Übergabe mit einem neuen Link.
Grenzen und ehrliche Einschränkungen
- Ein Secret-Link ist kein Speicher. Legt der Empfänger den Wert nicht in seinem eigenen Manager ab, bevor der Link gelöscht wird, müssen Sie ihn neu ausstellen. Sagen Sie das beim Versenden ausdrücklich dazu.
- Kein Werkzeug schützt vor dem Empfänger. Hat ein Mensch die Zugangsdaten einmal gelesen, kann er sie überallhin kopieren. Beide Werkzeuge schützen Übertragung und Speicherung, nicht das andere Ende.
- Kennen Sie das Verschlüsselungsmodell Ihres Anbieters. Seriöse Passwortmanager verschlüsseln Tresore Ende-zu-Ende, und das gilt auch für Texte in Secret-Links von LinkPilot: Der Inhalt wird in Ihrem Browser verschlüsselt, und der Schlüssel bleibt im Teil des Links nach dem #. Ein Betreiber kann ein aktives Geheimnis also nicht lesen. Passphrasen werden auf dem Gerät gehasht, und gelöschte Inhalte werden unwiderruflich überschrieben. Angehängte Dateien werden genauso verschlüsselt. Aktualisierung vom 29. September 2026: Dieser Punkt besagte früher, dass Secret-Links nicht Ende-zu-Ende-verschlüsselt seien. Das traf bis zu diesem Datum zu. Die Details stehen auf der Seite zur Sicherheitsarchitektur.
- Das Master-Passwort des Managers ist ein Single Point of Failure. Das ist der Preis einer maßgeblichen Ablage. Schützen Sie es mit einer starken Passphrase und hardwaregestützter 2FA.
Kostenlos testen, ohne Anmeldung
One-Time-Secret-Link-Generator
Teilen Sie ein Passwort oder eine Notiz über einen Link, der sich nur einmal öffnen lässt.
Weiterlesen
- API-Schlüssel sicher teilen
- Passwörter sicher teilen: 5 Methoden im Vergleich
- LinkPilot vs. OneTimeSecret
Quellen
- 1Password Support, Share items with anyone.
- Bitwarden Help Center, About Send.