Wie OneTimeSecret nach eigenen Angaben ein Geheimnis schützt
Die Sicherheitsübersicht von Onetime Secret beschreibt das Modell in Kürze: Ein Geheimnis ist dafür gedacht, einmal angesehen und dann dauerhaft vernichtet zu werden, und ein ungeöffnetes Geheimnis lässt sich löschen. Geheimnisse sind in allen Tarifen bei der Übertragung und im Ruhezustand verschlüsselt, jedes Geheimnis hat einen Ablauf, und eine optionale Passphrase fügt eine Schicht hinzu, die der Link allein nicht öffnen kann. Die Seite zum Datenschutz ergänzt, dass die Übertragung mit TLS geschützt ist, dass der Dienst nur die Metadaten aufbewahren will, die für den Betrieb nötig sind, und dass Sie die Region wählen können, in der Daten verarbeitet und gespeichert werden. Auf der Startseite steht, dass die Daten dauerhaft vernichtet werden, sobald der Empfänger den Link öffnet, und dass niemand sie abrufen kann, auch Onetime Secret nicht.
Das sind die richtigen Eigenschaften für ein Tool für Einmal-Geheimnisse, und sie sind klar benannt.
Der eine Punkt, zu dem die Dokumentation nichts sagt
Weder die Sicherheitsübersicht noch die Seite zum Datenschutz sagt, wo die Verschlüsselung stattfindet: in Ihrem Browser, bevor das Geheimnis gesendet wird, oder auf den Servern von Onetime Secret, nachdem es dort ankommt. Dieser Unterschied entscheidet, ob der Betreiber ein Geheimnis lesen könnte, solange es gespeichert ist. Verschlüsselung im Ruhezustand schützt die Datenbank vor jemandem, der den Datenträger stiehlt. Für sich allein hindert sie den Dienst, der den Schlüssel hält, nicht daran, den Datensatz zu entschlüsseln. Die Seiten beschreiben außerdem nicht, wie eine Passphrase verarbeitet oder gespeichert wird, und die maximale Ablaufzeit ist nur als Tarifgrenze angegeben.
Das ist kein Vorwurf. Onetime Secret ist Open Source und lässt sich selbst hosten. Wer es wissen muss, kann also den Code lesen oder eine eigene Instanz betreiben, und das ist eine stärkere Garantie als jede Marketingseite. Es ist schlicht eine Frage, die die Dokumentation des gehosteten Dienstes offenlässt. Wenn der Betreiber zu Ihrem Bedrohungsmodell gehört, ist es die Frage, die Sie stellen sollten.
One Time Secret in der Bewertung: was der Dienst gut macht
Der Dienst ist einfach, für Einzelpersonen und Teams kostenlos, Open Source und lässt sich über ein verlinktes GitHub-Repository selbst hosten. Löschen vor dem Aufruf, Passphrasen und Ablauf decken die Einstellungen ab, die die meisten brauchen. Außerdem können Sie eine Datenregion wählen. Das bieten nur wenige Wettbewerber an, und LinkPilot bietet es nicht. Für ein gelegentliches persönliches Geheimnis oder für ein Team, das den Dienst selbst betreiben will, bleibt er eine solide Wahl.
Worin sich LinkPilot unterscheidet
LinkPilot beantwortet die offene Frage ausdrücklich: Das Geheimnis wird in Ihrem Browser mit AES-GCM-256 verschlüsselt. Der Schlüssel steht hinter dem # im Link, also dort, wo Browser ihn nie mitsenden. Unsere Server, unsere Datenbank und unser Edge-Netzwerk halten Geheimtext und keinen Schlüssel. Der Code dafür liegt mit Testvektoren im CLI-Repository unter MIT-Lizenz. Die Seite zur Sicherheitsarchitektur nennt das Modell und seine Grenzen. Dazu gehört, dass Geheimnisse, die vor dem 29. September 2026 erstellt wurden, bis zu ihrem Ablauf als Klartext gespeichert waren und dass Name, Größe und Typ einer angehängten Datei für uns sichtbar sind.
Um das Geheimnis herum ergänzt LinkPilot den Widerruf über ein Dashboard, Dateianhänge, Teamrollen und mit Pro eine Passphrase, die in den Entschlüsselungsschlüssel einfließt, sowie einen Audit-Verlauf. Self-Hosting und die Wahl einer Datenregion bietet LinkPilot nicht. Die Seite zur OneTimeSecret-Alternative und der vollständige Vergleich wägen dieses Für und Wider ab.