Die kurze Antwort: welche Methode in welcher Situation
Die meisten Ratschläge zum Teilen von Passwörtern drehen sich um Tools. Die nützliche Frage ist einfacher: Wie lange müssen diese Zugangsdaten gültig bleiben, und wer braucht sie? Wer das beantwortet, hat die Methode schon gefunden.
| Situation | Methode | Warum |
|---|---|---|
| Zugangsdaten, die das ganze Team monatelang nutzt (gemeinsamer SaaS-Login, Dienstkonto) | Gemeinsamer Tresor im Passwortmanager | Sie müssen aktuell bleiben, an einer Stelle erneuert werden und Personen entzogen werden können, die das Team verlassen. |
| Eine einmalige Übergabe (erster Login eines neuen Teammitglieds, Admin-Passwort eines Kunden, Datenbank-Connection-String für einen Freelancer) | Einmal-Link | Der Wert wird einmal gelesen und dann vernichtet. Nichts bleibt in einem Postfach oder Chatverlauf zurück. |
| Ein Passwort für jemanden außerhalb Ihres Tresors (Kunde, Dienstleister, Freelancer) | Einmal-Link, Passphrase separat gesendet | Externe können Sie nicht in einen Firmentresor einladen. Für einen Link plus eine Passphrase über einen zweiten Kanal braucht die andere Seite kein Konto. |
| Ein einzelner WLAN-Schlüssel oder Türcode, persönlich | Laut aussprechen | Es entsteht keine Kopie. Das skaliert nicht und Tippfehler passieren, aber für einen einzelnen Wert reicht es. |
| Alles, immer | Nicht per E-Mail, Slack, Teams oder SMS | Alle vier behalten eine durchsuchbare Kopie, über die Sie keine Kontrolle haben. Lesen Sie, warum das die schlechtesten Kanäle sind. |
Die 5 Wege, auf denen Teams Passwörter teilen, im Vergleich
Jede der folgenden Methoden wird irgendwo täglich genutzt. Die Tabelle vergleicht sie nach den Eigenschaften, die nach dem Senden des Passworts zählen, denn erst dann geht etwas schief.
| Methode | Wer es später lesen kann | Wie lange es bestehen bleibt | Widerrufbar | Audit-Protokoll | Aufwand für den Empfänger | Am besten für |
|---|---|---|---|---|---|---|
| Tresor im Passwortmanager | Tresormitglieder mit Zugriff | Bis Sie es erneuern oder entfernen | Ja (Zugriff entziehen) | Ja (Ereignisprotokoll in Team-Tarifen) | Braucht ein Konto und eine Einladung | Langlebige Zugangsdaten im Team |
| Einmal-Link | Nur die erste Person, die ihn öffnet | Bis zum ersten Anzeigen oder zum Ablauf (LinkPilot: 1 Stunde, 24 Stunden oder 7 Tage in jedem Tarif mit Anmeldung, ein frei wählbares Datum mit Uhrzeit in Pro; das Tool ohne Konto nutzt standardmäßig 7 Tage) | Ja, bis er angezeigt wurde | Ja (erstellt / angezeigt / gelöscht / widerrufen) | Keiner: ein Link und in Pro eine Passphrase | Übergaben, Onboarding, Externe |
| Chat-Dienste (Slack, Teams, Signal) | Kanalmitglieder, Admins, später Hinzukommende, Exporte | In bezahlten Slack-Tarifen standardmäßig die gesamte Lebensdauer des Workspaces | Löschen entfernt eine Kopie, Exporte und Screenshots bleiben | Teilweise (Admin-Audit, nicht pro Geheimnis) | Keiner | Nichts Vertrauliches: den Link senden, nie den Wert |
| Beide Postfächer, beide Anbieter, Backups, jedes synchronisierte Gerät | Unbegrenzt | Nein | Nein | Keiner | Einen Link zum Geheimnis transportieren, nie das Geheimnis selbst | |
| Mündlich, Telefon oder SMS | Mündlich: niemand. SMS: beide Telefone und der Mobilfunkanbieter | Mündlich: gar nicht. SMS: unbegrenzt | Nein | Nein | Gering, aber Tippfehler sind häufig | Ein einzelner Wert, persönlich |
Stand: 2026-10-02. Die Slack-Voreinstellung zur Aufbewahrung und die Zahlen zum SIM-Swapping sind in den Quellen am Ende dieses Leitfadens belegt. Das Verhalten von LinkPilot entspricht der Seite zur Sicherheitsarchitektur.
Gemeinsame Tresore im Passwortmanager
Für Zugangsdaten, die monatelang gelten, ist ein gemeinsamer Tresor in einem Passwortmanager wie 1Password, Bitwarden, Keeper, Psono oder einem anderen die richtige Standardlösung. Das Passwort liegt an einer Stelle, eine Erneuerung aktualisiert es für alle, Zugriff wird pro Sammlung vergeben, beim Offboarding entfernen Sie einfach einen Platz, und Team-Tarife bieten Ereignisprotokolle. Der Haken: Alle, die das Passwort brauchen, müssen im Tresor sein. Einem Kunden, einem Freelancer oder einem neuen Teammitglied ohne eingerichteten Zugang können Sie keinen Tresoreintrag übergeben.
Ein verschlüsselter Einmal-Link
Für den Moment der Übergabe ist ein Einmal-Link das richtige Werkzeug. Sie fügen das Passwort ein, erhalten eine URL und senden sie über den Kanal, den Sie ohnehin nutzen. Der Empfänger öffnet sie einmal: Der Inhalt wird angezeigt und dann vernichtet, und die URL, die im Verlauf zurückbleibt, zeigt ins Leere. Legen Sie einen kurzen Ablauf fest, damit ein ungeöffneter Link von selbst verfällt, und eine Passphrase, die über einen zweiten Kanal geht, damit ein abgefangener Link allein nutzlos ist. Sie können jetzt einen erstellen, ohne Konto. LinkPilot vs. Password Pusher und API-Schlüssel sicher teilen beschreiben dieselbe Mechanik für Tokens.
Chat-Dienste (Slack, Teams, Signal)
Chat wirkt flüchtig und ist das Gegenteil. Laut der eigenen Dokumentation von Slack werden Daten in bezahlten Tarifen „standardmäßig für die gesamte Lebensdauer Ihres Workspaces aufbewahrt“, und Workspace-Inhaber können sie exportieren. Teams und Google Chat unterliegen Aufbewahrungs- und eDiscovery-Richtlinien, die gerade verhindern sollen, dass Nachrichten verschwinden. Signal ist besser, mit verschwindenden Nachrichten und ohne Verlauf auf dem Server. Trotzdem liegt auch dort eine Kopie auf zwei Telefonen, dazu Screenshots und Backups außerhalb Ihrer Kontrolle. Außerdem ruft jeder Chat-Client Links für eine Vorschau ab, sobald sie gepostet werden. Deshalb muss ein Einmal-Link so gebaut sein, dass eine Vorschau ihn nicht löschen kann.
Ein per E-Mail gesendetes Passwort liegt im Klartext auf dem Mailserver des Absenders, auf dem des Empfängers, in den Backups beider und auf jedem Gerät, das das Postfach synchronisiert hat. Es übersteht Weiterleiten, Archivieren und die Übernahme eines Kontos, und ein Einbruch ins Postfach Jahre später legt alle Zugangsdaten offen, die je darüber verschickt wurden. Für einen Link zu einem Geheimnis ist E-Mail ein guter Weg. Das Geheimnis selbst gehört nie hinein.
Mündlich, Telefon und SMS
Wer ein Passwort im selben Raum laut vorliest, erzeugt keinerlei Kopie. Das ist die einzige Methode auf dieser Seite, die keine Spuren hinterlässt, und die einzige, die nicht skaliert. SMS ist der gefährliche Verwandte: Die Nachricht bleibt auf beiden Telefonen und in den Daten des Mobilfunkanbieters, und Telefonnummern werden gestohlen. Das Internet Crime Complaint Center des FBI verzeichnete allein für das Jahr 2021 1.611 Beschwerden wegen SIM-Swapping mit Verlusten von mehr als 68 Millionen $, nach 320 Beschwerden in den gesamten Jahren 2018–2020. SMS ist vertretbar für eine kurze Passphrase, die ohne den separat gesendeten Link nutzlos ist, aber nicht für das Passwort selbst.
Warum E-Mail, Slack und SMS die schlechtesten Kanäle sind
E-Mail, Chat und SMS haben eine Eigenschaft gemeinsam, die sie disqualifiziert: Es sind Archivsysteme. Jedes davon ist darauf ausgelegt, von jeder Nachricht eine getreue Kopie aufzubewahren, für immer und an Orten, die Sie nicht sehen. Ein Passwort, das Sie dort einfügen, ist praktisch für Ihren künftigen Angreifer veröffentlicht. Im Einzelnen:
- Unbegrenzte Aufbewahrung. Slack bewahrt die Daten bezahlter Workspaces standardmäßig für die gesamte Lebensdauer des Workspaces auf. Mailserver behalten E-Mails, bis jemand sie löscht, und Backups noch länger.
- Zugriff durch Admins und Exporte. Workspace-Inhaber können den Chatverlauf exportieren, und Mail-Administratoren können jedes Postfach öffnen, ohne die Erlaubnis des Absenders.
- eDiscovery und Legal Holds. Legal Holds gibt es, damit Nachrichten nicht gelöscht werden. Ein Passwort, das darin landet, lässt sich nicht mehr entfernen.
- Weiterleitungen und Screenshots. Jede Kopie lässt sich erneut kopieren. Die Zahl der Orte, an denen ein Passwort im Klartext liegt, wächst nur.
- Link-Vorschauen und Sicherheitsscanner. Chat-Clients und E-Mail-Gateways rufen jede URL ab, sobald sie gepostet wird. Ein naiv gebauter Secret-Link wird vom Vorschau-Bot gelöscht, bevor ein Mensch ihn öffnet. Lesen Sie, wie LinkPilot das verhindert.
- SIM-Swapping und neugierige Blicke bei SMS, und der Mobilfunkanbieter hat ebenfalls eine Kopie.
Die Lösung ist kein besseres Chat-Tool. Ändern Sie, was durch den Kanal geht: einen Verweis, der verfällt, statt des Werts selbst. Mehr dazu in Warum URLs vertrauliche Informationen preisgeben.
Passwortmanager oder Einmal-Link? Was wann passt
Beide ergänzen sich, statt zu konkurrieren. Ein Tresor dient der Aufbewahrung, ein Einmal-Link der Übermittlung. Der Tresor hält die Zugangsdaten, solange das Team sie braucht. Der Link bringt sie einmal zu einer Person und hinterlässt nichts.
Werden Zugangsdaten in Ihrer Organisation immer wieder genutzt, teilen Sie den Tresoreintrag. Müssen sie einmal eine Person erreichen, besonders jemanden außerhalb Ihres Tresors, senden Sie einen Einmal-Link. Falsch sind für beide Aufgaben E-Mail und Chat. Mehr dazu in Secret-Links und Passwortmanager im Vergleich.
So funktioniert ein Einmal-Link wirklich
Versprechen von „Verschlüsselung auf Militärniveau“ finden Sie hier nicht. Das ist das tatsächliche Modell, und es stimmt Zeile für Zeile mit unserer Seite zur Sicherheitsarchitektur überein. Sollten die beiden je voneinander abweichen, gilt die Seite zur Sicherheitsarchitektur.
Ihr Browser verschlüsselt
Seit dem 29. September 2026 wird der Inhalt clientseitig mit AES-GCM-256 verschlüsselt, mit einem 256-Bit-Schlüssel, den Ihr Browser erzeugt, bevor irgendetwas gesendet wird. Bei uns kommt nur Geheimtext an, in einer Tabelle secret_links, die von den Tabellen der Klickstatistik getrennt ist. Angehängte Dateien werden genauso verschlüsselt, mit einem Schlüssel, der aus dem Schlüssel des Geheimnisses abgeleitet ist. Ein Link öffnet also beides. Technische Details: Clientseitige Verschlüsselung beim Teilen von Geheimnissen.
Der Schlüssel steht im Teil des Links nach dem #
Der Link zum Teilen sieht so aus: shrd.link/s/<slug>#k=<key>. Alles nach dem # ist der Entschlüsselungsschlüssel, und Browser senden diesen Teil des Links an keinen Server, weder an uns noch an das CDN, das die Seite zum Anzeigen ausliefert. Wir erhalten den Schlüssel nie. Deshalb können wir das Geheimnis nicht lesen, es nicht wiederherstellen, wenn der Link verloren geht, und die URL nicht nachträglich erzeugen. Klar gesagt: Wer den vollständigen Link hat, hat den Schlüssel.
Eine Passphrase ist ein zweiter Faktor
In Pro wird eine Passphrase mit PBKDF2-SHA256 (210.000 Iterationen) gestreckt und über HKDF-SHA256 mit dem Schlüssel aus dem Link kombiniert. Weder der Link allein noch die Passphrase allein entschlüsselt das Geheimnis. Zusätzlich wird ein SHA-256-Hash der Passphrase gesendet, damit der Server den Geheimtext nicht an jemanden herausgibt, der sie nicht kennt. Die Passphrase selbst wird nie in unsere Datenbank oder unsere Logs geschrieben. Versuche sind auf 5 pro IP-Adresse, Minute und Geheimnis begrenzt, und jeder Fehlversuch landet im Audit-Protokoll. Zum Vergleich: NIST SP 800-63B verlangt, dass gespeicherte Merkgeheimnisse mit Salt versehen und mit einer Schlüsselableitungsfunktion wie PBKDF2 mit mindestens 10.000 Iterationen gehasht werden.
Löschen nach dem Lesen ist atomar
Ein Link mit Löschen nach dem Lesen gibt dem Empfänger genau eine Gelegenheit, den Inhalt zu sehen. Der Aufruf wird über eine einzige Datenbankfunktion mit Zeilensperre erfasst. Öffnen zwei Personen den Link im selben Augenblick, können also nicht beide ihn lesen. Ist das Limit erreicht, wechselt der Status auf gelöscht, und der gespeicherte Inhalt wird mit [REDACTED] überschrieben. Spätere Besuche erhalten HTTP 410 und eine eindeutige Seite mit dem Hinweis „bereits angezeigt“. Abgelaufene und widerrufene Geheimnisse werden genauso geschwärzt, und eine Wiederherstellung gibt es bewusst nicht.
Link-Vorschauen können ihn nicht löschen
Ein GET auf den Endpunkt zum Anzeigen liefert nur Metadaten: den Status und ob eine Passphrase nötig ist. Ein Aufruf wird ausschließlich über den ausdrücklichen POST erfasst, den ein Mensch mit einem Klick auf „Anzeigen“ auslöst, und jede Antwort darauf trägt Cache-Control: no-store. Chat-Clients und E-Mail-Sicherheitsgateways rufen Links als einfache GETs ab. Ihre Vorschauen sehen also nichts und löschen nichts. Einen Test, den Sie selbst durchführen können, finden Sie unter Link-Scanner und Einmal-Geheimnisse.
Was wir trotzdem sehen: drei ehrliche Grenzen
- Geheimnisse, die vor dem 29. September 2026 erstellt wurden, waren bis zu ihrem Ablauf im Klartext gespeichert. Sie wurden nie stillschweigend umgeschrieben. Sie funktionierten weiter wie bisher und verfielen mit ihrem Ablauf. Solange eines aktiv war, hätte ein Betreiber es lesen können. Anhänge, die vor diesem Datum hochgeladen wurden, blieben als unverschlüsselte Dateien gespeichert.
- Wer den vollständigen Link hat, hat den Schlüssel. Durch die clientseitige Verschlüsselung müssen Sie weder uns noch unserer Datenbank noch unserem Edge-Netzwerk vertrauen. Sie schützt aber keinen Link, der auf Seiten des Empfängers weitergeleitet, per Screenshot festgehalten oder protokolliert wurde.
- Name, Größe und Typ einer Datei bleiben für uns sichtbar. Das sind Metadatenspalten, der Inhalt ist es nicht. Pro Anzeigeversuch speichern wir außerdem einen Zeitstempel, eine gehashte IP-Adresse (SHA-256 mit täglich wechselndem Salt, gekürzt), einen groben Standort und den User-Agent. Nie speichern wir das Geheimnis, die Passphrase im Klartext oder die vollständige IP-Adresse, und es gibt keine Cookies beim Empfänger.
Audit-Protokolle und Compliance: was Prüfer wissen wollen
Wenn Zugangsdaten den Besitzer wechseln, fragen Prüfer nach drei Dingen: Wer hat was an wen gesendet, wurde es geöffnet, und lässt sich belegen, dass es weg ist? Ein Tresor beantwortet die erste Frage für interne Personen. Ein Einmal-Link mit Audit-Verlauf beantwortet alle drei für die Übergabe.
- Ereignisse pro Geheimnis. Jedes Geheimnis hat seinen eigenen Verlauf mit den Ereignissen created, viewed, failed_passphrase, burned, expired und revoked, jeweils mit Zeitstempel und gehashter IP-Adresse. Ein Aufruf, den Sie nicht erwartet haben, ist ein Abfangen, von dem Sie sonst nie erfahren hätten. Erneuern Sie dann die Zugangsdaten.
- Nachweis, dass nichts aufbewahrt wird. Gelöschte, abgelaufene und widerrufene Inhalte werden in der Datenbank überschrieben, nicht nur markiert. Die Aussage „Das Passwort ist nirgends mehr vorhanden“ stützt sich auf dieses Schwärzen, nicht auf ein Versprechen.
- Datensparsamkeit. Keine vollständigen IP-Adressen, keine Cookies beim Empfänger, keine Inhalte von Geheimnissen in Statistiken oder KI-Funktionen. Die Pipelines sind auf Daten- und Code-Ebene getrennt. Unsere DSGVO-Seite dokumentiert diesen Ansatz, und die Transparenzseite behandelt Anfragen, die wir erhalten.
- Ehrliche Abgrenzung. LinkPilot wirbt nicht mit SOC-2-, HIPAA- oder PCI-DSS-Testaten für Secret-Links. Betrachten Sie LinkPilot als kontrollierten Übergabekanal innerhalb Ihres eigenen Compliance-Programms, der E-Mail und Chat ersetzt, und nicht als zertifiziertes System zur verbindlichen Aufbewahrung.
Die Fakten zu den Tarifen, damit niemand erst nach dem Klick auf eine Grenze stößt: Free enthält 5 aktive Secret-Links mit Löschen nach dem Lesen und dem Standardablauf. Passphrasen, ein frei wählbarer Ablauf und der vollständige Audit-Verlauf gehören zu Pro für 29 $ im Monat. Zum Widerrufen brauchen Sie ein Konto, denn das anonyme Tool hat kein Dashboard. Details unter Preise.
Für MSPs: Onboarding, Übergaben und Offboarding
Ein Managed Service Provider teilt Zugangsdaten in drei wiederkehrenden Situationen, und jede sieht anders aus. Die Tabelle zeigt, welche Methode passt, nach derselben Überlegung wie im Rest dieses Leitfadens: wie lange die Zugangsdaten gültig bleiben und wer sie braucht.
| Situation | Methode | Warum |
|---|---|---|
| Kunden-Onboarding: das erste Admin-Passwort, ein Router-Login, ein globales Admin-Konto in M365 | Einmal-Link, Passphrase per Telefon oder SMS | Der Kunde hat keinen Platz in Ihrem Tresor. Ein Link, der beim ersten Lesen gelöscht wird, hinterlässt nichts in seinem Postfach, und mit der Passphrase auf einem zweiten Kanal ist eine abgefangene E-Mail allein nutzlos. |
| Übergabe von Zugangsdaten innerhalb Ihres Technikteams (ein Ticket wechselt die Zuständigkeit, die Rufbereitschaft wechselt) | Gemeinsamer Tresor für die dauerhaften Zugangsdaten, ein Einmal-Link für den erneuerten Wert | Der Tresor hält den aktuellen Wert an einer Stelle. Wenn Sie ihn erneuern, wird der neue Wert einmal übermittelt und dann vernichtet. |
| Offboarding eines Kunden oder einer Person aus dem Technikteam | Im Tresor erneuern, dann den Zugriff entziehen; ungelesene Links im Dashboard widerrufen | Ein nie geöffneter Link bedeutet Zugangsdaten, die noch unterwegs sind. Ihn zu widerrufen geht schneller, als zu raten, ob er gelesen wurde. |
| Nachweis für ein Audit oder den Sicherheitsfragebogen eines Kunden | Der Verlauf pro Geheimnis (Pro) | Erstellt, angezeigt, gelöscht, abgelaufen und widerrufen, jeweils mit Zeitstempel: Das beantwortet die Frage „Wer hatte wann Zugriff?“ ohne Suche im Chat. |
Zwei praktische Hinweise. Erstens erstellt die App LinkPilot für Slack Einmal-Geheimnisse direkt in dem Kanal, in dem Ihr Technikteam ohnehin arbeitet. Die Gewohnheit, Links zu nutzen, hängt dann nicht davon ab, an eine Website zu denken. Zweitens braucht der kostenlose Generator für Einmal-Links kein Konto. Das hilft, wenn Mitarbeitende eines Kunden Ihnen ein Passwort senden müssen: Schicken Sie ihnen den Link zum Tool, statt sie zu bitten, das Passwort in den Chat zu kopieren.
Eine Richtlinie zum Teilen von Passwörtern, die Sie übernehmen können
Die meisten Lecks bei Zugangsdaten in kleinen Teams entstehen aus Gewohnheit, nicht durch Angreifer. Sechs Regeln beseitigen diese Gewohnheit. Übernehmen Sie sie unverändert in Ihr Handbuch.
Richtlinie zum Teilen von Zugangsdaten
- Passwörter, API-Schlüssel, Tokens und Connection-Strings werden nie in E-Mail, Chat oder SMS geschrieben. Kein einziges Mal, auch nicht „nur dieses eine Mal“.
- Langlebige gemeinsame Zugangsdaten liegen im Team-Tresor. Geteilt wird der Tresoreintrag, nicht der Wert.
- Einmalige Übergaben laufen über einen Einmal-Link mit dem kürzesten praktikablen Ablauf und eingeschaltetem Löschen nach dem Lesen.
- Link und Passphrase gehen über verschiedene Kanäle, der Link per E-Mail, die Passphrase per Telefon oder Direktnachricht im Chat. Eine Passphrase wird nie wiederverwendet.
- Beim Onboarding erhalten neue Teammitglieder ihre ersten Zugangsdaten als Einmal-Links, und diese werden beim ersten Login erneuert. Bei einem Rollenwechsel oder beim Offboarding wird der Tresorzugriff noch am selben Tag angepasst, und alle Zugangsdaten, die die Person außerhalb des Tresors hatte, werden erneuert.
- Alles, was je in einen Chat oder eine E-Mail eingefügt wurde, wird bei der nächsten Verwendung erneuert, und die Chatnachricht wird gelöscht. Jeder unerwartete Aufruf im Verlauf eines Geheimnisses löst sofort eine Erneuerung aus.
Für Dienstleister und Freelancer gilt dasselbe, mit einer Ergänzung: Ihre Zugangsdaten bekommen im Tresor ein Ablaufdatum, das dem Vertragsende entspricht, und werden erneuert, sobald es erreicht ist.
Jetzt einen Einmal-Link für ein Passwort erstellen
Passwort einfügen, Ablauf festlegen, Link senden. Für ein einfaches Geheimnis brauchen Sie kein Konto. Mit einem Konto kommen Widerruf und Verlauf hinzu, mit Pro Passphrasen und ein frei wählbarer Ablauf.
Quellen
- Slack: Customize message and file retention policies (Daten werden standardmäßig für die gesamte Lebensdauer des Workspaces aufbewahrt)
- FBI IC3: Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public (öffentlicher Warnhinweis, 8. Februar 2022)
- NIST SP 800-63B: Digital Identity Guidelines, Authentication and Lifecycle Management (Richtlinien zur digitalen Identität), §5.1.1.2 Memorized Secret Verifiers
- Bitwarden: About Send (Text- und Datei-Sends, Ablauf, Zugriffszähler)
- LinkPilot: Sicherheitsarchitektur (die maßgebliche Beschreibung des oben erläuterten Modells)