Passwörter & Geheimnisse sicher einmalig teilen
Versenden Sie Passwörter, API-Keys und Client Secrets als Links, die genau einmal funktionieren. Verschlüsselt im Browser, bevor irgendetwas hochgeladen wird — der Server sieht nie den Klartext, und in Postfächern bleibt nichts zurück.
So funktioniert's
Warum Einmal-Links?
Alles, was Sie in E-Mails oder Chats einfügen, wird für immer archiviert — durchsuchbar, weiterleitbar und nur einen kompromittierten Account von der Öffentlichkeit entfernt. Ein Einmal-Link nimmt das Geheimnis aus diesem Archiv: Nach dem ersten Abruf gibt es nichts mehr zu stehlen.
Einmal-Semantik macht Abgriffe außerdem sichtbar. Öffnet ein Angreifer den Link vor dem eigentlichen Empfänger, findet dieser einen toten Link vor, Sie sehen den frühen Abruf — und wissen, dass das Geheimnis sofort rotiert werden muss. Bei einer normalen E-Mail würden Sie es nie erfahren.
Ende-zu-Ende verschlüsselt in Ihrem Browser
1xSecret verschlüsselt mit AES-256-GCM, bevor etwas hochgeladen wird. Der Schlüssel stammt aus einem zufälligen 256-Bit-Master-Key, der nur im Link-Fragment existiert (dem Teil nach „#“) — Browser übertragen Fragmente nie an Server. Der Betreiber speichert also Ciphertext, den er nicht entschlüsseln kann.
Ein optionales Abruf-Passwort wird mit Argon2id gestreckt und auf Ihrem Gerät in die Schlüsselableitung eingerechnet. Es ist für die Entschlüsselung selbst erforderlich — nicht bloß eine Serverprüfung — und verlässt Ihren Browser nie.
Der Abruf nutzt eine kryptografische Challenge: Ihr Browser beweist den Besitz des Schlüsselmaterials mit einer Ed25519-Signatur, bevor der Server den Ciphertext herausgibt und zerstört. Link-Scanner und Vorschau-Bots können ein Geheimnis nie verbrennen, und ein falsches Passwort verbraucht es nicht.
Was können Sie teilen?
Open Source & in Minuten selbst gehostet
1xSecret ist freie Software (AGPL-3.0). Betreiben Sie es per Docker Compose oder Helm-Chart auf Ihrer eigenen Domain, mit Ihrer eigenen PostgreSQL-Datenbank und eigenen Rechtstexten. Deutsch und Englisch sind eingebaut.
Der geschützte Modus beschränkt den Abruf auf Ihre Firmennetzwerke: Partner können Ihnen Geheimnisse senden und von Ihnen empfangen — Dritte können Ihre Instanz aber nicht untereinander nutzen.
Häufige Fragen
Was passiert genau, wenn ein Geheimnis angesehen wird?
In dem Moment, in dem der Empfänger auf „Einmalig ansehen“ klickt, prüft der Server die kryptografische Challenge, gibt den Ciphertext heraus und löscht ihn im selben atomaren Schritt. Nur der Abrufzeitpunkt bleibt (standardmäßig 30 Tage) erhalten, damit der Ersteller sehen kann, dass — und wann — abgerufen wurde.
Was ist, wenn der Link abgefangen wird?
Öffnet jemand den Link vor Ihrem Empfänger, findet dieser einen toten Link vor und meldet sich — der Abgriff wird sichtbar, und Sie rotieren das Geheimnis. Mit einem zusätzlichen Abruf-Passwort (über einen zweiten Kanal geteilt) kann der Dieb das Geheimnis gar nicht öffnen: Zehn Fehlversuche zerstören es.
Was sieht der Server eigentlich?
Ciphertext, einen zufälligen Salt, einen öffentlichen Schlüssel für die Challenge-Signatur und Zeitstempel. Nie den Klartext, nie den Schlüssel (er steckt im Link-Fragment, das Browser nicht übertragen), nie das Passwort. Selbst ein kompletter Datenbank-Dump erlaubt keine Entschlüsselung.
Warum sollte ich ein Abruf-Passwort setzen?
Der Link allein ist ein einzelner Faktor: Wer ihn hat, hat das Geheimnis. Ein Passwort über einen zweiten Kanal (Telefon, Chat, persönlich) macht daraus zwei Faktoren. Bei 1xSecret ist das Passwort Teil des Verschlüsselungsschlüssels selbst — es wird nie an den Server gesendet oder dort geprüft.
Kann ein Mail-Scanner oder eine Link-Vorschau mein Geheimnis „verbrauchen“?
Nein. Das Öffnen der Seite verbraucht das Geheimnis nie. Der Abruf erfordert einen bewussten Klick plus eine signierte kryptografische Challenge, die nur ein Browser mit dem Schlüsselmaterial (und Passwort) erzeugen kann.
Wie lange wird ein Geheimnis gespeichert?
Das wählen Sie: 10 Minuten bis 1 Monat. Was nicht rechtzeitig abgerufen wird, wird zerstört. Nach Abruf (oder Ablauf) bleibt nur ein anonymer Quittungs-Eintrag für 30 Tage — danach wird auch dieser gelöscht.
Kann ich sehen, ob mein Geheimnis abgerufen wurde?
Ja. Ihr Browser führt eine private, lokale Liste Ihrer erstellten Geheimnisse („Meine Geheimnisse“). Dort sehen Sie, ob und wann jedes einzelne abgerufen wurde — die Bezeichnung eines Eintrags verlässt Ihr Gerät nie.
Was ist der geschützte Modus?
Eine Self-Hosting-Option für Firmen. Aus freigegebenen Netzwerken (CIDR-Bereichen) erstellte Geheimnisse kann jeder mit dem Link abrufen; von außen erstellte Geheimnisse können nur innerhalb dieser Netzwerke abgerufen werden. Ihre Instanz bleibt für den Austausch mit Partnern nutzbar, ohne zum freien öffentlichen Dienst zu werden.
Ist 1xSecret kostenlos?
Ja — freie und quelloffene Software unter der AGPL-3.0-Lizenz. Sie können die gehostete Instanz nutzen oder in wenigen Minuten per Docker oder Helm Ihre eigene betreiben.
Warum ist das besser, als ein Passwort per E-Mail zu schicken?
E-Mails werden für immer gespeichert — in mindestens zwei Postfächern, oft unverschlüsselt, durchsuchbar und weiterleitbar. Ein Einmal-Link hält das Geheimnis aus dem Archiv heraus, macht Abgriffe erkennbar, läuft automatisch ab — und mit Abruf-Passwort reicht selbst ein kompromittiertes Postfach nicht aus.