EINMALPOST

Passwörter und vertrauliche Daten sicher weitergeben

Ein Text oder eine Datei, ein Link, ein einziger Abruf. Verschlüsselt wird in Ihrem Browser — der Server bekommt den Inhalt nie zu sehen. Danach ist er weg.

ODER EINE DATEI

Höchstens 16 MB. Die Datei wird genauso verschlüsselt wie ein Text — wir sehen weder Inhalt noch Namen.

So funktioniert einmalpost

  1. Text eingeben

    Ihr Browser erzeugt einen Schlüssel und verschlüsselt den Text damit. Beides geschieht auf Ihrem Gerät, bevor etwas gesendet wird.

  2. Link weitergeben

    Der Schlüssel steht hinter dem Rautezeichen des Links. Diesen Teil senden Browser grundsätzlich nicht an Server; wir bekommen ihn nie zu sehen.

  3. Einmal lesen

    Wer den Link öffnet und auf Anzeigen drückt, sieht den Inhalt ein einziges Mal. Im selben Moment löscht der Server ihn.

Warum ein Passwort nichts in einer Chatnachricht verloren hat

Zugangsdaten werden selten mit Absicht weitergegeben. Sie rutschen nebenbei in eine Nachricht, weil es gerade schnell gehen muss. Dort bleiben sie: im Verlauf des Chats, in der Sicherung des Mailkontos, im Postfach eines Kollegen, der die Nachricht weitergeleitet hat. Wer Monate später Zugriff auf eines dieser Postfächer bekommt, findet das Passwort immer noch.

einmalpost dreht das um: Der Inhalt liegt nicht in der Nachricht, sondern hinter einem Link, der sich beim ersten Abruf selbst zerstört. Was in Chat und Mail zurückbleibt, ist ein Link, der ins Leere führt. Und weil die Verschlüsselung in Ihrem Browser stattfindet, gibt es auch bei uns nichts zu holen: Auf dem Server liegt ein Schlüsseltext ohne Schlüssel.

Das ersetzt keinen Passwortmanager für dauerhafte Zugänge. Aber für den einen Zugang, den Sie jetzt weitergeben müssen, ist es der kürzere Weg: an eine Kollegin, an eine Kundin, an den Nachbarn, der das WLAN braucht.

Häufige Fragen

Kann der Server meine Nachricht lesen?

Nein. Der Text wird in Ihrem Browser verschlüsselt, bevor er den Rechner verlässt. Der Schlüssel steht nur im Teil des Links hinter dem Rautezeichen und wird von Browsern grundsätzlich nicht an Server übertragen. Auf dem Server liegt ein Schlüsseltext, den er selbst nicht lesen kann.

Brauche ich ein Konto?

Nein. Es gibt keine Anmeldung, keine Registrierung und keine E-Mail-Adresse. Sie schreiben einen Text und bekommen einen Link.

Kann ich einmalpost vertrauen?

Nur begrenzt — und das sagen wir lieber offen, als es zu verschweigen.

Die Verschlüsselung läuft in Ihrem Browser, aber das JavaScript dafür kommt von unserem Server. Ein manipulierter Server könnte Code ausliefern, der den Schlüssel zusätzlich mitschickt, und Sie würden es nicht bemerken. Das gilt für jeden Dienst dieser Art, auch für die bekannten.

Was Sie dagegen tun können: Der Quellcode liegt offen. Sie können vergleichen, was Ihnen ausgeliefert wird, und einmalpost auf Ihrem eigenen Server betreiben. Beweisen können wir es Ihnen nicht.

Was ist, wenn jemand den Link abfängt?

Dann hat derjenige alles. Der Link enthält den Schlüssel — wer ihn vollständig mitliest, kann den Inhalt öffnen. Einmal, wie jeder andere auch.

Verschicken Sie den Link deshalb möglichst nicht über denselben Kanal wie den Hinweis, worum es geht. Und wenn Ihr Empfänger den Link öffnet und der Inhalt bereits weg ist, wissen Sie etwas Nützliches: Jemand war vorher da.

Bleibt der Link in meinem Browserverlauf?

Ja. Der Inhalt ist nach dem Anzeigen gelöscht. Die Adresse mit dem Schlüssel steht aber weiterhin im Browserverlauf, bei Ihnen und beim Empfänger, und meistens auch in der Nachricht, mit der Sie ihn verschickt haben.

Sobald der Inhalt abgerufen wurde, nützt der Schlüssel niemandem mehr. Solange er es nicht ist, ist der Link genauso vertraulich wie der Inhalt.