Hör auf, Passwörter in den Chat zu tippen – schick stattdessen einen Link
Jedes Passwort, das du je über WhatsApp, Slack oder E-Mail verschickt hast, liegt immer noch in Klartext im Nachrichtenverlauf und im Cloud-Backup von irgendjemandem. One-Time Secret verschlüsselt den Text in deinem Browser und versteckt ihn im Link selbst, sodass im Chat nur eine unlesbare Zeichenfolge zurückbleibt. Es gibt dabei keinen Server.
Diesen Leitfaden lesen auf: English · Español · Português · Bahasa Indonesia · Tiếng Việt · Français · Deutsch · Italiano · 日本語 · 中文 · 한국어 · ไทย · Filipino · हिन्दी · العربية
Das Problem
Ein Geheimnis zu teilen ist eine alltägliche Pflicht. Der WLAN-Code für Besuch, der Admin-Login für eine Handwerkerin, ein API-Key für einen Kollegen, deine Bankdaten für eine Rückerstattung. Also tippst du es in einen Chat, und dort bleibt es: durchsuchbar, gesichert, mit einem Laptop synchronisiert, den du nicht kontrollierst, sichtbar für jeden, der später ein entsperrtes Handy in die Hand nimmt. Die meisten Menschen wissen, dass das nicht richtig ist, und tun es trotzdem, weil die Alternativen zu viel verlangen – einen Passwort-Manager, den die andere Person nicht hat, eine verschlüsselte App, die sie nicht installieren will, oder eine „sichere“ Website, der du ausgerechnet das anvertrauen musst, was du eigentlich schützen willst.
So funktioniert One-Time Secret (Passwort sicher senden)
- Tipp das Geheimnis ein. Es wird in deinem Browser mit AES-256-GCM verschlüsselt, bevor überhaupt irgendetwas anderes passiert.
- Wähle, wie vorsichtig du sein willst: eine Passphrase (standardmäßig an), die du auf anderem Weg weitergibst, und wann diese Seite es ausblendet — nach dem Öffnen oder nach einer bestimmten Zeit.
- Schick den Link. Die Person öffnet ihn und kopiert, was sie braucht. Du brauchst selbst ein Passwort von jemandem? Nutze „Anfragen“: Du bekommst einen Link zurück, den nur dein Gerät öffnen kann. Öffnen ist immer gratis, ohne Konto.
Was du bekommst
- Um ein Geheimnis bitten, ohne ServerSchick einen Anfrage-Link; die Antwort kommt als Link zurück, versiegelt mit einem Schlüssel, den es nur in deinem Browser gibt. Lösch die Anfrage, und jede Kopie der Antwort ist unlesbar — echtes Vernichten, kein Versprechen.
- Das Geheimnis reist hinter dem #Alles, was in einer URL hinter dem # steht, wird laut jahrzehntealtem Web-Standard nie an einen Server übertragen. Genau dort liegen das verschlüsselte Geheimnis und sein Schlüssel – so kann ein Tool ganz ohne Server trotzdem etwas zustellen.
- Der Chatverlauf behält nichts LesbaresWas in WhatsApp, Slack oder deiner gesendeten Mail bleibt, ist eine undurchsichtige Zeichenfolge. Selbst wer Monate später zurückscrollt, findet nichts Verwertbares.
- Eine Passphrase macht einen geleakten Link nutzlosSchalte sie ein, und der Schlüssel stammt aus Worten, die nur du und die Leserin kennen, sodass ein abgefangener Link wertlos ist. Sag die Passphrase am Telefon und schick den Link per SMS.
- Oder verzichte ganz aufs VersendenPro zeigt den Link als QR-Code. Halt den Bildschirm hoch, die andere Person scannt, und das Geheimnis wechselt den Tisch, ohne je ein Netzwerk zu berühren.
Privat von Grund auf
Es gibt keinen Server, kein Konto, keine Analyse-Tools und kein Protokoll. Wir können deine Geheimnisse nicht lesen, nicht erkennen, ob eines geöffnet wurde, und keines wiederherstellen. Dieses Design hat einen ehrlichen Preis, den man klar benennen sollte, weil die meisten Tools dieser Kategorie ihn verschweigen: Ohne Server kann nach dem ersten Lesen nichts wirklich gelöscht werden. Was „nach dem Lesen verbrennen“ hier bedeutet: Im Browser der lesenden Person wird vermerkt, dass der Link geöffnet wurde, und er weigert sich, ihn auf diesem Gerät noch einmal anzuzeigen. Wer den Link sonst noch hat – eine weitergeleitete Nachricht, ein zweites Handy, ein Backup – kann ihn trotzdem öffnen. Dienste wie Privnote setzen ein echtes Einmal-Lesen durch, indem sie dein Geheimnis auf ihrem Server halten und löschen – das ist eine echte Garantie, bezahlt damit, dass ihr Server dein Geheimnis kennt. Wir haben den entgegengesetzten Kompromiss gewählt. Brauchst du eine feste Einmal-Lese-Garantie dringender, als dein Geheimnis von fremden Geräten fernzuhalten, nutz stattdessen einen dieser Dienste – und brauchst du, dass der Link selbst bei Abfangen wertlos ist, schalt die Passphrase ein.
Kostenlos vs. Pro
Neu
v2.0 · 2026-09-25
- Um ein Geheimnis bitten: Schick einen Anfrage-Link und lass dir ein Passwort, eine PIN oder Bankdaten schicken — nur dein Browser kann die Antwort öffnen, ganz ohne Server
- Eingang: Deine Anfragen und ihre Antworten bleiben verschlüsselt auf diesem Gerät; lösch eine Anfrage, und jede Kopie ihrer Antworten ist für immer unlesbar
- Die Passphrase ist jetzt standardmäßig an, mit einem 🎲-Knopf, der eine starke vorschlägt
- Ehrliche Worte: Aus „Nach dem Lesen vernichten“ wird „Nach dem Öffnen ausblenden“, aus dem Ablauf wird „Ausblenden nach“ — die Seite blendet das Geheimnis aus, eine Kopie des Links kann sie nicht vernichten
- Verlauf gesendeter Links (nur Name, Datum und Einstellungen), ein Teilen-Knopf neben Kopieren, und Links öffnen sich jetzt auch, wenn die App schon in einem Tab offen ist
Häufige Fragen
Ist One-Time Secret kostenlos?
Geheime Links zu erstellen ist kostenlos, mit Passphrase, „Ausblenden nach“ und bis zu 2 offenen Anfragen gleichzeitig. Lesen ist für immer gratis, ohne Konto. Pro kostet einmalig 1 $ und bringt den QR-Code, mehrere benannte Felder in einem Link, einen Hinweis für den Lesenden und unbegrenzt viele Anfragen.
Kann das Geheimnis wirklich nur einmal gelesen werden?
Nicht im strengen Sinne, und das sagen wir lieber ehrlich. Ohne Server gibt es nichts, das dein Geheimnis löschen könnte, das Verbrennen wird also im Browser der Leserin vermerkt und verhindert nur, dass dieses Gerät es erneut öffnet. Wer den Link noch hat, kann ihn öffnen. Füg eine Passphrase hinzu, falls der Link in falsche Hände geraten könnte.
Erreicht das Geheimnis je euren Server?
Es gibt keinen Server. Das verschlüsselte Geheimnis liegt im Teil der URL nach dem #, den Browser nie an einen Webserver senden, und Ver- wie Entschlüsselung passieren auf den beiden beteiligten Geräten. Wir sehen es nie und können es auch nicht.
Warum kam der Link kaputt an?
Manche Chat- und Mail-Apps kürzen, brechen um oder schreiben lange Links um. Schick ihn noch einmal als reinen Text ohne Anhang, oder nutz den QR-Code und lass ihn vom Bildschirm scannen.
Wie bitte ich jemanden, mir ein Passwort sicher zu schicken?
Öffne den Tab „Anfragen“, schreib, was du brauchst, und schick den Anfrage-Link. Die Seite der Person verschlüsselt die Antwort mit einem öffentlichen Schlüssel aus deinem Link, deshalb öffnet sich der zurückgeschickte Antwort-Link nur in dem Browser, der angefragt hat — kein Server, kein Konto. Vergleich den Prüfcode auf beiden Bildschirmen, wenn du sicher sein willst, dass niemand den Link ausgetauscht hat. Gratis bleiben 2 offene Anfragen gleichzeitig; Pro hebt die Grenze auf.
Was macht „Ausblenden nach“ wirklich?
Es sagt der Seite, das Geheimnis nach der gewählten Zeit nicht mehr anzuzeigen, oder sobald es auf dem Gerät des Lesenden geöffnet wurde. Das ist ein Entgegenkommen, kein Schloss: Das verschlüsselte Geheimnis steckt weiter im Link, wer ihn hat, kann ihn erneut öffnen. Was einen abgefangenen Link nutzlos macht, ist die Passphrase — deshalb ist sie jetzt standardmäßig an.