Jede Woche werden in deutschen Unternehmen tausende Passwörter per E-Mail, Slack oder Microsoft Teams verschickt. Was schnell und bequem erscheint, ist eines der größten Sicherheitsrisiken im Arbeitsalltag. Denn jedes Passwort, das in einer Nachricht steht, bleibt dort für immer sichtbar, durchsuchbar und angreifbar. Dieser Artikel erklärt, warum das gefährlich ist und wie One-Time-Secret-Links das Problem lösen.
Das Problem: Passwörter in E-Mails und Chat-Nachrichten
E-Mail-Postfächer sind Archive. Jede Nachricht wird gespeichert, indiziert und ist über die Suche auffindbar. Wenn Sie einem Kollegen das Passwort für den Firmen-Account per E-Mail schicken, liegt dieses Passwort in mindestens zwei Postfächern (Sender und Empfänger), möglicherweise auf dem Mailserver in einer Kopie, und eventuell in einem Backup. Bei einem kompromittierten E-Mail-Konto hat der Angreifer nicht nur Zugang zu den E-Mails, sondern auch zu jedem Passwort, das jemals per Mail verschickt wurde.
Dasselbe gilt für Messaging-Tools wie Slack, Microsoft Teams oder WhatsApp. Diese Dienste speichern Nachrichtenverläufe, oft über Jahre hinweg. Slack-Nachrichten sind durchsuchbar, Teams-Chats werden in Microsoft 365 archiviert, und WhatsApp-Backups landen häufig unverschlüsselt in der Cloud. Ein Passwort, das einmal in einem Kanal geteilt wurde, ist dauerhaft exponiert.
Konkrete Risiken im Überblick
- E-Mail-Kompromittierung: Bei einem Phishing-Angriff oder Kontozugriff findet der Angreifer alle je versandten Passwörter über die Suchfunktion.
- Slack Data Exports: Workspace-Admins können bei vielen Slack-Plänen alle Nachrichten exportieren, einschließlich privater Nachrichten.
- Backup-Exposure: E-Mail-Backups und Cloud-Backups von Chat-Tools enthalten die Nachrichten im Klartext.
- Weiterleitung: E-Mails werden versehentlich weitergeleitet, Slack-Nachrichten in andere Kanäle geteilt. Passwörter verbreiten sich unkontrolliert.
- Compliance-Verstoß: Die DSGVO verlangt technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Passwörter im Klartext per E-Mail zu versenden, widerspricht diesem Grundsatz.
DSGVO-Relevanz: Wann wird ein geteiltes Passwort zum Datenschutzproblem?
Wenn ein Passwort Zugang zu personenbezogenen Daten ermöglicht, etwa einem CRM-System, einem E-Mail-Konto oder einer Datenbank, dann ist die unsichere Übermittlung dieses Passworts ein potenzieller DSGVO-Verstoß. Artikel 32 DSGVO verlangt angemessene technische Maßnahmen zur Sicherung personenbezogener Daten. Im Fall einer Datenpanne durch ein kompromittiertes Passwort, das per E-Mail geteilt wurde, muss das Unternehmen nach Artikel 33 innerhalb von 72 Stunden die Aufsichtsbehörde benachrichtigen. Die Frage, ob das Passwort sicher übermittelt wurde, wird Teil der Untersuchung sein.
Die Lösung: One-Time-Secret-Links
Ein One-Time-Secret funktioniert nach einem einfachen Prinzip: Sie geben das Passwort oder die sensible Information in ein Formular ein und erhalten einen einmaligen Link. Dieser Link kann genau einmal geöffnet werden. Nach dem ersten Abruf wird das Geheimnis unwiderruflich gelöscht. Der Link selbst enthält keine Information über den Inhalt. Selbst wenn jemand den Link abfängt, kann er ihn nicht erneut verwenden, sobald der Empfänger ihn geöffnet hat.
Technisch funktioniert das so: Das Geheimnis wird serverseitig verschlüsselt gespeichert. Der Entschlüsselungsschlüssel ist Teil der URL (typischerweise als Fragment-Identifier, der nicht an den Server gesendet wird). Beim ersten Abruf wird das Geheimnis entschlüsselt, angezeigt und sofort aus der Datenbank gelöscht. Ein zweiter Abruf ist technisch unmöglich, weil die Daten nicht mehr existieren.
Typische Einsatzszenarien in Unternehmen
- Onboarding neuer Mitarbeiter: Am ersten Arbeitstag benötigen neue Kollegen Zugangsdaten für zahlreiche Systeme. Statt diese per E-Mail zu senden, erstellt die IT-Abteilung One-Time-Links und teilt diese über einen sicheren Kanal.
- API-Keys und Tokens: Entwicklerteams müssen regelmäßig API-Schlüssel austauschen, etwa für Staging-Umgebungen oder externe Dienste. Ein One-Time-Link stellt sicher, dass der Key nicht in der Chat-Historie verbleibt.
- Support-Workflows: Wenn ein IT-Dienstleister temporäre Zugangsdaten benötigt, ist ein One-Time-Link die sicherste Methode. Nach dem Abruf existiert das Passwort nur noch beim Empfänger.
- Kundenzugangsdaten: Agenturen, die Websites oder Systeme für Kunden betreuen, können initiale Zugangsdaten per One-Time-Link übergeben, statt sie in eine E-Mail zu schreiben.
- WLAN-Passwörter und Zertifikate: Bei Events oder für Gäste können WLAN-Zugangsdaten über One-Time-Links bereitgestellt werden, die nach einmaliger Nutzung verfallen.
Worauf Sie bei der Wahl eines One-Time-Secret-Dienstes achten sollten
Nicht jeder One-Time-Secret-Dienst ist gleich. Achten Sie auf folgende Punkte:
- Serverstandort: Für DSGVO-Konformität sollte der Dienst auf Servern in der EU betrieben werden.
- Verschlüsselung: Das Geheimnis muss serverseitig verschlüsselt gespeichert werden. Idealerweise liegt der Schlüssel nur in der URL.
- Keine Logs: Der Dienst sollte weder den Inhalt noch die Metadaten (wer hat wann welchen Link erstellt) dauerhaft speichern.
- Ablaufdatum: Links sollten ein konfigurierbares Ablaufdatum haben, damit nicht abgerufene Geheimnisse automatisch gelöscht werden.
- Self-Hosting-Option: Für maximale Kontrolle sollte eine selbst gehostete Variante verfügbar sein.
TL;DR: Passwörter gehören nicht in E-Mails oder Chat-Nachrichten.
One-Time-Secret-Links sind die sicherste Methode, sensible Daten zu teilen. Der Link wird nach dem ersten Abruf zerstört, das Geheimnis existiert nur noch beim Empfänger.
Sensible Daten sicher teilen mit Keestash OTS
Keestash OTS ist der DSGVO-konforme One-Time-Secret-Dienst für Unternehmen. Erstellen Sie einmalige Links für Passwörter, API-Keys und andere sensible Daten. Nach dem ersten Abruf wird das Geheimnis unwiderruflich gelöscht. Gehostet in Deutschland.
Keestash OTS kennenlernen