Wie Agenturen Dateien sicher mit Kunden teilen

Agenturen teilen Dateien sicher mit Kunden, indem sie Nutzlasten mit AES-256-GCM verschlüsseln, bevor sie die Workstation verlassen, den Zugang mit Links-Passwörtern über einen separaten Kanal schützen, die Aufbewahrung auf das kürzeste Fenster begrenzen, das das Engagement erlaubt, und den Austausch über ein Tool führen, das Downloads protokolliert. DSGVO-Artikel 28 verlangt, dass Auftragsverarbeiter — also Agenturen, die Kundendaten handhaben — geeignete technische Maßnahmen zum Schutz dieser Daten ergreifen. Der professionelle Glanz — gebrandete Lieferseiten, benutzerdefinierte Domains, Agenturlogo auf der Landing-Page — zählt für den Eindruck, darf aber nie die Sicherheits-Baseline verdrängen.

Was Kunden sehen vs. was sie brauchen

Ein Kunde, der eine 4-GB-Kampagnenlieferung erhält, achtet auf drei Dinge in dieser Reihenfolge: Funktioniert der Link, öffnet sich die Datei sauber, und wirkt die Agentur kompetent bei der Übergabe. Alles andere — das Kopfbild, die benutzerdefinierte Subdomain, das elegante E-Mail-Template — ist sekundär.

Die Agentur achtet auf andere Dinge: Wurde die Datei abgefangen, hat die richtige Person sie erhalten, gibt es eine Aufzeichnung für Abrechnung und Streitbeilegung, und ging sie unter NDA-Bedingungen heraus.

Ein gutes Austauschtool bedient beide Seiten, ohne dass eine Seite Kompromisse eingehen muss.

Die Lieferseite branden, ohne die Sicherheit zu schwächen

Die meisten agenturgeeigneten Übertragungstools erlauben es, die Lieferseite anzupassen. WeTransfer Pro, Smash, Dropbox Transfer und Portal von Copilot unterstützen alle Logos, Farben und benutzerdefinierte Nachrichten. Die Versuchung ist, zu häufen: vollständige Markenfarbpalette, Referenzen, CTAs für andere Dienste.

Widerstehen Sie. Eine überfüllte Lieferseite lenkt den Kunden von der Datei ab, für die er gekommen ist. Es bei diesem belassen:

Agenturlogo oben.
Einzeilige Projektbeschreibung („Q3-Kampagne — Finale Masters").
Dateiliste mit Größen und Download-Schaltflächen.
Kontaktzeile („Fragen? Antworten Sie auf diese E-Mail oder rufen Sie X an").

Markenkonsistenz schafft Vertrauen. Lärm untergräbt ihn.

Benutzerdefinierte Domains und warum sie wichtig sind

Ein Link bei files.ihreagentur.de/transfers/xyz liest sich grundlegend anders als einer bei wetransfer.com/downloads/xyz. Kunden leiten die gebrandete Version intern weiter ohne zu zögern; bei der generischen zögern sie, weil sie wie ein Phishing-Risiko aussieht.

Tools, die benutzerdefinierte Domains via CNAME unterstützen: WeTransfer Pro, Smash Team, Portal, Hightail und MASV. DNS mit einem CNAME-Eintrag einrichten, der auf den Delivery-Host des Anbieters zeigt, das TLS-1.3-Zertifikat installieren und testen. Für das erste Setup einen Tag einplanen; nachfolgende Domains gehen schneller.

Für einmalige Sendungen, wo keine benutzerdefinierte Domain eingerichtet ist, tragen HexaTransfer-Links auf hexatransfer.com die saubere, erkennbare URL, der Kunden mehr vertrauen als einem unbekannten Dienst.

Zugangskontrollen pro Engagement

Jedes Kunden-Engagement hat ein eigenes Sensitivitätsprofil. Ein öffentlicher Launch-Asset in der letzten Woche vor dem Embargo braucht engere Kontrolle als ein fertig veröffentlichter Kampagnen-Asset.

Baseline pro Engagement:

NDA-abgedeckte Arbeit: passwortgeschützte Links, 48–72-Stunden-Ablauf, 3-Download-Limit, Passwörter per SMS oder Telefonat.
Pre-Launch-Assets: passwortgeschützt, 7-Tage-Ablauf, 5-Download-Limit.
Post-Launch / veröffentlichte Arbeit: optionales Passwort, 30-Tage-Ablauf.
Große Archiv-Übergaben bei Engagement-Abschluss: Passwort, 30-Tage-Ablauf, Kunde bestätigt Empfang schriftlich bevor der Link abläuft.

Das in Ihrem Statement of Work dokumentieren, damit der Kunde versteht, was ihn erwartet und Ausnahmen im Voraus beantragen kann.

Empfänger-Verifikation vor dem Senden

Der häufigste Agenturdatei-Vorfall ist nicht Abfangen — es ist Senden an die falsche Person. Ein Kontakt mit ähnlichem Namen. Ein alter Kontakt von vor einem Personalwechsel beim Kunden. Eine Auto-Vervollständigungsempfehlung, die die falsche Domain vorschlug.

Verlangsamen Sie das Senden:

Empfänger-E-Mail für das erste Senden an einen neuen Kontakt manuell eingeben. Nicht auf Auto-Vervollständigung verlassen.
Für alles unter NDA die E-Mail über einen separaten Kanal bestätigen, bevor der Link gesendet wird.
Beim Senden an eine neue Domain: Domain auf der Website des Kunden verifizieren (juristische Person, kein Lookalike).
Für ungewöhnlich große oder sensible Sendungen einen Manager-Review-Schritt im Agentur-Workflow verlangen.

Das fügt 5 Minuten zu einer Sendung hinzu. Es spart Wochen der Schadensbekämpfung, wenn etwas schiefläuft.

Das Zwei-Kanal-Passwort-Muster

Ende-zu-Ende-Verschlüsselung bedeutet, dass selbst der Transfer-Dienst die Datei nicht lesen kann. Aber wenn Sie das Passwort in derselben E-Mail wie den Link senden, hat jeder, der die E-Mail abfängt, beides. Zwei Kanäle verwenden:

Link per E-Mail.
Passwort per SMS an eine beim Kunden-Onboarding verifizierte Telefonnummer.

Manche Agenturen verwenden eine verschlüsselte Messaging-App (Signal, WhatsApp) für das Passwort; andere rufen an und lesen es vor. Welcher Kanal auch immer: er muss ein anderer sein als der, der den Link trägt.

HexaTransfer verschlüsselt clientseitig mit AES-256-GCM und leitet Schlüssel aus dem URL-Fragment ab — der Server sieht niemals Klartext. Das Zwei-Kanal-Muster verdoppelt diesen Schutz gegen Phishing und E-Mail-Kompromittierung.

Aufbewahrung, die Kundenverträge respektiert

Statements of Work enthalten oft Datenhandhabungsklauseln. Diese vor der Konfiguration der Aufbewahrungsstandards lesen.

Häufige Klauseln zu beachten:

„Auftragnehmer löscht alle Kundenmaterialien innerhalb von 30 Tagen nach Engagement-Abschluss." Aufbewahrung entsprechend setzen.
„DSGVO-Artikel-28-Verarbeitungsbedingungen gelten." Aufbewahrungsgrenzen folgen aus der Rechtsgrundlage, unter der Sie operieren.
„HIPAA-Business-Associate-Agreement in Kraft." 6 Jahre Protokollaufbewahrung ab Erstellungsdatum oder letztem Wirksamkeitsdatum.

Standard kurz, nur bei Bedarf verlängern, und dokumentieren, was wo gespeichert wird.

Audit-Trail, den der Kunde anfordern kann

Kunden fragen gelegentlich: „Hat mein Medienunternehmen diese Datei tatsächlich heruntergeladen?" Ein gutes Austauschtool antwortet mit Zeitstempel, IP und User-Agent. Bereitstellen:

Download-Ereignisse mit Datum, Uhrzeit, IP, User-Agent.
Link-Ablaufstatus.
Passwort-Versuchsprotokoll, wenn das Tool das erfasst.
Erstellungs- und Zugriffsprotokoll-Export als .csv für die Unterlagen des Kunden.

Manche Agenturen schließen einen Link zum Audit-Protokoll in die Lieferungs-E-Mail ein. Andere stellen es auf Anfrage bereit. So oder so: Es zur Verfügung zu haben unterscheidet professionelle Lieferung von einem gelegentlichen Datei-Drop.

Wenn Kunden Dateien zurücksenden müssen

Der Austausch ist bidirektional. Quellmaterial, Referenzfotos, unterzeichnete Verträge — Kunden müssen oft zur Agentur zurücksenden. Optionen:

Anfrage-Links (nur hochladen): Agentur generiert einen Einweg-Upload-Link; der Kunde legt Dateien ab, ohne ein Konto zu benötigen. Uploads landen im Workspace der Agentur.
Geteilter Ordner mit Kundenzugang: langfristige Engagements. Dropbox Shared Folder, Google Drive Shared Drive oder SharePoint mit B2B-Föderierung.
Portal: Tools wie Content Snare, Filemail oder Copilot Portal bieten ein Kundenportal mit Einlassformularen und strukturierten Uploads.

Für einmalige Aufnahmen decken Anfrage-Links die meisten Bedürfnisse ab. Für wiederkehrende Beziehungen zahlt sich ein Portal aus.

Vorlagen, die Zeit sparen

Liefervorlagen im bevorzugten Übertragungstool erstellen:

Runde-2-Feedback-Paket: Standard-Betreffzeile, passwortgeschützt, 72-Stunden-Ablauf, „Review-Notizen beigefügt"-Text.
Finale-Masters-Lieferung: Standard-Betreff, Passwort, 14-Tage-Ablauf, Prüfsumme im Text, Kontaktzeile.
Rechnungen und Verträge: normalerweise kein Passwort nötig, 30-Tage-Ablauf.
Aufnahme-Anfrage an Kunden: Upload-Link, 14-Tage-Ablauf, Anweisungen im Text.

Vorlagen reduzieren Entscheidungsmüdigkeit und stellen sicher, dass jede Sendung standardmäßig die richtigen Kontrollen aktiviert hat.

Der Agenturstandard, den es anzustreben gilt

Kunden wechseln Agenturen ebenso oft wegen kleiner Reibungen wie wegen großer Fehler. Ein Link, der nicht funktioniert, ein Passwort, das verwirrend gesendet wird, eine Lieferung, die schlampig aussieht — diese Momente summieren sich. Agenturen, die Kunden am längsten halten, behandeln Lieferung als Teil des Deliverables, nicht als Nachgedanken.

Testen Sie es auf hexatransfer.com — kostenlos, kein Konto, max. 10 GB.