Dateien vor Hackern schützen: unverzichtbare Sicherheit

Dateien vor Hackern zu schützen beginnt mit Verschlüsselung — AES-256-GCM während der Übertragung, clientseitige Verschlüsselung vor dem Upload und TLS 1.3 für die Verbindung. Dazu kommen ablaufende Download-Links (24 Stunden als sinnvoller Standard), Passwortschutz mit PBKDF2 bei 600.000 Iterationen, Download-Limits und Zwei-Faktor-Authentifizierung für jedes Konto mit sensiblen Daten. Der Verizon Data Breach Investigations Report 2023 stellte fest, dass 74 % der Datenverletzungen menschliche Faktoren einbeziehen — schwache Passwörter, Phishing, falsch konfigurierte Freigaben. Technische Maßnahmen lösen die Hälfte des Problems; der Rest erfordert disziplinierte Arbeitsabläufe. Hier ist, was wirklich den Unterschied macht.

Die Angriffsfläche beim Dateiteilen

Eine Datei auf dem Weg von Ihnen zu jemand anderem durchquert mehrere Gefahrenzonen:

• Ihr Gerät — Malware, die Dateien vor der Verschlüsselung liest
• Ihr lokales Netzwerk — feindliches WLAN, ARP-Spoofing, manipuliertes DNS
• ISP- und Backbone-Links — historisch von staatlichen Nachrichtendiensten überwacht
• Server des Übertragungsdienstes — Datenverletzung, Insider-Bedrohung, Behördenanfragen
• Posteingang oder Messenger des Empfängers — wo sich Freigabelinks ansammeln
• Gerät des Empfängers — das gleiche Problem in umgekehrter Richtung

Jede Zone braucht eine spezifische Absicherung. Eine davon zu ignorieren hinterlässt einen verlässlichen Angriffspfad.

Ende-zu-Ende-Verschlüsselung als Fundament

Die stärkste einzelne Maßnahme ist clientseitige Verschlüsselung, bei der der Schlüssel den Server nie erreicht. AES-256-GCM im Browser via Web Crypto API produziert Chiffretext, der ohne den Schlüssel nutzlos ist — selbst wenn der Anbieter kompromittiert wird. Der Schlüssel reist nur im URL-Fragment (alles nach #), das Browser niemals an Server senden.

Dienste, die das korrekt umsetzen: Tresorit Send, Proton Drive Shared Links, SwissTransfer E2EE-Tier, Mega.nz, HexaTransfer.

Dienste, die zwar verschlüsseln, aber nicht clientseitig: WeTransfer Standard, Google Drive, Dropbox, OneDrive-Freigabelinks, Box Standardfreigabe. Diese stützen sich auf die Ehrlichkeit und Kompetenz des Anbieters — für wenig sensible Inhalte ausreichend, für alles, das Sie in einer Datenverletzungs-Schlagzeile nicht sehen möchten, unzureichend.

Ablaufende Links: immer verwenden

Ein Freigabelink, der ewig gültig ist, ist eine Datenverletzung auf Abruf. E-Mail-Archive werden geleakt, Slack-Exporte gestohlen, Laptops mit intaktem Browser-Verlauf auf eBay verkauft. Zeitlich begrenzte Links begrenzen den Schaden.

Sinnvolle Standards:

• Persönliche Dateien: 24–72 Stunden
• Geschäftsdokumente: maximal 7 Tage
• Einmalige Geheimnisse: 1 Stunde oder Ein-Download

Aktivieren Sie „Burn-after-Reading" wo verfügbar. Passwort-Resets, Zugangsdaten und Einmalcodes sollten sich in dem Moment selbst zerstören, in dem sie gelesen werden. Einzeldownload-Links, die beim zweiten Zugriffsversuch lautstark scheitern, sind gut — Sie wollen wissen, ob Ihr Link abgefangen wurde.

Passwörter zusätzlich zum Link

Das URL-Fragment allein bedeutet, dass jeder mit dem Link herunterladen kann. Ein Passwort macht daraus Zwei-Faktor-Schutz: Der Angreifer benötigt sowohl den Link als auch das Passwort, idealerweise über verschiedene Kanäle übermittelt.

Implementierung, die wirklich funktioniert:

• PBKDF2-HMAC-SHA-256 mit mindestens 600.000 Iterationen (OWASP 2023) oder Argon2id mit 64 MB Speicher.
• 12+ Zeichen Passwörter aus einem Passwort-Manager, nicht „Fruehling2025".
• Passwort über einen anderen Kanal als den Link — Signal wenn der Link per E-Mail ging, SMS wenn der Link in Slack stand.

Ein entschlossener Angreifer kann schwache Passwörter offline brute-forcen, wenn er sowohl den Chiffretext als auch den Salt abgefangen hat. Die KDF verlangsamt ihn; starke Passwörter stoppen ihn.

Konten absichern

Verwenden Sie einen kontobasierten Dienst, wird das Konto selbst zum Angriffsziel. Die Uber-Datenverletzung 2022 begann mit Credential-Stuffing gegen den Login eines Auftragnehmers.

Mindesthygiene:

• Einzigartiges Passwort pro Dienst aus einem Passwort-Manager (1Password, Bitwarden, Proton Pass).
• Zwei-Faktor-Authentifizierung — bevorzugen Sie TOTP (Google Authenticator, Authy) oder Hardware-Schlüssel (YubiKey, Titan) gegenüber SMS, das für SIM-Swap-Angriffe anfällig ist.
• Passkeys wo verfügbar — WebAuthn-gestützt, Phishing-resistent, zunehmend unterstützt.
• Sitzungs-Timeouts von 30 Tagen oder weniger.
• Geräteverwaltung — aktive Sitzungen prüfen, alles Unbekannte widerrufen.

Google, Microsoft und Apple setzen bei neuen Konten standardmäßig auf 2FA. Selbst gehostete und kleinere Dienste tun das oft nicht.

Ihr Gerät absichern

Endpunktsicherheit ist das schwächste Glied, weil Angreifer das wissen. Ist Ihr Laptop kompromittiert, war jede Datei, die Sie verschlüsselt haben, vor der Verschlüsselung lesbar. Grundausstattung:

• Vollständige Festplattenverschlüsselung — FileVault unter macOS, BitLocker unter Windows Pro, LUKS unter Linux.
• Betriebssystem und Browser innerhalb von 7 Tagen nach Veröffentlichung aktualisieren. Der Pegasus-iMessage-Zero-Click-Exploit 2021 traf Geräte ohne Patches.
• Seriöses Antivirenprogramm / EDR unter Windows — Microsoft Defender ist für die meisten Nutzer akzeptabel.
• Keine Raubkopien. Cracks und Keygens sind der häufigste Malware-Vektor für nicht gezielte Heimnutzer.
• Bildschirm-Passwort mit einer 10+ Zeichen langen Passphrase.
• Remote-Löschung aktiviert (Find My Mac, Microsoft Find My Device, Apple Find My).

Für Hochrisiko-Arbeit (Journalismus, Recht, Forschung mit staatlichen Gegnern): Erwägen Sie einen dedizierten Laptop mit strenger Software-Hygiene oder Qubes OS für Kompartimentierung.

Den Empfänger verifizieren

Eine sensible Datei an die falsche Adresse zu senden ist eine eigene Kategorie von Datenverletzungen. Die Equifax-Benachrichtigungs-E-Mails von 2017 leiteten Nutzer versehentlich auf eine Phishing-Domain. Prävention:

• E-Mail-Adresse über einen zweiten Kanal bestätigen, bevor Sie senden. Rufen Sie den Empfänger an, prüfen Sie über einen verschlüsselten Messenger, lesen Sie die Adresse buchstabenweise nach.
• Eindeutige Bezeichner in Dateinamen verwenden, damit der Empfänger sofort erkennt, ob er die falsche Datei erhalten hat.
• Mit einer Testdatei beginnen — eine 1-KB-Textdatei bestätigt die Adresse und den Prozess, bevor Sie den eigentlichen sensiblen Inhalt senden.
• Homograf-Angriffe beachten — rn sieht aus wie m, kyrillisches а wie lateinisches a in Domainnamen.

Metadaten im Blick behalten

Verschlüsselung verbirgt Inhalte, aber keine Dateinamen, Größen oder Zeitstempel. Metadaten-Lecks können genauso schädlich sein wie Inhaltslecks. Zwei Beispiele:

• Eine Datei namens Q4-2025-Entlassungen-final.xlsx erzählt eine Geschichte, bevor jemand sie entschlüsselt.
• In Fotos eingebettete EXIF-GPS-Koordinaten können Ihre Heimadresse an jeden Empfänger verraten.

Gegenmaßnahmen:

• Dateien vor dem Teilen in neutrale Namen umbenennen (anlage.xlsx statt des verräterischen Namens).
• EXIF-Daten mit exiftool -all= foto.jpg vor dem Versenden entfernen.
• Dienste nutzen, die Dateinamen zusammen mit Inhalten verschlüsseln (Tresorit, Proton Drive, HexaTransfer tun das).
• Dateigrößen wenn möglich durch Padding runden.

Zugriffe überwachen

Nach dem Versenden ist Transparenz wichtig. Dienste, die Download-Ereignisse anzeigen, ermöglichen frühe Problemerkennung:

• Hat der Empfänger heruntergeladen? (Erwartet.)
• Gab es einen zweiten Download von einer anderen IP? (Abgefangen?)
• Wurde auf den Link in einem unerwarteten Land zugegriffen? (VPN oder Leck.)
• Gibt es fehlgeschlagene Passwortversuche? (Brute Force läuft.)

Tresorit und Proton Drive protokollieren Zugriffe; SwissTransfer zeigt Download-Zähler; die meisten Verbraucherdienste tun das nicht. Allein Downloads zu zählen ist nützlich — ein Ein-Download-Link, der zweimal heruntergeladen wurde, ist ein lauter Alarm.

Sichern vor dem Löschen

Eine Datei, die nach einer 24-stündigen Übertragung gelöscht wird, ist vom Dienst verschwunden. Stellen Sie sicher, dass Sie eine lokale Kopie haben, wenn Sie die Datei später noch benötigen. Eine dedizierte Archivfestplatte mit AES-256-XTS-Vollverschlüsselung (LUKS, VeraCrypt) plus Off-Site-Backup zu Backblaze B2 oder AWS S3 mit serverseitiger Verschlüsselung ist ein gängiges persönliches Setup.

Drei Kopien wichtiger Daten an mindestens zwei Orten, davon mindestens eine offline — die 3-2-1-Regel — übersteht Ransomware besser als rein cloudbasierter Speicher.

Eine praktische tägliche Routine

Für alle, die regelmäßig sensible Dateien teilen:

1. Lokal mit VeraCrypt-Containern oder FileVault verschlüsseln.
2. Standardmäßig einen clientseitig verschlüsselten Übertragungsdienst nutzen.
3. 24-Stunden-Ablauf und Einzeldownload-Limit setzen.
4. Starkes Passwort aus einem Passwort-Manager hinzufügen, auf zweitem Kanal senden.
5. Empfänger vor dem Absenden verifizieren.
6. Download bestätigen, dann die lokale Kopie des Freigabelinks löschen.

Gesamtaufwand: etwa 30 Sekunden pro Übertragung. Risikominderung bei Datenverletzungen: erheblich.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.