Ablaufrichtlinien für Download-Links im Vergleich

Ablauffristen für Links reichen von drei Tagen bis dauerhaft, je nach Dienst. WeTransfer löscht Dateien im kostenlosen Tarif nach 7 Tagen automatisch; Smash läuft standardmäßig nach 14 Tagen ab, bis zu 30 Tagen im kostenpflichtigen Plan; SwissTransfer bietet 1–30 Tage; Dropbox Transfer verfällt nach 7 Tagen, verlängerbar auf 90 Tage. Auch Download-Limits variieren: WeTransfer free erlaubt unbegrenzte Downloads im Zeitfenster, während manche Dienste auf einen einzigen Empfänger begrenzen. HexaTransfer setzt einen 7-Tage-Standard ohne Downloadanzahl-Limit und löscht Dateien danach sicher.

Warum kurze Ablauffristen ein Sicherheitsmerkmal sind, kein Nachteil

Ablauffristen sind eine Form der automatischen Datensparsamkeit nach DSGVO-Artikel 5 Abs. 1 lit. e (Speicherbegrenzungsgrundsatz). Je kürzer eine Datei auf einem Server liegt, desto kleiner ist das Expositionsfenster für Anmeldedaten-Diebstahl, behördliche Anordnungen oder fehlkonfigurierte Bucket-Vorfälle. Die ToddyCat-APT-Kampagne im März 2023 zielte gezielt auf langlebige Dateifreigabe-URLs ab, die aus kompromittierten Postfächern geerntet wurden — ein Risiko, das sich bei selbstzerstörenden Links erübrigt.

Für regulierte Branchen vereinfacht eine kurze Ablaufzeit auch die Dokumentenverwaltung. Die DSGVO selbst behandelt ephemere Übertragungskopien anders als gespeicherte Aufzeichnungen. Ein Link, der nach 7 Tagen stirbt, lässt sich als ephemer wesentlich leichter belegen als einer, der ein Jahr lang aktiv bleibt.

WeTransfer: 7 Tage kostenlos, 1 Jahr Pro, dauerhafte Portale

WeTransfers kostenloses Tarif hält Dateien 7 Tage lang vor. Pro verlängert dies auf 1 Jahr, Premium bietet unbegrenzte Aufbewahrung für Portal-Links. Es gibt kein Download-Limit — jeder mit der URL kann die Datei bis zum Ablauf beliebig oft abrufen. Dateien sind auf 2 GB kostenlos bzw. 200 GB Pro begrenzt.

Der Nachteil: „Permanente" Portal-Links sind ein dauerhaftes Angriffsziel. Wird das Postfach eines Empfängers kompromittiert, bleibt dieser Link eine Haftung, bis ihn jemand manuell widerruft. WeTransfer fügte 2019 eine Passwort-Option hinzu, die jedoch optional und häufig übersprungen wird.

Smash: Anpassbar 1–30 Tage mit granularen Kontrollen

Smash verfolgt den flexibelsten Ansatz. Kostenlose Nutzer erhalten 14 Tage; Team-Pläne erlauben 1–30 Tage, festgelegt beim Upload. Smash bietet zudem empfängerbezogenes Tracking: Sie können sehen, wer wann heruntergeladen hat, und den Zugriff noch während der Laufzeit widerrufen. Dateien bis 2 GB sind kostenlos, im bezahlten Plan unbegrenzt.

Diese Granularität eignet sich für Vertragsverhandlungen. Senden Sie einen Entwurf am Montag mit Ablauf Freitagabend, stirbt der Link vor dem Wochenende, ohne dass Sie manuell aufräumen müssen. Der französische Datenschutzaspekt (OVH-Hosting, SecNumCloud-ausgerichtet) ändert die Ablaufzeit nicht, schichtet aber jurisdiktionelle Minimierung über die zeitliche hinzu.

SwissTransfer: 1 bis 30 Tage, kein Konto erforderlich

SwissTransfer, betrieben von Infomaniak, erlaubt die Wahl von 1, 7, 15 oder 30 Tagen beim Upload. Kein Konto nötig. Das Dateigrößenlimit von 50 GB ist das höchste aller kostenlosen Dienste. Der Ablauf ist strikt — Dateien werden zu dem gewählten Zeitpunkt permanent aus den Schweizer Rechenzentren gelöscht, ohne Nachfrist.

Der Dienst ergänzte 2023 optionalen Passwortschutz und Download-Benachrichtigungen. Abgelaufene Links geben einen 410 Gone-Status zurück, der semantisch korrekt ist und keine Information darüber preisgibt, dass unter dieser URL jemals eine Datei existierte.

Dropbox Transfer: 7 Tage kostenlos, 90 Tage kostenpflichtig

Dropbox Transfer (abzugrenzen von Dropbox-Freigaben) läuft standardmäßig nach 7 Tagen ab, maximal nach 90 Tagen in kostenpflichtigen Tarifen. Dateigrößen sind auf 2 GB kostenlos und 100 GB bei Dropbox Professional begrenzt. Ablauf gilt pro Übertragung, nicht pro Datei — unterschiedliche Laufzeiten für Elemente in einem Bundle sind nicht möglich.

Dropbox protokolliert Ablaufereignisse im Admin-Audit-Trail, was Enterprise-Kunden hilft, DSGVO-Artikel-32-Kontrollen nachzuweisen. Reguläre Dropbox-Freigabe-Links hingegen laufen niemals ab, sofern sie nicht manuell widerrufen werden — eine häufige Quelle für unbeabsichtigte Langzeitexposition, wenn Mitarbeiter das Unternehmen verlassen.

Pixeldrain, Wormhole und andere Nischenplayer

Pixeldrain, ein niederländischer Dienst, hält Dateien standardmäßig 180 Tage — ungewöhnlich lang für einen kostenlosen Tarif. Wormhole, aufgebaut auf Magic-Wormhole-Protokollprinzipien, bietet 24-Stunden-Ablauf und clientseitige Verschlüsselung — entgegengesetzte Philosophie, viel engeres Zeitfenster.

Firefox Send (eingestellt 2020) war Pionier der Kombination aus kurzer Ablaufzeit (bis zu 7 Tage), Download-Limits (bis zu 100) und clientseitiger Verschlüsselung. Seine DNA lebt in Open-Source-Forks und Diensten wie HexaTransfer weiter, die dieselben Prinzipien übernommen haben.

HexaTransfer: 7-Tage-Standard — Gelöscht heißt gelöscht

HexaTransfer setzt eine 7-Tage-Ablaufzeit, nach der Dateien kryptografisch gelöscht werden (der Entschlüsselungsschlüssel war nie auf dem Server, aber der Chiffretext wird sicher überschrieben). Im aktuellen kostenlosen Tarif gibt es kein Download-Limit — Empfänger können im Zeitfenster so oft herunterladen wie benötigt. Kein Konto erforderlich, Dateigrößenlimit 10 GB.

Die Architektur verwendet AES-256-GCM zur Dateiverschlüsselung, mit dem Schlüssel im URL-Fragment (nach #), das Browser nie zum Server übertragen. Die Ablauflöschung vernichtet daher den Chiffretext; der Klartext war serverseitig ohnehin nie rekonstruierbar.

Vergleich auf einen Blick

| Dienst | Standard-Ablauf | Max. Ablauf | Dateigrößenlimit | Download-Limit | |---------|----------------|-------------|------------------|----------------| | WeTransfer Free | 7 Tage | 7 Tage | 2 GB | Unbegrenzt | | WeTransfer Pro | 7 Tage | 1 Jahr | 200 GB | Unbegrenzt | | Smash Free | 14 Tage | 14 Tage | 2 GB | Unbegrenzt | | Smash Team | 14 Tage | 30 Tage | Unbegrenzt | Nachverfolgbar | | SwissTransfer | 30 Tage | 30 Tage | 50 GB | Konfigurierbar | | Dropbox Transfer | 7 Tage | 90 Tage | 100 GB | Unbegrenzt | | HexaTransfer | 7 Tage | 7 Tage | 10 GB | Unbegrenzt |

Ablaufzeit dem Anwendungsfall anpassen

Für eine Rechnung, die der Empfänger innerhalb einer Woche bezahlen soll, sind 7 Tage ideal — sie schaffen eine natürliche Frist. Für einen Vertrag in Verhandlung mit möglicherweise drei Überarbeitungsrunden sind 30 Tage praktischer. Für eine einmalige Fotoübergabe an einen Kunden reichen 24 Stunden.

Wählen Sie nicht grundsätzlich das längste Zeitfenster. Je länger ein Link lebt, desto mehr Orte erreicht er: weitergeleitete E-Mails, Slack-Channels, Screenshots, Passwortmanager. Kurze Ablaufzeiten veranlassen Empfänger zu promptem Handeln und reduzieren den Schaden bei einem künftigen Datenleck. Brauchen Sie dauerhaften Zugriff, nutzen Sie eine echte Cloud-Speicher-Lösung mit identitätsbasierter Zugriffskontrolle — nicht einen ephemeren Übertragungs-Link.

Download-Zähler als zweite Verteidigungslinie

Einige Dienste kombinieren Ablaufzeit mit Download-Zählern. Ein Link läuft nach 7 Tagen ODER nach 3 Downloads ab, je nachdem, was zuerst eintritt. Das mildert das Szenario, in dem ein legitimer Empfänger einmal herunterlädt, der Link auf einer Phishing-Seite landet und Angreifer eine vierte Kopie greifen. Bei Zählerstand null ist der Link tot.

HexaTransfer verwendet derzeit nur zeitbasierte Ablaufzeit, was der Mehrheit des Marktes entspricht. Für Download-Zähler-Durchsetzung sind Smash Team und Dropbox Transfer Professional die Hauptoptionen.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.