Mega vs. HexaTransfer: Datenschutz und Verschlüsselung im Test

Mega und HexaTransfer verwenden beide clientseitige Verschlüsselung, richten sich aber an unterschiedliche Workflows und befinden sich in unterschiedlichen Jurisdiktionen. Mega ist eine neuseeländische Cloud-Speicherplattform mit 20 GB kostenlosem Speicher, AES-128-GCM-Verschlüsselung mit RSA-2048-Schlüsselaustausch und persistenten Konten. HexaTransfer ist ein französischer ephemerer Übertragungsdienst mit 10 GB pro Übertragung, AES-256-GCM-Verschlüsselung, 7-Tage-Ablauf und keinem Kontoerfordernis. Für langfristige verschlüsselte Speicherung bietet Mega den reicheren Funktionsumfang. Für einmalige verschlüsselte Übertragungen ohne Konto-Overhead ist HexaTransfer einfacher und verbleibt innerhalb der EU-Jurisdiktion.

Verschlüsselungsdetails: AES-128 vs. AES-256

Megas clientseitige Verschlüsselung verwendet AES-128 im CCM-Modus für Dateiverschlüsselung und RSA-2048 für den Schlüsselaustausch. Mega hat die AES-128-Wahl als ausreichend verteidigt (128-Bit-AES bleibt rechnerisch unmöglich zu brute-forcen). Kritiker weisen darauf hin, dass AES-256 der aktuelle Industriestandard ist. Der Mega-Web-Client führt die Verschlüsselung in JavaScript aus; Desktop- und Mobile-Apps verwenden native Implementierungen.

HexaTransfer verwendet AES-256-GCM mit PBKDF2 mit 600.000 Iterationen für passwortabgeleitete Schlüssel. Die 256-Bit-Schlüsselgröße entspricht der aktuellen Best Practice (NIST SP 800-131A). Verschlüsselung erfolgt im Browser via Web Crypto API (SubtleCrypto.encrypt), die native Plattformimplementierungen statt reinem JavaScript nutzt. Das ist schneller und weniger anfällig für Timing-Angriffe.

Unterschiede im Vertrauensmodell

Mega stützt sich auf Nutzerkonten mit Wiederherstellungsschlüsseln. Wenn Sie Ihr Passwort und Ihren Wiederherstellungsschlüssel verlieren, sind Ihre Daten nicht wiederherstellbar — was das richtige Verhalten für Zero-Knowledge ist, aber zu echten Support-Belastungen führt. Mega wurde historisch für mögliche Klartext-Wiederherstellungsfähigkeiten via Passwortänderungsflows beschuldigt, mit von Sicherheitsforschern veröffentlichten Bedenken zu spezifischen Protokolldetails.

HexaTransfer hat keine Konten, daher gibt es keinen Passwort-Reset-Mechanismus, der potenziell missbraucht werden könnte. Der Entschlüsselungsschlüssel befindet sich entweder im URL-Fragment oder wird durch ein nutzergesetztes Passwort via PBKDF2 geschützt. Verlieren Sie beides, ist die Datei nicht wiederherstellbar — was dem ephemeren Übertragungs-Anwendungsfall entspricht, bei dem ein 7-Tage-Ablauf die Datei ohnehin löscht.

Jurisdiktion und Data Residency

Mega hat seinen Sitz in Auckland, Neuseeland, mit Rechenzentren in Neuseeland, den Niederlanden, Kanada und anderen Standorten. Neuseeland ist ein Five-Eyes-Geheimdienstmitglied, was einige Datenschutzbefürworter beunruhigt. Allerdings bietet Neuseelands Privacy Act 2020 DSGVO-äquivalente Schutzmaßnahmen, und das verteilte Hosting bedeutet, dass EU-Nutzerdateien zu niederländischen Servern geleitet werden können.

HexaTransfer hostet ausschließlich in Frankreich. Kein verteilter globaler Footprint, keine Five-Eyes-Beteiligung. Die DSGVO gilt direkt. Für EU-Nutzer mit strengen Datensouveränitätsanforderungen ist das Single-Jurisdiction-Modell rechtlich einfacher zu bewerten.

Dateigröße, Speicher und Aufbewahrung

Der kostenlose Mega-Tarif bietet 20 GB persistenten Speicher, wobei Dateien dauerhaft aufbewahrt werden, solange Sie sich regelmäßig einloggen (30-tägige Inaktivitätssperrung). Bezahlte Tarife bieten bis zu 16 TB. Die Dateigröße pro Upload ist effektiv nur durch Ihr Kontingent begrenzt.

HexaTransfer erlaubt 10 GB pro Übertragung mit automatischem 7-Tage-Ablauf. Kein persistenter Speicher — der Dienst dient ausschließlich zum Senden, nicht zum Aufbewahren. Für eine wöchentliche 8-GB-Design-Lieferung an Kunden funktioniert HexaTransfer. Für ein Archiv persönlicher Fotos funktioniert Mega und HexaTransfer nicht.

Workflow-Erlebnis

Megas Web-Interface, Desktop-Sync und Mobile-Apps bieten ein Dropbox-ähnliches Erlebnis mit Ordnern, Versionen und Freigabe. Sie können persistente gemeinsame Ordner mit Mitarbeitern einrichten, Berechtigungen pro Ordner festlegen und Projektstrukturen über Monate pflegen.

HexaTransfer ist bewusst zweckgebunden. Website öffnen, Datei ablegen, Link erhalten, senden. Keine Ordner, kein Sync, keine Versionen. Die Minimalität ist der Punkt — null kognitiver Overhead, null Kontoverwaltung.

Vergleichsmatrix

| Feature | Mega | HexaTransfer | |---------|------|--------------| | Typ | Persistenter Cloud-Speicher | Ephemere Übertragung | | Verschlüsselung | AES-128-CCM + RSA-2048 | AES-256-GCM + PBKDF2 | | Clientseitige Verschlüsselung | Ja | Ja | | Kostenloser Tarif | 20 GB Speicher | 10 GB pro Übertragung | | Max. Dateigröße | Kontingentabhängig | 10 GB | | Aufbewahrung | Unbegrenzt (30-Tage-Inaktivität) | 7 Tage | | Konto erforderlich | Ja | Nein | | Datenspeicherort | NZ, NL, CA, weitere | Frankreich | | DSGVO-Status | Konform | EU-resident | | Five-Eyes-Beteiligung | Ja (NZ) | Nein | | Desktop-Apps | Ja | Nein | | Mobile Apps | Ja | Nein (nur Browser) | | Ordnerfreigabe | Ja | Nein |

Sicherheitsaudits und Transparenz

Mega hat einen source-available Web-Client veröffentlicht und Drittanbieter-Sicherheitsaudits in Auftrag gegeben. Das akademische Paper „MEGA: Malleable Encryption Goes Awry" von ETH-Zürich-Forschern aus dem Jahr 2022 identifizierte fünf Schwachstellen in Megas kryptografischem Protokoll, die anschließend alle behoben wurden. Die öffentliche Reaktion und die Korrekturen erfolgten prompt — das richtige Verhalten für einen Krypto-Dienst unter Beobachtung.

HexaTransfers Architektur ist einfacher (weniger Protokolle, keine Kontowiederherstellung, keine langlebigen Sitzungen), was die Angriffsfläche reduziert. Der Client-Code ist im Browser inspizierbar. Als neuerer und engerer Dienst hat er nicht die gleiche akademische Überprüfung wie Mega durchlaufen.

Geschäftsmodell und Langlebigkeit

Megas Geschäftsmodell sind Freemium-Speichertarife, die Umsatz proportional zur Anzahl zahlender Nutzer generieren. Der Dienst läuft seit 2013 (ursprünglich als MEGA Limited, Kim Dotcoms Nachfolger zu Megaupload). Die Langlebigkeit ist vernünftig.

HexaTransfer ist ein kostenloser Dienst ohne bezahlte Tarife. Bedenken zur Geschäftsmodell-Nachhaltigkeit sind für jeden rein kostenlosen Dienst berechtigt — wenn der Dienst nicht monetarisiert wird, stellen Sie die Nachhaltigkeit sicher, bevor Sie sich für geschäftskritische Flows darauf verlassen. Für einmalige Übertragungen ist Nachhaltigkeit weniger kritisch als für Archivspeicher.

Wann welcher Dienst die richtige Wahl ist

Wählen Sie Mega für persistenten verschlüsselten Cloud-Speicher, Team-Ordner-Freigabe, laufende Projektarchive, Gerätesync und wenn Sie ein vollständiges Zero-Knowledge-Cloud-Produkt wollen. Akzeptieren Sie den Five-Eyes-Jurisdiktions-Kompromiss für den Funktionsreichtum.

Wählen Sie HexaTransfer für einmalige verschlüsselte Übertragungen, EU-Jurisdiktionsanforderungen, Szenarien, bei denen Konten Reibung erzeugen (externe Lieferungen, einmalige Empfänger), und wenn 10 GB ausreichen. Akzeptieren Sie das Fehlen von persistentem Speicher und Kollaborationsfunktionen für die Einfachheit und den Jurisdiktionsfokus.

Beide gemeinsam nutzen

Die Dienste ergänzen sich eher, als dass sie konkurrieren. Eine datenschutzbewusste Person könnte Mega für laufende persönliche Cloud-Speicherung (Fotos, Backups, Dokumente) und HexaTransfer für gelegentliche verschlüsselte Sendungen an Nicht-Mega-Empfänger nutzen. Die Workflows überschneiden sich nicht genug, um Redundanzprobleme zu verursachen.

Für ein kleines Unternehmen könnte Mega als internes Kollaborations-Vault dienen, während HexaTransfer externe Kundenlieferungen übernimmt. Kunden benötigen keine Mega-Konten, um HexaTransfer-Links zu empfangen, was die Onboarding-Reibung für einmalige Engagements reduziert.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.