Die besten Open-Source-Verschlüsselungstools zur Dateifreigabe
Entdecken Sie die besten Open-Source-Tools zur verschlüsselten Dateifreigabe inklusive Features, Stärken und idealen Einsatzszenarien jedes Tools.
Die stärksten Open-Source-Verschlüsselungstools zur Dateifreigabe in 2026 sind: age (für moderne Befehlszeilenverschlüsselung), GnuPG (für standardkonforme PGP-Verschlüsselung), 7-Zip mit AES-256 (für portable Archive), Cryptomator (für Cloud-Ordner), rclone crypt (für Sync-und-Verschlüsselungs-Pipelines), VeraCrypt (für verschlüsselte Container) und OnionShare (für Tor-geroutete Direktübertragungen). Jedes löst ein spezifisches Problem – kleine Datei, Archiv, Cloud-Spiegel, anonyme Weitergabe – und sie lassen sich gut kombinieren. Der Quellcode ist auf GitHub prüfbar, und die zugrunde liegenden Chiffren (AES-256-GCM, ChaCha20-Poly1305, X25519) werden öffentlich von Kryptographen begutachtet.
age: Modern, minimal, prüfbar
age („actually good encryption") wurde von Filippo Valsorda (ehemaliger Go-Kryptographie-Lead bei Google) entwickelt und 2019 erstmals veröffentlicht. Es verwendet X25519 + ChaCha20-Poly1305 und eine bewusst schlanke Spezifikation – die Referenzimplementierung umfasst unter 3.000 Zeilen Go. Ein einziger Befehl verschlüsselt eine Datei für den öffentlichen Schlüssel eines Empfängers:
age -r age1ql3z7h... -o secret.age secret.pdf
Es hat in vielen Entwickler-Workflows GnuPG abgelöst, weil es nicht den 30-jährigen OpenPGP-Ballast mitschleppt: keine Schlüsselserver, keine Web-of-Trust, keine Unterschlüssel-Hierarchie. Der Nachteil ist die Verbreitung – age ist standardmäßig nirgendwo vorinstalliert, außer über brew oder apt. Für Teams, die bereits mit der Kommandozeile arbeiten, ist es exzellent.
GnuPG: Das Interoperabilitäts-Werkzeug
GnuPG 2.4 implementiert OpenPGP gemäß RFC 4880 und RFC 9580 und bleibt die einzige Option, wenn der Empfänger PGP-Kompatibilität voraussetzt. Das betrifft die meisten journalistischen Workflows (SecureDrop basiert darauf), viele Debian-Paketsignierer und Organisationen mit S/MIME-inkompatiblen Richtlinien. Die Verschlüsselung erfolgt per:
gpg --encrypt --recipient alice@example.com document.docx
GnuPG unterstützt AES-256-CFB, ECDH mit Curve25519 und abgetrennte Signaturen. Die Benutzeroberfläche ist veraltet, doch der kryptographische Kern wurde wiederholt auditiert und das Binary ist auf jeder Linux-Distribution enthalten.
7-Zip: Der allgegenwärtige Archiv-Chiffrierer
7-Zip ist Open Source (LGPL) und auf Windows, macOS (über Keka oder p7zip) und Linux verfügbar. Das .7z-Format unterstützt AES-256 im CBC-Modus mit SHA-256-basierter Schlüsselableitung (standardmäßig 500.000 Iterationen in neueren Versionen). Ein verschlüsseltes Archiv erstellen Sie mit:
7z a -p -mhe=on archive.7z ordner/
Das Flag -mhe=on verschlüsselt auch Dateinamen – wichtig, denn ein sichtbarer kuendigungsschreiben-final.pdf im Archivlisting untergräbt den Sinn. Der Vorteil von 7-Zip ist die universelle Empfängerkompatibilität: Jeder Windows-Nutzer kann doppelklicken und das Passwort eingeben. Teilen Sie das Passwort über Signal, niemals über denselben Kanal wie das Archiv.
Cryptomator: Transparente Cloud-Verschlüsselung
Cryptomator sitzt zwischen Ihrem Dateisystem und Dropbox, Google Drive, OneDrive oder einem beliebigen WebDAV-Ziel. Es erzeugt ein virtuelles Laufwerk, das Dateien mit AES-256-GCM verschlüsselt und Dateinamen verschleiert, bevor sie synchronisiert werden. Der Chiffretext-Tresor landet in der Cloud; der Klartext existiert nur lokal. Open Source unter GPLv3, mit veröffentlichten Sicherheitsaudits von Cure53.
Ideal für langfristig cloud-gespeicherte Archive ohne Anbieterzugriff – als Tool zum Teilen mit anderen taugt es weniger, da der Empfänger Cryptomator installiert und das Tresor-Passwort kennen muss. Für einmalige Weitergaben kombinieren Sie es mit einem Übertragungsdienst mit Link-Funktion.
rclone crypt: Verschlüsselte Sync-Pipelines
rclone ist das Schweizer Taschenmesser der Cloud-Synchronisation, und sein crypt-Backend hüllt jeden Remote in clientseitige Verschlüsselung – XSalsa20 (libsodium) für Dateiinhalte und EME für Dateinamen. Einmal konfiguriert, schieben Befehle wie rclone copy ./fotos crypted:backup verschlüsselte Blobs zu Backblaze B2, S3, Wasabi oder einem der über 70 unterstützten Backends.
Beliebt in selbst gehosteten Backup-Setups und betrieben headless in Cron-Jobs. Kein eigenständiges Sharing-Tool – betrachten Sie es als Verschlüsselungsschicht unter Ihrer Pipeline.
VeraCrypt: Container und Vollverschlüsselung
VeraCrypt ist der spirituelle Nachfolger von TrueCrypt, mit den Audit-Narben, die das impliziert. Es erstellt verschlüsselte Container-Dateien oder vollverschlüsselte Volumes mit AES, Twofish, Serpent oder Kaskaden aus allen dreien, mit SHA-512 oder Whirlpool zur Schlüsselableitung. Ein 4-GB-Container sieht aus wie ein zufälliger Binärblob, lässt sich als Laufwerk einbinden und wieder aushängen.
Nützlich für lokalen verschlüsselten Arbeitsspeicher, Datentransport über Grenzen hinweg oder als Ergänzung zu einem Übertragungsdienst (Container hochladen, Passwort separat teilen). Versteckte Volumes bieten plausible Bestreitbarkeit – zwei Passwörter zeigen zwei verschiedene Dateisysteme.
OnionShare: Direktsendung über Tor
OnionShare betreibt einen ephemeren Tor-Onion-Dienst auf Ihrem Gerät und generiert eine .onion-URL, die der Empfänger im Tor Browser öffnet. Dateien durchlaufen keinen Drittanbieter-Server – sie bewegen sich peer-to-peer über Tors verschlüsselte Relays. Ende-zu-Ende-Verschlüsselung ist durch den Tor-Schaltkreis inhärent (TLS 1.3, eingebettet in Onion-Routing).
Das Tool der Wahl, wenn Sie keinerlei Anbieter-Metadaten wollen: keine Zeitstempel in Server-Logs, keine IP-Aufzeichnungen, keine Firma, die per Beschlagnahme zur Herausgabe gezwungen werden kann. Die Geschwindigkeit ist gering (Tor-Bandbreite liegt praktisch bei 5–10 MB/s), und beide Parteien müssen gleichzeitig online sein. Für Journalisten und Quellen gibt es kaum etwas Besseres.
Die richtige Kombination wählen
Kein einzelnes Tool deckt jeden Anwendungsfall ab. Typische Kombinationen: age + HexaTransfer für eine schnelle verschlüsselte Sendung an einen Entwickler, 7-Zip + Signal für ein passwortgeschütztes Archiv an einen Kunden, Cryptomator auf iCloud für einen verschlüsselten Cloud-Tresor, OnionShare für Quellschutz-Szenarien. Die gemeinsame Eigenschaft: Der Quellcode ist öffentlich – Sie (oder ein Kryptograph Ihres Vertrauens) können verifizieren, dass die Implementierung der Behauptung entspricht.
Wenn Sie einen gehosteten Dienst mit clientseitigem AES-256-GCM ohne Kontoerfordernis als Ergänzung zu diesen Tools suchen, testen Sie hexatransfer.com – kostenlos, kein Konto erforderlich, maximal 10 GB.
Große Dateien sicher mit Ende-zu-Ende-Verschlüsselung senden
Übertragen Sie Dateien bis zu 10 GB kostenlos mit Ende-zu-Ende-Verschlüsselung. Kein Konto erforderlich. Ihre Dateien werden in Ihrem Browser verschlüsselt, bevor sie hochgeladen werden — niemand sonst kann sie lesen.
Datei senden