Passwortgeschützter Dateitransfer: Dateien sichern

Passwortgeschützter Dateitransfer bedeutet, dass der Empfänger die Nutzlast nicht entschlüsseln kann, ohne ein Geheimnis zu kennen, das der Sender gewählt hat. Das Passwort ist nicht nur eine Login-Schranke — es ist eine Eingabe für PBKDF2-HMAC-SHA256 (oder Argon2id), die den AES-256-GCM-Schlüssel ableitet, mit dem die Bytes verschlüsselt werden. Ohne ihn ist der Chiffretext auf dem Server Rauschen. Das unterscheidet sich grundlegend von „passwortgeschützten" Transfer-Tools, die Dateien im Klartext speichern und das Passwort lediglich auf HTTP-Ebene prüfen. Echter Passwortschutz bindet das Passwort an die Kryptografie selbst.

Der Unterschied zwischen Gating und Ableitung

Die meisten Consumer-Dateifreigabe-Plattformen vor 2020 verwendeten Passwort-Gating. Sie luden eine .pdf hoch, der Server speicherte sie auf S3, und ein Rails-Controller prüfte das eingereichte Passwort gegen einen bcrypt-Hash, bevor er die Datei aushändigte. Ein Administrator mit Datenbankzugriff oder eine Vorladung sah alles. Passwortabgeleitete Verschlüsselung dreht das um: Der Browser führt PBKDF2 mit 600.000 Iterationen aus (OWASP-2023-Ausgangsbasis), streckt das Passwort zu einem 256-Bit-Schlüssel und verschlüsselt vor dem Upload. Der Server hält Chiffretext und einen zufälligen Salt. Kein Passwort, kein Schlüssel, keine Datei. Firefox Send verwendete dieses Modell, bevor Mozilla den Dienst 2020 abschaltete.

Wahl zwischen PBKDF2 und Argon2id

PBKDF2 ist das Arbeitspferd — in der Web Crypto API enthalten, läuft überall und widersteht Brute-Force bei hohen Iterationszahlen. Argon2id ist neuer und besser: speicher-hart, sodass GPU-Angreifer nicht günstig durch Rainbow-Tables rasen können. Das Problem ist Browser-Unterstützung. Natives Argon2 ist noch nicht in Web Crypto, daher implementieren Dienste es via libsodium.js, was ~180 KB zum Bundle hinzufügt. Für einen 10-GB-Transfer, bei dem der Engpass ohnehin der Upload ist, spricht das Verhältnis für Argon2id mit m=64 MB, t=3, p=1. Für einen 20-MB-Anhang schließt PBKDF2 mit 600.000 Iterationen in 400 ms auf einem mittleren Smartphone ab.

Was ein Passwort stark genug macht

Eine 12-stellige Mischung aus Groß-, Kleinbuchstaben, Ziffern und Sonderzeichen erreicht grob 78 Bit Entropie — mehr als genug gegen Offline-Angriffe auf Argon2id aus dem Jahr 2026. Eine vierstellige Diceware-Passphrase (im Stil von correcthorsebatterystaple) erreicht 51 Bit und lässt sich leichter am Telefon vorlesen. Vermeiden Sie kurze Passwörter, selbst mit KDF-Streckung; ein Angreifer mit gestohlenen Chiffretext und Salt kann PBKDF2 auf einer RTX 5090 mit 20 Millionen Versuchen pro Sekunde laufen lassen. Sechs-stellige Passwörter fallen in Minuten. Länge schlägt Komplexität. Schreiben Sie das jedem Nutzer ins Gewissen, der „Sommer2026!" versucht.

Das Passwort teilen, ohne den Zweck zu untergraben

Den Datei-Link und das Passwort in derselben E-Mail zu senden, macht alles zunichte. Angreifer, die das Postfach besitzen, besitzen beides. Teilen Sie die Kanäle auf: Senden Sie den Link per E-Mail, das Passwort per SMS oder Signal. Noch besser: Nutzen Sie einen One-Time-Secret-Dienst wie 1Passwords Psst! oder eine interne Slack-Direktnachricht, die nicht screenshot-frei weitergeleitet werden kann. Für wiederkehrende Empfänger einigen Sie sich vorab auf ein Passwort-Ableitungsschema außerhalb des Bandes (z. B. „Monatsname plus Projekt-ID"), damit nichts Sensibles übertragen wird.

Salt, Nonce und warum sie kein Passwort sind

Drei Elemente werden zusammen mit dem Chiffretext übertragen: ein Salt für die KDF (16 Bytes), eine Nonce für GCM (12 Bytes) und ein Authentifizierungs-Tag (16 Bytes). Keines davon muss geheim bleiben — sie müssen nur pro Transfer eindeutig sein. Die Wiederverwendung einer Nonce mit demselben Schlüssel ist in GCM katastrophal: Sie leakt das XOR der Klartexte. Kryptografisch zufällige Generierung via crypto.getRandomValues() behandelt das, und der Salt wird im Datei-Metadaten-Header gespeichert. Das Passwort ist das einzige Geheimnis; alles andere reist mit dem Chiffretext.

Schutz gegen clientseitige Manipulation

Eine bösartige Browser-Erweiterung kann das Passwort während der Eingabe lesen. Mildern Sie das mit Content-Security-Policy-Headern, die Inline-Skripte und externe Verbindungen verbieten (connect-src 'self'), Subresource-Integrity auf allen gebündelten JavaScript-Dateien und einer strikten Referrer-Policy, damit Referrer nicht an Analyse-Dienste leaken. Prüfen Sie das WASM-Bundle mit Subresource-Hashes im Manifest. Das stoppt keine kompromittierte OS, erhöht aber die Hürde über beiläufige Angreifer hinaus. HexaTransfer veröffentlicht seine SHA-384-Hashes, damit erfahrene Nutzer verifizieren können, dass das geladene Bundle dem Quell-Repository entspricht.

Unterbrochene Downloads wiederaufnehmen, ohne den Schlüssel zu leaken

Für eine 5-GB-.iso-Datei kann der Download Stunden dauern. Wird der Tab geschlossen, sollte die Wiederaufnahme ohne erneute Passworteingabe funktionieren. Speichern Sie den abgeleiteten Schlüssel in SessionStorage (niemals in LocalStorage — der bleibt über Neustarts erhalten) und löschen Sie ihn, wenn der Download abgeschlossen ist oder der Tab schließt. Für das Chunk-für-Chunk-Modell erhält jeder 5-MB-Block seinen eigenen HKDF-Unterschlüssel, der vom Master abgeleitet wird; so exponiert ein Neustart einer pausierten Session nur den aktuellen Chunk-Unterschlüssel, nicht den Root. Smash und SwissTransfer unterstützen beide Range-Requests, handhaben aber Schlüsselmaterial unterschiedlich.

Wann Passwortschutz nicht ausreicht

Ein Passwort allein stoppt nicht, dass ein autorisierter Empfänger die Datei weiterteilt. Sobald jemand das .docx entschlüsselt, kann er es beliebig weiterleiten. Für echte Eingrenzung kombinieren Sie Passwörter mit DRM-artigen Einschränkungen: Single-Download-Links, IP-gebundener Zugriff oder kurze Ablauffristen (15 Minuten für ein PCI-DSS-4.0-Evidenzpaket). Für DSGVO-Artikel-32-Konformität protokollieren Sie, wer was wann abgerufen hat. Passwortschutz ist ein Boden, keine Decke — er erhöht die Kosten beiläufiger Abfangversuche, ohne das Insider-Threat-Problem zu lösen.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.