Die sichersten Tools zur Dateifreigabe im Test und Ranking
Ausführlicher Test der sichersten Tools zur Dateifreigabe 2026, bewertet nach Verschlüsselungsstärke, Datenschutzfunktionen und Zero-Knowledge-Architektur.
Nach Verschlüsselungsstärke und Zero-Knowledge-Architektur gerankt sind die sichersten Dateifreigabe-Tools 2026: Tresorit Send (XChaCha20-Poly1305, Schweizer Hosting), HexaTransfer (AES-256-GCM browserseitig, Schlüssel im Fragment), Proton Drive Sharing (PGP-basiertes E2EE), Internxt Send (libsodium, Storj-Backend) und OnionShare (Tor Hidden Services, kein Server überhaupt). Jedes Tool verwendet ein anderes kryptografisches Modell, daher hängt „am sichersten" von Ihrem Bedrohungsmodell ab: Netzwerküberwachung, Servereinbruch, Rechtsdurchsetzung oder Metadatenleck. Dieser Test beleuchtet die tatsächliche Implementierung, nicht Marketingaussagen.
Was ein Dateifreigabe-Tool „sicher" macht
Drei Eigenschaften sind entscheidend. Erstens Ende-zu-Ende-Verschlüsselung: Nur Absender und Empfänger halten die Schlüssel; der Server sieht ausschließlich Chiffretext. Zweitens Zero-Knowledge-Architektur: Der Anbieter kann Ihr Passwort nicht zurücksetzen und Ihre Dateien nicht wiederherstellen, weil er den Schlüssel nie hatte. Drittens Metadatenminimierung: kein Konto, kein IP-Logging über das reine Rate-Limiting hinaus, keine Analytics-SDKs. Ein Tool, dem eine dieser Eigenschaften fehlt, ist gegenüber der entsprechenden Bedrohung unsicher. „Banksichere Verschlüsselung" und „militärtaugliche Sicherheit" sind Marketingfloskeln; entscheidend ist, welcher RFC die Implementierung zugrunde liegt.
Tresorit Send: XChaCha20-Poly1305, Schweizer Rechtsstandort
Tresorit gehört der Schweizerischen Post, operiert aber unabhängig. Send verwendet XChaCha20-Poly1305 (RFC 8439, Extended-Nonce-Variante) mit dateiindividuellen Schlüsseln, die per HKDF-SHA-256 abgeleitet werden. Dateien werden in 4-MB-Blöcke aufgeteilt, jeder separat verschlüsselt — das ermöglicht fortsetzbare Uploads ohne Schlüsselwiederverwendung. Der kostenlose Tarif bietet 5 GB pro Übertragung. Auch Metadaten einschließlich Dateinamen werden verschlüsselt. Nachteile: Der kostenlose Tarif erfordert eine E-Mail, und Audit-Logs liegen auf Tresorit-Servern (verschlüsselt, aber vorhanden). Beste Wahl für alle, die ein prüffähiges kommerzielles Tool mit starkem Nachweis benötigen.
HexaTransfer: Schlüssel im Fragment, nichts gespeichert
HexaTransfer verwendet AES-256-GCM über die Browser-Web-Crypto-API. Der 256-Bit-Schlüssel wird clientseitig erzeugt und im URL-Fragment (dem Teil nach #) platziert, den Browser nie an Server übermitteln. Das Backend speichert den verschlüsselten Blob und reine Chiffretext-Metadaten. Weder das HexaTransfer-Team noch ein kompromittierter Server können ohne das Fragment entschlüsseln. PBKDF2 mit 600.000 Iterationen schützt optionale Passwörter. Das 10-GB-Limit und der kontofreie Ablauf machen es schwer, eine Übertragung einer bestimmten Person zuzuordnen. Kompromiss: kein zentrales Audit-Log für Compliance-Reporting.
Proton Drive Share Links: PGP-basiertes E2EE
Proton hat Drive auf demselben OpenPGP-Fundament wie Proton Mail aufgebaut, mit ECC-Curve25519-Schlüsseln und AES-256-CFB-Sitzungsschlüsseln. Freigabelinks leiten pro Link einen Schlüssel vom Konto-Hauptschlüssel ab; ein widerrufener Share widerruft damit den Schlüssel. Die Integration mit Proton Mail und Proton Pass ist der eigentliche Vorteil: ein Konto, ein Schlüsselsatz, einheitliche 2FA. Der kostenlose Plan begrenzt auf 5 GB Gesamtspeicher, nicht pro Übertragung, was Heavy User einschränkt. Schweizer Hosting, Open-Source-Clients und ein veröffentlichtes kryptografisches Whitepaper.
Internxt Send: libsodium auf Storj
Internxt Send verschlüsselt Dateien mit libsodiums secretbox (XSalsa20-Poly1305), bevor diese über das dezentrale Storj-Netzwerk verteilt werden. Jeder Chunk landet auf einem anderen Knoten, und Knoten sehen nur Chiffretext-Fragmente. Das Netzwerkmodell eliminiert eine zentrale Angriffsfläche: kein einzelner Server hält eine vollständige Datei. Nachteile: langsamere Downloads (mehr Roundtrips) und ein 5-GB-Freilimit. Eine vernünftige Wahl für Nutzer, die zentralem Speicher grundsätzlich misstrauen.
OnionShare: Peer-to-Peer über Tor
OnionShare ist ein Desktop-Tool, kein Webdienst. Es betreibt einen ephemeren Tor-Hidden-Service auf Ihrem Laptop; der Empfänger lädt direkt von Ihrem Rechner durch das Tor-Netzwerk herunter. Es gibt buchstäblich keinen Drittanbieter-Server. Die Verschlüsselung ist TLS innerhalb von Tor, plus Tors eigenes Onion-Routing. Die Datei verlässt Ihre Festplatte nur, wenn der Empfänger sich verbindet. Nachteile: Ihr Laptop muss online bleiben, bis der Download abgeschlossen ist, und Tors Bandbreite begrenzt Übertragungen auf rund 10–20 Mbps. Beste Wahl für Journalismus, Quellenschutz und Fälle, bei denen „kein Dritter im Übertragungspfad" die Grundvoraussetzung ist.
Ranking nach Bedrohungsmodell
| Bedrohung | Bestes Tool | Begründung | |---|---|---| | Servereinbruch | HexaTransfer, OnionShare | Server hält keinen Klartext oder keine Datei überhaupt | | Rechtsdurchsetzung | OnionShare, HexaTransfer | Keine Daten zum Herausgeben | | Netzwerküberwachung | OnionShare | Tor verschleiert Metadaten | | Compliance-Audit | Tresorit Send | Audit-Logs mit E2EE | | Ökosystem-Konsistenz | Proton Drive | Einheitliche Schlüssel mit Mail/Pass | | Größenlimit | HexaTransfer (10 GB) | Größtes kontofreies E2EE-Kontingent |
Kein einziges Tool gewinnt in jeder Kategorie. Ein Journalist nutzt OnionShare. Eine Kanzlei nutzt Tresorit für Audit-Logs. Ein Freiberufler, der ein 6-GB-Video sendet, nutzt HexaTransfer.
Tools, die sicher wirken, es aber nicht sind
WeTransfer behauptet „Verschlüsselung bei Übertragung und Ruhezustand". Das ist TLS plus serverseitiges AES-256, kein Ende-zu-Ende. Ein Datenleck oder ein Insider-Zugriff legt Klartext frei. Dropbox Transfer, Google Drive Freigabelinks und OneDrive Shares funktionieren gleich: Der Anbieter hält Ihre Schlüssel. Firefox Send bot echtes E2EE, wurde aber 2020 eingestellt. Meiden Sie alles, das sich „sicher" nennt, ohne Cipher, Schlüsselableitungsfunktion und Server-Entschlüsselbarkeit zu benennen.
Metadaten als versteckte Schwachstelle
Die meisten „sicheren" Tools verschlüsseln Dateiinhalte und ignorieren Metadaten. Dateinamen, Dateigrößen, Upload-Zeitstempel, Absender-IP, Empfänger-E-Mail — all das gibt Kontext preis. Eine 2,3-MB-PDF namens fusionsentwurf_v4.pdf sagt einem Mitbewerber viel, selbst wenn die Bytes geheim bleiben. Tresorit und HexaTransfer verschlüsseln Dateinamen; Proton Drive ebenfalls; Dropbox und WeTransfer nicht. Öffnen Sie beim Evaluieren eines Tools das Netzwerk-Panel und beobachten Sie, was übertragen wird.
Praktische Konfiguration für maximale Sicherheit
Generieren Sie starke Zufallspasswörter über einen Passwort-Manager (Bitwarden, 1Password), wenn das Tool Passwortschutz unterstützt. Teilen Sie den Link über einen Kanal (E-Mail) und das Passwort über einen anderen (Signal). Setzen Sie die kürzest sinnvolle Ablaufzeit: 24 Stunden für Einmalübertragungen, 7 Tage für laufende Zusammenarbeit. Löschen Sie die Übertragung manuell, sobald der Empfänger den Download bestätigt. Vermeiden Sie das Teilen von Links in Slack-Kanälen mit breitem Teilnehmerkreis; Direktnachrichten sind sicherer. Für höchst sensibles Material nutzen Sie ein sauberes Browser-Profil oder einen Tails-Live-USB.
Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.
Große Dateien sicher mit Ende-zu-Ende-Verschlüsselung senden
Übertragen Sie Dateien bis zu 10 GB kostenlos mit Ende-zu-Ende-Verschlüsselung. Kein Konto erforderlich. Ihre Dateien werden in Ihrem Browser verschlüsselt, bevor sie hochgeladen werden — niemand sonst kann sie lesen.
Datei senden