Onetime Secret: ein Dienst ohne den ich kein Passwort mehr übergeben möchte

Regelmässig kommt es vor, dass ich Passwörter weiterreichen darf. Für mich selbst, in der Familie, für meine ganzen Blog-Projekte und teilweise auch im beruflichen Umfeld nutze ich 1Password, für das eine oder andere Projekt zusätzlich einen alternativen Passwort-Tresor. Grundsätzlich setze ich, wo immer möglich, auf lange und komplexe Passwörter.

Bis vor wenigen Jahren habe ich Logins immer auf geteiltem Weg verbreitet: den Benutzernamen oder die E-Mail-Adresse über die E-Mail und das Passwort über iMessage oder SMS. Das Problem daran: In beiden Kanälen bleibt das Passwort dauerhaft gespeichert, im Postfach, im Chatverlauf, im Backup. Dank Onetime Secret gibt es einen viel besseren Weg, und den nutze ich inzwischen seit Jahren.

In diesem Beitrag erkläre ich dir, was Onetime Secret ist, wie sicher der Dienst wirklich ist, wie du ihn selbst hosten kannst, welche Alternativen es gibt und worauf du als Schweizer Nutzer beim Datenschutz achten solltest.

Was ist Onetime Secret und wie funktioniert es?

In einer Zeit, in der fast jeder Austausch digital stattfindet, stehen wir regelmässig vor der Herausforderung, sensible Informationen sicher zu teilen. Ob Passwörter, Bankdaten oder vertrauliche Notizen: E-Mail und Messenger sind dafür denkbar ungeeignet, weil die Nachrichten dort dauerhaft gespeichert werden und potenziell in falsche Hände geraten können.

Onetime Secret (oft auch als «Onetimesecret» geschrieben) ist ein Online-Dienst, mit dem du eine geheime Nachricht in Form eines Links versendest, der sich nach dem ersten Abruf automatisch und unwiderruflich selbst zerstört. Hat dein Gegenüber das Passwort einmal eingesehen, verschwindet es wieder, wie es gekommen ist. Ähnlich wie man das von Snapchat-Nachrichten kennt, nur ohne Trickserei, um es sich ein zweites Mal anzuschauen. Den Dienst gibt es bereits seit 2012, und der Quellcode ist quelloffen auf GitHub einsehbar.

So läuft es Schritt für Schritt ab, ganz ohne Registrierung:

1. Geheimnis eingeben: Du tippst den vertraulichen Text (zum Beispiel ein neues Passwort) in das Eingabefeld auf der Website von Onetime Secret ein.
2. Aufbewahrung und Region wählen: Du legst fest, wie lange der Link gültig ist (von Minuten bis zu 14 Tagen in der Gratisversion) und in welcher Region das Geheimnis gespeichert wird. Für uns in der Schweiz macht European Union am meisten Sinn.
3. Link erstellen: Mit einem Klick auf Create Link wird der Text verschlüsselt und ein einmalig gültiger «One-Time-Link» erzeugt.
4. Link teilen: Diesen Link gibst du über einen beliebigen Kanal (E-Mail, Messenger, SMS) an den vorgesehenen Empfänger weiter.
5. Einmaliger Zugriff: Sobald der Empfänger den Link öffnet, wird das Geheimnis angezeigt. Unmittelbar danach löscht sich der Inhalt unwiderruflich vom Server. Versucht jemand, den Link ein zweites Mal zu öffnen, erscheint nur noch die Meldung, dass das Geheimnis bereits zerstört wurde.

Wichtiger Tipp: Öffne den Link nach dem Erstellen nicht selbst zur Kontrolle. Sonst ist er sofort ungültig und dein Gegenüber sieht nur noch die Fehlermeldung.

Passphrase: die zusätzliche Sicherheitsschicht

Für alle, die es besonders sicher mögen, bietet Onetime Secret einen Passphrase-Schutz. Du hinterlegst beim Erstellen ein zusätzliches Kennwort. Der Empfänger sieht das Geheimnis erst, wenn er diese Passphrase eingibt. Der Clou: Diese Passphrase übermittelst du über einen anderen Kanal als den Link selbst. So bringt selbst ein abgefangener Link niemandem etwas, der die Passphrase nicht kennt.

Ist Onetime Secret sicher? Verschlüsselung und Datenschutz im Check

Das ist die entscheidende Frage, und die Antwort verlangt eine ehrliche Differenzierung.

Onetime Secret verschlüsselt deinen Text, aber die Verschlüsselung passiert serverseitig. Das heisst: Du gibst deinen Klartext auf der Website ein, er wird zum Server übertragen und dort verschlüsselt gespeichert. Der Dienst ist damit kein Zero-Knowledge- und kein echtes Ende-zu-Ende-System. Technisch betrachtet könnte der Betreiber im Moment der Eingabe auf den unverschlüsselten Inhalt zugreifen. Du übergibst deine Daten also an einen Dritten und musst darauf vertrauen, dass der Anbieter den Link und den Text auch wirklich vernichtet.

Ist das ein Ausschlusskriterium? Für mich nicht, aber es ist gut, es zu wissen. Für dieses Vertrauen sprechen mehrere Punkte:

• Den Dienst gibt es seit 2012, mit entsprechend langer Reputation.
• Der Quellcode ist offen auf GitHub einsehbar und damit von jedermann überprüfbar.
• Du kannst die Speicherregion wählen (zum Beispiel die Europäische Union), was für den Datenschutz relevant ist.
• Mit der Passphrase legst du eine Schicht darüber, die der Server ohne dein Zutun nicht auflösen kann.

Trotzdem gilt die einfache Regel: Je sensibler die Daten, desto mehr solltest du entweder eine Passphrase nutzen, den Dienst selbst hosten oder zu einer Zero-Knowledge-Alternative greifen (dazu weiter unten mehr). Ein serverseitig verschlüsselter Cloud-Dienst ist für einen WLAN-Zugang zum Gäste-Netz etwas anderes als für die Zugangsdaten zum Kernbanking eines Kunden.

Bei sehr wichtigen Passwörtern, also eigentlich fast immer, gebe ich das Passwort so weiter, dass ich am Schluss ein zusätzliches Zeichen einfüge, oder am anfang, machmal auch nach dem ersten Sonderzeichen, je nachdem wie ich gerade lustig bin. Dies teile ich natürlich der Person gegenüber mit, in einem separaten Kanal. Klingt verrückt? Ja, aber ich geh hier lieber auf Nummer sicher.

Onetime Secret selbst hosten: Anleitung für Fortgeschrittene

Wer die Vertrauensfrage aus dem letzten Kapitel ganz ausräumen will, hostet Onetime Secret einfach selbst. Dann verlässt kein Geheimnis mehr deine eigene Infrastruktur. Für alle, die wie ich ohnehin einen Heimserver mit Docker betreiben, ist das eine Sache von wenigen Minuten.

Onetime Secret ist quelloffen und wird als offizielles Docker-Image bereitgestellt. Als Datenspeicher dient Redis. Für den Einstieg genügt der «Simple Mode» mit Redis allein; für grössere Setups gibt es einen «Full Mode» mit PostgreSQL und RabbitMQ.

Systemvoraussetzungen (Richtwerte): 2 oder mehr CPU-Kerne, mindestens 2 GB RAM, rund 10 GB Speicher sowie eine erreichbare Redis-Instanz.

So sieht ein minimaler Schnellstart aus:

# 1. Redis starten
docker run -p 6379:6379 -d redis:bookworm

# 2. Onetime Secret starten
docker run -p 3000:3000 -d \
  -e REDIS_URL=redis://host.docker.internal:6379/0 \
  -e SECRET="$(openssl rand -hex 32)" \
  onetimesecret/onetimesecret:v0.26.2

Danach erreichst du die Anwendung unter http://localhost:3000. Zwei Umgebungsvariablen sind entscheidend:

• REDIS_URL verweist auf deine Redis-Instanz.
• SECRET ist der kryptografische Hauptschlüssel deiner Installation. Generiere ihn einmalig mit openssl rand -hex 32 und bewahre ihn sicher auf. Änderst du ihn später, sind bestehende Geheimnisse nicht mehr lesbar.

Für den produktiven Betrieb ergänzt du das Ganze sinnvollerweise um einen Reverse Proxy mit HTTPS-Zertifikat und eine eigene (Sub-)Domain, damit deine Links sauber und vertrauenswürdig aussehen. Wer die Versionen und das Deployment sauber dokumentiert pflegt, hat hier einen dankbaren kleinen Baustein fürs eigene Homelab.

Die besten Alternativen zu Onetime Secret (2026)

Onetime Secret ist bequem, aber nicht der einzige Weg. Gerade wenn dir echte Zero-Knowledge-Verschlüsselung wichtig ist, lohnt sich der Blick auf Alternativen. Firefox Send, das viele in Erinnerung haben, wurde von Mozilla übrigens bereits 2020 eingestellt; es lebt nur noch als quelloffener Community-Fork weiter.

Kurz eingeordnet:

• PrivateBin ist mein Tipp, wenn du eine echte Zero-Knowledge-Lösung selbst hosten willst. Die Verschlüsselung passiert komplett im Browser, der Server sieht nie den Klartext. Perfekt für Text und Code-Snippets.
• Bitwarden Send ist naheliegend, wenn du (wie ich mit 1Password) ohnehin in einem Passwort-Manager-Ökosystem lebst. Textnachrichten sind gratis, für Dateien braucht es ein Premium-Konto. Mit dem quelloffenen Vaultwarden lässt sich das auch selbst betreiben.
• Yopass richtet sich an technische Anwender und lässt sich gut in Kommandozeilen-Abläufe einbinden.
• Password Pusher (pwpush) ist wie Onetime Secret serverseitig, aber sehr populär als selbstgehostete Lösung speziell für Passwörter.

Onetime Secret in der Schweiz: Was du beim Datenschutz beachten solltest (DSG/DSGVO)

Sobald du fremde Zugangsdaten oder Personendaten von Kunden oder Mitarbeitenden über einen solchen Dienst teilst, wird das Thema Datenschutz relevant, egal wie kurz das Geheimnis nur lebt.

Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz (revDSG). Es ist stark an die europäische DSGVO angelehnt, damit Schweizer Unternehmen weiter unkompliziert mit dem EU-Raum zusammenarbeiten können. Zwei Punkte sind für Onetime Secret besonders wichtig:

1. Serverstandort. Wenn du einen Cloud-Dienst nutzt, bei dem Daten das Land verlassen, spielt das Zielland eine Rolle. Die Schweiz und die EU anerkennen sich gegenseitig ein angemessenes Datenschutzniveau. Darum ist die Wahl der EU-Region bei Onetime Secret der einfachste und sauberste Weg. Ein Hosting in den USA wäre datenschutzrechtlich heikler zu begründen.

2. Serverseitige Verschlüsselung. Weil der Anbieter beim Erstellen theoretisch Zugriff auf den Klartext hat, gilt er datenschutzrechtlich als beteiligter Dritter. Für alltägliche Zugangsdaten ist das in der Praxis vertretbar. Für besonders schützenswerte Personendaten solltest du jedoch konsequent eine Passphrase setzen oder gleich auf eine selbstgehostete beziehungsweise Zero-Knowledge-Lösung ausweichen, damit die Daten deine Kontrolle gar nicht erst verlassen.

Für ein Schweizer KMU ist die Faustregel simpel: EU-Region wählen, kurze Ablaufzeit setzen, bei sensiblen Inhalten Passphrase nutzen, und im Zweifel selbst hosten. Damit bist du auf der sicheren Seite, ohne den Komfort aufzugeben.

Aber wichtiger Hinweis, das sind die Informationen wie ich sie hab zusammentragen können. Ich bin kein Anwalt, bitte informiert euch da bei euren Kunden und/oder eurem Arbeitgeber, wie sich das verhält.

Was kostet Onetime Secret?

Für das schnelle Übertragen von Passwörtern ist der Dienst kostenlos nutzbar. Wer mehr braucht, kann erweitern:

• Basic (CHF 0.- pro Monat): Automatische Vernichtung nach dem Betrachten, Ablauf bis zu 14 Tage, E-Mail-Versand, eine Custom Domain und Zugriff auf die REST-API.
• Identity Plus (rund CHF 33.- pro Monat): Unbegrenzte Custom Domains, eigenes Branding mit Logo, Ablauf bis zu 30 Tage, unbegrenzte Teammitglieder, Zugriffskontrollen und eingehende Secrets.
• Team Plus (rund CHF 125.- pro Monat): Alles aus Identity Plus, plus Single Sign-On (SSO), Organisations- und Team-Verwaltung sowie Versand von einer eigenen Domain.

Für den Hausgebrauch und die meisten Blog- und KMU-Szenarien reicht die Gratisversion locker aus.

Mein Fazit zu Onetime Secret

Onetime Secret ist für mich ein unverzichtbares Werkzeug, wenn ich sensible Daten sicher und spurlos übertragen muss. Es beseitigt das Risiko, dass Passwörter in E-Mail-Postfächern, Chatverläufen oder auf Cloud-Diensten dauerhaft liegen bleiben. Es ist schnell, einfach und erfüllt seinen Zweck, und das bei mir schon seit vielen Jahren.

Wichtig ist nur, ehrlich zu bleiben: Die Verschlüsselung ist serverseitig, kein Zero-Knowledge. Für den Alltag ist das mit EU-Region und Passphrase absolut vertretbar. Und wer die letzte Unsicherheit ausräumen will, hostet den Dienst selbst oder greift zu PrivateBin. So oder so gilt: Wer Passwörter noch offen per Mail oder SMS verschickt, sollte das ab heute nicht mehr tun.

Häufige Fragen zu Onetime Secret