Ist es sicher, Dateien über das Internet zu senden?

Zuletzt aktualisiert: 2026-08-06

„Ist es sicher, diese Datei zu senden?“ ist eine berechtigte Frage, kurz innezuhalten — egal ob es sich um eine Steuererklärung, einen Vertrag oder einfach Fotos handelt, die privat bleiben sollen. Diese Anleitung soll dich nicht von gängigen Tools abschrecken, sondern in aller Ruhe durchgehen, was tatsächlich passiert, wenn du eine Datei per E-Mail sendest, in einen Cloud-Ordner legst oder auf einem USB-Stick mit dir herumträgst, was die Begriffe „Ende-zu-Ende verschlüsselt“ und „Zero-Knowledge“ tatsächlich versprechen, und worauf du achten solltest, bevor du einem Tool etwas Wichtiges anvertraust.

Dafür ist kein technisches Vorwissen nötig. Am Ende weißt du, welche Fragen du bei jeder Übertragungsmethode stellen solltest — auch bei der hier vorgestellten.

Wo Dateien tatsächlich zum Problem werden: die alltäglichen Risiken

E-Mail-Anhänge durchlaufen die Server deines Mail-Anbieters und die des Empfängers, und beide scannen, indizieren und sichern Nachrichten routinemäßig für Spam-Filterung und Notfallwiederherstellung — noch lange, nachdem du vergessen hast, dass du die Datei überhaupt verschickt hast. Wird die E-Mail einmal weitergeleitet, liegt die Datei jemandem vor, den du nie im Sinn hattest, und es gibt keine Möglichkeit zu wissen, dass wirklich jede Kopie verschwunden ist.

Cloud-Speicherlinks sind bequem, aber ein Link funktioniert meist so lange weiter, bis du daran denkst, ihn zu widerrufen, und „jeder mit dem Link“ ist nur so privat wie eine schwer zu erratende URL — was ein Link-Kürzungsdienst oder eine unbedachte Weiterleitung zunichtemachen kann. Die Datei erbt außerdem die Sicherheit des gesamten Kontos, in dem sie liegt, nicht nur die der eigentlichen Freigabe.

Ein USB-Stick fühlt sich sicher an, weil er offline ist, aber genau darin liegt die Lücke: Die meisten Sticks sind standardmäßig nicht verschlüsselt, sodass jemand, der einen liegen gelassenen Stick in einer Laptop-Tasche oder einem Mietwagen findet, den Klartext ohne jedes Passwort in die Hand bekommt.

Kostenlose öffentliche Upload-Seiten lösen das unmittelbare Problem — eine Datei von A nach B zu bringen —, sagen aber selten, was danach passiert: wie lange die Datei aufbewahrt wird, ob sie gescannt wird, wer zufällig darüber stolpern könnte, oder wie sich die Seite finanziert (werbefinanzierte Datei-Hoster haben eine Vorgeschichte, Tracker oder Schlimmeres mitzuliefern).

E-Mail: wird von Mailservern aufbewahrt und gescannt, lässt sich leicht über deine Kontrolle hinaus weiterleiten
Cloud-Links: funktionieren weiter, bis sie widerrufen werden, und erben die Sicherheit des gesamten Kontos
USB-Sticks: standardmäßig unverschlüsselt, leicht zu verlieren oder liegen zu lassen
Kostenlose Upload-Seiten: Aufbewahrung und Scan-Praktiken sind meist unklar

Was „Ende-zu-Ende verschlüsselt“ und „Zero-Knowledge“ wirklich bedeuten

Viele Dienste sagen „verschlüsselt“ und meinen damit nur, dass die Verbindung zu ihrem Server verschlüsselt ist — Standard-HTTPS/TLS, dasselbe Schloss-Symbol wie bei deiner Bank. Das ist echter Schutz gegen jemanden, der den Netzwerkverkehr abhört, endet aber am Server: Sobald deine Datei ankommt, kann der Dienst selbst sie lesen, weil er den Schlüssel besitzt. Viele alltägliche Tools hören genau da auf.

Ende-zu-Ende-Verschlüsselung bedeutet etwas Stärkeres: Die Datei wird verschlüsselt, bevor sie dein Gerät verlässt, mit einem Schlüssel, den nur Absender und vorgesehener Empfänger je besitzen. Der Dienst, der sie transportiert — Server, Relay, alles dazwischen — besitzt diesen Schlüssel nie und hat deshalb auch nie den Klartext, egal wie danach gefragt wird.

„Zero-Knowledge“ ist ein verwandtes Konzept, das meist auf gespeicherte statt live gesendete Daten angewendet wird: Selbst Daten, die ruhig auf einem Server liegen, wurden mit einem Schlüssel verschlüsselt, den der Server selbst nie erhalten hat — der Betreiber hat also keine Möglichkeit, sie zu lesen, egal wie lange sie dort liegen.

„Verschlüsselt“ allein meint oft nur TLS bis zum Server — der Anbieter kann die Datei trotzdem lesen.
„Ende-zu-Ende verschlüsselt“ bedeutet, dass nur Absender und Empfänger den Schlüssel besitzen.
„Zero-Knowledge“ bedeutet, dass der Server Daten besitzt, die er selbst im Ruhezustand strukturell nicht entschlüsseln kann.

Was du vor dem Vertrauen in ein Übertragungs-Tool wirklich prüfen solltest

Was du brauchst, um diese Checkliste durchzugehen

Zehn Minuten und einen Browser. Die ersten beiden Punkte sind Lesen, kein Audit.
Zwei Geräte für die Live-Punkte. Drei und vier lassen sich auf keiner Marketingseite erledigen — genau deshalb lohnen sie sich.
Kein Sicherheitswissen. Jeder Punkt unten ist entweder etwas, das du lesen, oder etwas, das du geschehen sehen kannst.

Die Marketing-Sprache auf einer Website ist weniger wert als ein paar konkrete Fragen:

Such die Antwort des Anbieters auf "könnt ihr meine Dateien lesen?" in seinem Quellcode, nicht auf der Preisseite. Gibt es keinen Quellcode, ist das bereits eine Antwort.
```
https://github.com/relayium/relayium
```
Prüfe die Lizenz und ob das Repository dem entspricht, was tatsächlich läuft. Eine Behauptung, die du nachsehen kannst, ist eine andere Art von Behauptung als eine, die du glauben sollst.
Vergleiche bei einer laufenden Übertragung den Verifizierungscode auf beiden Bildschirmen. Dieser Schritt macht aus "Ende-zu-Ende-verschlüsselt" statt eines Satzes etwas, das zwischen diesen beiden konkreten Endpunkten durchgesetzt wird.
```
https://relayium.com/
```
Öffne währenddessen die Entwicklerwerkzeuge deines Browsers und sieh dir das Netzwerk-Panel an. Such im Hochgeladenen nach dem Inhalt deiner Datei. Ihn nicht zu finden ist der Punkt; ihn zu finden wäre der Befund.
Prüfe, was danach bleibt: ob ein Link von selbst abläuft, und ob der Dienst die Datei später noch einmal herausgeben könnte, wenn ihn jemand danach fragt.

Was das Bestehen dieser Liste tatsächlich sagt

Die ersten beiden Punkte sind billig und sortieren die meisten Werkzeuge in Minuten aus. Die letzten drei kann keine Landingpage vortäuschen, weil du sie auf deinen eigenen zwei Geräten geschehen siehst.

Nichts davon macht ein Werkzeug abstrakt vertrauenswürdig. Es macht konkrete Behauptungen überprüfbar — und mehr kann niemand von uns tun, ohne jede Zeile selbst zu lesen.

Steht dort „verschlüsselt“ (könnte nur TLS bedeuten) oder ausdrücklich „Ende-zu-Ende verschlüsselt“ (nur Absender und Empfänger besitzen den Schlüssel)?
Gibt es eine Möglichkeit zu überprüfen, dass die Verbindung nicht manipuliert wurde — ein Code, den du selbst vergleichst, statt nur ein Schloss-Symbol, dem du vertrauen musst?
Wird die Integrität der Datei geprüft, sodass eine beschädigte oder veränderte Datei nicht klammheimlich falsch ankommt?
Ist der Code quelloffen und auditierbar, oder sind die Behauptungen bloß Marketing, dem man glauben muss?
Verlangen Senden oder Empfangen mehr Identitätspreisgabe, als für die Übertragung tatsächlich nötig ist?
Falls etwas gespeichert wird — hat es eine klare, endliche Lebensdauer, etwa ein Ablaufdatum oder Löschung nach dem Download, statt unbegrenzt liegen zu bleiben?

Wie Relayium jede dieser Fragen beantwortet

Bei einer Live-Übertragung, bei der beide Seiten gleichzeitig online sind, erzeugt Relayium auf jedem Gerät ein frisches X25519-Schlüsselpaar und leitet einen gemeinsamen AES-256-GCM-Schlüssel ab, der nur innerhalb der beiden Browser existiert — er wird nie an Relayiums eigene Server gesendet. Ein optionaler kurzer Verifizierungscode (ein SAS) — er erscheint, wenn du die standardmäßig ausgeschaltete erweiterte Verifizierung einschaltest — lässt beide Seiten bestätigen, dass die Schlüssel nicht von einem unehrlichen Server in der Mitte ausgetauscht wurden, und der SHA-256-Hash jeder Datei wird Ende-zu-Ende geprüft, sodass eine beschädigte Übertragung nicht unauffällig ankommt. Wie das genau funktioniert, wird ausführlicher in „Wie Relayium deine Dateien Ende-zu-Ende verschlüsselt“ beschrieben, falls du tiefer einsteigen möchtest.

Ist der Empfänger noch nicht online, nutzt ein gespeicherter Download-Link ein wirklich anderes, Zero-Knowledge-Design: Dein Browser erzeugt einen zufälligen AES-256-GCM-Schlüssel und verschlüsselt die Dateien damit, bevor überhaupt etwas hochgeladen wird. Dieser Schlüssel wird nie an den Server gesendet — er lebt nur im URL-Fragment des Links, dem Teil nach dem #, den Browser nie übertragen. Der Server besitzt am Ende nur Chiffretext, den er nicht entschlüsseln kann, plus ein von dir gewähltes Ablaufdatum: 1 Stunde, 1 Tag, 3 Tage, 7 Tage, bis zu 14 Tage je nach Tarif, oder Löschung nach dem ersten vollständigen Download.

Netzübergreifend nutzt Relayiums Browser-App TURN planmäßig: Das Relay transportiert Ende-zu-Ende-verschlüsselten Chiffretext, erhält aber nie den Schlüssel und kann die Datei weder lesen noch entschlüsseln.

Nichts davon verlangt, dass du einer Behauptung einfach glaubst: Relayiums Client- und Servercode ist unter der AGPL-3.0-Lizenz quelloffen und kann gelesen und geprüft werden, statt bloß geglaubt zu werden.

Übertragungen im selben Netzwerk benötigen überhaupt kein Konto.
Das Senden über Netzwerke hinweg per Pairing-Code oder das Erstellen eines gespeicherten Links erfordert, dass sich der Absender anmeldet — der Empfänger braucht nie ein Konto.

Verschlüsselung ist nicht alles — ein paar Gewohnheiten zählen weiterhin

Starke Verschlüsselung schützt eine Datei während der Übertragung und im Ruhezustand, kann dich aber nicht davon abhalten, einen Link an die falsche Adresse zu senden — behandle einen Freigabelink wie die Datei selbst und poste ihn nicht irgendwo öffentlich.

Bei wirklich sensiblen Inhalten schalte die erweiterte Verifizierung ein und nimm dir die paar zusätzlichen Sekunden, den Verifizierungscode am Telefon laut vorzulesen oder persönlich zu vergleichen, statt einfach darauf zu vertrauen, dass zwei nebeneinanderliegende, übereinstimmende Bildschirme nicht beide getäuscht wurden.

Und kein noch so gut verschlüsseltes Übertragungs-Tool schützt eine Datei, die bereits auf einem kompromittierten Gerät offenliegt — gute Verschlüsselung setzt voraus, dass die beiden Endpunkte selbst vertrauenswürdig sind. Das ist kein Grund, beim Versenden von Dateien paranoid zu werden — es lohnt sich nur zu wissen, was Verschlüsselung abdeckt und was nicht.

Wenn eine Prüfung keine saubere Antwort gibt

Drei Stellen, an denen man hängen bleibt. In allen dreien steckt in der Unschärfe selbst die Information.

Worauf du stößt, was du prüfst, was es bedeutet

Das Netzwerk-Panel zeigt einen großen Upload, und du kannst nicht erkennen, was darin steckt.

https://relayium.com/   # developer tools, Network panel, during a transfer

Das ist das erwartete Ergebnis, keine Sackgasse. Wonach du suchst, ist das Fehlen von allem Wiedererkennbaren aus deiner Datei — ein Dateiname, den du vergeben hast, eine Zeichenfolge, von der du weißt, dass sie im Dokument steht. Kannst du deinen eigenen Inhalt in der Nutzlast lesen, ist genau das der Befund, und ein eindeutiger.

Es gibt keinen Verifizierungscode, der dritte Punkt geht also nicht.

https://relayium.com/   # a stored link has no second live endpoint to compare against

Du bist bei einer gespeicherten Link-Übertragung statt einer Live-Übertragung. Es ist kein zweiter Endpunkt online, gegen den man vergleichen könnte, die Zusage hat also eine andere Form: der Schlüssel steckt im Link-Fragment und erreicht den Server nie. Bei Live-Übertragungen vergleichst du Codes, bei gespeicherten prüfst du den Ablauf des Links.

Der Quellcode ist offen, aber du kannst die Sprache nicht lesen, in der er geschrieben ist.

https://github.com/relayium/relayium   # is the claim falsifiable at all

Musst du auch nicht. Die Frage, die dieser Punkt beantwortet, ist, ob die Behauptung überhaupt widerlegbar ist: gibt es ein Repository, entspricht es dem, was läuft, könnte jemand, der die Sprache liest, widersprechen. Eine Behauptung, die niemand in der Lage ist zu prüfen, ist selbst der Befund.

Häufige Fragen

Ist es sicher, eine sensible Datei per E-Mail zu senden?

E-Mail ist nicht für vertrauliche Dateiübertragung konzipiert — Anhänge werden auf beiden Seiten routinemäßig von Mailservern aufbewahrt, gescannt und gesichert, und eine weitergeleitete Nachricht kann die Datei Personen vorlegen, die du nie im Sinn hattest. Für unkritische Dateien ist das in Ordnung; bei sensiblen Inhalten beseitigt ein Tool mit Ende-zu-Ende-Verschlüsselung diese Angriffsfläche.

Was bedeutet „Zero-Knowledge“ eigentlich?

Dass die Partei, die deine Daten speichert, nie den Schlüssel erhalten hat, um sie zu lesen. Die Verschlüsselung erfolgt auf deinem Gerät, bevor überhaupt etwas hochgeladen wird, und der Schlüssel liegt nur an einem Ort, den der Server nie sieht — etwa im URL-Fragment. Was auf dem Server liegt, ist also Chiffretext, den er strukturell nicht entschlüsseln kann, nicht nur Daten, die er verspricht, nicht anzusehen.

Reicht eine passwortgeschützte ZIP-Datei aus?

Besser als nichts, aber das Passwort reist oft auf demselben Weg wie die Datei selbst — etwa im selben E-Mail-Thread —, was den Schutz zunichtemacht, und ZIP-Verschlüsselungen unterscheiden sich stark in ihrer Stärke je nach Implementierung. Ein Tool, das auf Ende-zu-Ende-Verschlüsselung basiert, benötigt von vornherein kein gemeinsames Passwort und beseitigt damit diese Schwachstelle.

Behält Relayium eine Kopie meiner Dateien?

Im Echtzeitmodus bewahrt Relayium keine serverseitige Kopie oder Übertragungshistorie auf: Im selben LAN verbindet WebRTC direkt; netzübergreifende Browser-Sitzungen nutzen planmäßig TURN für Ende-zu-Ende-verschlüsselten Chiffretext, den das Relay weder lesen noch entschlüsseln kann. Bei einem gespeicherten Link besitzt der Server nur verschlüsselten Chiffretext, den er nicht lesen kann, bis der Link abläuft oder, wenn du Burn-after-read gewählt hast, einmal heruntergeladen wurde.

Brauche ich ein Konto, um eine Datei zu senden oder zu empfangen?

Im selben Netzwerk braucht keine Seite ein Konto. Das Senden über Netzwerke hinweg per Pairing-Code oder das Erstellen eines gespeicherten Links erfordert, dass sich der Absender anmeldet — aber die empfangende Person braucht in keinem Fall ein Konto.

Neugierig, ob ein Tool wirklich das schützt, was es verspricht? Starte eine Übertragung, schalte die erweiterte Verifizierung ein und sieh dir den Verifizierungscode und den Zero-Knowledge-Link selbst an.

Relayium jetzt ausprobieren