Ehrlicher Vergleich

Passwort sicher versenden: Ratgeber und Werkzeuge im Vergleich

Wer Passwörter per Mail oder Chat versendet, lässt sie dauerhaft in fremden Postfächern und Verläufen liegen. Dieser Ratgeber zeigt, wie du ein Passwort sicher und verschlüsselt versendest, worauf es dabei ankommt und was die gängigen Werkzeuge leisten, auch dort, wo sie an ihre Grenze kommen.

DSGVO-konform Hosting in der EU Zero Knowledge

Kostenlos starten

Anforderungs-Link erstellen

Warum du Passwörter nicht per Mail versenden solltest

Eine Mail wird nicht einmal gespeichert, sondern an vielen Stellen: im Gesendet-Ordner, im Postfach des Empfängers, auf den Mailservern beider Seiten und oft in deren Backups. Die Transportverschlüsselung zwischen den Servern schützt nur die Strecke, nicht die Kopien, die danach liegen bleiben.

Ein Passwort in einer Mail bleibt deshalb so lange lesbar, wie eine dieser Kopien existiert. Wird Jahre später ein Postfach übernommen, eine Weiterleitung falsch gesetzt oder ein Archiv durchsucht, liegt es offen da. Für Chats gilt dasselbe, sobald Verläufe auf Servern oder in Backups landen.

So versendest du ein Passwort sicher

Der Grundgedanke: Das Passwort selbst gehört nicht in die Nachricht. In die Nachricht gehört ein Link, der genau einmal funktioniert und danach nichts mehr preisgibt.

Füge das Passwort in ein Werkzeug ein, das daraus einen Einmal-Link erzeugt. Bei Erseni Vault wird es dabei schon in deinem Browser verschlüsselt, bevor irgendetwas an den Server geht.
Wähle die kürzeste Ablaufzeit, die für den Empfänger reicht. Ist sie verstrichen, lässt sich der Link nicht mehr öffnen, auch wenn ihn niemand abgerufen hat.
Setze bei Bedarf zusätzlich ein Passwort für den Link und teile es auf einem anderen Weg mit, zum Beispiel am Telefon. Wer nur den Link abfängt, kann das Geheimnis dann nicht lesen.
Schick den Link an den Empfänger. Beim ersten Abruf wird der Datensatz gelöscht. Hat jemand anderes den Link vorher geöffnet, findet der Empfänger nichts mehr vor und weiß damit, dass das Passwort geändert werden muss.
Geht es um einen Zugang, den mehrere Personen länger nutzen, ändere das Passwort nach der Übergabe, sobald es nicht mehr gebraucht wird.

Was es heißt, ein Passwort verschlüsselt zu versenden

Fast jeder Dienst schreibt, er verschlüssele. Entscheidend ist, wo verschlüsselt wird und wer den Schlüssel hält. Bei serverseitiger Verschlüsselung liegt der Schlüssel beim Betreiber, der den Inhalt damit technisch lesen könnte. Bei Verschlüsselung im Browser, oft Zero Knowledge genannt, bekommt der Server den Schlüssel nie zu sehen.

Erseni Vault verschlüsselt mit AES-GCM-256 im Browser. Der Schlüssel steht im Teil des Links hinter dem #, und diesen Teil schicken Browser nie an den Server; wir speichern nur Chiffretext. Die Grenze gehört dazu: Wer den vollständigen Link hat, kann ihn öffnen. Deshalb zählt, wie du den Link weitergibst.

Verschlüsselte Mail mit S/MIME oder PGP ist ebenfalls ein sicherer Weg, setzt aber voraus, dass beide Seiten Zertifikate oder Schlüssel eingerichtet haben. Ein Einmal-Link funktioniert ohne diese Vorbereitung.

Die kurze Antwort

Was sich wirklich unterscheidet

Kurz gefasst: Jedes Werkzeug hier ist besser, als ein Passwort per Mail im Klartext zu versenden. Die Unterschiede liegen darin, ob das Passwort schon im Browser verschlüsselt wird oder erst auf dem Server, ob du auch etwas anfordern kannst und ob der Gegenüber ein Konto braucht. Wähle danach, welcher dieser Punkte in deinem Fall der wichtigste ist.

Punkt für Punkt

Jede Zeile sagt, was das jeweilige Werkzeug tatsächlich tut, nicht nur Haken oder Kreuz. Wo wir hinten liegen, steht das da.

Kriterium

OneTimeSecret

Password Pusher

Bitwarden Send

Erseni Vault

Verschlüsselung im Browser (Zero Knowledge)

OneTimeSecret Serverseitig Der Betreiber hält den Schlüssel. Eine optionale Passphrase kann zusätzlich schützen.

Password Pusher Serverseitig Der Inhalt wird auf dem Server verschlüsselt abgelegt, der Schlüssel liegt ebenfalls dort.

Bitwarden Send Ja Bitwarden verschlüsselt im Client, der Schlüssel verlässt das Gerät nicht.

Erseni Vault Ja AES-GCM-256 im Browser, der Schlüssel steht nur im Fragment der URL und erreicht den Server nie. Eine im Dashboard vergebene Notiz zu einem Geheimnis speichern wir dagegen im Klartext; sie beschriftet das Geheimnis, sie enthält es nicht.

Zugangsdaten anfordern statt nur senden

OneTimeSecret Ablageseite auf eigener Domain Incoming Secrets seit Version 0.26.0 vom 19.07.2026: eine Ablageseite auf einer per DNS verifizierten Domain, deren Adresse man verteilt. Kein Anfordern bei einer bestimmten Person, und der Inhalt liegt serverseitig verschlüsselt.

Password Pusher Ja, aber mit Serverschlüssel Password Pusher hat eine Anforderungs-Funktion. Sie nutzt denselben serverseitigen Schlüssel wie der Sendeweg, ist also nicht Ende-zu-Ende verschlüsselt.

Bitwarden Send Nein Bitwarden Send ist einseitig: du verschickst etwas. Einen Weg, jemanden um eine Eingabe zu bitten, gibt es nicht.

Erseni Vault Ja, Ende-zu-Ende Anforderungs-Link an eine bestimmte Person. Deren Browser erzeugt lokal ein Schlüsselpaar (X25519), entschlüsseln kannst nur du.

Secrets für KI-Agenten

OneTimeSecret API zum Senden OneTimeSecret hat eine REST-API, über die ein Programm Secrets anlegen und abrufen kann. Einen Weg, auf dem ein Programm einen Wert beim Menschen anfordert und ihn nur an einen vorher gezeigten Befehl weitergibt, beschreibt die Dokumentation nicht.

Password Pusher API und CLI zum Senden Password Pusher hat eine JSON-API und ein Kommandozeilenwerkzeug, mit denen ein Programm Pushes anlegt. Eine Bindung des Werts an einen Befehl und eine Maskierung der Ausgabe gehören nicht dazu.

Bitwarden Send CLI zum Senden Mit der Bitwarden-CLI legt ein Programm einen Send an. Einen Wert bei einem Menschen anfordern kann es damit nicht, und für Maschinen-Secrets verweist Bitwarden auf seinen eigenen Secrets Manager.

Erseni Vault vault-ask und MCP-Server Ein Agent fordert den Wert über einen Link an, du gibst ihn im Browser ein und siehst dabei den Befehl, der ihn bekommt. vault-ask gibt ihn nur an genau diesen Befehl weiter und maskiert ihn in dessen Ausgabe; im Chat und im Sitzungsprotokoll steht er nie.

Ohne Konto nutzbar

OneTimeSecret Zum Senden ja Für Incoming Secrets braucht der Einsammelnde ein Konto und eine verifizierte Domain.

Password Pusher Ja Der öffentliche Dienst lässt sich ohne Registrierung nutzen.

Bitwarden Send Nein Zum Erstellen eines Send brauchst du ein Bitwarden-Konto. Der Empfänger braucht keins.

Erseni Vault Ja Senden und Anfordern gehen ohne Registrierung. Ein Konto bringt nur das Dashboard dazu.

Einmal-Abruf und Selbstzerstörung

OneTimeSecret Ja Kernfunktion des Dienstes.

Password Pusher Ja Ablauf nach Zeit oder nach einer einstellbaren Zahl von Aufrufen.

Bitwarden Send Ja Ablaufdatum und Löschung nach Abruf lassen sich setzen.

Erseni Vault Ja Der erste Abruf löscht den Datensatz in derselben Datenbankoperation, mit der er gelesen wird.

Quelloffen und selbst hostbar

OneTimeSecret Ja Quellcode auf GitHub, selbst betreibbar.

Password Pusher Ja Quellcode auf GitHub, selbst betreibbar, sehr verbreitet.

Bitwarden Send Teilweise Der Bitwarden-Server ist quelloffen und selbst hostbar, nicht jedoch jeder Bestandteil des kommerziellen Angebots.

Erseni Vault Ja Die Krypto-Komponente steht unter AGPL in einem öffentlichen Spiegel.

Reife und Ökosystem

OneTimeSecret Seit 2012 etabliert Lange am Markt und in vielen Teams eingeführt.

Password Pusher Sehr grosse Nutzung Das Projekt nennt über 100 Millionen geteilte Secrets.

Bitwarden Send Vollständiger Passwortmanager Apps für Desktop, Mobil und Browser, regelmässige externe Sicherheitsprüfungen.

Erseni Vault 2026 gestartet, klein Nur im Browser, keine mobilen Apps, kein externer Krypto-Audit. Das ist die offene Flanke.

Welches Werkzeug passt, um dein Passwort sicher zu versenden

Ehrlich abwägen

Willst du nur gelegentlich ein Passwort verschicken und nutzt ohnehin schon einen der etablierten Dienste, bleib dabei. Der Wechsel lohnt sich dafür allein nicht.

Arbeitet dein Team bereits mit Bitwarden, ist Bitwarden Send der kürzeste Weg, weil Konto und Apps schon da sind.

Brauchst du oft Zugangsdaten von anderen, also die Gegenrichtung, ist genau das der Punkt, an dem sich die Werkzeuge unterscheiden. Lies dazu den Abschnitt darunter.

Zählt für dich, dass der Betreiber den Inhalt technisch nicht lesen kann, bleiben nur die Werkzeuge mit Verschlüsselung im Browser.

Die Gegenrichtung: Passwörter anfordern statt per Mail zurückschicken lassen

Anfordern statt senden

Fast alle Werkzeuge lösen dieselbe Hälfte des Problems: du hast ein Passwort und willst es sicher versenden. Im Alltag ist es aber oft umgekehrt. Du brauchst einen Zugang von einem Kunden, einem Kollegen oder einem Dienstleister, bittest per Mail darum, und das Passwort kommt unverschlüsselt per Mail zurück in dein Postfach. Damit ist nichts gewonnen. Bei Erseni Vault erzeugst du einen Anforderungs-Link und schickst ihn an die Person. Ihr Browser erzeugt lokal ein Schlüsselpaar, verschlüsselt die Eingabe damit und schickt nur das Chiffrat an uns; entschlüsseln kannst allein du. Der Gegenüber braucht kein Konto und keine Software. Password Pusher kann das ebenfalls, allerdings mit einem Schlüssel, den der Server hält; bei OneTimeSecret ist es eine Ablageseite auf einer eigenen Domain statt einer Anfrage an eine Person.

Anforderungs-Link erstellen

So funktioniert es

Häufige Fragen

Wie kann ich ein Passwort sicher versenden?

Schick das Passwort nicht im Text einer Mail oder Chatnachricht, sondern als Einmal-Link. Bei Erseni Vault fügst du es in das Eingabefeld zum Senden ein, es wird in deinem Browser verschlüsselt, und du bekommst einen Link, der nach dem ersten Abruf gelöscht wird. Den Link schickst du dem Empfänger. Ein Konto braucht dafür keiner von euch.

Wie kann ich ein Passwort verschlüsselt versenden?

Entscheidend ist, dass verschlüsselt wird, bevor das Passwort dein Gerät verlässt. Erseni Vault verschlüsselt im Browser mit AES-GCM-256, der Schlüssel steht nur im Teil des Links hinter dem # und erreicht den Server nie. Als zweite Hürde kannst du ein Passwort für den Link setzen und es dem Empfänger auf einem anderen Weg mitteilen. Verschlüsselte Mail per S/MIME oder PGP geht ebenfalls, wenn beide Seiten sie eingerichtet haben.

Kann ich Passwörter per Mail versenden?

Technisch ja, sicher ist es nicht. Die Mail bleibt im Gesendet-Ordner, im Postfach des Empfängers und auf den beteiligten Servern liegen, oft auch in deren Backups, und das Passwort ist dort lesbar, solange eine dieser Kopien existiert. Verschick per Mail deshalb höchstens einen Einmal-Link, nicht das Passwort selbst. Ist der Link abgerufen oder abgelaufen, steht in der Mail nichts Verwertbares mehr.

Was passiert, wenn jemand anderes den Link zuerst öffnet?

Der erste Abruf löscht den Datensatz. Der eigentliche Empfänger findet danach nichts mehr vor und weiß damit, dass etwas nicht stimmt; ändere das Passwort in dem Fall und versende es neu. Hast du zusätzlich ein Passwort für den Link gesetzt, reicht der Link allein nicht, um das Geheimnis zu lesen.

Braucht der Empfänger ein Konto oder eine App?

Nein. Der Empfänger öffnet den Link in einem aktuellen Browser, mehr ist nicht nötig. Auch zum Senden und Anfordern brauchst du kein Konto; ein kostenloses Konto bringt nur das Dashboard mit dem Status deiner Secrets dazu.

Wie bekomme ich ein Passwort von jemand anderem sicher zugeschickt?

Über einen Anforderungs-Link. Du erzeugst ihn bei Erseni Vault und schickst ihn der Person, die das Passwort hat. Ihre Eingabe wird in ihrem Browser verschlüsselt, der Server erhält nur Chiffretext, und entschlüsseln kannst allein du. So landet das Passwort nicht im Klartext in deinem Postfach.

Woher diese Aussagen stammen

Quellen und Grenzen dieses Vergleichs

Wir vergleichen gegen öffentliche Dokumentation und Quellcode und sagen dazu, wo wir etwas nicht selbst nachgeprüft haben. Produkte ändern sich: hängt deine Entscheidung an einem Detail von hier, prüfe es an der Quelle nach, bevor du dich darauf verlässt.

Password Pusher auf GitHub Die Anforderungs-Funktion existiert, nutzt aber den serverseitigen Schlüssel des Sendewegs.

OneTimeSecret auf GitHub Release 0.26.0 vom 19.07.2026 hat Incoming Secrets ausgeliefert.

Bitwarden Send FAQ Beschreibt Konto-Pflicht beim Erstellen, Ablaufregeln und die clientseitige Verschlüsselung.

Quellcode von Erseni Vault Die Krypto-Komponente hinter Senden und Anfordern, unter AGPL nachlesbar.

Ausprobieren, bevor du dich entscheidest

Verschicke jetzt ein Secret oder erzeuge einen Anforderungs-Link, ganz ohne Konto. Der Vergleich oben lässt sich leichter beurteilen, wenn du beides einmal benutzt hast.

Kostenloser Tarif, keine Kreditkarte, kein Vertriebsgespräch.