Datenschutzrichtlinie

So funktioniert der Dienst

Encrypt.One ist ein kostenloser Dienst zum Teilen von Passwörtern, Schlüsseln und Dateien über Einmal-Links. Eine Registrierung ist nicht erforderlich. Der Dienst wird von FINAL LEVEL entwickelt und betrieben.

Du sendest den Link selbst auf beliebigem Weg. Nachrichten über Messenger, E-Mail oder SMS können abgefangen werden; dann erhält die Person, die den Link zuerst öffnet, das Geheimnis. Lege für wichtige Daten ein Passwort zum Öffnen fest und teile es über einen anderen Kanal mit.

Geheimnisse und Dateien

Text und angehängte Datei werden vor dem Senden in deinem Browser mit AES-256-GCM über die integrierte Web Crypto API verschlüsselt. Dateiname und Dateityp werden zusammen mit dem Inhalt verschlüsselt.

Auf dem Server werden nur gespeichert:

• die verschlüsselten Daten;
• der Ablaufzeitpunkt;
• die Angabe, ob eine Datei angehängt ist;
• ein Passwort-Prüfhash, falls du ein Passwort zum Öffnen festgelegt hast.

Der Entschlüsselungsschlüssel ist der Teil des Links nach dem Zeichen #. Browser senden diesen Teil nie an den Server. Deshalb können weder wir noch jemand mit Zugriff auf den Server die Daten entschlüsseln. Aus demselben Grund können wir ein Geheimnis nicht wiederherstellen, wenn der Link verloren geht.

Passwort zum Öffnen

Das Passwort selbst verlässt deinen Browser nie. Aus dem Passwort und dem Link-Schlüssel leitet der Browser zwei unabhängige Werte ab: den Verschlüsselungsschlüssel und einen Prüfhash (PBKDF2 mit 600.000 Iterationen, danach HKDF). Nur der Hash wird an den Server gesendet. Der Server prüft damit das Passwort, kann aber weder das Passwort noch den Schlüssel erfahren.

Nach drei falschen Versuchen wird das Geheimnis gelöscht. Der Versuchszähler wird im Arbeitsspeicher des Servers gehalten und dem Geheimnis zugeordnet, nicht einem Besucher.

Wann Daten gelöscht werden

• unmittelbar nachdem der Empfänger das Geheimnis geöffnet hat;
• wenn du auf der Link-Seite „Jetzt löschen“ drückst;
• nach dem dritten falschen Passwort;
• nach Ablauf der gewählten Frist von einer Stunde bis sieben Tagen. Ein abgelaufenes Geheimnis wird sofort nicht mehr ausgegeben; seine Daten werden bei der täglichen Bereinigung gelöscht.

Ein gelöschtes Geheimnis kann nicht wiederhergestellt werden. Messenger-Bots, die Link-Vorschauen erstellen, verbrauchen das Geheimnis nicht: Die Daten werden erst nach einem Klick auf „Geheimnis anzeigen“ ausgegeben.

Technische Protokolle

Der Anwendungsserver protokolliert nur API-Anfragen: Anfragetyp, Ergebnis und Bearbeitungszeit. IP-Adressen, Geheimnis-IDs, Token, Seitenadressen und Anfrageinhalte werden nicht protokolliert.

Zum Schutz vor Ausprobieren von Passwörtern und Missbrauch begrenzt der Server die Anfragerate pro IP-Adresse. Die Adresse wird nur im Arbeitsspeicher verwendet und nicht gespeichert.

Ein vorgeschalteter Webserver kann ein übliches Zugriffsprotokoll führen: IP-Adresse, Uhrzeit und Seitenadresse ohne den Teil nach #. Solche Protokolle dienen nur dem Schutz vor Angriffen und werden begrenzte Zeit aufbewahrt.

Cookies und Browserspeicher

Wir verwenden keine Werbe- oder Analyse-Cookies. Die Website speichert in deinem Browser nur, was für den Betrieb nötig ist:

• das Cookie lang — deine Sprache, falls du sie im Sprachmenü gewählt hast;
• in localStorage — das Farbdesign, eine Markierung für das geschlossene Sprachbanner und Markierungen für Links, die von diesem Browser aus gelöscht wurden;
• in sessionStorage — ein Passwort aus dem Generator während der Übertragung ins Formular auf der Startseite. Es wird direkt nach dem Einfügen entfernt.

Davon gelangt nur das Sprach-Cookie zum Server, der damit die Seitenversion auswählt. Du kannst alles in deinen Browsereinstellungen löschen.

Dienste von Drittanbietern

Die Website lädt keine Skripte, Schriftarten, Zähler oder Werbung von Drittanbietern: Alles, auch Schriftarten, wird von unserem Server bereitgestellt. Wir verkaufen oder teilen keine Daten mit Dritten.

Die Schaltflächen zum Senden über Telegram, WhatsApp und E-Mail sowie Links zu Sponsoren-Websites sind gewöhnliche Links. Ein externer Dienst erhält erst Daten, wenn du darauf klickst; danach gilt seine eigene Richtlinie.

Passwortgenerator

Passwörter, Passphrasen und PINs werden in deinem Browser mit einem kryptografischen Zufallszahlengenerator erstellt und nie an den Server gesendet.

Open Source

Der Quellcode ist auf GitHub öffentlich: Du kannst die Verschlüsselung überprüfen oder eine eigene Kopie betreiben.

Deine Rechte

Wir wissen nicht, wer ein Geheimnis erstellt oder geöffnet hat: Der Dienst verknüpft Daten weder mit Personen noch mit Konten oder IP-Adressen. Deshalb können wir Daten einer bestimmten Person nicht finden, herausgeben oder löschen. Um dein Geheimnis vor Ablauf zu löschen, öffne die Link-Seite und drücke „Jetzt löschen“.

Änderungen dieser Richtlinie

Wenn sich diese Richtlinie ändert, veröffentlichen wir die neue Fassung auf dieser Seite und aktualisieren das Datum oben.

Fragen

Fragen zum Datenschutz kannst du in den GitHub-Issues stellen.