Nicht jeder Link sollte jedem offenstehen, der ihn findet. Ein Angebot für genau einen Kunden, ein Entwurf, den niemand außerhalb des Teams lesen soll, ein Download für die zwölf Leute, die dafür bezahlt haben – kaum existiert diese URL, kann sie weitergeleitet, abfotografiert, in einen Gruppenchat geworfen und von irgendetwas indexiert werden, das Sie nie eingeladen haben.

Ein passwortgeschützter Link stellt eine Tür vor das Ziel: Wer ihn öffnet, bekommt eine Passwortabfrage statt Ihrer Inhalte. Ergänzen Sie ein Ablaufdatum, verschwindet die Tür ganz, sobald der Link seinen Zweck erfüllt hat. Beides ist in etwa zehn Sekunden eingerichtet, und niemand am anderen Ende braucht dafür ein Konto.

So funktioniert es

Beim Anlegen des Links legen Sie ein Passwort fest. urlik speichert es gehasht – nicht das Passwort selbst, sondern einen Einweg-Hash davon – der gespeicherte Wert lässt sich also nicht ins Original zurückrechnen, weder von einem Angreifer mit der Datenbank noch von uns. Wer den Link öffnet, sieht eine Abfrage; das richtige Passwort öffnet das Ziel, das falsche nicht. Mehr Mechanik gibt es nicht, und genau darin liegt der Punkt.

Das Ablaufdatum arbeitet daneben. Wählen Sie eine Stunde, einen Tag, eine Woche oder einen Monat: Ist der Moment vorbei, löst der Link nicht mehr auf und antwortet mit 410 Gone – dem ehrlichen HTTP-Code für „das gab es, und es gibt es absichtlich nicht mehr“, der Suchmaschinen zugleich sagt, den Link fallen zu lassen statt es weiter zu versuchen.

Wann ein Passwort jede andere Option schlägt

  • Laufende Kundenarbeit. Eine Staging-Site oder ein Präsentationsentwurf, der Feedback bekommen, aber nicht zirkulieren soll.
  • Bezahlte Inhalte. Eine Datei, eine Aufzeichnung oder eine Ressource, die bei Käufern landen soll und nicht im ganzen Netz.
  • Alles Gedruckte. Einen QR-Code auf einem Plakat scannt jeder Passant. Legen Sie das Passwort hinter den Tresen, und nur Ihre echten Kunden kommen durch.
  • Interne Links. Ein Dashboard oder Dokument unter einer erratbaren URL, das in falschen Händen unangenehm wäre, aber nicht katastrophal.

Ehrlich bleiben: wovor das schützt

Hier würden die meisten Artikel weiter verkaufen. Stattdessen die klare Linie: Ein Passwort auf einem Link ist Zugriffskontrolle, keine Geheimhaltung. Es stoppt beiläufigen Zugriff – die weitergeleitete Nachricht, den neugierigen Kollegen, den Crawler. Es macht den Inhalt in keinem kryptografischen Sinne geheim.

Konkret: Die Ziel-URL liegt bei uns im Klartext in der Datenbank, weil der Server Sie ja dorthin weiterleiten muss. Wer das Passwort hat, kann das Passwort weitergeben. Und der Link bewacht nur die Tür – ist das Ziel selbst öffentlich, spaziert jeder hinein, der es auf anderem Weg erreicht. Ein passwortgeschützter Link vor einem öffentlich freigegebenen Google Doc schützt schlicht gar nichts; korrigieren Sie stattdessen die Freigabeeinstellungen des Dokuments.

Wenn Sie echte Vertraulichkeit brauchen – niemand soll den Inhalt lesen können, auch nicht die Leute, die den Server betreiben – ist ein Passwort auf einem Link das falsche Werkzeug. Nehmen Sie den Secure Drop: Dateien werden im Browser verschlüsselt, bevor sie hochgeladen werden, der Schlüssel reist in dem Teil der URL, den der Server nie zu sehen bekommt, und die Datei zerstört sich nach dem ersten Download selbst. Das ist eine ganz andere Zusage, und Dateien sicher versenden erklärt, wo genau die Grenze verläuft.

Ein Passwort wählen, das etwas taugt

Das Passwort ist das gesamte Sicherheitsmodell, also:

  • Kein echtes wiederverwenden. Das ist ein Freigabe-Passwort, nicht Ihr Konto-Passwort. Niemals dieselbe Zeichenfolge.
  • Getrennt versenden. Das Passwort in derselben E-Mail wie der Link schützt vor nichts – einmal weitergeleitet, und beides ist weg. Link per E-Mail, Passwort per Messenger oder persönlich.
  • Schwer zu raten, leicht vorzulesen. Drei zusammenhanglose Wörter schlagen Pass2026! – länger, und es übersteht das Diktieren am Telefon.
  • Pro Empfängerkreis wechseln, wenn es darauf ankommt. Ein Link pro Kunde mit eigenem Passwort verrät Ihnen, wer ihn geleakt hat, weil die Klickstatistiken getrennt laufen.

Passwort plus Ablauf ist stärker als beides einzeln

Die Kombination macht die Sache erst richtig nützlich. Ein Passwort begrenzt, wer; ein Ablaufdatum begrenzt, wie lange. Zusammen deckeln sie den Schaden eines Leaks, denn ein Passwort, das nächsten Monat in einem Gruppenchat auftaucht, öffnet einen Link, den es nicht mehr gibt.

Ein Muster, das gut funktioniert: Der Link läuft eine Woche nach der Frist ab, für die er gedacht war, das Passwort geht über einen anderen Kanal raus, ein Link pro Empfänger. Leakt etwas, wissen Sie, welche Kopie es war – und sie hört von selbst auf zu funktionieren. Keine Aufräumaufgabe, die Sie ohnehin vergessen würden.

Was Besucher sehen

Eine schlichte Abfrage auf einer Seite, die nennt, welcher Dienst hier fragt, ohne jeden Hinweis auf das Ziel – das bleibt verborgen, bis das Passwort stimmt. Wichtig ist das, wenn schon die URL alles verrät (/acme-corp-acquisition-draft erzählt die Geschichte, bevor jemand drin ist). Falsches Passwort: Die Seite sagt es und fragt erneut. Abgelaufen: Sie sagt, dass der Link abgelaufen ist, statt so zu tun, als hätte er nie existiert – weniger verwirrend für jemanden, der einen legitimen Grund hatte, dort zu sein.

Gut zu wissen: Geschützte Links sind von der Rich Preview für Social-Crawler ausgenommen. Wer einen in einen Chat einfügt, leakt also nicht Titel und Bild des Ziels in die Nachricht. Das ist Absicht – eine Vorschau, die zeigt, was das Passwort schützt, würde das Passwort ad absurdum führen.

Kurz gefasst

Ein Passwort auf einem Link ist eine Tür: billig, sofort da, kein Konto nötig – und für den Normalfall völlig ausreichend, in dem Inhalte einige Leute erreichen sollen und nicht alle. Kombinieren Sie es mit einem Ablaufdatum, damit ein Leak ein Verfallsdatum hat, schicken Sie das Passwort über einen anderen Kanal als den Link, und bleiben Sie sich im Klaren: Das ist Zugriffskontrolle, keine Verschlüsselung. Brauchen Sie die stärkere Zusage, verschlüsseln Sie Ende-zu-Ende – und wenn Sie grundsätzlich abwägen, wie weit man Kurzlinks trauen kann, beleuchtet Sind Kurzlinks sicher? die andere Seite dieser Frage.