Passwörter teilen. Verschlüsselt. Dann gelöscht.
Text eingeben, Link weitergeben, fertig. Verschlüsselt wird in Ihrem Browser: Der Schlüssel steht hinter dem # im Link und erreicht unseren Server nie. Nach dem letzten Abruf, spätestens nach sieben Tagen, ist das Secret gelöscht.
- AES-256Im Browser verschlüsselt
- 1 bis 10Abrufe, Sie wählen
- 7 TageLängste Lebensdauer
- 0 KontenKeine Anmeldung, keine Cookies
Eingeben. Teilen. Weg.
Drei Schritte, und der Schlüssel ist bei keinem davon auf unserem Server.
-
Im Browser verschlüsselt
Ihr Browser erzeugt einen zufälligen Schlüssel und verschlüsselt den Text mit AES-256-GCM, bevor irgendetwas gesendet wird. Beim Tippen passiert noch nichts davon.
-
Nur der verschlüsselte Block geht an uns
Unser Server bekommt den verschlüsselten Block, die Zahl der erlaubten Abrufe und die Ablaufzeit. Der Schlüssel steht im Link hinter dem #-Zeichen, und diesen Teil senden Browser nie mit.
-
Geöffnet wird mit einem bewussten Klick
Der Empfänger sieht zuerst, wie viele Abrufe übrig sind, und öffnet dann selbst. Entschlüsselt wird in seinem Browser. Erst danach zählt der Server den Abruf, und nach dem letzten löscht er den Block.
Passwörter teilen, ohne sie aus der Hand zu geben
Der Schlüssel steht im Link hinter dem #-Zeichen. Alles hinter dem #-Zeichen wird von Browsern grundsätzlich nicht an den Server geschickt. Das ist keine Zusage von uns, sondern eine Eigenschaft des Protokolls. Bei uns kommt deshalb nur ein Datenblock an, zu dem uns der Schlüssel fehlt.
Was den Link schützt
- Eine Ablaufzeit zwischen einer Stunde und sieben Tagen. Danach ist das Secret weg, ob gelesen oder nicht.
- Eine Zahl erlaubter Abrufe zwischen eins und zehn. Nach dem letzten bestätigten Abruf wird der Datensatz gelöscht.
- Eine optionale Passphrase als zweite Sperre, am besten auf einem anderen Weg übermittelt. Sie verändert den Schlüssel im Link nicht. Nach fünf Fehlversuchen löscht sich das Secret.
- Linkvorschauen von Mail- und Chatprogrammen öffnen nichts. Geöffnet wird erst mit einem Klick auf der Seite.
- Ein Lösch-Token für Sie als Absender: Damit entfernen Sie das Secret jederzeit sofort, auch ohne den Link.
Was Whisper nicht schützt
- Ohne zusätzliche Passphrase kann jeder mit dem vollständigen Link das Secret lesen.
- Der Zähler zählt bestätigte Abrufe. Wer den Link abfängt und diese Seite umgeht, kann den Inhalt lesen, ohne dass der Zähler sinkt. Dagegen hilft die Passphrase auf einem zweiten Weg.
- Ein kompromittiertes Gerät, eine Browsererweiterung oder ein Bildschirmfoto beim Empfänger sieht den Klartext genau wie der Empfänger.
- Der Link bleibt dort, wo Sie ihn hinschicken, etwa im Mail- oder Chatverlauf. Nach dem Öffnen nimmt diese Seite den Schlüssel aus Adresszeile und Browserverlauf.
- Unser Server sieht, wann ein Secret angelegt und abgerufen wird, wie groß der verschlüsselte Block ist und von welcher Adresse eine Anfrage kommt. Betriebsprotokolle halten Zeitpunkte und die Kennung des Links fest, nie Inhalt oder Schlüssel.
- Verschlüsselt wird mit dem Code, den diese Seite ausliefert. Sie vertrauen also darauf, dass whisper.tomoris.io ihn unverändert liefert, wie bei jedem Webdienst dieser Art.
Nach dem letzten erlaubten Abruf oder spätestens beim Ablauf wird der Datensatz entfernt. Whisper führt keinen Papierkorb und erstellt selbst keine zusätzliche Backup-Kopie der Secret-Inhalte. Konten gibt es nicht. Der Code stammt vollständig aus eigener Entwicklung.
Serverstandort Server in Österreich, im eigenen Rechenzentrum der TOMORIS-Gruppe in Oberösterreich. Die Verbindung läuft über Cloudflare.
Text hier, Dateien bei GRID.Drop
- GRID.Whisper Für Text: Passwörter, Zugangsdaten, Wiederherstellungscodes oder eine Notiz bis 10.000 Zeichen.
- GRID.Drop Für Dateien bis 90 MiB: im Browser verschlüsselt, nach dem letzten Abruf oder spätestens nach 24 Stunden gelöscht. Zu GRID.Drop
Teilt Ihr Team regelmäßig Passwörter?
Passwortmanager für Firmen mit GRID.Pass.
GRID.Pass ansehenAPI-Zugang anfragen
Secrets aus Skripten, Ticketsystemen oder Onboarding-Abläufen erzeugen. Wir schalten die Schnittstelle auf Anfrage frei und melden uns per E-Mail.
GRID.Whisper im Vergleich
Drei verbreitete Dienste zum Teilen von Passwörtern, verglichen an drei Fragen, die im Alltag zählen.
| Kriterium | GRID.Whisper | Onetime Secret | Bitwarden Send | Password Pusher |
|---|---|---|---|---|
| Absender löscht ohne Konto und ohne den Link | Ja, mit eigenem Lösch-Token | Ja, über einen privaten Absenderlink | Nur mit Bitwarden-Konto | Nicht angegeben |
| Link-Vorschauen verbrauchen keinen Abruf | Ja, geöffnet wird erst per Klick | Nicht angegeben | Nicht angegeben | Ja, mit zuschaltbarem Abrufschritt |
| Passphrase, die das Secret nach Fehlversuchen löscht | Ja, nach fünf Fehlversuchen | Passphrase ja, Löschung nicht angegeben | Passwort ja, Löschung nicht angegeben | Passphrase ja, Löschung nicht angegeben |
Stand Oktober 2026, laut öffentlichen Anbieterangaben. Wo ein Anbieter nichts dazu sagt, steht „Nicht angegeben“. Die Namen sind Marken ihrer Inhaber.
Was Sie wissen sollten
Verbrauchen Link-Vorschauen von Outlook oder Teams den Abruf?
Nein. Mailscanner und Messenger, die den Link zur Vorschau öffnen, zählen nicht als Abruf. Entschlüsselt wird erst beim aktiven Klick, und heruntergezählt wird erst, wenn dieser Abruf beim Empfänger angekommen ist.
Was passiert, wenn beim Öffnen die Verbindung abbricht?
Dann sagt die Seite genau das und versucht nichts automatisch noch einmal. Ist die Anfrage beim Server angekommen, ist das Secret bis zu zwei Minuten für diesen Abruf reserviert, aber nicht verbraucht. Danach lässt es sich erneut öffnen. Bricht die Verbindung erst nach dem Entschlüsseln ab, bleibt der Text sichtbar, und die Seite sagt offen, dass sie nicht weiß, ob der Abruf gezählt wurde.
Warum verschwindet der Schlüssel nach dem Öffnen aus der Adresszeile?
Damit er nicht im Browserverlauf liegen bleibt. Sobald der Text entschlüsselt ist, hat der Schlüssel seinen Zweck erfüllt. Laden Sie die Seite danach neu, zeigt sie nur noch, dass das Secret in diesem Tab bereits geöffnet wurde.
Wie lange werden die Daten gespeichert?
Höchstens so lange, wie beim Erstellen festgelegt, also zwischen einer Stunde und sieben Tagen. Meist kürzer, weil das Secret nach dem letzten erlaubten Abruf sofort gelöscht wird. Ein Aufräumdienst entfernt abgelaufene Einträge zusätzlich automatisch.
Was ist, wenn der Link an die falsche Person ging?
Beim Erstellen entsteht ein separater Lösch-Token. Damit lässt sich das Secret sofort entfernen, auch ohne den vollständigen Link. Die Link-ID allein reicht dafür nicht. Ein normaler Dienstneustart ändert den Token nicht; ein manueller Wechsel des Signaturschlüssels macht bestehende Lösch-Tokens ungültig.
Wo stehen die Server von GRID.Whisper?
Server in Österreich, im eigenen Rechenzentrum der TOMORIS-Gruppe in Oberösterreich. Die Verbindung läuft über Cloudflare. Bei Cloudflare und bei uns kommt nur der verschlüsselte Block an, der Schlüssel bleibt im Link.
Kann ich GRID.Whisper aus Skripten heraus verwenden?
Ja. Es gibt eine Programmierschnittstelle, die wir auf Anfrage freischalten. Fragen Sie den Zugang mit dem Formular weiter unten an, wir melden uns per E-Mail.