Deine Datei läuft über keinen Server
Wenn du einen Link erstellst, verbindet sich dein Browser mit unserem Vermittlungsserver. Dieser Server macht nur eines: Er bringt dein Gerät mit dem Gerät des Empfängers zusammen. Danach öffnen beide Browser eine direkte Verbindung (WebRTC) und die Datei geht von einem zum anderen.
Den Inhalt deiner Dateien bekommen wir nie. Wir können ihn weder lesen noch speichern oder weitergeben. Deshalb muss deine Seite während des Sendens auch geöffnet bleiben.
Ende-zu-Ende-verschlüsselt
Die direkte Verbindung zwischen beiden Browsern ist mit DTLS verschlüsselt, demselben Protokoll, das dein Browser für Videoanrufe nutzt. Niemand im Netzwerk kann mitlesen, was übertragen wird.
In den Tarifen Pro und Max kannst du die verstärkte Verschlüsselung hinzufügen: Jedes Stück der Datei wird ein zweites Mal mit AES-256-GCM verschlüsselt, mit einem Schlüssel, den nur die beiden Browser kennen.
Ein Schlüssel, versteckt in deinem Link
Jeder Link enthält nach dem „#“ einen zufälligen 128-Bit-Schlüssel. Browser senden diesen Teil der Adresse nie an unseren Server.
Mit ihm wird die Kopplung verifiziert: Jeder Browser beweist dem anderen, dass er den Schlüssel kennt, indem er die Fingerabdrücke der Verbindung signiert. Würde sich jemand dazwischenschalten, auch wir, würde die Prüfung fehlschlagen und der Transfer abbrechen.
Nutzt der Empfänger statt des Links den 6-stelligen Code, ist die Verbindung trotzdem verschlüsselt, aber diese zusätzliche Prüfung ist nicht möglich: Der Hinweis „Kopplung verifiziert“ wird dann nicht angezeigt.
Passwort, geprüft zwischen den beiden Geräten
Ein Transferpasswort (Pro und Max) wird nie übertragen, weder an uns noch an den Empfänger. Es wird langsam und unumkehrbar umgewandelt (PBKDF2), dann prüfen beide Browser, ob sie dasselbe Ergebnis erhalten. Mit verstärkter Verschlüsselung ist es außerdem Teil des Schlüssels: Ohne das Passwort bleiben die Daten unlesbar.
Nach 5 Fehlversuchen wird der Transfer gesperrt.
Jede Datei wird bei Ankunft geprüft
Der Absender berechnet beim Senden den SHA-256-Fingerabdruck jeder Datei, und der Empfänger berechnet ihn bei Ankunft erneut. Weicht auch nur ein Byte ab, wird die Datei verworfen und du wirst informiert.
Was wir speichern
Für Konten und Tarife speichern wir deine E-Mail-Adresse, dein Passwort als Hash (Argon2id), deinen Tarif und zu jedem Transfer: Datum, Anzahl der Dateien, Gesamtgröße und Anzahl der Empfänger. Mit dem Verlauf (Pro und Max) wird außerdem der Name der ersten Datei gespeichert, damit du deine Transfers wiederfindest.
Alle Details findest du in unserer Datenschutzerklärung.
Dein Konto
Du kannst die Zwei-Faktor-Authentifizierung mit einer App aktivieren (Google Authenticator, 1Password, Authy…) und Backup-Codes aufbewahren. Die Zwei-Faktor-Geheimnisse liegen verschlüsselt in unserer Datenbank. Anmeldeversuche sind begrenzt, damit niemand ein Passwort oder einen Code erraten kann.
Du hast eine Sicherheitslücke gefunden? Schreib uns: Wir antworten auf jede Meldung.