Ein Blick

? Was macht Ein Blick?

Mit Ein Blick teilst du Geheimnisse – Passwörter, Zugangsdaten, vertrauliche Notizen – über einen Link, der nur ein einziges Mal funktioniert. Sobald der Empfänger den Eintrag geöffnet hat, wird er unwiderruflich gelöscht. Ein zweiter Aufruf führt zu einer Fehlermeldung. So erkennst du sofort, falls jemand den Link vor dem Empfänger abgefangen und gelesen hat – der Eintrag gilt dann als kompromittiert.

Wird ein Link nie geöffnet, verfällt der Eintrag automatisch nach 7 Tagen und wird gelöscht.

1 So läuft eine Übertragung ab

1. Du gibst deinen geheimen Text ein. Schon in deinem Browser wird ein zufälliger Schlüssel erzeugt und der Text damit verschlüsselt (AES-256-GCM).
2. An den Server wird nur der verschlüsselte Text gesendet und gespeichert. Der Server vergibt dafür eine zufällige ID.
3. Ein Blick baut dir einen Link der Form https://einblick.werkzeugkasten.online/s/<ID>#<SCHLÜSSEL>. Der Teil hinter dem # ist der Schlüssel.
4. Du sendest den Link über einen sicheren Kanal an den Empfänger.
5. Der Empfänger öffnet den Link und klickt „Eintrag anzeigen". Der Server liefert den verschlüsselten Text genau einmal aus und löscht ihn dabei. Erst im Browser des Empfängers wird mit dem Schlüssel aus dem Link wieder entschlüsselt.

🔒 Warum ist das auch vor dem Serverbetreiber sicher?

Das Entscheidende ist, wo ver- und entschlüsselt wird und was der Server überhaupt zu sehen bekommt.

Der Schlüssel steht im Fragment des Links – das ist der Teil hinter dem #. Browser behandeln dieses Fragment besonders: es wird niemals an den Server übertragen. Wenn der Empfänger den Link öffnet, schickt sein Browser nur den Pfad mit der ID an Ein Blick, niemals den Teil hinter dem #. Der Schlüssel bleibt also ausschließlich in den beteiligten Browsern.

Selbst wer vollen Zugriff auf den Server und die Datenbank hat – also auch der Betreiber – findet dort nur den Chiffretext. Ohne den Schlüssel aus dem Link lässt sich daraus nichts ableiten. AES-256-GCM zu brechen ist nach heutigem Stand praktisch unmöglich. Es gibt bewusst keine Hintertür, kein Protokoll und keine Wiederherstellung.

Zusätzlich ist der einmalige Abruf serverseitig als atomares „Lesen + Löschen" umgesetzt: Der Chiffretext wird in derselben Datenbank-Transaktion gelöscht, in der er ausgeliefert wird. Damit kann derselbe Link niemals zwei gültige Antworten erhalten.

! Was du selbst beachten solltest

• Wer den vollständigen Link hat, kann den Eintrag lesen. Der Schlüssel steckt im Link – übertrage ihn über einen vertrauenswürdigen Kanal.
• Genau einmal. Lässt sich der Link öffnen, ohne dass der Empfänger es war, betrachte das Geheimnis als offengelegt und erzeuge ein neues.
• Vertrauen in die ausgelieferte Seite. Wie bei jeder Web-Anwendung musst du darauf vertrauen, dass der ausgelieferte Browser-Code unverändert ist. Die Verschlüsselung läuft mit dem Standard-WebCrypto deines Browsers; es werden keine Daten an Dritte gesendet.