Sicheres Teilen
Teilen Sie zertifizierte digitale Werke mit jedem – ohne Ihre Verschlüsselung aufzugeben. Sie geben lesenden Zugriff auf einzelne Versionen Ihrer Dateien frei und behalten die volle Kontrolle.
Beta: Sicheres Teilen befindet sich derzeit in der Betaphase. Verschlüsselung und Zugriffssteuerung sind vollständig einsatzfähig, einzelne Funktionen (Teilen mit mehreren Empfängern, Massenfreigabe, blockchain-verankerte Prüfpfade) befinden sich noch in Entwicklung.
Wann sich Sicheres Teilen anbietet
Geben Sie zertifizierte Inhalte an Dritte weiter, ohne Ihr Konto zu öffnen oder die Kontrolle über Ihre Dateien zu verlieren.
Gerichtsverfahren
Geben Sie eine zertifizierte Revision an die Gegenseite oder das Gericht weiter. Hinterlegen Sie Bedingungen, die vor der Einsicht akzeptiert werden müssen.
Due Diligence
Lassen Sie Prüfer, Investoren oder Partner zertifizierte Dokumente einsehen – mit lückenlosem Prüfpfad darüber, wer wann worauf zugegriffen hat.
Übergabe an Kunden
Übergeben Sie fertige Arbeitsergebnisse mit dem Nachweis des Zertifizierungszeitstempels.
Versicherungsfälle
Legen Sie zertifizierte Nachweise Ihrem Versicherer vor – mit gesteuertem, zeitlich begrenztem Zugang.
Gemeinsame Durchsicht
Geben Sie Kollegen oder externen Gutachtern lesenden Zugriff auf eine bestimmte Version, ohne Ihre Tresor-Zugangsdaten herauszugeben.
Wählen Sie Ihren Freigabemodus
Beide Modi nutzen dieselbe Ende-zu-Ende-Verschlüsselung. Sie unterscheiden sich nur darin, wie der Entschlüsselungsschlüssel zum Empfänger gelangt.
Keycard (Zero-Knowledge)
Die sicherste Variante. Bernstein erzeugt eine PDF-Keycard mit einem einmaligen Zugangsschlüssel. Sie übergeben sie dem Empfänger selbst – über einen Kanal Ihres Vertrauens. Der Entschlüsselungsschlüssel erreicht die Server von Bernstein nie.
So läuft es für den Empfänger:
- 1Sie übermitteln ihm die Keycard (außerhalb von Bernstein) zusammen mit der Freigabe-URL.
- 2Er öffnet die Freigabe-URL im Browser.
- 3Er fordert einen Prüfcode an, der an seine E-Mail-Adresse geht.
- 4Er gibt den 6-stelligen Code ein und weist damit seine Identität nach.
- 5Er gibt den Zugangsschlüssel von der Keycard ein.
- 6Sind Bedingungen hinterlegt, prüft und akzeptiert er sie.
- 7Der Inhalt wird in seinem Browser entschlüsselt – die Dateien lassen sich ansehen und herunterladen.
Direktes Teilen
Die bequeme Variante. Bernstein schickt dem Empfänger eine E-Mail mit einem sicheren Link. Der Entschlüsselungsschlüssel steht im URL-Fragment, das bauartbedingt nie auf dem Server ankommt – es bleibt vollständig im Browser.
So läuft es für den Empfänger:
- 1Er erhält eine E-Mail mit einem Link.
- 2Er klickt auf den Link und fordert einen Prüfcode an.
- 3Er gibt den 6-stelligen Code ein und weist damit seine Identität nach.
- 4Sind Bedingungen hinterlegt, prüft und akzeptiert er sie.
- 5Der Inhalt wird in seinem Browser entschlüsselt – die Dateien lassen sich ansehen und herunterladen.
Die Wahl zwischen beiden Modi
Beide Modi sind Ende-zu-Ende-verschlüsselt. Entscheiden Sie nach Ihren Sicherheitsanforderungen und danach, wie bequem es sein soll.
| Keycard (Zero-Knowledge) | Direktes Teilen | |
|---|---|---|
| Schlüsselübergabe | Sie übergeben ihn selbst (PDF-Keycard) | Eingebettet in den E-Mail-Link |
| Bequemlichkeit | Erfordert einen zusätzlichen Übergabeschritt | Ein Klick aus der E-Mail |
| Sichtbarkeit für Server | Der Schlüssel erreicht keinen Server | Der Schlüssel läuft über die E-Mail, wird von Bernstein aber nie gespeichert |
| Ideal für | Hochsensible Inhalte, regulierte Branchen, maximale Kontrolle | Alltägliches Teilen, wenig technikaffine Empfänger, Tempo |
Faustregel: Nehmen Sie die Keycard, wenn der Inhalt hochsensibel ist und Sie jeden Schritt der Schlüsselübergabe selbst steuern wollen. Nehmen Sie Direktes Teilen, wenn Bequemlichkeit zählt und der Versand per E-Mail vertretbar ist.
So funktioniert die Verschlüsselung
Für Freigaben nutzt Bernstein ein zweistufiges Schlüsselmodell auf Basis der AES-256-GCM-Verschlüsselung über die Web Crypto API.
DEK (Data Encryption Key)
Der symmetrische Schlüssel (AES-256-GCM), der den Inhalt Ihrer Revision verschlüsselt. Es ist derselbe Schlüssel, mit dem Ihre Dateien ursprünglich zertifiziert wurden. Er liegt im verschlüsselten Tresor Ihres Browsers und geht nie im Klartext an den Server.
KEK (Key Encryption Key)
Ein frischer symmetrischer Schlüssel (AES-256-GCM), den Ihr Browser beim Anlegen einer Freigabe erzeugt. Die KEK verpackt die DEK durch Verschlüsselung; die verpackte DEK lässt sich nur mit der KEK wieder auspacken.
Beim Anlegen einer Freigabe
Schlüssel erzeugen
Ihr Browser erzeugt einen zufälligen Key Encryption Key (KEK) und lädt den Data Encryption Key (DEK) Ihrer Revision aus Ihrem verschlüsselten Tresor.
DEK verpacken
Die DEK wird mit der KEK verschlüsselt. Die so verpackte DEK liegt auf dem Server.
KEK übergeben
Beim Direkten Teilen steht die KEK im Fragment des E-Mail-Links. Im Keycard-Modus steckt sie in einem PDF, das Ihr Browser erzeugt – und geht nie an den Server.
Wenn der Empfänger eine Freigabe öffnet
Verpackte DEK abrufen
Der Browser des Empfängers holt die verschlüsselte, verpackte DEK vom Server.
DEK auspacken
Mit der KEK (aus dem URL-Fragment oder von der Keycard) packt der Browser die DEK aus.
Inhalt entschlüsseln
Die DEK entschlüsselt die Metadaten der Revision und die Dateiinhalte. Die gesamte Entschlüsselung läuft clientseitig – der Server sieht den Klartext nie.
Identitätsnachweis
Bevor Inhalte ausgeliefert werden, muss der Empfänger nachweisen, dass ihm die in der Freigabe angegebene E-Mail-Adresse gehört.
Zugriffssteuerung
Legen Sie genau fest, wie und wann auf Ihre geteilten Inhalte zugegriffen werden darf.
Ablaufdatum
Nach diesem Datum ist die Freigabe nicht mehr erreichbar. Leer lassen, wenn sie nicht ablaufen soll.
Bedingungen
Hinterlegen Sie rechtliche Bedingungen, die der Empfänger vor der Einsicht ausdrücklich akzeptieren muss.
Sofortiger Entzug
Entziehen Sie jede aktive Freigabe jederzeit. Der Empfänger verliert den Zugang sofort – selbst wenn seine Sitzung noch läuft.
Maximale Aufrufe
Begrenzen Sie, wie oft der Inhalt angesehen werden darf.
Maximale Downloads
Begrenzen Sie die Zahl der erlaubten Dateidownloads.
Wasserzeichen in der Vorschau
Versehen Sie Dateien in der Vorschau zum zusätzlichen Schutz mit einem Wasserzeichen.
Lückenloser Prüfpfad
Jede Freigabe erzeugt ein vollständiges Ereignisprotokoll. Ist der überprüfbare Prüfpfad aktiviert, werden die Ereignisse über SHA-256-Hashwerte verkettet; nachträgliche Eingriffe werden dadurch erkennbar.
Jedes Ereignis hält IP-Adresse und User-Agent des Empfängers fest. Das vollständige Protokoll können Sie als JSON exportieren.
Häufig gestellte Fragen
Die Freigabe ist an die E-Mail-Adresse des Empfängers gebunden. Selbst wer den Link in die Hände bekommt, scheitert am OTP-Schritt, denn der Code geht an die Adresse des ursprünglichen Empfängers. Im Keycard-Modus bräuchte er zusätzlich die Keycard.
Nein. Auf dem Server liegen nur die verschlüsselte, verpackte DEK und die verschlüsselten Dateiblöcke. Ohne die KEK, die der Server nie aufbewahrt, lässt sich der Inhalt nicht entschlüsseln. Im Keycard-Modus erreicht die KEK den Server nicht einmal.
Seine laufende Sitzung wird sofort ungültig. Alle weiteren Anfragen nach Inhalten oder Downloads werden abgewiesen. Bereits in seinem Browser entschlüsselte Inhalte bleiben sichtbar, bis er den Tab schließt; neue Daten kann er nicht mehr abrufen.
Derzeit richtet sich jede Freigabe an genau einen Empfänger. Für mehrere Personen legen Sie je eine eigene Freigabe an. Das Teilen mit mehreren Empfängern steht auf der Roadmap.
Dann legen Sie eine neue Freigabe an und erzeugen eine neue Keycard. Jede Keycard trägt einen einmaligen Schlüssel, der an eine bestimmte Freigabe gebunden ist – eine verlorene Keycard lässt sich weder wiederherstellen noch neu erzeugen.
Sobald der Empfänger sein OTP bestätigt hat, gilt seine Sitzung 24 Stunden. Danach braucht er ein neues OTP, um weiter auf den Inhalt zuzugreifen.
AES-256-GCM für die Schlüsselerzeugung und das Verpacken der DEK (über die Web Crypto API), AES-256-GCM mit eigenem Initialisierungsvektor je Segment für die Dateiverschlüsselung, kryptografisch sichere zufällige 6-stellige OTP-Codes sowie SHA-256-Verkettung für überprüfbare Prüfpfade.
Nein. Eine Freigabe hängt immer an einer bestimmten Revision – einer zertifizierten Momentaufnahme Ihres Projekts. Für eine Freigabe brauchen Sie also mindestens eine zertifizierte Revision.