Passwörter per E-Mail senden? So gefährlich ist es
Passwörter per E-Mail versenden? Ein gefährlicher Fehler für die IT-Sicherheit. Erfahre hier, warum es unsicher ist und welche Alternativen es gibt. Jetzt lesen
Es passiert täglich: Ein Admin schickt Zugangsdaten an Kollegen. Eine Freelancerin sendet CMS-Logins an den Kunden. Der Reflex ist verständlich: E-Mail ist universell und schnell.
E-Mail als IT-Sicherheitsrisiko
Aber diese Vertrautheit täuscht. Die E-Mail ist eines der unsichersten Medien, um ein Passwort zu senden. Wir erklären dir als Security-Experten, warum dieser Fehler fatale Folgen haben kann.
Warum E-Mail strukturell falsch ist
Eine Standard-E-Mail ist technisch wie eine Postkarte. Zwar nutzen heute viele TLS-Verschlüsselung für den Transport, doch auf den Servern (bei Gmail, Outlook & Co.) liegt die E-Mail oft in Klartext.
Das Risiko von E-Mail-Archiven
Das bedeutet: Bei einem Datenleck deines Anbieters ist dein Passwort kompromittiert. Schlimmer noch: E-Mails werden archiviert. Dein "temporäres" Passwort per E-Mail schlummert oft jahrelang in den Backups von Sender und Empfänger.
Die 3 häufigsten Fehler beim Passwort-Versand
Fehler eins: **Passwort** und Benutzername stehen unverschlüsselt in derselben Mail. Wer mitliest, hat sofort Vollzugriff.
Niemals weiterleiten
Fehler zwei: Das Passwort wird nach dem Empfang nie geändert. Fehler drei: Die gefürchtete Weiterleitung. Einmal unbeabsichtigt per "Reply-All" oder Forward verschickt, verlierst du jegliche Kontrolle darüber, wer diese Zugangsdaten gesehen hat.
Wenn Hacker das E-Mail-Archiv knacken
Bei einem großen Datenleck 2023 wurden unzählige Mail-Archive gestohlen. Angreifer suchten gezielt nach Begriffen wie "Passwort", "Zugangsdaten" oder "Login".
Credential Stuffing Gefahr
Die gefundenen Daten flossen in Credential-Stuffing-Angriffe. Veraltete E-Mail-Archive sind für Hacker pures Gold, weil dort oft Zugangsdaten lagern, die erschreckenderweise noch aktiv sind.
Die Lösung: Selbstzerstörende Links
Ein selbstzerstörender Link (wie Privnote) zeigt den Inhalt einmal an und löscht ihn danach für immer vom Server.
Sicherer geht's nicht
Selbst wenn die E-Mail in zehn Jahren geleakt wird, führt der Link ins Leere. Der Inhalt – das Passwort – existiert nicht mehr. So schickst du per E-Mail nur einen Link, der nach dem ersten Öffnen völlig wertlos wird.
Schritt-für-Schritt: Zugangsdaten richtig teilen
So machst du es 2026 richtig: 1. Erstelle die Info in einem Tool für selbstzerstörende Links. 2. Sende den Link per E-Mail.
Der Out-of-Band-Kanal
3. Übermittle ein zusätzliches Entschlüsselungs-Passwort über einen völlig anderen Kanal (z.B. Telefon, SMS oder einen Messenger wie Signal). 4. Fordere den Empfänger auf, das Passwort direkt nach dem ersten Login zu ändern.
Für Firmen: Passwort-Manager nutzen
Selbstzerstörende Links sind perfekt für einmalige Logins. Für Teams ist ein gemeinsamer Passwort-Manager (wie Bitwarden) die einzig seriöse Dauerlösung.
Team-Tresore statt Mails
Im Tresor teilst du Zugangsdaten sicher mit Kollegen – ohne jemals ein Klartext-Passwort per E-Mail versenden zu müssen. Verlässt ein Mitarbeiter das Team, wird sein Zugriff einfach zentral widerrufen.
Was ist mit verschlüsselten PGP-Mails?
Mit PGP oder S/MIME lassen sich E-Mails sicher Ende-zu-Ende verschlüsseln. Das löst das Problem des Mitlesens durch Provider.
Komplexität bei PGP
Der Haken: Auch der Empfänger muss PGP nutzen, was bei externen Partnern selten der Fall ist. Für die interne Team-Kommunikation ist es aber ideal. Nutze unser PGP-Tool unter PGP Verschlüsselungs-Tool, um Schlüssel zu verwalten.
Ist Passwörter per E-Mail senden strafbar?
Nicht direkt, aber die DSGVO verlangt von Unternehmen angemessene Sicherheitsmaßnahmen für personenbezogene Daten.
Bußgelder drohen
Im Falle eines Hacks kann der unverschlüsselte Versand von Zugangsdaten als grob fahrlässig gewertet werden, was zu empfindlichen Bußgeldern führt. Für die Gesundheits- oder Finanzbranche gelten ohnehin viel strengere Auflagen.