Um Dateien sicher mit Kunden zu teilen, verknüpfst du den Zugriff mit der Person statt mit einem Link, den jeder weiterleiten kann, und sorgst dafür, dass du den Zugriff nach Abschluss des Auftrags wieder entziehen kannst. Mit Dropbox heißt das: den Kunden zu einem Ordner einladen, deine Links mit Passwort und Ablaufdatum versehen (in den Tarifen, die das erlauben) oder Kunden aus einem privaten Bereich mit Anmeldung auf deiner eigenen Website herunterladen lassen. Dieser Artikel erklärt, warum einfache Freigabelinks die Schwachstelle sind, und vergleicht die sichereren Möglichkeiten.
Warum öffentliche Dropbox-Links für Kundendateien riskant sind
Ein normaler Dropbox-Freigabelink ist ein Schlüssel ohne Namensschild. Die Hilfeseite von Dropbox sagt es deutlich: Alle Personen, die über den Link verfügen, können eine Vorschau des Inhalts anzeigen, und zwar ohne Dropbox-Konto. Das ist bequem, und genau das ist das Problem.
- Links wandern. Ein Kunde leitet deine E-Mail an einen Kollegen, einen Lieferanten oder seine private Adresse weiter. Jede Kopie öffnet dieselben Dateien.
- Links bleiben. Ein Link funktioniert, bis du ihn entfernst. Ein Ordner, den du vor zwei Jahren für ein Projekt geteilt hast, ist vielleicht noch für jeden offen, der die E-Mail aufbewahrt hat.
- Links werden verwechselt. Bei vielen Kunden passiert es leicht, dass der falsche Link in der falschen E-Mail landet, und schon sieht ein Kunde die Dokumente eines anderen.
- Nicht jeder Tarif kann einen Link absichern. Passwörter und Ablaufdaten für Links gibt es nur in einigen Dropbox-Tarifen (siehe unten). In den anderen ist ein Link entweder an oder aus.
Das heißt nicht, dass Dropbox unsicher ist. Es heißt, dass ein offener Link das falsche Werkzeug für Verträge, Rechnungen, personenbezogene Daten oder unveröffentlichte Arbeiten ist.
Was es in der Praxis heißt, Dateien sicher mit Kunden zu teilen
Bevor du Werkzeuge vergleichst, hilft es zu wissen, was du erreichen willst. Eine sichere Art, Kundendateien zu teilen, erfüllt die meisten dieser Punkte:
- Nur die richtige Person kommt hinein, weil sie sich ausweist (ein Konto, ein Passwort), nicht weil sie einen Link besitzt.
- Sie bekommt nur, was sie braucht: ihren eigenen Ordner und Rechte zum Ansehen oder Herunterladen statt der Möglichkeit, zu bearbeiten oder zu löschen.
- Der Zugriff kann enden, an einem Datum oder wenn du ihn entfernst, ohne dass du Kopien von Links hinterherlaufen musst.
- Es gibt eine einzige Quelle. Die Datei liegt an einem Ort, statt als Anhang in vielen Postfächern verstreut zu sein.
Sicherere Wege mit Dropbox selbst
Den Kunden zu einem geteilten Ordner einladen
Statt eines Links kannst du einen Kunden per E-Mail zu einem Ordner einladen. Dropbox weist darauf hin, dass die Person ein Dropbox-Konto benötigt und angemeldet sein muss, um eingeladene Inhalte anzuzeigen oder zu bearbeiten. Das ist echte Zugriffskontrolle: Der Ordner ist an ihr Konto gebunden. Wenn der Auftrag endet, entfernst du sie aus dem Ordner, und Dropbox fragt, ob sie eine Kopie der Dateien behalten sollen.
Der Haken ist das Konto. Viele Kunden haben kein Dropbox oder nutzen es mit einer privaten Adresse, und sie nur für ein paar Dateien zur Registrierung zu bitten, schafft Reibung.
Passwort, Ablaufdatum oder Nur-Ansehen für Links
In den Tarifen Professional, Essentials, Standard, Advanced, Business, Business Plus und Enterprise kannst du in den Link-Einstellungen ein Passwort verlangen, ein Ablaufdatum festlegen, nach dem der Link deaktiviert wird, und Downloads deaktivieren. Klicke auf dropbox.com neben der Datei oder dem Ordner auf Teilen, öffne die Einstellungen über das Zahnrad-Symbol, schalte die gewünschte Option ein und speichere. Dropbox Basic (kostenlos), Plus und Family stehen nicht auf dieser Liste.
Zwei Grenzen solltest du kennen. Ein Passwort ist trotzdem geteiltes Wissen: Wer Link und Passwort hat, kommt hinein. Und Dropbox sagt selbst, dass deaktivierte Downloads das Herunterladen über Dropbox verhindern, aber niemanden daran hindern, den Inhalt auf anderen Wegen zu speichern.
Dropbox Transfer für einmalige Lieferungen
Dropbox Transfer schickt eine Kopie der Dateien als Download-Link, und der Empfänger braucht kein Dropbox-Konto. In Basic, Family und Plus läuft ein Transfer standardmäßig nach 7 Tagen ab; höhere Tarife können eigene Ablaufdaten und Passwörter festlegen. Das passt zu einer einzelnen Lieferung, weniger zu einem Ort, an den Kunden zurückkehren.
Aus einem privaten Bereich auf deiner eigenen Website teilen
Der andere Weg: Du verschickst gar keine Links mehr. Deine Kunden melden sich auf deiner Website an, und die Website entscheidet, was jeder sehen darf. Wenn deine Dateien schon in Dropbox liegen, erledigt ein Plugin wie Dropbox Portal das für WordPress, ohne dass du etwas verschieben musst.
Jede Regel verknüpft eine WordPress-Benutzerrolle mit einem Dropbox-Ordner. Ein Kunde meldet sich an und sieht nur die Ordner, die zu seiner Rolle passen. Wenn er auf Download klickt, wird die Datei von Dropbox über deine Website übertragen, die Dropbox-Adresse wird also nie sichtbar, und es entsteht nie ein Freigabelink. Kopiert jemand die Download-Adresse und schickt sie weiter, funktioniert sie für niemanden, der nicht mit der richtigen Rolle angemeldet ist. Das Plugin fragt bei Dropbox nur nach Leserechten und kann deine Dateien deshalb weder ändern noch verschieben oder löschen.
Der Zugriff endet, wenn du die Rolle des Kunden änderst oder entfernst, und du arbeitest weiter wie gewohnt in Dropbox: Dateien, die du in den Ordner legst, erscheinen innerhalb weniger Minuten im Portal. Für die Einrichtung brauchst du eine Dropbox-App mit drei Leseberechtigungen, erklärt in Dropbox-App erstellen und Konto verbinden, und eine Regel pro Ordner, erklärt in Rollen Zugriff auf Ordner geben.
Was kostenlos ist und was nicht: Die kostenlose Version führt eine Regel aus, also eine Gruppe von Benutzern mit einem gemeinsamen Ordner. Ein privater Ordner für jeden Kunden, Ordner nur zum Ansehen mit ausgeschalteten Downloads, Suche und Vorschau brauchen Pro, das du 7 Tage ohne Kreditkarte testen kannst. Downloads verbrauchen Bandbreite deines Hostings, und Kunden können über das Portal nichts hochladen.
Die Möglichkeiten im Vergleich
| Methode | Kunde braucht | Weitergeleiteter Link funktioniert? | Endet, wenn |
|---|---|---|---|
| Einfacher Dropbox-Link | Nichts | Ja | Du den Link entfernst |
| Link mit Passwort und Ablaufdatum (passende Tarife) | Das Passwort | Ja, mit Passwort, bis zum Ablauf | Das Ablaufdatum erreicht ist oder du ihn entfernst |
| Einladung zu einem geteilten Ordner | Ein Dropbox-Konto | Nein, der Zugriff hängt an seinem Konto | Du ihn entfernst |
| Dropbox Transfer | Nichts (in höheren Tarifen ein Passwort) | Ja, bis zum Ablauf | Das Ablaufdatum erreicht ist |
| Privater Bereich auf deiner Website | Ein Login auf deiner Website | Nein, jede Datei wird geprüft | Du seine Rolle änderst |
Gute Gewohnheiten, egal mit welchem Werkzeug
- Ein Ordner pro Kunde. Teile nie einen übergeordneten Ordner mit mehreren Kunden, auch nicht kurz.
- Passwörter getrennt schicken. Ein Passwort in derselben E-Mail wie der Link schützt nichts, wenn die E-Mail weitergeleitet wird. Nutze einen Anruf oder eine SMS.
- Projekte sauber abschließen. Entferne am Ende eines Auftrags Links, Mitglieder oder Rollen. Eine kurze Checkliste zum Projektabschluss erspart später Überraschungen.
- Anhänge nur für kleine, harmlose Dateien. Jeder Anhang ist eine Kopie, die du nicht mehr kontrollieren oder aktualisieren kannst.
- Dateien klar benennen. Eine Datei namens „Vertrag Mueller v3 unterschrieben.pdf“ landet seltener beim falschen Kunden als „scan0042.pdf“ und ist für den Kunden leichter zu finden.
- Als Kunde testen. Öffne den Link oder melde dich in einem privaten Browserfenster mit dem Konto des Kunden an und prüfe, was er wirklich sieht.
Welche Art zu teilen zu deinem Unternehmen passt
Wenn du ein paar Dateien im Jahr an Kunden schickst, die Dropbox nutzen, lade sie zu einem Ordner ein und entferne sie am Ende wieder. Wenn dein Dropbox-Tarif Link-Einstellungen hat, nutze Passwörter und Ablaufdaten für alles Vertrauliche und Transfer für einmalige Lieferungen. Wenn du jede Woche Dateien mit vielen Kunden teilst und sie alles auf deiner eigenen Website abholen sollen, ohne etwas weiterleiten zu können, ist ein privates Portal auf Basis deiner Dropbox-Ordner die sauberste Lösung. Die vollständige Einrichtung findest du in WordPress-Kundenbereich mit Dropbox einrichten, und wenn du stattdessen Google Drive nutzt, lies die Anleitung zum Google Drive Kundenportal.
Häufige Fragen
Ist ein Dropbox-Link sicher genug für Kundendokumente?
Ein einfacher Link öffnet sich für jeden, der ihn hat. Für harmlose Dateien ist das in Ordnung, für Verträge, personenbezogene Daten oder unveröffentlichte Arbeiten zu schwach. Nutze dafür Passwort und Ablaufdatum, eine Einladung oder einen Bereich mit Anmeldung.
In welchen Dropbox-Tarifen kann ich einen Freigabelink mit Passwort schützen?
Dropbox nennt Passwörter und Ablaufdaten für Links in Professional, Essentials, Standard, Advanced, Business, Business Plus und Enterprise. Basic, Plus und Family stehen nicht auf dieser Liste.
Verhindern deaktivierte Downloads, dass ein Kunde meine Dateien kopiert?
Nein. Laut Dropbox blockieren sie nur Downloads über Dropbox, und alles, was auf einem Bildschirm zu sehen ist, lässt sich weiterhin speichern oder fotografieren. Sieh es als Hürde, nicht als Schloss.
Wie schicke ich das Passwort für einen Freigabelink am sichersten?
Über einen anderen Kanal als den Link, zum Beispiel per Telefon oder SMS, damit eine weitergeleitete E-Mail nicht beides enthält.
