Ist WeTransfer verschlüsselt? Was Ihre Dateien 2026 wirklich schützt (und was nicht)

Sie haben gerade eine Lieferung für einen Kunden fertiggestellt: einen Ordner mit Verträgen, eine Serie von RAW-Fotos, einen Satz medizinischer Formulare oder den finalen Schnitt eines Videos. Für eine E-Mail ist das zu groß, also ziehen Sie es in WeTransfer, fügen den Link in eine Nachricht ein und machen weiter. Genau diese kleine, alltägliche Gewohnheit ist der Moment, in dem viele sensible Daten still und leise Ihrer Kontrolle entgleiten. Deshalb lohnt sich die ehrliche Frage, bevor Sie die nächste Datei senden, und nicht erst, wenn etwas nach außen gedrungen ist: Ist WeTransfer verschlüsselt, und reicht das für die Art von Arbeit, die Sie machen?

Kurze Antwort

Ja, WeTransfer verwendet Verschlüsselung, aber nicht die Art, die die meisten Leute annehmen. Ihre Dateien sind beim Hoch- und Herunterladen während der Übertragung verschlüsselt (HTTPS/TLS), und WeTransfer gibt an, dass sie auf seinem Speicher im Ruhezustand verschlüsselt sind. Was WeTransfer NICHT ist: Ende-zu-Ende-verschlüsselt oder Zero-Knowledge. WeTransfer hat die Schlüssel und kann technisch auf Ihre Dateien zugreifen, und jeder, der den Download-Link erhält, kann die Dateien öffnen (bei kostenlosen Übertragungen ist kein Passwort nötig). Für beiläufiges, unkritisches Teilen ist das in Ordnung. Für vertrauliche Kundendokumente, Patientenakten, juristische Unterlagen oder Quellmaterial ist „bei der Übertragung und im Ruhezustand verschlüsselt“ nicht dasselbe wie „nur der Empfänger kann das lesen“.

Warum das für alle wichtig ist, die echte Dateien versenden

Wenn Sie Freelancer, Fotografin, Anwalt, Steuerberaterin, Therapeut, Journalistin sind oder ein kleines Unternehmen führen, gehört WeTransfer vermutlich gerade deshalb zu Ihrem Arbeitsablauf, weil es so reibungslos ist. Kein Konto nötig, großzügige Dateigrößen, ein Link. Diese Reibungslosigkeit ist der eigentliche Zweck, und sie ist zugleich das Risiko.

Die Dateien, die Sie darüber versenden, sind selten neutral. Eine Designagentur verschickt Markenmaterial unter NDA. Eine Buchhalterin verschickt die vollständigen Jahresabschlüsse eines Kunden. Ein Arzt verschickt Scans oder Aufnahmebögen. Eine Reporterin erhält Dokumente von einer Quelle. In jedem dieser Fälle ist der Inhalt aus einer Verpflichtung heraus vertraulich, manchmal von Gesetzes wegen (Berufsgeheimnis, DSGVO, vertragliche Geheimhaltung). Das Übertragungswerkzeug wird Teil Ihres Datenschutzkonzepts, ob Sie das so geplant haben oder nicht.

Die zentrale Verwechslung liegt darin, dass „verschlüsselt“ wie eine abgeschlossene Garantie klingt. In der Praxis beschreibt Verschlüsselung mehrere sehr unterschiedliche Anordnungen, und die Unterschiede entscheiden darüber, wer Ihre Datei lesen kann, wenn etwas schiefgeht. Auf genau diese Unterscheidung kommt es an, und es lohnt sich, sie klar zu haben. Ausführlich erklären wir sie in unserem Leitfaden zu Verschlüsselung im Ruhezustand, Ende-zu-Ende und Zero-Knowledge; hier geht es darum, was sie konkret für WeTransfer bedeutet.

Was WeTransfer tatsächlich schützt (und was nicht)

Stellen Sie sich eine Dateiübertragung als Reise in drei Etappen vor: die Datei, die durch das Netz wandert, die Datei, die auf einem Server liegt, und die Frage, wer letztlich den Schlüssel hält.

Bei der Übertragung. Wenn Sie zu WeTransfer hochladen und wenn Ihr Empfänger herunterlädt, ist die Verbindung durch HTTPS/TLS geschützt. Das hindert jemanden im selben WLAN oder zwischen Ihnen und dem Server daran, die Datei unterwegs zu lesen. Das ist Standard und wirklich nützlich. Es ist aber auch das absolute Minimum, das jeder seriöse Webdienst 2026 bietet.

Im Ruhezustand. Die eigene Sicherheitsdokumentation von WeTransfer gibt an, dass gespeicherte Dateien auf seiner Infrastruktur im Ruhezustand verschlüsselt sind. Das schützt vor einem bestimmten Szenario: Wer physisch eine Festplatte oder ein rohes Speichervolumen stiehlt, findet durcheinandergewürfelte Bytes, nicht Ihre Dokumente. Es schützt nicht vor WeTransfer selbst, vor einem kompromittierten Mitarbeiterkonto bei WeTransfer, vor einer behördlichen Anfrage oder vor einem Angreifer, der mit legitimen Zugangsdaten in den Dienst gelangt, denn der Dienst kann die Dateien entschlüsseln, um sie Ihrem Empfänger auszuliefern.

Ende-zu-Ende / Zero-Knowledge. Das ist der Teil, den WeTransfer nicht leistet. Bei einem Ende-zu-Ende- oder Zero-Knowledge-Design werden Dateien verschlüsselt, bevor sie Ihr Gerät verlassen, mit einem Schlüssel, den der Server nie sieht. Der Anbieter speichert also nur unlesbare Blobs und kann sie buchstäblich nicht öffnen, auch nicht auf behördliche Anfrage. WeTransfer ist nicht so gebaut. Das Unternehmen kann auf die Inhalte zugreifen, und genau deshalb funktionieren Funktionen wie Linkvorschauen, Virenscans und einfache „Zum Herunterladen klicken“-Links so reibungslos.

Hier das Bild im direkten Vergleich:

Schutz	WeTransfer (Standardübertragung)	Wogegen er schützt	Wogegen er NICHT schützt
Bei der Übertragung (TLS)	Ja	Abhören des Netzwerks zwischen Ihnen und dem Server	Den Server, der die Datei nach dem Empfang liest
Im Ruhezustand (serverseitig)	Ja (laut WeTransfer-Dokumentation)	Diebstahl roher Festplatten/Speicher	Den Anbieter, Zugriff von innen, behördliche Anfragen, angemeldete Angreifer
Passwort für den Link	Nur in kostenpflichtigen Tarifen	Zufällige Personen, die die URL erraten	Der Anbieter hält die Datei weiterhin in lesbarer Form
Ende-zu-Ende / Zero-Knowledge	Nein	Den Anbieter, Datenlecks, behördliche Anfragen	entfällt (nicht angeboten)

Zwei weitere Haken sollte man ehrlich benennen. Erstens: Bei kostenlosen Übertragungen IST der Download-Link die Zugangskontrolle. Wer die URL hat, kann die Dateien herunterladen, und Links ließen sich in der Vergangenheit weiterleiten und wurden bei mindestens einem gemeldeten Vorfall 2019 an unbeabsichtigte Empfänger zugestellt. Passwortschutz und Steuerung des Ablaufdatums sind kostenpflichtige Funktionen. Zweitens geriet WeTransfer Mitte 2025 wegen einer Änderung der Nutzungsbedingungen öffentlich in die Kritik, die weitreichende Rechte an hochgeladenen Inhalten einzuräumen schien; das Unternehmen stellte daraufhin klar, dass es Nutzerinhalte nicht zum Training von KI verwendet, und überarbeitete den Wortlaut. Verstehen Sie das als Erinnerung daran, dass bei einem Anbieter, der Ihre Dateien lesen kann, die geltenden Bedingungen und ihre künftigen Änderungen Teil Ihres Bedrohungsmodells sind, nicht nur die Kryptografie.

Was das konkret bedeutet

Sie müssen WeTransfer nicht aufgeben, um es verantwortungsvoll zu nutzen. Sie müssen das Werkzeug an die Sensibilität der Datei anpassen. Einige konkrete Vorgehensweisen:

• Sortieren Sie Ihre Dateien danach, „wem es schadet, wenn das nach außen dringt“. Marketing-Entwürfe und öffentliche PDFs: WeTransfer ist in Ordnung. Verträge, Finanzunterlagen, Gesundheitsdaten, identifizierbare personenbezogene Daten, Quelldokumente: Legen Sie die Messlatte höher.
• Verschlüsseln Sie vor dem Hochladen. Die sauberste Lösung für jedes Übertragungswerkzeug ohne Ende-zu-Ende-Verschlüsselung ist, die Datei zuerst selbst zu verschlüsseln (ein passwortgeschütztes Archiv oder ein Werkzeug mit clientseitiger Verschlüsselung), damit der Dienst immer nur Geheimtext erhält. Unsere praktische Anleitung, wie Sie Ihre Notizen und Dateien verschlüsseln, geht auf die Abwägungen ein. Teilen Sie das Passwort über einen separaten Kanal mit, nie in derselben Nachricht wie den Link.
• Nutzen Sie Passwörter und kurze Ablauffristen, wenn verfügbar. Wenn Sie für einen Tarif bezahlen, der sie unterstützt, verkleinern ein Passwort für den Link und eine kurze Ablauffrist das Zeitfenster, in dem die Datei exponiert ist, spürbar. Die Übertragung wird dadurch nicht Zero-Knowledge, aber die Lücke „jeder mit dem Link“ wird geschlossen.
• Bevorzugen Sie einen Link, bei dem der Schlüssel gar nicht auf dem Server liegt. Das stärkste Muster zum Teilen ist Ende-zu-Ende-Verschlüsselung, bei der der Entschlüsselungsschlüssel im URL-Fragment mitreist (dem Teil nach dem #), das Browser nie an Server senden. Auf diesem Design beruht das verschlüsselte Teilen in Filarr, und an dieser Messlatte sollten Sie jedes „sichere“ Versandwerkzeug messen.
• Machen Sie sich klar, was ein Datenleck tatsächlich offenlegen würde. Bei einer klassischen Cloud-Übertragung kann ein Leck lesbare Dokumente offenlegen. Bei clientseitiger oder lokaler Verschlüsselung legt dasselbe Leck nur Rauschen offen. Diesen Unterschied erklären wir ausführlich in was sich wirklich ändert, wenn Ihre Daten nach außen gelangen.

Ein Hinweis zur Compliance, weil die Frage immer wieder kommt: „WeTransfer verschlüsselt Dateien“ ist nicht dasselbe wie „Mit WeTransfer sind Sie DSGVO-konform“. Verschlüsselung bei der Übertragung und im Ruhezustand ist eine technische Maßnahme unter vielen. Wenn Sie personenbezogene oder regulierte Daten verarbeiten, umfassen Ihre Pflichten die gesamte Verarbeitungskette (wo Daten gespeichert werden, wer der Auftragsverarbeiter ist, wo die Server stehen, Aufbewahrungsfristen und Ihre Verträge), nicht ein einzelnes Kästchen zum Abhaken. Dieser Artikel ist keine Rechtsberatung; wenn die Daten reguliert sind, lassen Sie Ihre Konfiguration von einer qualifizierten Fachperson bestätigen.

Wo Filarr hineinpasst (ehrlich gesagt)

Filarr ist kein direkter WeTransfer-Ersatz, um einer fremden Person mal eben ein 5-GB-Video zu schicken, und es wäre unehrlich, etwas anderes zu behaupten. Filarr ist ein verschlüsselter Local-first-Arbeitsbereich: Ihre Notizen und Dateien liegen verschlüsselt auf Ihrer eigenen Festplatte, mit AES-256-GCM unter dem Kontoschlüssel (FEK) und einem neuen Zufallswert pro Datei, und mit einer optionalen Cloud-Synchronisierung, die Zero-Knowledge bleibt. Ihr Schlüssel ist zufällig, durch einen aus Ihrem Passwort abgeleiteten Schlüssel gesperrt und wird nie im Klartext an einen Server übergeben. Das ist ein anderer Schwerpunkt als bei einem Übertragungsdienst.

Mit der WeTransfer-Frage überschneidet sich Filarr in zwei Punkten. Erstens können Sie mit der Teilen-Funktion von Filarr eine Datei als Ende-zu-Ende-verschlüsselten Link versenden, bei dem der Entschlüsselungsschlüssel im URL-Fragment liegt; der Server speichert also einen undurchsichtigen Blob und kann den Inhalt nicht lesen. Das kommt dem, was „sicherer Dateiversand“ bedeuten sollte, näher als ein normaler WeTransfer-Link. Zweitens, und das ist der wichtigere Punkt: Ein großer Teil der WeTransfer-Nutzung bedeutet eigentlich nur „Ich brauche meine Dateien an einem Ort, an dem ich sie ordnen, wiederfinden und gelegentlich weitergeben kann“. Wenn diese Dateien verschlüsselt auf Ihrem eigenen Rechner liegen, mit einer echten Suche und einem Graphen, der Dokumente mit Notizen verknüpft, verschwindet der Reflex, sensibles Material überhaupt erst bei Dritten abzuladen.

Was Filarr NICHT tut: Es ist keine Zertifizierung, keine rechtliche oder regulatorische Compliance, und es schützt keine Datei auf magische Weise, die Sie bereits anderswo hochgeladen haben. Es reduziert, wie oft Ihre vertraulichen Dateien überhaupt mit einem Server in Berührung kommen, der sie lesen kann. Das ist der ehrliche Rahmen.

Häufige Fragen

Ist WeTransfer Ende-zu-Ende-verschlüsselt? Nein. WeTransfer verschlüsselt Dateien bei der Übertragung und gibt an, dass sie im Ruhezustand verschlüsselt sind, aber es hält die Schlüssel und kann auf die Inhalte zugreifen. Es gibt keinen Zero-Knowledge- oder Ende-zu-Ende-Modus, daher kann WeTransfer nicht behaupten, dass nur Ihr Empfänger die Dateien lesen kann.

Können Mitarbeiter von WeTransfer oder ein Hacker meine Dateien lesen? Da der Dienst Dateien entschlüsseln kann, um sie auszuliefern, sind die Inhalte technisch zugänglich: für WeTransfer, für jeden, der sich über ein kompromittiertes Konto legitimen Zugang verschafft, und unter Umständen auf eine rechtmäßige behördliche Anfrage hin. Die Verschlüsselung im Ruhezustand schützt vor allem vor dem Diebstahl roher Speichermedien, nicht vor einem Zugriff über den Dienst selbst.

Ist es sicher, vertrauliche Kundendokumente über WeTransfer zu senden? Für wenig sensible Dateien ja. Für vertrauliche oder regulierte Daten (Verträge, Finanzunterlagen, Gesundheits- oder Rechtsdokumente) sollten Sie die Datei vor dem Hochladen selbst verschlüsseln, ein Passwort für den Link und eine kurze Ablauffrist nutzen, wenn Ihr Tarif das unterstützt, und das Passwort über einen separaten Kanal schicken. Noch besser: Verwenden Sie ein Werkzeug, bei dem der Schlüssel den Server nie erreicht.

Bin ich DSGVO-konform, wenn ich WeTransfer nutze? Nein. Verschlüsselung ist eine technische Maßnahme. Die DSGVO-Konformität hängt von Ihrer gesamten Verarbeitungskette ab: Speicherort, Verhältnis zum Auftragsverarbeiter, Aufbewahrungsfristen und Ihre dokumentierten Vereinbarungen. Dies ist keine Rechtsberatung; lassen Sie regulierte Abläufe von einer Fachperson prüfen.

Was ist eine privatere Alternative, um sensible Dateien zu versenden? Achten Sie auf Ende-zu-Ende-Verschlüsselung, bei der der Entschlüsselungsschlüssel im URL-Fragment liegt (das nie an den Server gesendet wird), oder verschlüsseln Sie Dateien clientseitig, bevor Sie sie irgendwo hochladen. Dateien verschlüsselt auf dem eigenen Gerät zu behalten und gezielt zu teilen, statt alles in eine Cloud hochzuladen, die mitlesen kann, ist die stärkere Grundeinstellung.