Wer sieht das Passwort und den Schlüssel hinter # noch in Screenshot und Bildschirmfreigabe

Jemand erzeugt ein Datenbankpasswort, drückt Win+Umschalt+S und schickt das Bild in den Chat, damit ein Kollege die Zeichen prüft. Oder er geht ins Stand-up, wählt «Gesamter Bildschirm» und lässt einen Einmal-Link in der Adressleiste stehen. Keiner der beiden Schritte erscheint als Fach-Request im Network-Panel. Beide können den Klartext — und den Schlüssel hinter # — an eine zweite Person, ein zweites Gerät oder eine Aufnahme geben, die jemand später durchspult. Ein früherer Text behandelt, wer die Zwischenablage noch liest, nachdem du ein Passwort kopiert hast. Hier wechselt der Weg: Solange das Geheimnis noch auf dem Bildschirm steht, wem geben Screenshot und Bildschirmfreigabe es weiter.

Das ist keine Tour durch den Passwortgenerator und keine Funktionsliste der Einmal-Link-Seite. Die Frage ist ein Satz: Welche Dateien, welche Sitzungen und welche Alben halten Passwort und volle URL, nachdem Pixel kopiert wurden. MyPassGen schreibt die erzeugte Zeichenkette als sichtbaren Text, nicht als Punkte. Nach dem Anlegen eines Einmal-Links steht die volle Kette s.html?id=…#… auf der Seite. Jedes Tool öffnet ohne Konto. Network kann beweisen, dass die Request-Zeile das Fragment nie trug. Es kann nicht beweisen, dass der Screenshot leer ist.

Geheimnisse in Pixeln: Seite und Adressleiste

Das Passwort auf einer Generatorseite ist kein Feld vom Typ type="password". Es sitzt in einer Ergebnisliste. Wer dieses Rechteck sieht, liest die Zeichen. Das dient der Kontrolle der Kette, nicht dem Schutz vor einem Screenshot. Punkte verdecken nur den Blick vom Nachbartisch. Eine Pixelkopie fragt nicht, ob das Steuerelement «wie ein Passwortfeld aussieht».

Ein Einmal-Link legt den Entschlüsselungsschlüssel hinter #. Die Form ist …/s.html?id={id}#{key}. RFC 3986 §3.5 sagt: Der Fragmentbezeichner gilt für den User Agent; beim Abruf der Ressource wird er nicht mitgeschickt. RFC 9110 §10.1.3 geht weiter: Ein Referer-Header darf Fragment und Userinfo nicht enthalten. Access-Logs und Referer-Spuren können den Schlüssel also verfehlen — und der Bildschirm zeigt ihn trotzdem. Dieselbe RFC ist in den Sicherheitshinweisen klar: Das Fragment bleibt von der Request weg, bleibt aber sichtbar für den User Agent, für Erweiterungen und für Skript, das in der Antwort läuft.

Die Adressleiste ist die Anzeigefläche der ganzen URI, einschließlich #. Der Browserverlauf speichert den Eintrag ebenfalls mit Fragment, Zurück führt zur selben Kette. Ein anderer Text erklärt, warum der Schlüssel hinter # gehört: damit er nie in der HTTP-Request-Zeile mitfährt. Screenshot, Bildschirmfreigabe und Meeting-Aufnahme sitzen auf einer anderen Schicht. Sie kopieren die Pixel, die du siehst. Sie lesen die HTTP-Spezifikation nicht.

Nach dem Anlegen schreibt MyPassGen die volle URL in den Ergebnisbereich. Kopieren nutzt navigator.clipboard.writeText. Anlegen und Lesen öffnen beide ohne Anmeldung. Was du prüfst: Ob diese Zeichenkette in einer PNG auf dem Schreibtisch, im Album «Bildschirmfotos» oder in der Adressleiste einer Meeting-Wiedergabe steht — nicht den Satz «der Server sieht keinen Klartext».

Wohin ein Screenshot fällt

Ein Screenshot ist nicht «fertig», wenn er im Chat-Eingabefeld erscheint. Das Betriebssystem schreibt zuerst eine Datei oder die Zwischenablage. Du fügst danach ein. Die Datei ist schwerer zurückzuholen als die Nachricht.

Mac: standardmäßig auf den Schreibtisch

Apple Support ist eindeutig: Umschalt-Befehl-3 erfasst den ganzen Bildschirm; Umschalt-Befehl-4 einen Ausschnitt. Standard landet die Datei als PNG auf dem Schreibtisch unter dem Namen «Bildschirmfoto [Datum] um [Uhrzeit]». Wer vor diesem Mac sitzt, kann sie öffnen. Time Machine und «Schreibtisch und Dokumente» in iCloud nehmen sie mit, wenn das an ist. Control dazu — Control-Umschalt-Befehl-3 — und die Aufnahme geht in die Zwischenablage statt auf den Schreibtisch. Dieser Weg steht im vorherigen Artikel.

Windows: Bilder-Bibliothek und Zwischenablage

Win+Druck schreibt ein Vollbild-PNG in den Ordner Bilder\Bildschirmfotos des aktuellen Benutzers (englische Installation: Pictures\Screenshots). Win+Umschalt+S legt den Ausschnitt zuerst in die Zwischenablage. Ist im Snipping Tool «Bildschirmfotos automatisch speichern» an, landet dasselbe Bild zusätzlich in Bilder\Bildschirmfotos. Mit Zwischenablageverlauf zeigt Win+V höchstens 25 Einträge, und ein Screenshot zählt als einer. Sichert OneDrive den Ordner Bilder, folgt die PNG dem Konto. Die Kopie im Chat zu löschen reicht nicht. Platte und Cloud können je eine behalten.

iPhone: Album Bildschirmfotos, dann iCloud-Fotos

Ein System-Bildschirmfoto landet im Album «Bildschirmfotos» in Fotos. Mit iCloud-Fotos werden aufgenommene Fotos und Videos im Originalformat hochgeladen. Ein Bildschirmfoto ist ein Foto. Ein zweites Gerät am selben Apple Account zeigt Adressleiste und Passwort in diesem Album nach dem Sync. Das lokale Kachel löschen räumt Cloud und andere Geräte nicht sofort. «Kürzlich gelöscht» braucht meist einen zweiten Durchgang.

Ganzer Bildschirm, Fenster oder Tab

Chromes Screen Capture API teilt freigebbare Flächen in drei Arten: Tab (browser), Fenster (window) und ganzen Bildschirm (monitor). Die Auswahl in Teams, Zoom oder Meet liegt meist auf diesen drei. Der Unterschied ist nicht «ob der Meeting-Stream verschlüsselt ist». Er ist wie groß das Pixelrechteck ist, das du gewählt hast.

Gibst du den aktuellen Tab frei, sieht die Gegenseite vor allem diese Seite. Ob die Adressleiste im Bild ist, hängt davon ab, ob der Meeting-Client die Browser-Chrome mitnimmt; viele Implementierungen schicken nur den Seiteninhalt. Gibst du ein Fenster frei, gehen Titelleiste, Adressleiste und Lesezeichenleiste mit. Gibst du den ganzen Bildschirm frei, gehen Taskleiste, andere Desktops, eine Ecken-Benachrichtigung und ein späterer SMS-Code alle mit.

Zoom schreibt es offen: Gibst du den gesamten Bildschirm frei, sehen die Teilnehmenden alles, was du auf diesem Desktop oder Telefon ansiehst — inklusive Apps, die du öffnest, und Dateien, die du anschaust. Microsoft Teams schaltet während des Präsentierens «Nicht stören» genau deshalb: Eine Benachrichtigung, die bei einer Vollbild-Freigabe aufpoppt, steht jetzt im Meeting. Diese Produkthinweise gelten für Vortragende. Die technische Tatsache gilt genauso im stillen internen Stand-up: Die Freigabe des ganzen Bildschirms maskiert kein Passwortfeld automatisch.

Ab Chrome 119 akzeptiert getDisplayMedia monitorTypeSurfaces: "exclude". Eine Meeting-Seite kann die Fläche «Gesamter Bildschirm» weglassen, damit Beschäftigte seltener den ganzen Monitor wählen. Als Freigebender siehst du diese Fläche trotzdem oft. Sie aus Gewohnheit zu wählen bündelt Generatorseite, Adressleiste und Systemtoasts für alle im Raum.

Aufnahme, Album-Sync und Chatverlauf

Nach dem Ende der Live-Freigabe bleiben die Pixel oft. Cloud-Aufzeichnung, eine lokale Filmdatei und ein Bild im Chat überleben einen dreißigminütigen Call.

Die Cloud-Aufnahme eines Meeting-Produkts speichert den freigegebenen Frame. Spulst du nach dem Auflegen durch, sind die Einmal-URL in der Adressleiste oder das Passwort in der Ergebnisliste Bild für Bild lesbar. Wiedergaberechte auf Host-Seite entscheiden nur, wer die Datei öffnen darf. Sie entscheiden nicht, ob wer sie öffnet die Pixel aus jener Minute lesen kann. Eine lokale Aufnahme — Umschalt-Befehl-5 auf dem Mac, Xbox Game Bar unter Windows — ist eine zweite Datei, meist unter Filme oder Videos, und ein Sync-Client kann sie ebenfalls mitnehmen.

Sobald ein Screenshot in einem Messenger liegt, sitzt er im Verlauf der Gegenseite, im Anhangsspeicher des Anbieters und manchmal in «Text aus Bild extrahieren». Du kannst deine Seite löschen. Die andere behält eine Kopie. Das ist eine andere Schicht als «hat die Seite das Passwort hochgeladen». Der Generator kann im Network einen leeren POST zeigen. Die PNG, die du geschickt hast, nutzte diese Fach-API nicht.

Zwei Räume werden oft übersprungen. Ein Konferenz-TV mit AirPlay oder HDMI ist eine zweite Kamera für jeden in der hinteren Reihe. Eine Remotedesktop-Sitzung mit umgeleiteter Zwischenablage kann die Screenshot-Datei auf beiden Enden ablegen. Nichts davon erscheint im Network-Log der Generatorseite.

Vier Sichtwege nebeneinander

Dasselbe Testpasswort oder derselbe Test-Einmal-Link, sobald er auf dem Bildschirm steht, teilt sich in mindestens vier «wer sieht es»-Wege. Der Algorithmusname ändert sich nicht. Der Ort, an den die Pixel kopiert wurden, schon.

Ein Generator, der die Zeichenkette mit Web Crypto zieht, und ein Network-Panel ohne Passwort-Body schließen nur den Upload-Weg. Die vier Zeilen oben bleiben offen. Kann ein Passwort-Manager automatisch ausfüllen, gibt es keinen Grund, das Passwort für jemand anderen auf den Bildschirm zu legen. Muss eine Person es sehen, den kleinsten Ausschnitt schneiden oder einen Einmal-Link als Text schicken. Nicht den ganzen Monitor aufnehmen.

Sofort nachprüfen

Keiner der Schritte unten hängt von einem Markenversprechen ab. Nimm ein Passwort, das nie ein echtes Konto öffnet, und eine Einmal-Notiz, die nur einen Testsatz hält. Nicht mit einem lebenden Masterpasswort oder einem Geheimnis üben, das noch nicht verbrannt ist.

1. Den Generator öffnen und ein Testpasswort mit den 16 Standardzeichen erzeugen. Nicht kopieren. Nicht damit anmelden. Die Ergebnisliste ansehen: Die Zeichen sind sichtbar, keine Punkte. Entwicklertools, Network, «Protokoll beibehalten» an, und prüfen, dass die Request-Bodies nach dem Erzeugen diese Kette nicht enthalten. Wie du Uploads prüfst, steht in Wie du prüfst, dass Browser-Verschlüsselung keinen Klartext hochlädt.
2. Einmal den ganzen Bildschirm mit dem System-Screenshot aufnehmen. Die PNG auf dem Schreibtisch oder in Bilder\Bildschirmfotos öffnen und bestätigen, dass Testpasswort und Adressleiste beide im Bild sind. Dann die Ergebnisliste ausschneiden, die Adressleiste draußen lassen und noch einmal aufnehmen. Das zweite Bild darf keine volle Einmal-URL und kein fremdes Fenster zeigen.
3. Auf einem iPhone oder einem Gerät mit iCloud-Fotos Fotos → Bildschirmfotos öffnen und prüfen, ob die Aufnahme da ist. Nutzt ein zweites Gerät denselben Apple Account, auf den Sync warten und dasselbe Album dort öffnen.
4. Unter Windows mit Zwischenablageverlauf Win+V drücken und sehen, ob der Screenshot in der Liste steht. Nicht anheften. «Alle löschen» nutzen oder weiter Füllzeichen kopieren, bis das Bild aus der Liste ist.
5. Ein Meeting nur mit dir selbst starten. Zuerst den ganzen Bildschirm freigeben. Von einem zweiten Gerät oder einem Kollegen prüfen, ob Adressleiste und Ergebnisliste im Bild sind. Dann auf das aktuelle Browserfenster oder den aktuellen Tab wechseln und vergleichen: Sind Toasts und Taskleiste noch da. Ist Cloud-Aufzeichnung an, auflegen und zehn Sekunden Wiedergabe durchspulen.
6. Braucht ein Kollege remote ein kurzes Geheimnis, auf einen Einmal-Link wechseln: Klartext-Obergrenze 32 KB, Schlüssel hinter #, Leseseite ohne Konto. Die URL als Text schicken. Kein Screenshot eines Rahmens, der die Adressleiste enthält. Der Create-Request soll nur Geheimtext halten, nicht den Testsatz.

Der Passwortgenerator von MyPassGen sitzt auf dieser Grenze. Zufallsmodus 6–128 Zeichen, Standard 16, unter 8 eine Warnung, dass es schwächer ist. Ergebnisse stehen als sichtbarer Text. Kopieren nutzt writeText. Es gibt kein Konto und keinen Passworttresor. Was du prüfst, ist die PNG auf dem Schreibtisch, das Album Bildschirmfotos und die Meeting-Wiedergabe — nicht das Wort «Erzeugt» auf der Seite.

Nach dem Foto und nach dem Meeting aufräumen

Für das eine Bild, das du heute wirklich brauchst, in dieser Reihenfolge fertig machen: Bestätigen, dass der Ausschnitt keine Adressleiste, keinen Taskleisten-Toast und kein zweites lebendes Passwort enthält; dann schicken. Nach dem Versand das Original auf dem Schreibtisch oder in Bildschirmfotos löschen, Win+V leeren und auf dem Telefon «Kürzlich gelöscht» leeren. Sind iCloud-Fotos oder OneDrive-Bilder an, ein zweites Gerät prüfen und die Sync-Kopie dort ebenfalls löschen.

In einer laufenden Freigabe die Freigabe stoppen, bevor du den Generator oder die Einmal-Leseseite öffnest. Musst du den Ablauf erklären, nur das aktuelle Fenster freigeben und den Browser zuerst auf eine kompakte Adressleiste umstellen, die die volle URL verbirgt — oder das Fenster auf die Ergebnisliste verkleinern. Demo-Rechner und Konferenz-TV wie «jemand in der hinteren Reihe fotografiert» behandeln. Dort keinen lebenden Einmal-Link öffnen. Dort kein Masterpasswort erzeugen.

Sobald du ausschneidest statt den ganzen Bildschirm aufzunehmen und nach dem Auflegen PNG und Wiedergabe löschst, kannst du die Frage des Texts schon beantworten. Wer das Passwort in Screenshot und Bildschirmfreigabe noch sieht, hängt davon ab, wie groß das Rechteck war, wo die Datei landete und ob eine Aufnahme noch existiert. Ein Generator, der nicht hochlädt, heißt nur: Das Server-Log hält diese Kette nicht. Er holt die Kopie nicht zurück, die schon in einem Bild und einem Film steht.

Häufige Fragen

Hält HTTPS ein Passwort im Screenshot schon sicher?

Nein. HTTPS schützt den Hop vom Browser zum Server. Screenshot und Bildschirmfreigabe kopieren lokale Pixel. Sie reiten nicht auf dieser TLS-Sitzung. Album-Sync, eine Meeting-Aufnahme und eine PNG im Gruppenchat interessieren sich nicht dafür, ob in der Adressleiste ein Schloss steht.

Sitzt der Schlüssel hinter #, verfehlt ihn der Screenshot dann?

Nein. # hält dieses Stück nur von der HTTP-Request und vom Referer fern. Adressleiste, Ergebnisbereich und Browserverlauf zeigen weiter die volle URI. Ein Vollbild-Screenshot und eine Fenster-Freigabe machen aus diesem Stück Text in einem Bild.

Brauche ich ein Konto, um ein Passwort zu erzeugen oder einen Einmal-Link anzulegen? Lädt die Seite den Screenshot hoch?

Kein Konto. Erzeugen und Anlegen sollen im aktuellen Tab bleiben. Ein System-Screenshot ist das Betriebssystem, das eine Datei schreibt. Es ist kein POST der Seite. Network öffnen: Nach der Aufnahme darf der Request-Body dieses Passwort nicht enthalten. Der Ausgangsweg, den du steuerst, ist die PNG, die du in den Chat legst.

Reicht es, nur den aktuellen Tab freizugeben?

Es ist eine Stufe sicherer als der ganze Bildschirm: Taskleiste und Systemtoasts fallen meist aus dem Bild. Ein sichtbares Passwort auf der aktuellen Seite und eine volle Einmal-URL im Ergebnisbereich bleiben auf der Gegenseite lesbar. Den Ablauf mit Testdaten zeigen. Ein lebendes Passwort über einen Textkanal schicken oder im Raum vorlesen.