Wenn du ein temporäres Passwort in ein geteiltes Dokument schreibst, was Versionsverlauf, Rechte und Export noch behalten

Betrieb legt in der geteilten Tabelle eine Spalte «temporäres Passwort» an, klebt das Datenbankkennwort hinein und schreibt in den Chat «siehe B2». Zehn Minuten später markiert jemand die Zelle, drückt Entfernen und sagt, es sei weg. Am nächsten Tag öffnet ein Mitbearbeiter den Versionsverlauf. Gestern steckt der String noch in derselben Zelle. Ein Betrachter, der vorher heruntergeladen hat, hält weiter eine Excel-Datei. Hat jemand in Lark oder Feishu in diesem Moment einen Stand gespeichert, reicht Leserecht, um genau diesen Schnappschuss zu öffnen.

Der vorige Text hat gefragt, was Erinnerung, Freigabe und Sync behalten, wenn du ein Meeting-Passwort in die Kalendereinladung schreibst: Dort geht es um «steht das Passwort in der Terminbeschreibung, lesen Gastkopie und Sperrbildschirm es noch». Hier ist die Frage eine andere: Sobald das Passwort in einem geteilten Dokument oder einer Online-Tabelle steht, welche Restkopien kannst du noch öffnen. Wandert das Geheimnis stattdessen über einen Einmal-Link, bleibt die Form s.html?id=…#…. Erstellen und Lesen ohne Konto. Die Tools von MyPassGen öffnen sofort. Dieser Text ist keine Tour durch die Schaltfläche Freigeben. Er folgt den offiziellen Hilfeseiten und dem, was du im Verlauf, im Freigabefenster und in der exportierten Datei selbst siehst.

Warum das Löschen der Zelle das Passwort nicht tilgt

Ein geteiltes Dokument ist kein Schmierzettel, der nur in deinem Fenster lebt. Kollaborationsprodukte behandeln jeden Speichervorgang als Zustand, zu dem du zurückgehen kannst. Google schreibt in Änderungen an einem Dokument ansehen klar: Um frühere Versionen einer Datei aufzurufen, brauchst du die Berechtigung zum Bearbeiten dieser Datei. Ohne Bearbeiten siehst du den Versionsverlauf nicht. Dieselbe Seite sagt, das System könne mehrere Überarbeitungen zusammenfassen. Du kannst bis zu 40 benannte Versionen pro Dokument und 15 pro Tabelle anlegen. Eine benannte Version wird seltener mit anderen Ständen verschmolzen. Der Dateieigentümer kann unbenannten Verlauf löschen. Google kennzeichnet dieses Löschen als endgültig und nicht rückgängig zu machen. Entfernen in der Zelle schreibt eine neue Version, die leer aussieht. Die vorherige Version kann im Verlauf liegen, bis der Eigentümer sie extra räumt.

Microsoft 365 ist beim Standard deutlicher. Funktionsweise der Versionsverwaltung in Listen und Bibliotheken schreibt: Bei neuen Bibliotheken und Listen ist die Versionsverwaltung standardmäßig aktiv, und die letzten 500 Versionen eines Dokuments werden automatisch gespeichert. Eine wiederhergestellte Version wird zur aktuellen. Microsofts Wiederherstellen einer vorherigen Version ergänzt die andere Hälfte: SharePoint entfernt die angeklickte Version nicht. Es erstellt eine Kopie und macht diese zur neuesten. Nach dem Leeren der Zelle kann die Verlaufsliste den Stand von vor dem Leeren weiter halten. Wiederherstellen holt ihn zurück.

Lark, in China auch als Feishu verkauft, trennt den automatischen Verlauf von einem Stand, den jemand absichtlich speichert. Die Lark-Hilfe Docs permissions overview gibt «view and restore historical versions» an Can edit und Can manage, nicht an Can view. Die englische Feishu-Hilfe Use version management in Docs ist eine andere Tür: Nutzer mit Leserecht können gespeicherte Versionen ansehen, und ein Versionslink ist unabhängig vom lebenden Dokument. Hat jemand einen Stand gespeichert, während das Passwort noch auf der Seite stand, leert das Wischen der aktuellen Zelle diesen Schnappschuss nicht. Die Feishu-Tabellenhilfe Use version management in Sheets schreibt: Eine gelöschte Version landet im Papierkorb und wird nach 30 Tagen endgültig gelöscht.

Auch Notion braucht Bearbeiten, um den Seitenverlauf zu öffnen. Die deutsche Hilfe Inhalte duplizieren, löschen und wiederherstellen sagt: Für den Versionsverlauf brauchst du mindestens Kann bearbeiten. Free blickt 7 Tage zurück, Plus 30, Business 90, Enterprise beliebig viele Tage. Während du aktiv arbeitest, zeichnet Notion etwa alle 10 Minuten eine Version auf, nach der letzten Änderung noch einmal nach etwa 2 Minuten. Eine gelöschte Seite bleibt standardmäßig 30 Tage im Papierkorb. Das Passwort im aktuellen Block zu löschen, ändert nur die Schicht «jetzt».

Betrachter, Kommentator und jeder mit dem Link

Bearbeiten entscheidet, wer den Verlauf durchblättert. Betrachten entscheidet, wer die aktuelle Seite mitnehmen kann. Google schreibt in Dateien in Google Drive freigeben den Download für Betrachter als Ja, standardmäßig, steuerbar durch den Inhaber. Kommentator hat denselben Standard. Der Eigentümer kann in den Freigabeeinstellungen Download, Drucken und Kopieren für Betrachter und Kommentatoren abschalten. Das ist nicht der Standard. «Betrachter» ist nicht nur ein Paar Augen. Die andere Person kann den aktuellen Inhalt als Datei speichern. Steht das Passwort beim Download noch auf der Seite, hält sie eine Klartextkopie. Die Zelle später zu leeren, schreibt die Datei auf ihrer Festplatte nicht um.

«Jeder, der über den Link verfügt» macht den Kreis noch einmal größer. Dieselbe Hilfeseite setzt den allgemeinen Zugriff in drei Stufen. Eingeschränkt: Nur Personen mit erteilter Berechtigung öffnen die Datei. Jeder, der über den Link verfügt: Wer die URL hat, kann die Datei nutzen, ohne in einem Google-Konto angemeldet zu sein. Öffentlich: Jeder kann sie im Web oder in Suchergebnissen finden. Google schreibt außerdem: Wenn du eine Datei per Link freigibst, wirst du als Eigentümer markiert; Name und E-Mail-Adresse sind sichtbar. Personen ohne Anmeldung erscheinen in der Datei als anonyme Tiere. Ist der Link weitergeleitet, kannst du nicht jede Kopie namentlich zurückrufen. Du kannst die Datei wieder auf Eingeschränkt stellen oder eine neue Datei anfangen.

Dieselbe Seite nennt die Obergrenzen: Ein Google-Dokument, eine Tabelle, eine Präsentation oder ein Video lässt sich auf höchstens 100 offenen Tabs oder Geräten gleichzeitig bearbeiten; eine Datei kannst du mit höchstens 600 einzelnen E-Mail-Adressen teilen. Ein Ablaufdatum gibt es nur bei Konten von Unternehmen oder Bildungseinrichtungen. Privates Gmail hat das nicht. Wer die Datei aufgerufen hat, ist auch kein öffentliches Log. Google bindet in Aufrufverlauf für Ihre Dateien ansehen den namentlichen Aufrufverlauf an das Aktivitätsdashboard einer Datei aus einem Arbeits- oder Schulkonto. Gehört die Datei keinem solchen Konto, schreibt die Hilfe: Niemand kann den Aufrufverlauf sehen. Fehlende Namen im Dashboard beweisen nicht, dass niemand geöffnet oder heruntergeladen hat.

Lark und Feishu lassen Eigentümer oder Verwalter festlegen, wer außerhalb der Organisation teilen darf, wer Mitwirkende hinzufügt oder entfernt und wer kopieren, duplizieren, drucken oder herunterladen darf. Diese Schalter können Kopieren und Download verengen. Sie holen einen bereits erzeugten Export nicht zurück und halten kein Handy vom Bildschirm ab. Wie Pixel in einem Fotoalbum oder einer Meeting-Aufnahme bleiben, steht in Wer sieht das Passwort und den Schlüssel hinter # noch in Screenshot und Bildschirmfreigabe.

Kommentare, Kopien, Export und ausgeblendete Blätter

Das Passwort muss nicht in einer Textzelle stehen. Jemand schreibt «das Passwort ist dieser String» in einen Kommentar. Jemand fügt im Vorschlagsmodus eine Zeile ein. Jemand versteckt es auf einem zweiten Blatt. Nach dem Klären eines Google-Docs-Kommentars bleibt der Text in der Originaldatei. Kommentare, Aufgaben und Emoji-Reaktionen verwenden schreibt: Geklärte Kommentare bleiben im Originaldokument verfügbar. Beim Kopieren der Datei entscheidet ein Kästchen, ob Kommentare und Vorschläge mitwandern. Larks Rechterolle Can view enthält «view current and historical comments». Ein leerer Fließtext mit einem Restsatz in der Seitenleiste trifft weiter die Volltextsuche.

«Kopie erstellen» verdoppelt den aktuellen Inhalt als neue Datei. Google erlaubt eine Kopie aus einer historischen Version. Im Dialog steht «Für dieselben Personen freigeben». Die Kopie hat eigene Rechte und einen eigenen Verlauf. Sie leert sich nicht, wenn du zur Quelle zurückgehst und sie wischst. Export ist dieselbe Klasse Rest. Ein Betrachter, dem der Download noch offensteht, speichert ein Dokument als Word und eine Tabelle als Excel oder CSV. Ausgeblendete Spalten, ausgeblendete Blätter und herausgefilterte Zeilen fahren oft mit. «In dieser Ansicht sehe ich es nicht» heißt nicht «es steht nicht in der Datei».

Telefonnummern und Ausweisnummern, die du vor dem Weiterleiten eines Tickets oder Chatverlaufs maskieren musst, sind ein anderer Job. Siehe Welche Felder du vor dem Weiterleiten von Tickets und Chatverläufen maskieren musst. Maskieren betrifft den Text, den du diesmal einfügst. Es dreht den Versionsverlauf eines geteilten Dokuments nicht zurück und holt keine Tabelle zurück, die jemand schon heruntergeladen hat. Die eine Sache ersetzt die andere nicht. Wer die Zwischenablage nach dem Kopieren aus dem Generator noch liest, steht in Wer liest die Zwischenablage, nachdem du ein Passwort kopiert hast. Ein Passwort ist keine gewöhnliche Zelle neben einer Ticketnummer auf einer langlebigen Tabelle.

Ordner, Chatbereiche und die Volltextsuche

Landet die Datei in einem geteilten Ordner, hören Rechte oft auf, nur diese eine Datei zu betreffen. Google schreibt: Der Zugriff, den du auf einen Ordner anwendest, wird von den Dateien darin übernommen. Du kannst einer Person auf einer Kinddatei keinen geringeren Zugriff mehr geben, als sie auf dem übergeordneten Ordner hat. Drive schickt dich stattdessen zum übergeordneten Ordner. Liegt die Passwortdatei in einem Verzeichnis «die ganze Gruppe darf bearbeiten», bleibt «nur diese Datei auf Betrachter» oft nicht haften. Zum Verengen musst du die Datei verschieben oder das Passwort aus diesem Baum nehmen.

Landet die Datei in einem Chatbereich, ändert sich die Namensliste weiter. Dieselbe Drive-Hilfe sagt: Nachdem du einem Chatbereich Zugriff gewährst, bekommen Personen, die dem Bereich später beitreten, ebenfalls Zugriff auf diese freigegebenen Dateien. Wer den Bereich verlässt, verliert den Zugriff, sofern er ihn nicht als Einzelperson oder über eine andere Gruppe behält. Heute sitzen drei Leute im Bereitschaftschat. Nächste Woche kommt eine Neue, und dieselbe Tabelle «temporäres Passwort» hat eine Person mehr, die öffnen kann. Eine Kalendereinladung kopiert das Passwort auf Gastkalender; das war der vorige Text. Ein Dokumentlink in einem Chatbereich läuft über eine Liste, die von allein wächst.

Suche macht aus «ich weiß nicht mehr, in welcher Datei» «tippe ein paar Zeichen, und es taucht auf». Drive, Microsoft 365, Lark und Feishu durchsuchen die Texte, die du öffnen darfst. Steht das Testpasswort noch auf der aktuellen Seite, in einem Kommentar, in einem gespeicherten Stand oder in einem nie geräumten Verlauf, ist das Suchfeld schneller als dein Gedächtnis. In einem Arbeits- oder Schulmandanten kann ein Admin zusätzlich Audit- oder eDiscovery-Türen haben. Nimm die tatsächlichen Einstellungen eures Mandanten. Ersetze sie nicht durch einen Produktslogan.

Was vom Passwort im Dokument übrig bleibt

Denselben Teststring und denselben Titel einmal nur als Betrachter, einmal als Mitbearbeiter, einmal als «jeder mit dem Link» und einmal «zuerst herunterladen, dann löschen» durchspielen. Die Seiten, die du öffnen kannst, sind nicht dieselben. Die Tabelle schreibt «Stellen, die du anklicken kannst», nicht Marketingnamen.

Die fünfte Zeile nicht mit den ersten vier mischen. Klebst du die volle s.html?id=…#… in eine Zelle, halten Versionsverlauf, Export und Volltextsuche weiter einen vollständigen Beleg. Der Server sieht den Schlüssel trotzdem nicht. Wer die URL kopiert, kann sie vor dem Verbrennen öffnen. ID und Schlüssel trennen, und die Dokumentsuche findet keinen funktionierenden Link. Behandle einen vollen Link wie das Passwort selbst. Parke ihn nicht in einer langlebigen Tabelle oder in einem Lesezeichen.

Sofort nachprüfen

Diese Schritte hängen an keinem Markenversprechen. Nimm ein Testpasswort, das nie in ein echtes Konto einloggt, etwa orange-lake-7. Tituliere die Datei «test-nicht-produktion-oeffnen». Nicht mit einem Masterpasswort üben, das du noch nutzt, nicht mit einem Produktionsschlüssel und nicht mit einem lebenden Einmal-Link.

1. Lege auf einem persönlichen Testkonto ein Dokument oder eine Tabelle an, die nur dir gehört. Schreib nur das Testpasswort in den Text. Lade ein zweites Testkonto als Mitbearbeiter ein. Können beide öffnen, lösche den Satz im Quellkonto. Öffne auf dem Mitbearbeiterkonto den Versionsverlauf (Google: «Letzte Änderung» rechts oben). Du solltest die Version von vor dem Löschen sehen. Ein Betrachterkonto sollte diese automatische Verlaufstür nicht sehen.
2. Lege eine zweite Datei an. Gib einem dritten Testkonto nur Betrachter. Download nicht abschalten. Solange das Testpasswort noch auf der Seite steht, die Person herunterladen oder «Speichern unter» auf den Rechner legen lassen. Zurück zur Quelle und das Passwort löschen. Die lokale Datei öffnen. Das Testpasswort sollte noch darin stehen. Dieser Schritt beweist nur: «Betrachter heißt nicht: keine Kopie mitnehmen».
3. Stelle dieselbe Testdatei in der Freigabe auf «Jeder, der über den Link verfügt» darf betrachten. Öffne den Link in einem abgemeldeten Browser oder einem privaten Fenster. Du solltest das Testpasswort lesen. Stelle die Datei wieder auf Eingeschränkt. Öffne ein frisches privates Fenster, das den Link nie gesehen hat. Es sollte scheitern. Eine lokale Datei, die schon heruntergeladen war, ändert dieser Schritt nicht.
4. Nutzt du Lark oder Feishu, speichere einen Stand, während das Testdokument das Passwort noch hält, und wische dann den Text. Öffne die gespeicherten Versionen mit einem Testkonto, das nur Leserecht hat. Du solltest den Inhalt vom Speichern sehen. Nach dem Löschen dieses Stands hält die Hilfe ihn 30 Tage im Versionspapierkorb. Nicht an einem Produktionsdokument üben.
5. Tippe im Dokument, in Drive oder in der Lark-/Feishu-Suche orange-lake-7. Ein Treffer heißt: aktuelle Seite, Kommentar, gespeicherter Stand oder ungeräumter Verlauf ist noch indexiert. Suche ausgeblendete Blätter, geklärte Kommentare und Vorschläge in der Seitenleiste noch einmal. Schreib jede Tür auf, die noch aufgeht.
6. Lege einen MyPassGen-Einmal-Link mit demselben Testsatz an. Ablauf auf 24 Stunden. Lesezugriffe bei 1 lassen. Klebe nur das Stück vor der Raute — s.html?id=… — ins Dokument. Den Schlüssel am Telefon oder persönlich sagen. Öffnet ohne Konto. Mit nur der ID sollte die Empfängerin einen unvollständigen Link sehen. Beide Hälften braucht die Entschlüsselung. Nach dem Lesen die Zwischenablage überschreiben. Die Adresse mit # nicht im Dokument speichern.

Im Firmenmandanten noch einen halben Schritt: Prüfen, ob der geteilte Ordner eine höhere Rolle auf diese Testdatei vererbt und ob die Datei in einem Chatbereich liegt, der seine eigene Namensliste wachsen lässt. MyPassGen sagt dir nicht, ob ein Firmen-Gateway eine weitere Kopie zwischengespeichert hat. Vertrau den Fenstern, die du gerade geöffnet hast.

Wenn das Dokument der einzige Kanal ist: den Beleg teilen

Für eine Übergabe von Angesicht zu Angesicht, die die andere Person jetzt öffnen kann, gehört das Passwort nicht in eine Zelle. Erzeuge es auf diesem Gerät und packe es in einen Einmal-Link. Der Passwortgenerator von MyPassGen nutzt den Zufallsmodus 6–128 Zeichen, Standard 16, und warnt unter 8. Er öffnet ohne Konto. Das Ergebnis geht nicht als Geschäftsdaten hoch. Beim Anlegen verschlüsselt der Browser mit AES-256-GCM. Eine einzelne Notiz endet bei 32 KB. Lesezugriffe stehen standardmäßig auf 1 und höchstens auf 10. Ablauf kann 1 Stunde, 24 Stunden, 7 Tage oder nur nach Anzahl ohne TTL sein. Der Server lagert nur Geheimtext. Warum der Schlüssel hinter # gehört, steht in Wenn du ein Passwort einmal an Kollegen schickst, warum der Schlüssel hinter # gehört.

Muss es ein Dokument sein, teile den Kanal. Die Tabelle trägt nur Uhrzeit, Verantwortliche, die ID und den Satz «Schlüssel per Telefon». Klebe keinen vollen Link in eine Zelle, die synchronisiert, exportiert und in die Volltextsuche fällt. Ein Anruf, eine Übergabe von Angesicht oder ein anderes Messenger-Konto trägt nur das Stück hinter #. Keine Hälfte entschlüsselt allein. Das ist ein Nutzungsmuster, kein Produktstandard. Die Anlegen-Seite erzeugt weiter einen vollen Link, der sich für eine Übergabe an eine Person eignet. Bei einem Kanal, der Vorschaukarten zeichnet, zuerst einen Testlink laufen lassen und sehen, ob die Vorschau einen Abruf zählt, bevor du ein lebendes Geheimnis schickst. Siehe Wenn du einen Einmal-Link in Slack oder WeChat einfügst, verbraucht die Link-Vorschau ihn zuerst.

Ein Zertifikatspaket oder ein Export über 32 KB gehört nicht auf einen Einmal-Textlink. Nutze die Datei-Verschlüsselung: AES-256-GCM im Browser als Strom, eine Datei bis 5 GB, Ausgabe .lock / .enc, Passphrase getrennt. Drive oder ein geteilter Ordner soll nur Geheimtext halten. Siehe Bevor die Datei in die Cloud kommt: wer den Klartext sieht und welchen Weg das Passwort nehmen darf. Eine unverschlüsselte Tabelle als Anhang eines geteilten Docs ist dieselbe Klasse Problem wie ein Passwort im Fließtext: Der Anhang fährt mit vererbten Rechten, «Kopie erstellen» und jedem Export mit.

Hast du «kann das Mitbearbeiterkonto das Testpasswort nach dem Löschen der Zelle aus dem Verlauf wiederherstellen» und «hält der Betrachter-Download von vor dem Löschen das Testpasswort noch» geprüft, kannst du die Frage dieses Texts beantworten: Steht ein Passwort einmal in einem geteilten Dokument, können Versionsverlauf, gespeicherte Stände, heruntergeladene Kopien und die Volltextsuche den Klartext wieder zeigen. Betrachter sperrt die meisten automatischen Verlaufstüren. Es sperrt nicht, die aktuelle Seite mitzunehmen. Linkfreigabe und Ordnervererbung fügen weiter Personen hinzu, die öffnen können. Ein Dokument eignet sich für eine ID und eine Anleitung. Es eignet sich schlecht für das Passwort selbst.

Häufige Fragen

Wenn ich die Zelle lösche, sieht die andere Person es dann nicht mehr?

Auf der aktuellen Seite vielleicht nicht. Das leert nicht Verlauf, einen gespeicherten Stand oder eine Datei, die sie schon heruntergeladen hat. Google schreibt: Den Verlauf durchzublättern braucht Bearbeiten. Leserecht in Lark und Feishu kann einen gespeicherten Stand weiter öffnen. Suche zuerst das Testpasswort, dann ein Mitbearbeiterkonto den Verlauf öffnen lassen. «Ich habe die Zelle geleert» ist keine Passwortrotation.

Kann Betrachter einen Einmal-Link ersetzen?

Nein. Google schreibt den Download für Betrachter als standardmäßig an. Lark und Feishu können Kopieren und Download verengen; ein gespeicherter Stand bleibt für Leserecht sichtbar. Den Fließtext hostet der Dokumentdienst. Klartext erscheint nicht nur im Browser der Empfängerin. Um zu prüfen «hat der Server außer Geheimtext etwas gesehen», nimm einen Einmal-Link und Network. Ersetze das nicht durch Betrachter.

Was ist eine volle Einmal-URL in der Tabelle besser als das Passwort selbst?

Serverlogs und rein HTML-basierte Vorschauen sehen den Schlüssel hinter # in der Regel nicht, und die Leseseite wartet auf das Script, das den Geheimtext holt, bevor sie zählt. Versionsverlauf, Export und Volltextsuche können die ganze URL weiter halten. Wer sie kopiert, kann sie vor dem Verbrennen öffnen. Sicherer: Nur die ID ins Dokument; den Schlüssel über einen anderen Kanal.

Brauchen Anlegen und Lesen ein Konto? Kann der Support den falschen Kanal zurückholen?

Kein Konto. Anlegen und Lesen sind für Besuchende offen. Ist der Geheimtext nach Anzahl oder Ablauf verbrannt, gibt es kein serverseitiges Klartext-Backup und kein Support-Postfach, das ihn zurückholt. Erzeuge ein neues Passwort und einen neuen Link. Dieselbe URL nicht immer wieder aktualisieren, um zu sehen, ob sie zurückkommt.