Private Kundendokumente: Portal-Anmeldung oder befristeter Downloadlink?

Legen Sie die Zugriffsregel fest, bevor Sie entscheiden, wie ein Dokument per E-Mail zum Kunden gelangt. Ein Portal kann eine Anmeldung und eine Berechtigungsprüfung verlangen. Ein befristeter Downloadlink kann dagegen bewusst jedem Zugriff gewähren, der ihn besitzt. Das sind unterschiedliche Zusagen, auch wenn beide in derselben E-Mail stehen könnten.

Hier geht es um den Download eines bereits vorhandenen privaten Dokuments, nicht um Uploads oder das Öffnen einer mobilen App über einen Link. Entscheidend sind die nötige Identitätsprüfung, die spätere Kontrolle und der Aufwand, den Empfänger dafür bewältigen können.

Reicht der Besitz des Links aus?

Beginnen Sie mit einer Geschäftsfrage: Wäre es akzeptabel, wenn der vorgesehene Empfänger den Link weiterleitet? Falls nicht, dürfen Sie einen Bearer-Link nicht als Zugang ausschließlich für diese Person beschreiben. Ein angemeldetes Portal mit passenden Dokumentberechtigungen ist eine andere Option. Die Anmeldung allein genügt dabei nicht; die App muss auch prüfen, ob das Konto dieses Dokument lesen darf.

Ein konkretes Beispiel für das andere Modell liefert die Dokumentation zu vorsignierten URLs in Amazon S3. AWS beschreibt sie als Bearer-Token: Wer sie besitzt, erhält im Rahmen der Rechte des Erstellers Zugriff. Eine signierte URL ist damit eine bewusst erteilte vorübergehende Freigabe, kein Identitätsnachweis des Herunterladenden.

Ist das Weitergaberisiko für ein Dokument akzeptabel, kann diese Bequemlichkeit nützlich sein. Bei sensiblen oder kontobezogenen Unterlagen sollten Sie besprechen, ob ein angemeldeter Zugang besser passt. Das ist eine Gestaltungsentscheidung für Ihren Fall und keine Behauptung, eine der Varianten mache jedes Dokument sicher.

Befristet heißt nicht einmalig

Laut AWS kann eine vorsignierte S3-URL bis zum Ablauf mehrfach verwendet werden. Steht im Briefing „einmaliger Download“, erfüllt eine gewöhnliche vorsignierte URL diese Regel nicht allein. Dafür wäre ein eigener Mechanismus mit ausdrücklich beschriebenen und vorgeführten Grenzen nötig.

Unterscheiden Sie außerdem den E-Mail-Link von der endgültigen Speicher-URL. Eine E-Mail kann zu einer Portalseite führen, die zunächst Rechte prüft und erst dann einen kurz gültigen Downloadlink ausstellt. Fragen Sie bei dieser Lösung, was mit einem bereits ausgestellten Speicherlink geschieht, wenn anschließend die Portalberechtigung entzogen wird. Eine Kontoänderung beendet nicht automatisch jede zuvor erteilte Freigabe.

Lassen Sie beide Ebenen in Alltagssprache erklären. Versprechen Sie weder Kunden noch Mitarbeitenden einen sofortigen Entzug, solange die konkrete Methode ihn nicht nachweislich unterstützt.

Was passiert genau beim Ablauf?

S3 prüft die Gültigkeit beim Beginn einer HTTP-Anfrage. Laut AWS kann ein vorher gestarteter Download nach dem Ablauf weiterlaufen. Bricht die Verbindung ab und wird danach neu angefordert, scheitert der Download. Das Ablaufdatum verspricht also keinen sekundengenauen Abbruch jeder laufenden Übertragung.

Auch die eingestellte Dauer ist nicht die einzige Grenze. Ein mit temporären Zugangsdaten erstellter Link endet nach AWS-Angaben mit deren Gültigkeit, selbst wenn ein späterer Ablauf angegeben wurde. Diese Produktaussage betrifft S3. Für andere Speicherdienste ist deren Dokumentation gesondert zu prüfen.

Legen Sie eine verständliche Meldung und einen berechtigten Weg für eine erneute Zugriffsanfrage fest. Wurde der Zugriff entzogen, darf dieser Weg nicht ohne aktuelle Berechtigungsprüfung einen neuen Link ausstellen. Lösen Sie Rückfragen nicht durch unbegrenzt gültige Links oder unnötig weitreichende Rechte des ausstellenden Dienstes.

Eine heruntergeladene Datei ist eine weitere Kopie

Unterscheiden Sie als praktische Regel das Sperren künftiger Anfragen vom Zurückholen einer bereits heruntergeladenen Datei. Versprechen Sie keine Fernlöschung gewöhnlicher Dateikopien beim Empfänger. Beschreiben Sie nötige Umgangsregeln getrennt, ohne dem Ablaufdatum Kontrolle über dessen Gerät zuzuschreiben.

Behandeln Sie die URL selbst als sensible Zugriffsfreigabe. Echte signierte Kundenlinks gehören nicht in Analysewerkzeuge, Support-Screenshots, geteilte Aufgaben oder Vorführunterlagen. Verwenden Sie erfundene Dateien und autorisierte Testkonten. Protokollieren Sie Zugriffe, ohne unnötig verwendbare Freigaben in Protokolle zu kopieren.

Eine Abnahme, die den Unterschied sichtbar macht

Verlangen Sie eine isolierte Vorführung mit einem unkritischen Testdokument. Prüfen Sie einen berechtigten Portalnutzer, ein Konto ohne Dokumentrecht, einen gültigen befristeten Link, seine wiederholte Nutzung vor Ablauf und eine Anfrage danach. Wird ein Entzug zugesagt, gehört ein zuvor ausgestellter Link nach der Rechteänderung in den Test.

Sind große Downloads relevant, prüfen Sie auch eine laufende Übertragung und einen späteren Wiederholungsversuch an der Ablaufgrenze. Halten Sie tatsächliche Ergebnisse fest, statt sie aus der eingestellten Dauer abzuleiten. Erneuerung und verbleibendes Weitergaberisiko müssen in der Übergabe verständlich bleiben.

Bringen Sie Dokumentart, Empfängerbedarf und gewünschte Entzugsmöglichkeiten in ein Gespräch über Ihr Kundenportal mit. Das Ergebnis sollte ein klar begrenztes und vorgeführtes Zugriffsmodell sein, nicht die pauschale Zusage eines „sicheren Links“.