Sharing-Einladungen — Zugangsdaten-Tresor

Sharing-Einladungen lösen ein konkretes Problem: Ein externer Partner — Notar, Hausverwalter, Bewertungs-Sachverständige:r, IT-Dienstleister:in — braucht einmalig oder kurzfristig Zugriff auf einen bestimmten Tresor-Eintrag, soll dafür aber keinen vollwertigen Plattform-Account bekommen. Beispiele aus dem Makler-Alltag:

• Eine IT-Dienstleisterin braucht den Admin-Zugang zum Büro-Drucker, um ein Firmware-Update einzuspielen.
• Ein Notar braucht für eine Beurkundung den Zugriff auf das ImmoScout-Konto, um eine Anzeige offline zu nehmen.
• Eine Hausverwaltung braucht den Schließsystem-Code für eine WEG-Versammlung im verwalteten Objekt.

Statt die Zugangsdaten per E-Mail oder WhatsApp zu schicken (DSGVO-Verstoß, kein Audit-Trail, kein Widerruf), erzeugst du einen Sharing-Link. Der Empfänger sieht den Eintrag in einer abgesicherten Web-View, ohne einen Account anzulegen.

So teilst du einen Eintrag#

In der Tresor-UI: Eintrag öffnen → Reiter Teilen → Neuer Sharing-Link. Du legst fest:

1. E-Mail-Adresse des Empfängers — Pflichtfeld. Der Magic-Link wird ausschließlich an diese Adresse versendet.
2. Ablaufzeit — Wählbar 1h / 6h / 24h / 3 Tage / 7 Tage. Max. 7 Tage. Default: 24 Stunden.
3. Rechte — Lesen (Empfänger sieht den entschlüsselten Wert) oder Lesen und Schreiben (Empfänger kann den Eintrag zusätzlich aktualisieren, z.B. neues Passwort eintragen nach Änderung beim Drittsystem).
4. Optionale Notiz an den Empfänger — Freitext bis 500 Zeichen, wird in die Einladungs-E-Mail eingebettet (z.B. "Bitte nur für das Firmware-Update am 14.05. nutzen, danach widerrufen wir").
5. Audit-Reason — Pflichtfeld. Wofür wird der Eintrag geteilt? Erscheint im Audit-Log neben dem entry.share_created-Event. (z.B. "Notar-Termin Musterstraße 12, 14.05.2026").

Nach Senden schickt die Plattform eine E-Mail an die Empfänger-Adresse mit dem Magic-Link. Der Link enthält ein einmaliges Token, das beim ersten Aufruf gegen die Empfänger-E-Mail gegengeprüft wird.

Was die externe Person sieht#

Der Empfänger klickt den Magic-Link, landet in einer Sichere Web-View unter share.reosa.de/<token>. Die View zeigt:

• Absender — Name des Tenants und des sharenden Users
• Bezeichnung des Eintrags — z.B. "ImmoScout24 Bürokonto"
• Verfügbare Werte — Username, Passwort, URL, Notiz; je nach Eintragstyp
• Ablaufzeit — Countdown bis zum automatischen Verfall
• Audit-Reason — Damit der:die Empfänger:in weiß, wofür der Zugriff gedacht ist
• Kopier-Buttons — pro Feld einzeln in die Zwischenablage übernehmbar

Kein Account, kein Login. Die Web-View ist nur über den Magic-Link erreichbar — direktes Aufrufen von share.reosa.de ohne gültigen Token zeigt eine generische "Link ungültig oder abgelaufen"-Seite.

Sicherheits-Mechanismen#

Single-Use beim ersten Klick#

Beim ersten Klick auf den Magic-Link wird die Empfänger-E-Mail im Browser-Profil mit einem Cookie verknüpft. Folge-Aufrufe vom gleichen Browser sind erlaubt, Aufrufe von anderen Browsern werden mit einer Verifikations-E-Mail bestätigt. Das verhindert, dass ein weitergeleiteter Link sofort von einer anderen Person geöffnet werden kann.

Auto-Expiry#

Spätestens nach der konfigurierten Ablaufzeit ist der Link tot. Auch ein bereits geöffnetes Browser-Tab kann nach Ablauf keine neuen Daten mehr abrufen — die Anzeige bleibt aus dem Browser-Cache sichtbar, aber jeder Refresh führt zur Ablauf-Seite.

Audit-Trail#

Jeder Zugriff erzeugt einen Audit-Log-Eintrag:

• entry.share_created — beim Erstellen
• entry.share_accessed — bei jedem Magic-Link-Aufruf (mit IP-Präfix, User-Agent)
• entry.share_revoked — bei manuellem Widerruf
• entry.share_expired — beim automatischen Ablauf

Volle Details: Audit-Log.

Brute-Force-Schutz#

Token sind kryptographisch zufällige 128-Bit-Werte (URL-sicher kodiert). Selbst bei 10.000 Anfragen pro Sekunde wäre die Erwartungs-Zeit zum Erraten eines einzigen gültigen Tokens jenseits jeder relevanten Zeitskala. Zusätzlich greift Rate-Limiting auf share.reosa.de.

Widerruf#

Jederzeit. In der Tresor-UI: Eintrag öffnen → Teilen → aktive Sharing-Links sehen → Widerrufen. Der Widerruf wirkt sofort: nächster Aufruf des Magic-Links zeigt "Link wurde widerrufen". Bereits geöffnete Browser-Tabs können den entschlüsselten Wert noch in der Browser-Sitzung sehen, aber keine neuen Daten abrufen.

Wenn du paranoid sicher gehen willst: nach dem Widerruf das geteilte Passwort beim Drittsystem ändern. Der Empfänger hatte ja währenddessen den Klartext-Wert, könnte ihn theoretisch auch außerhalb des Magic-Links notiert haben.

Was NICHT geht#

Sharing ist auf einzelne Einträge zugeschnitten. Folgende Use-Cases sind bewusst nicht unterstützt:

• Sharing eines kompletten Tresors oder Ordners — Wenn ein externer Partner dauerhaft Zugriff auf mehrere Einträge braucht, ist das ein Hinweis auf einen Lieferanten-Account auf der Plattform (Phase-4-Multi-Tenant-Sharing).
• Sharing mit ganzen Drittfirmen — Einladungen gehen an eine einzelne E-Mail-Adresse. Wer einer Firma allgemein Zugriff geben will, muss eine konkrete Ansprechperson dort wählen.
• Sharing ohne Audit-Reason — Wir erzwingen den Grund-Eingabe-Schritt bewusst. Das verhindert leichtfertiges Teilen und dokumentiert den geschäftlichen Anlass für die spätere Nachvollziehbarkeit.
• Unbegrenzte Lifetime — Maximum sind 7 Tage. Wer länger braucht, muss verlängern (neuer Link, neuer Audit-Eintrag).

DSGVO-Hinweis#

Sobald in einem geteilten Eintrag personenbezogene Daten stehen (Username = Klar-E-Mail, Notizfeld mit Namen, Kundenzugang mit Namensbezug), greifen die DSGVO-Pflichten.

Konkret bedeutet das:

• AVV mit dem Empfänger — Wenn der Empfänger den Eintrag im Auftrag deines Tenants verarbeitet (z.B. eine IT-Dienstleisterin, die im System Wartung durchführt), brauchst du eine Auftragsverarbeitungs-Vereinbarung mit ihm. Die Plattform stellt dafür keine Vorlage — frag deine Datenschutzbeauftragte:n oder nutze Muster vom BfDI.
• Empfänger informieren — Stelle sicher, dass der externe Partner versteht, dass er Tresor-Inhalte sah, und dass diese vertraulich zu behandeln sind. Das Notiz-Feld in der Einladung ist ein guter Ort dafür.
• Audit-Log aufbewahren — Bei späteren DSGVO-Auskunfts-Anfragen ist nachweisbar, wer welche Daten wann empfangen hat.
• Kein Sharing mit Drittländern — Vermeide Sharing-Empfänger in Drittländern ohne Angemessenheits-Beschluss. Wenn unvermeidlich: vorher rechtlich prüfen.

Detaillierte rechtliche Einordnung steht in DSGVO für Makler — diese Seite hier ist eine technische, keine rechtliche Auskunft.