Was hier nicht passiert

Ein Kurzlink-Dienst könnte unauffällig viel über Menschen erfahren: wer welche Adressen kürzt und wer welche Links öffnet. Diese Seite beschreibt, was ano-link davon nicht erfasst, was es trotzdem speichert und wo die Grenzen liegen.

Was der Dienst unterlässt

Kein Zwischenbildschirm

Ein Kurzlink führt mit einer einzigen Weiterleitung zum Ziel. Es gibt keine Werbeseite dazwischen und keinen Countdown, nach dem es erst weitergeht. Das hat auch einen Sicherheitsgrund: Auf einer solchen Zwischenseite liefe fremder Code unter einer Adresse, die einen Schlüssel tragen kann.

Keine Konten

Sie melden sich nicht an und hinterlegen weder eine E-Mail-Adresse noch ein Passwort. Eine Profilseite gibt es nicht. Damit fehlen auch Kontodaten, die verloren gehen oder verkauft werden könnten.

Keine Klickprofile

Öffnet jemand einen Kurzlink, zählt der Dienst zwei Tageswerte hoch: einen für mutmaßliche Menschen und einen für erkannte Vorschau-Programme. Außerdem merkt er sich, wann ein Mensch den Link zuletzt geöffnet hat. Das ist ein einzelner Zeitpunkt, den jeder weitere Aufruf überschreibt; Vorschau-Abrufe ändern ihn nicht. IP-Adresse, Browserkennung, Herkunftsseite und Ort werden nicht gespeichert, und eine Liste einzelner Aufrufe gibt es nicht. Aus zwei Zahlen je Tag lässt sich niemand wiedererkennen.

Öffentlich sind diese Zahlen nicht. Bei einem Link auf eine Nachricht, die sich nach dem Lesen zerstört, würde ein sichtbarer Zähler verraten, ob sie schon geöffnet wurde.

Keine Cookies, keine fremden Server

Diese Seite setzt keine Cookies. Auf Ihrem Gerät speichert sie nur eines: Wenn Sie oben zwischen heller und dunkler Darstellung umschalten, merkt sich Ihr Browser diese Wahl. Das geschieht erst nach Ihrem Klick, und die Wahl verlässt Ihr Gerät nicht. Schriften, Stile und Skripte kommen von dieser Domain. Google Fonts, ein CDN, ein Prüfdienst für Bots oder ein Analysewerkzeug sind nicht eingebunden. Deshalb gibt es auch kein Einwilligungsfenster: Für eine Einstellung, die Sie selbst anklicken, braucht es keine Einwilligung.

Der Server ruft das Ziel nie selbst auf

Beim Anlegen holt der Server weder Seitentitel noch Symbol oder Vorschaubild. Die Zielseite erfährt also nicht, dass jemand einen Kurzlink auf sie angelegt hat. Damit entfällt auch eine bekannte Art von Angriffen, bei denen ein Server dazu gebracht wird, Adressen im eigenen Netz abzurufen.

Der Teil hinter dem Rautezeichen erreicht den Server nie

Trägt eine Adresse hinter einem # einen Schlüssel, schneidet ihn der Browser ab, bevor er etwas sendet. Der Server bekommt nur die Adresse davor und die Angabe, dass ein solcher Teil vorhanden war. Er kann den Schlüssel deshalb weder speichern noch protokollieren, und herausgeben kann er ihn auch auf Anfrage nicht.

Ausführlich steht das im Abschnitt „Der Teil hinter dem Rautezeichen“ der Datenschutzerklärung.

Keine Liste, kein Durchprobieren

Es gibt keine öffentliche Übersicht der angelegten Kurzlinks und keine Liste der zuletzt erstellten. Wer Codes der Reihe nach durchprobiert, wird gebremst. Die Bremse zählt nur Fehlversuche, also Codes, die es nicht gibt. Wer echte Kurzlinks aufruft, merkt von ihr nichts.

Was gespeichert wird

Ohne Daten funktioniert ein Kurzlink nicht. Gespeichert werden:

• Die ZieladresseOhne den Teil hinter dem #. Sie steht unverschlüsselt in der Datenbank, wir können sie also ansehen.
• Der CodeDie kurze Zeichenfolge hinter dem Schrägstrich. Sie wird immer zufällig erzeugt, ein Wunschkürzel gibt es nicht.
• Der ZeitpunktWann der Kurzlink angelegt und wann er zuletzt benutzt wurde.
• Ein Kennzeichen für den Durchreiche-ModusNur die Angabe, dass am Original ein Teil hinter dem # hing, nicht dessen Inhalt.
• Der Prüfwert des VerwaltungsschlüsselsNicht der Schlüssel selbst, sondern sein SHA-256-Wert. Daraus lässt sich der Schlüssel nicht zurückrechnen.
• Zwei Zahlen je TagAufrufe, getrennt nach Mensch und Maschine.
• MeldungenCode, Grund, Freitext und Zeitpunkt jeder Missbrauchsmeldung.
• Prüfwerte der QuelleBeim Anlegen und bei einer Meldung ein kurzer Prüfwert. Er wird aus der IP-Adresse bzw. ihrem Netzbereich und einem Tagesschlüssel gebildet, der nur im Arbeitsspeicher liegt. Die IP-Adresse selbst legt die Anwendung dabei nicht ab. Der Prüfwert dient allein der Missbrauchsabwehr und wird nach sieben Tagen (Kurzlink) bzw. einem Tag (Meldung) gelöscht.
• Die Zugriffsprotokolle des WebserversSie entstehen eine Ebene unter dieser Anwendung und enthalten technisch bedingt IP-Adressen. Ihre Aufbewahrungsdauer steht in der Datenschutzerklärung.

Wie lange

• Kurzlinks ohne AblaufdatumUnbegrenzt, solange sie benutzt werden. Kurzlinks stehen auf Flyern und in QR-Codes, und dort soll ein Link nicht eines Tages ins Leere führen.
• Kurzlinks, die nie aufgerufen wurdenZwölf Monate nach dem Anlegen werden sie automatisch gelöscht. Einen Link, den nie jemand geöffnet hat, muss der Dienst nicht aufbewahren.
• Kurzlinks mit gewähltem AblaufdatumBis zu diesem Datum.
• Abgeschaltete CodesDer Eintrag bleibt ohne Weiterleitung bestehen, damit derselbe Code nie wieder vergeben wird. Sonst könnte ein harmloser neuer Link den schlechten Ruf eines gesperrten erben.
• MeldungenSechs Monate ab Eingang, danach werden sie automatisch gelöscht.
• Tageszahlen der Aufrufe90 Tage. Der Zeitpunkt des letzten Öffnens bleibt beim Link stehen, solange es ihn gibt.

Wie Sie einen Kurzlink wieder abschalten

Beim Anlegen zeigt die Seite einen Verwaltungsschlüssel an. Er ersetzt das Konto, das es hier nicht gibt: Mit ihm können Sie Ihren eigenen Kurzlink abschalten. Ein zweites Mal wird er nirgends angezeigt. Bewahren Sie ihn deshalb auf, solange der Link bestehen soll.

Es gibt drei Wege:

• Mit dem VerwaltungsschlüsselDer eigene Kurzlink wird sofort abgeschaltet, ohne Rückfrage und ohne Begründung.
• Über das MeldeformularFür alle anderen gibt es das Formular Missbrauch melden. Sie können es auch nutzen, wenn kein Missbrauch vorliegt, sondern Ihre eigene Adresse hinter dem Kurzlink steht.
• Per E-MailEine Nachricht an missbrauch@ano-link.de mit dem Kurzlink und einem Satz Begründung genügt.

Ist der Verwaltungsschlüssel verloren, bleibt nur der Meldeweg. Ohne Konto kann der Dienst einen Kurzlink sonst niemandem zuordnen.

Wenn ein Kurzlink gemeldet wird

Jede Meldung liest ein Mensch. Ein berechtigt gemeldeter Kurzlink soll innerhalb von 24 Stunden abgeschaltet sein. Gehen binnen 24 Stunden Meldungen aus mindestens drei voneinander unabhängigen Netzen ein, wird er schon vorher vorläufig gesperrt, bis ein Mensch entschieden hat. Beim Abschalten bleibt der Eintrag bestehen: Die Weiterleitung endet, und unter der Adresse steht die Begründung. Eine vorläufige Sperrung lässt sich vollständig zurücknehmen, denn bis zur Entscheidung bleibt die Zieladresse erhalten. Nach einer Sperrung als Ergebnis der Prüfung ist die Zieladresse gelöscht. Ist ein Widerspruch berechtigt, kann der Kurzlink neu angelegt werden. Für einen Widerspruch genügt eine formlose Nachricht.

Welche Ziele nicht erlaubt sind

Nicht gekürzt werden dürfen Adressen, die auf Betrug, gefälschte Anmeldeseiten, Schadsoftware, unverlangte Massenwerbung oder rechtswidrige Inhalte führen. Dazu zählen auch Verletzungen von Urheber- und Persönlichkeitsrechten sowie jugendgefährdendes Material. Inhaltlich prüft der Dienst ein Ziel erst, wenn eine Meldung eingeht. Eine allgemeine Überwachungspflicht besteht ausdrücklich nicht. Beim Anlegen prüft er die Form der Adresse, lehnt Kurzlinks anderer Dienste ab und gleicht den Namen des Zielservers mit einer eigenen Sperrliste ab. Diesen Abgleich wiederholt er bei jedem Aufruf, weil ein Ziel oft erst nach dem Kürzen bösartig wird. Die vollständigen Regeln stehen in den Nutzungsbedingungen.

Warum es Werbung gibt

Der Server kostet Geld. Ein Dienst ohne Einnahmen wird früher oder später abgeschaltet, oder er verkauft die Daten seiner Nutzer. Deshalb steht unten im Ergebnis ein einzelner Werbeplatz. Er zeigt ein Bild und zwei Zeilen Text, kommt von diesem Server und ist mit „Anzeige“ beschriftet. Fremde Skripte und Zählpixel lädt er nicht, und die Anzeige ist nicht personalisiert. Bei der Weiterleitung, in der Vorschau und auf diesen Textseiten gibt es keine Werbung.

Wo die Grenzen liegen

Einiges kann der Dienst nicht zusagen:

• Der Schlüssel gehört zum LinkSteht hinter dem # ein Schlüssel, geben Sie ihn mit dem Kurzlink weiter. Der Server bekommt ihn nie zu sehen, die Person, der Sie den Link schicken, dagegen schon.
• Die Zieladressen sind lesbarWer Zugriff auf den Server hat, kann sie einsehen. Zieladressen können selbst persönliche Angaben enthalten. Kürzen Sie nichts, was Sie einem Fremden nicht zeigen würden.
• Die Zielseite sieht Ihren BesuchSie sieht Ihre IP-Adresse wie bei jedem anderen Aufruf auch. Über welchen Kurzlink Sie gekommen sind, erfährt sie nicht. Dafür sorgt die Kopfzeile no-referrer.
• Behördliche AnordnungenEine rechtmäßige Anordnung wird beantwortet. Herausgeben lässt sich dabei nur, was gespeichert ist, also das, was oben unter „Was gespeichert wird“ steht.
• Kein Anspruch auf VerfügbarkeitDies ist ein kostenloser Dienst eines Einzelunternehmens. Für dauerhafte Erreichbarkeit eines Kurzlinks gibt es keine Zusage.

Stand: Oktober 2026