Moin...
...hat etwas länger gedauert.
1.
PassBytes := THash_SHA256( getauscht
2. schöne Zugriffsverletzung wie vorher

...wie jetzt?
3. Erinnerung an "...nur in einer konkreten Klasse vernünftig funktionieren kann."
4. Klasse erzeugt (Bild)
5. und siehe da...es funktioniert.

(Bild)
...und keine Leaks.
PS: Warnung beseitigt:
TextFormat: TDECFormatClass = TFormat_Base64; statt
TextFormat: TDECFormatClass = TFormat_MIME64;
Danke nochmal...