Welche Werkzeuge wählen, vom Telefon bis zum sozialen Netzwerk

Gut abgesichert gegen die üblichen Angriffe, und das ist real. Das Apple-Konto bleibt Bedingung für die Nutzung des Geräts, keine Option. Ein Punkt mehr als in der ersten Fassung dieser Bewertung, aus einem einzigen, überprüfbaren Grund: Der erweiterte Datenschutz, den man selbst einschaltet, hebt die Zahl der Ende-zu-Ende-verschlüsselten iCloud-Kategorien von vierzehn auf dreiundzwanzig, samt Sicherung und Fotos. Apple kann dann nicht mehr lesen, was es für Sie beherbergt. Post, Kontakte und Kalender bleiben im Klartext, und einschalten wird es fast niemand.

Ein Punkt mehr aus einem einzigen Grund: Man kann daran drehen. Getrennte Profile, alternativer Store, Google-Dienste teilweise abschaltbar. Ab Werk verrät es genauso viel wie iOS. Seit Android 16 fasst ein erweiterter Schutzmodus in einer einzigen Einstellung zusammen, was ein gefährdeter Nutzer sonst von Hand einschalten müsste, und Google richtet ihn ausdrücklich an Journalisten und Aktivisten. Er ändert die Note nicht: Er schützt vor einem Angreifer, nicht vor dem Anbieter, und den Anbieter misst diese Kategorie.

Die freie ROM, die die meisten Modelle abdeckt, auch alte Geräte, die der Hersteller nicht mehr versorgt. Der Hersteller fällt aus der Gleichung, die Google-Dienste werden zur Wahl. Acht und nicht zehn: Die Installation setzt das Entsperren des Bootloaders voraus, und dabei geht ein Teil der ursprünglichen Schutzmaßnahmen des Geräts verloren.

Das einzige mobile System, das einen Schutz hinzufügt, statt einen zu entfernen: Die Google-Dienste laufen dort, wenn man sie installiert, in einem Sandkasten wie eine gewöhnliche App, und der Bootloader lässt sich nach der Installation wieder schließen, was LineageOS nicht erlaubt. Der Preis ist real: ein Pixel-Gerät, eine Neuinstallation, oft verlorene Banking-Apps. Vorsicht beim Rooten, das etwas anderes ist: Eine App, die es bekommt, bekommt alles, das ist eine zusätzliche Tür, kein Schutz.

Das Online-Konto wird bei der Installation aufgedrängt, die Nutzungsdaten lassen sich in den Einstellungen nicht abschalten, und Funktionen kommen per Update, ohne dass man sie gewählt hätte. Die 3 ist keine Frage der Sicherheit: Windows hält Angriffen ordentlich stand, seinem Anbieter hält es nicht stand.

Weniger aufgedrängte Funktionen als unter Windows, und lange gepflegte Hardware. Aber das Apple-Konto meldet sich beim ersten Start, der iCloud-Abgleich ist die Voreinstellung, und das System fragt bei Apple nach, welche Programme man startet. Ein Punkt mehr als Windows, aus demselben Grund im Kern: Was es tut, lässt sich nicht nachprüfen, man glaubt dem Anbieter aufs Wort.

Ein System, das es nur mit einem Google-Konto gibt: Es ist die Bedingung für die Anmeldung, keine Option. Gut gegen Angriffe geschützt, in der Frage, um die es hier geht, nahezu stumm, da die gesamte Nutzung über den Anbieter läuft. Der Entwicklermodus holt nichts auf, er öffnet eine weitere Tür.

Ja, Ubuntu ist Linux. Der Abstand zur nächsten Zeile liegt nicht am Kernel, sondern an dem, was darübergelegt wurde und wer das entschieden hat: eigener Store, auf Bequemlichkeit getrimmte Voreinstellungen, bei der Installation eingeschaltete Datenübermittlung. Bleibt die niedrigste Stufe, um Windows zu verlassen, ohne ein Wochenende dafür zu opfern.

Eine gewöhnliche Distribution, die man wählt und einrichtet: Debian, Fedora, Arch, NixOS. Es fließt nichts ab, was Sie nicht selbst installiert haben, und was die Maschine tut, lässt sich nachprüfen. Acht und nicht zehn, weil alles im selben Sack bleibt: Ein übernommener Browser sieht Ihre Dokumente, Ihre Schlüssel und Ihre Post. Dafür gibt es die nächsten drei Zeilen. Im Gegenzug sind Sie der Administrator, auch an den Tagen, an denen etwas kaputtgeht.

Zwei virtuelle Maschinen: eine, in der man arbeitet, eine, die nichts anderes kann, als den Verkehr durch Tor zu schieben. Die Arbeitsmaschine kennt die echte IP-Adresse nicht, eine undichte Anwendung kann sie also nicht preisgeben. Neun und nicht zehn, weil es eine Wirtsmaschine braucht und das Ganze nicht mehr wert ist als dieser Wirt.

Ein System auf einem USB-Stick, das anstelle Ihres eigenen startet, den gesamten Verkehr durch Tor schickt und beim Ausschalten alles vergisst. Es ist das einzige hier, das nichts auf dem Rechner installiert, also das einzige, das sich auf einem fremden Computer nutzen lässt. Was es nicht tut: Ihre Dateien behalten, es sei denn, man legt einen dauerhaften Bereich an, der einen Teil des Versprechens kostet, und vor einer Maschine schützen, deren Hardware bereits manipuliert ist.

Trennung als Grundsatz: Jeder Zweck läuft in einer eigenen virtuellen Maschine, und ein Anhang, den man in einem Wegwerf-Abteil öffnet, sieht vom Rest nichts. Das ist die beste Antwort darauf, dass am Ende jeder einmal die falsche Datei öffnet. Der Preis ist der höchste in diesem Ratgeber: passende Hardware, viel Arbeitsspeicher, und eine Arbeitsweise, die man neu lernen muss.

Der Zustand, in dem sich die meisten Rechner befinden. Ein Anmeldepasswort hindert niemanden daran, die Platte auszubauen, anderswo anzuschließen und alles zu lesen: Es schützt den Bildschirm, nicht die Dateien. Das ist die Zeile, die erklärt, warum es diese Kategorie gibt und warum sie vor der Hälfte der anderen kommt.

Die Windows-Verschlüsselung erledigt ihre Aufgabe ordentlich: Platte gestohlen, Platte unlesbar. Sechs wegen des Wiederherstellungsschlüssels. Auf Geräten, auf denen sich die Verschlüsselung selbst einschaltet, schreibt Microsoft selbst, dass der Schlüssel im Microsoft-Konto gespeichert wird, noch bevor der Schutz startet. Die Platte ist also für einen Dieb verschlossen und offen für den, der dieses Konto bekommt, oder der es vom Anbieter verlangen kann.

Derselbe Dienst wie BitLocker, mit einem Punkt mehr aus einem klaren Grund: Apple fragt, statt zu entscheiden. Beim Einschalten wählen Sie zwischen dem Entsperren über Ihr iCloud-Konto und einem Wiederherstellungsschlüssel, den Sie behalten. Nehmen Sie den zweiten, notieren Sie ihn außerhalb des Rechners, und niemand außer Ihnen kann die Platte öffnen.

Frei, auf allen drei Systemen, und das einzige hier, das eine bloße Containerdatei verschlüsselt: praktisch, wenn man nur einen Ordner schützen will oder einen USB-Stick, der herumgereicht wird. Ein Wort zu den versteckten Volumes, die versprechen, unter Zwang die Existenz der Daten zu leugnen: Verlassen Sie sich nicht darauf. Der Zwang richtet sich gegen Sie, nicht gegen die Platte, und behaupten zu müssen, da sei nichts, ist eine schlechtere Lage, als einfach verschlüsselt zu haben.

Sie ist bereits aktiv, auf dem iPhone wie auf neueren Android-Geräten, und sie verlangt nichts: die einzige gute Nachricht dieses Ratgebers. Was sie hält, ist Ihr Code. Apple beschreibt den Mechanismus genau: Die Schlüssel werden aus dem Code abgeleitet, und wenige Sekunden nach dem Sperren wird der entschlüsselte Schlüssel verworfen. Alles hängt also an der Länge dieses Codes, und ein vierstelliger lässt sich vollständig durchprobieren. Mindestens sechs Ziffern, ein Satz, wenn das Gerät beschlagnahmt werden kann.

Die Verschlüsselung der Linux-Systeme, bei der Installation als Häkchen angeboten, frei und überprüfbar. Neun aus einem einfachen Grund: Es gibt nirgendwo einen Wiederherstellungsschlüssel, also niemanden, den man danach fragen könnte. Das macht sie zugleich unerbittlich, denn ein vergessenes Passwort schließt die Tür endgültig. Neun und nicht zehn, weil nichts hier eine im eingeschalteten Zustand beschlagnahmte Maschine schützt.

Der Normalzustand, und die einzige Zeile dieses Ratgebers, deren Fälligkeit feststeht: Eine Platte gibt irgendwann auf, ein Telefon fällt irgendwann herunter. Null, weil es nichts zu bewerten gibt. Diese Kategorie ist die einzige, die vor dem schützt, was Sie sich ganz ohne fremde Hilfe selbst antun werden.

iCloud, Google Drive, OneDrive: Das ist keine Sicherung, das ist ein Spiegel. Was auf der einen Seite gelöscht wird, ist auf der anderen gelöscht, und Google schreibt, dass eine in den Papierkorb verschobene Datei nach dreißig Tagen endgültig entfernt wird. Erpressungssoftware, die Ihre Dateien verschlüsselt, sieht die verschlüsselten Fassungen sofort mitlaufen. Drei, weil es immerhin vor dem verlorenen Telefon rettet, und das ist nicht nichts.

Backblaze und seinesgleichen: Die Kopie geht von allein außer Haus, was Wohnungsbrand und Disziplin auf einen Schlag löst. Sechs wegen einer Einschränkung, die der Anbieter selbst dokumentiert: Der optionale private Schlüssel schützt Ihre Dateien bei ihm zwar, aber zum Wiederherstellen tippen Sie die Passphrase auf seiner Website ein, wo sie den Schlüssel entschlüsselt. Sie läuft in diesem Moment also über ihn. Gegen einen Defekt vertretbar, gegen einen Gegner, der dort anfragen kann, weniger.

Einmal im Monat angeschlossen, dann abgezogen: Genau das Abziehen bringt die Note. Die US-Empfehlungen gegen Erpressungssoftware verlangen Offline-Sicherungen, verschlüsselt und vom Netz getrennt, weil diese Programme jede erreichbare Sicherung suchen und löschen. Sieben und nicht mehr: Die Platte liegt bei Ihnen, brennt also mit, wird mitgestohlen und mitbeschlagnahmt.

restic oder Borg: Die Dateien werden auf Ihrem Rechner verschlüsselt, bevor sie hinausgehen, das Werkzeug führt eine Versionsgeschichte, und das Ziel spielt keine Rolle mehr, weil es nur Verschlüsseltes sieht. Es ist die einzige Zeile, bei der der Speicheranbieter nichts über Sie wissen muss. Neun und nicht zehn, weil man es einrichten, automatisieren und vor allem eine Wiederherstellung testen muss: Eine nie wiederhergestellte Sicherung ist eine Vermutung, keine Sicherung.

Zwei, aus dem einzigen Grund, der hier zählt: Es ist der dokumentierte Fall. 2022 wurde eine Sicherung der Kundentresore von einem Angreifer kopiert. Die Zugangsdaten blieben mit einem aus dem Hauptpasswort abgeleiteten Schlüssel verschlüsselt, die Adressen der Websites lagen im Klartext, und ein gestohlener Tresor wird offline geknackt, ohne Versuchsbegrenzung und ohne dass Sie jemand warnt. Genau daran misst sich ein Passwortverwalter.

Chrome, Safari, Firefox und Edge bieten einen an, und er ist unendlich viel besser als überall dasselbe Passwort. Vier, weil er am Konto des Anbieters hängt und zusammen mit Ihrer Sitzung entsperrt wird: Wer den eingeschalteten Rechner bekommt, bekommt den Tresor, und wer das Konto bekommt, bekommt den Rest. Er verlässt den Browser nicht, Ihre Passwörter aber schon.

Im Ernst. Ein Heft zu Hause lässt sich nicht aus der Ferne angreifen, wird nirgends abgeglichen und hängt an keinem Anbieter: Gegen das Risiko, dem die meisten Menschen tatsächlich ausgesetzt sind, die Wiederverwendung eines in einem Leck aufgetauchten Passworts, erledigt es die Aufgabe. Fünf und nicht mehr, wegen zweier Grenzen, die alles entscheiden: Es schützt vor niemandem, der Ihre Wohnung betritt, was es bei häuslicher Gewalt oder Belästigung im Umfeld ausschließt, und es existiert nur in einem Exemplar, ein Wasserschaden schließt also alle Ihre Konten.

Im Gebrauch das gepflegteste, mit einer Besonderheit, auf die es ankommt: Neben dem Kontopasswort geht ein auf Ihren Geräten verwahrter geheimer Schlüssel in die Entschlüsselung ein, ein beim Anbieter gestohlener Tresor lässt sich also nicht mit dem Passwort allein angreifen. Genau dieser Schutz fehlte der obersten Zeile. Sieben, weil der Code geschlossen und das Abo Pflicht ist: Man glaubt dem Anbieter aufs Wort.

Durchgehend offener Code, jährliche und veröffentlichte Prüfungen durch Dritte, ein kostenloses Angebot, das wirklich reicht, und die Möglichkeit, den Server selbst zu betreiben. Das ist das beste Verhältnis zwischen dem, was man prüfen kann, und dem, was man nicht tun muss. Acht und nicht zehn: Der Tresor wird weiterhin bei einem Anbieter abgeglichen, ist bei einem Einbruch dort also kopierbar, und dann hängt alles an der Länge Ihres Hauptpassworts.

Eine verschlüsselte Datei auf Ihrem Rechner, kein Konto, kein Server, kein Abo, und Code, den jeder lesen kann. Bei einem Anbieter ist nichts zu stehlen, weil es keinen gibt. Neun und nicht zehn, weil alles auf Sie zurückfällt: der Abgleich zwischen Ihren Geräten, die Sicherung der Datei, und die Tatsache, dass sie Ihnen niemand zurückgeben kann, wenn Sie sie verlieren.

Besser als nichts, und mehr lässt sich nicht sagen. Der Code läuft über das Telefonnetz, wo Ihre Nummer von jemandem, der beim Betreiber überzeugend genug auftritt, auf eine andere SIM-Karte übertragen werden kann. Die US-Richtlinien zur digitalen Identität stufen diesen Kanal denn auch als eingeschränkt ein und verlangen, auf SIM-Wechsel und Rufnummernmitnahmen zu achten. Nützlich gegen das automatisierte Abgrasen eines geleakten Passworts, wertlos gegen jemanden, der es auf Sie abgesehen hat.

Der Passwortverwalter kann auch die sechsstelligen Codes erzeugen, und das ist sehr bequem. Fünf, weil der Faktor dann aufhört, ein zweiter zu sein: Ein geöffneter Tresor gibt Passwort und Code in derselben Bewegung heraus, und eine beim Anbieter gestohlene Sicherung enthält beides. Vertretbar für folgenlose Konten, zu vermeiden für die, die andere öffnen.

Aegis oder Ente Auth: Die Codes werden offline auf dem Gerät berechnet, ohne anzulegendes Konto und ohne Mobilfunkbetreiber, und der Sicherungsexport ist verschlüsselt. Sieben, weil der Code weiterhin abtippbar ist: Eine gefälschte Seite fragt danach, Sie geben ihn her, sie benutzt ihn binnen einer Minute. Gegen Phishing hält das nicht.

Dieselbe Kryptografie wie beim Hardware-Schlüssel, abgelegt im Telefon oder im Passwortverwalter, und meist zwischen Ihren Geräten abgeglichen. Nichts abzutippen, nichts abzufangen, und vor allem ist die Signatur an die echte Domain der Seite gebunden: Eine gefälschte Seite erhält nichts, auch wenn Sie darauf hereinfallen. Acht und nicht zehn, weil der Abgleich die gesamte Sicherheit auf die des tragenden Kontos zurückführt.

Ein USB- oder NFC-Schlüssel, der nie ein wiederverwendbares Geheimnis herausgibt und sich weigert, für eine Domain zu signieren, die nicht die der Seite ist: Genau das nennen die Richtlinien zur digitalen Identität Phishing-Resistenz, und sie führen eben diesen Mechanismus an. Es ist die einzige Zeile dieses Ratgebers, die schützt, wenn der Mensch sich irrt. Kaufen Sie zwei und verwahren Sie den zweiten anderswo: Sonst verlieren Sie alles an dem Tag, an dem Sie den ersten verlieren.

Verschlüsselt im Ruhezustand, Schweizer Rechtsraum, Wegwerf-Aliase, damit man nicht überall dieselbe Adresse angibt. Sieben und nicht zehn: Sobald Ihr Gegenüber nicht beim selben Anbieter ist, reisen Betreff und Kopfzeilen im Klartext. E-Mail ist ein Format von 1982, das repariert kein Anbieter.

Dieselbe Logik wie Proton: verschlüsselt im Ruhezustand, deutscher Rechtsraum, ein offenes Projekt. Text und Betreff der Nachrichten sind verschlüsselt, was Proton beim Betreff nicht tut. Dagegen: keine gewöhnliche IMAP-Schnittstelle, die hauseigene App ist also Pflicht, und das Angebot rund um das Postfach ist kleiner als bei Proton.

Kleiner schwedischer Dienst, kostenpflichtig, der serverseitig mit OpenPGP verschlüsselt und angibt, nichts auf eine Festplatte zu schreiben. Sechs und nicht mehr: Dieses Versprechen lässt sich von außen nicht prüfen, der Preis ist hoch für das Gebotene, und das Team ist winzig, was ebenso ein Fortbestandsrisiko wie eine Garantie für Unabhängigkeit ist.

Ein Euro im Monat, bei der Anmeldung keine persönlichen Daten verlangt, und Barzahlung per Post möglich: der einzige hier, der nicht wissen muss, wer Sie sind. Die Verschlüsselung des Postfachs läuft über PGP und wird von Hand eingeschaltet, wie bei Mailbox.org, daher die ähnliche Note: ein gutes werbefreies Webmail, kein ab Werk verschlüsseltes Postfach.

Seriöser deutscher Anbieter, ohne Werbung, über das Abo finanziert. Die Ende-zu-Ende-Verschlüsselung läuft dort über PGP, das man einschalten und verstehen muss: Ohne diese Einstellung ist es ein gutes klassisches Webmail, kein ab Werk verschlüsseltes Postfach. Daher die 5.

Der Dienst läuft sehr gut, und der Phishing-Filter gehört zu den besten. Aber das Postfach wird zum Sortieren maschinell gelesen, und das Konto ist der Schlüssel zu allem Übrigen: Telefon, Dokumente, Standortverlauf, Anmeldung bei fremden Diensten. Eine einzige Bresche öffnet das Ganze.

Dasselbe Modell wie Gmail, mit einer Besonderheit obendrauf: Das Konto öffnet auch die Windows-Anmeldung. Das Passwort Ihres Postfachs wird zum Passwort Ihres Rechners.

Das Modell von Gmail ohne den Dienst: Werbung im Postfach, Inhalte zu deren Ausrichtung ausgewertet, und eine der schwersten Leck-Bilanzen der Branche, mit drei Milliarden betroffenen Konten im Jahr 2013. Eine vergessene Yahoo-Adresse, die anderswo noch als Wiederherstellungsadresse dient, ist kein Postfach, sondern ein Eingang.

Der eingefügte Punkt, das Suffix nach einem Pluszeichen. Das ist kein Alias, das ist Ihre Adresse in Verkleidung: Google erklärt selbst, dass alle Punktvarianten einer Gmail-Adresse Ihnen gehören und bei Ihnen ankommen. Jeder entfernt das Suffix mit einer Zeile Code, und der Dienst, der seine Liste weiterverkauft, tut genau das. Zwei, weil es noch beim Sortieren der Post hilft, und sonst nichts.

Eine zufällige Adresse bei jeder Anmeldung, vom System selbst in dem Moment angeboten, in dem das Formular danach fragt, was es zum am leichtesten übernehmbaren hier macht. Sechs, weil es das iCloud+-Abo braucht und den Verbleib bei Apple: Die Aliase folgen Ihnen nicht anderswohin, und wenn Sie gehen, hat alles, was an diese Adressen schrieb, kein Ziel mehr.

Fünf kostenlose Masken, genug für die fünf Konten, auf die es ankommt, und ein Abo für alles darüber hinaus. In den Browser eingebaut, also im richtigen Moment angeboten. Sechs aus demselben Grund wie die Zeile davor: Die Adressen gehören dem Anbieter, nicht Ihnen, und fünf Masken sind schnell aufgebraucht, wenn es zur Gewohnheit wird.

Alle Bestandteile sind offen, der Dienst gehört Proton und arbeitet mit jedem Postfach, auch Gmail: Es ist die einzige Möglichkeit, Aliase hinzuzufügen, ohne den Anbieter zu wechseln. Man antwortet aus dem Alias heraus, der Gegenüber sieht die echte Adresse also nie. Acht und nicht zehn: Proton betreibt die Weiterleitung, und Ihre Aliase leben dort.

Derselbe Dienst, offener Code, und der eine Unterschied, auf den es hier ankommt: Sie können ihn selbst betreiben, was den letzten Mittelsmann entfernt. Das kostenlose Angebot gibt unbegrenzt viele Standard-Aliase. Acht und nicht zehn, weil der Selbstbetrieb eine Domain und einen Server verlangt, und Sie ohne ihn bei einem Anbieter sind wie überall.

Etwa zwölf Euro im Jahr, und jeder Dienst bekommt eine eigene Adresse auf einem Namen, der Ihnen gehört. Es ist der einzige Fall, in dem ein Anbieterwechsel keine Adresse zerstört: Sie nehmen den Namen mit, richten ihn neu aus, und niemand muss benachrichtigt werden. Neun und nicht zehn, aus zwei klaren Gründen: Der Name ist irgendwo mit Bezug auf Sie registriert, und wenn Sie die Verlängerung vergessen, verlieren Sie am selben Tag alle Ihre Adressen.

Die hauseigenen Apps der Anbieter. Sie laden entfernte Bilder ungefragt, melden die Nutzung an ihren Hersteller, und manche rufen fremde Konten über die eigenen Server ab: Dann liest ein Anbieter ein Postfach, das ihm nicht gehört. Drei, und derselbe Rat für alle drei Profile: Nehmen Sie ein Programm, nicht die App des Anbieters.

In einem seltenen Punkt ordentlich: Der Schutz der Mail-Aktivität lädt die Bilder aller Nutzer über einen Vermittler, was Zählpixel nutzlos macht, statt sie zu blockieren. Der Rest ist Apple-Haus: das Konto, der Abgleich, und eine Software, die niemand zur Prüfung öffnen kann.

Das frühere K-9 Mail, vom selben Projekt übernommen. Dieselbe Logik auf dem Telefon: mehrere Postfächer in einer App, entfernte Bilder blockiert, und kein hauseigenes Konto nötig. Einen Punkt unter der Rechnerversion, weil OpenPGP nicht eingebaut ist: Es braucht OpenKeychain daneben.

Frei, aus Spenden finanziert, für alle drei Systeme verfügbar, und das einzige hier, das OpenPGP ohne Zusatz beherrscht. Entfernte Bilder werden ab Werk blockiert, was die Zählpixel abschneidet, die dem Absender Zeitpunkt und Ort des Öffnens melden. Neun und nicht zehn: Was es herunterlädt, bleibt im Klartext auf der Festplatte, es ist also nur so viel wert wie deren Verschlüsselung.

Ab Installation wird nichts blockiert, und das ist folgerichtig: Der Anbieter lebt von der Werbung, die man blockieren müsste. Dazu kommt eine neuere technische Grenze, denn die neue Erweiterungs-Schnittstelle hat beschnitten, was ein Blocker hier noch tun kann. Zwei und nicht null, weil die reine Sicherheit ausgezeichnet ist: Gegen eine verseuchte Website hält Chrome sehr gut stand. Gegen seinen eigenen Anbieter nicht.

Die Engine von Chrome, mit dem Systemanbieter obendrauf: Der Browser hängt am Windows-Konto, bietet ständig eigene Dienste an und legt seine Schicht an Nutzungsdaten auf die des Systems. Der Tracker ist ein anderer, der Platz, den er einnimmt, ist derselbe.

Ein eingebautes kostenloses VPN, das keines ist: Es ist eine Weiterleitung zu den Servern des Anbieters, kein Tunnel zu einem Dritten, und es deckt nur den Browser ab. Ansonsten eine Chromium-Engine, und mit Kunlun Tech ein chinesischer Mehrheitsaktionär. Das Wort VPN in einem Menü sagt nichts darüber, wer den Verkehr vorbeiziehen sieht.

Das Blockieren fremder Cookies ist dort alt und ernst gemeint, und die Engine war auf dem iPhone lange die einzige erlaubte, was ihr einen Vorsprung gab, den sie sich nicht verdient hat. Vier, weil es nichts einzustellen und nichts nachzuprüfen gibt: Die Schutzmaßnahmen sind die, die Apple beschlossen hat, nicht mehr und nicht weniger, und das Blockieren von Werbung läuft über beschnittene Erweiterungen.

Ein eingebauter Blocker, kein angekündigter Datenverkauf, ein norwegischer Anbieter: In der Sache ist er besser als sein Ruf. Vier, weil seine Oberfläche geschlossen ist. Auf dieser Skala ist ein Versprechen, das man nicht öffnen kann, weniger wert als ein Schutz, den man nachlesen kann.

Tracker und Cookie-Banner ab Installation blockiert, und eine Taste, die den ganzen Tab löscht. Derselbe Dienst wie Brave, ohne dessen Werbemodell. Sechs, weil er auf der Engine des jeweiligen Systems aufsetzt und weil der Anbieter ein Unternehmen bleibt, dessen Einnahmen aus Suchwerbung stammen.

Tracker-Blockade ab Installation, nichts einzustellen, und genau das macht seine Note aus: Der Schutz ab Werk ist der einzige, der allen nützt. Die Engine bleibt Chromium, und der Anbieter hat ein eigenes Werbemodell.

Die einzige verbreitete Engine, die nicht Google gehört, Isolierung je Website, und ein Modus gegen Tracking, den man einschalten muss. Dieselbe Note wie Brave aus dem umgekehrten Grund: Man muss ihn einstellen, und niemand tut das.

Chromium, aus dem alles entfernt wurde, was mit Google spricht, bis hin zu den Abfragen beim Start. Sieben: Es fließt nichts ab, aber es wird auch nichts blockiert, einen Blocker muss man selbst nachrüsten, Updates kommen verspätet, und einen Abgleich gibt es nicht. Das ist die Wahl für jemanden, der die Engine von Chrome ohne deren Anbieter will, nicht für jemanden, der sofort Ruhe haben möchte.

Firefox, schon ab Installation gehärtet: Tracking blockiert, Telemetrie entfernt, Cookies beim Schließen gelöscht, ohne einen Abend in den Einstellungen. Dafür zwei Punkte mehr als Firefox. Dagegen: Updates hinken Firefox etwas hinterher, und eine Handvoll Seiten muss man von Hand freischalten.

Der Tor-Browser, ohne das Tor-Netz: dieselbe Widerstandsfähigkeit gegen Fingerabdrücke, alle Nutzer sehen gleich aus, aber für den Gebrauch im normalen Netz, zu kombinieren mit einem VPN. Das ist der beste Alltagskompromiss gegen Fingerabdrücke. Neun und nicht zehn: Ohne das Tor-Netz läuft Ihre IP über das VPN, nicht über drei Relais.

Zehn in dem einzigen Punkt, auf den es hier ankommt: Die Website sieht eine IP, die nicht Ihre ist, und alle Nutzer sehen gleich aus, der Browser-Fingerabdruck hebt Sie also nicht mehr hervor. Langsam, mit manchen Seiten unverträglich, und hinfällig, sobald man sich damit in ein gewohntes Konto einloggt. Das ist kein Alltagsbrowser, sondern der für Recherchen, die Ihnen nicht zugeordnet werden dürfen.

Die Ergebnisse von Google, ohne dass Google sieht, wer sie abfragt: Startpage tritt dazwischen, niederländisches Unternehmen, kein aufgebautes Profil. Dagegen die Abhängigkeit: Die Qualität folgt der des Google-Index, auf den es keinen Zugriff hat.

Ein eigenständiger Index, der weder Google noch Bing etwas schuldet, und keine Profilbildung. Das bringt ihm seine Note. Noch jung: Bei Nischenanfragen fallen die Ergebnisse manchmal dünner aus.

Baut kein Werbeprofil auf und ist in jedem Browser mit einem Klick eingestellt: die einfachste Umstellung dieses ganzen Ratgebers. Sechs und nicht mehr: US-Unternehmen, und ein Teil der Ergebnisse kommt von Bing, also von Microsoft.

Das Geschäftsmodell IST die Profilbildung. Angemeldet wird jede Anfrage Ihrer Identität zugeordnet und füttert Ihre Werbeakte. Hervorragende Suchmaschine, und die schlechteste Wahl, sobald es um Zurückhaltung geht: Das ist der Ausgangspunkt, keine Option.

Filterung, die Sie selbst einstellen, abschaltbares Protokoll, ein eigenes Profil je Gerät. Der Preis: Es braucht ein Konto, also eine Kennung, die an Ihren Anfragen hängt.

Gemeinnützige Schweizer Stiftung, Sperrung bekannter Schaddomains, und nichts anzulegen, um sie zu nutzen: eine Adresse, die man in die Netzwerkeinstellungen einfügt. Dafür keine Feineinstellung.

Eine erzeugte Kontonummer, keine verlangte E-Mail-Adresse, Barzahlung möglich, ein einziger Preis ohne Rabattaktion und ohne Werbeprämie. Der einzige, dessen Verkaufsweise zu dem passt, was er zu schützen vorgibt.

Dasselbe Haus wie Proton Mail, offene Anwendungen, und ein kostenloses Angebot, das wirklich brauchbar ist, was anderswo so selten ist, dass es verdächtig wirkt. Das Konto hängt weiterhin an einer E-Mail-Adresse, also an einer Identität.

Vertrieben über Dauerrabatte und Partnerprogramme. Nichts Skandalöses, aber auch nichts, was rechtfertigt, ihm den gesamten Verkehr anzuvertrauen statt dem eigenen Netzbetreiber.

Bewusst die niedrigste Note. Das ist der Name, der über Werbung und gesponserte Videos ankommt, mit einem Versprechen von Anonymität, die kein VPN liefert. Ein Marketingbudget ist kein technischer Nachweis, und ein Anbieter, der etwas verspricht, das es nicht gibt, hat Ihren Datenverkehr nicht verdient.

Null, aus dem am Anfang der Kategorie genannten Grund: Bandbreite wird jeden Monat bezahlt, das Kostenlose holt sich das also bei Ihnen zurück. Drei Wege sind bekannt: Ihre Verbindung als Ausgangspunkt für den Verkehr Fremder vermieten, Händlern die Liste der von Ihnen geöffneten Seiten verkaufen, Werbung in die Seiten einspeisen. Der erste ist der schwerste, weil das, was unter Ihrer Adresse hinausgeht, nicht mehr von Ihnen abhängt. Eine einzige Ausnahme in dieser Bewertung, das kostenlose Angebot eines zahlenden Anbieters, der es aus seinen Abos finanziert, und es steht in einer eigenen Zeile.

Das von Opera und seinesgleichen. Dieselbe Note und eine Täuschung mehr: Es ist kein VPN, sondern eine Weiterleitung zu den Servern des Anbieters, sie deckt nur die Tabs des Browsers ab, und der Rest des Rechners geht weiterhin über Ihre gewohnte Adresse hinaus. Sie glauben, alles abzudecken, und decken ein Fenster ab.

Ende-zu-Ende verschlüsselt: Der Betreiber sieht nur unlesbare Dateien. Dasselbe Haus wie Proton Mail, Schweizer Rechtsraum, offene Anwendungen. Dagegen: jünger als die Riesen, Freigabe und gemeinsames Bearbeiten weniger ausgebaut.

Ende-zu-Ende verschlüsselt, auf den beruflichen Einsatz zugeschnitten, Schweizer Rechtsraum. Solide, aber kostenpflichtig ohne echtes Gratisangebot, und der Quelltext ist nicht offen.

Praktisch, eingebunden, bis zu einem Punkt kostenlos. Aber Ihre Dateien sind nicht Ende-zu-Ende verschlüsselt: Google kann sie lesen. Und der Speicher hängt an dem Konto, das ohnehin schon Ihr Telefon, Ihre E-Mail und Ihren Verlauf öffnet.

Dasselbe Modell wie Google Drive, gestützt auf das Microsoft-Konto, also auf Ihre Windows-Anmeldung. Ihre Dateien sind für den Betreiber lesbar, und dasselbe Passwort öffnet den Rechner.

Der einzige ganz ohne Kontokennung, nicht einmal intern: keine Nummer, kein Pseudonym, kein Verzeichnis. Man tauscht sich über Einweg-Links oder Einweg-QR-Codes aus. So sehen die magersten Metadaten aus, wörtlich genommen. Dagegen: jung, wenig verbreitet, und das fehlende Verzeichnis irritiert am Anfang.

Für harte Lagen gedacht: Die Nachrichten laufen über das Tor-Netz und, wenn das Internet abgeschaltet ist, von Gerät zu Gerät über Bluetooth oder WLAN. Kein zentraler Server, den man beschlagnahmen könnte. Dagegen: vor allem Android, karg, und auf kleine Kreise zugeschnitten, nicht auf Ihr ganzes Adressbuch.

Weder Nummer noch E-Mail-Adresse: eine zufällige Kennung und ein Routing, das die IP-Adresse verbirgt. Dagegen: Kaum jemand benutzt ihn, und ein Messenger, auf dem Ihnen niemand antwortet, schützt nichts.

Eine gehärtete Fassung von Signal für Android: dieselben Gesprächspartner, dasselbe Netz, dazu die Verschlüsselung der lokalen Datenbank und eine App-Sperre. Auf dem Gerät einen Punkt besser als Signal. Aber die Telefonnummer bleibt Pflicht, wie bei Signal, also dieselbe Obergrenze.

Die magersten Metadaten im Feld, und das ist entscheidend: Eine Anordnung bringt dort fast nichts ein. Die Note liegt an der bei der Anmeldung verlangten Telefonnummer, die Sie an einen Mobilfunkvertrag bindet, also an Ihre amtliche Identität. Auf dieser Skala ist das eine Obergrenze.

Nichts ist Ende-zu-Ende verschlüsselt, außer man verlangt es, und nie in Gruppen oder Kanälen: Ihre Gespräche liegen auf deren Servern. Trotzdem eine Fünf, weil ein Konto dort lebt, ohne Ihr Adressbuch abzusaugen und ohne eine Werbevermarktung zu füttern.

Der Inhalt ist gut geschützt, der Rest nicht: Gesprächspartner, Uhrzeiten, Gruppen, Adressbuch. Und das Backup geht im Klartext in die Cloud, solange man es nicht selbst verschlüsselt, was fast niemand tut.

Ende-zu-Ende verschlüsselt, aber gestützt auf das Facebook-Konto, also auf die vollständigste Akte, die es über Sie gibt. Ihre Nachrichten sind geschützt, die Tatsache, dass Sie mit dieser Person sprechen, nicht.

Ende-zu-Ende verschlüsselte Audio- und Videoanrufe, mit denselben mageren Metadaten wie beim Messenger. Die Telefonnummer bleibt Pflicht, dieselbe Obergrenze wie bei seinen Nachrichten.

Gruppen-Videokonferenz im Browser, ohne Konto und ohne Installation: Man öffnet einen Raum, teilt den Link, nichts verbindet Sie mit einer Identität. Die Ende-zu-Ende-Verschlüsselung hängt von der Server-Einrichtung ab, die man prüfen oder selbst betreiben muss.

Ende-zu-Ende verschlüsselt und föderiert: Sie wählen den Server, oder Sie betreiben ihn selbst. Dagegen: Die Metadaten liegen auf dem Heimatserver, und der Einstieg kostet etwas Mühe.

Der Dienst, auf den Microsoft die Skype-Konten umgestellt hat, nachdem Skype im Mai 2025 eingestellt wurde. Gestützt auf das Microsoft-Konto, ohne Ende-zu-Ende-Verschlüsselung ab Werk für gewöhnliche Anrufe: Der Betreiber kommt an den Inhalt.

Bequem für eine Community, aber ohne jede Ende-zu-Ende-Verschlüsselung: Ton und Bild laufen über deren Server, und das Konto trägt ein vollständiges Profil. Es ist außerdem ein häufiges Ziel des Token-Diebstahls, den der Anti-Doxxing-Ratgeber ausführt.

Die Zwei belohnt eine einzige Sache: Man kann dort zusehen, ohne Konto und ohne etwas zu veröffentlichen. Zu veröffentlichen heißt umgekehrt, dem wirksamsten Empfehlungssystem des Marktes Ihr Gesicht, Ihre Stimme und Ihre Orte zu überlassen.

Der Punkt kommt von der Vergänglichkeit ab Werk, die begrenzt, was Jahre später noch abrufbar ist. Alles Übrige hebt ihn fast wieder auf: Standortkarte unter Freunden, abgesaugtes Adressbuch, auf dem Server aufbewahrte Inhalte.

Fotos, die Ihr Viertel, Ihre Zeiten und Ihr Umfeld verorten, eine ab Werk offene Follower-Liste, und dahinter dasselbe Konto wie bei Facebook. Das ist die erste Quelle jeder Amateur-Profilbildung.

Die älteste Akte über Sie, und die einzige, die noch Ihren echten Namen enthält, Ihr Geburtsdatum, Ihre alten Nummern und fünfzehn Jahre Beziehungen. Das ist es, was eine Suche nach Ihrem Namen findet, noch vor allem anderen.