Das Open-Source-Dilemma: gute Datenschutz-Tools bleiben unsichtbar

Die besten Datenschutz-Werkzeuge sind da, quelloffen, prüfbar, meist kostenlos. Trotzdem bleiben sie unsichtbar, während die Apps, die deine Daten als Produkt behandeln, auf jedem neuen Gerät vorinstalliert sind. Das liegt nicht an der Technik. Es ist ein Gefälle bei Reichweite: Die eine Seite bezahlt ganze Teams dafür, Begehrlichkeit herzustellen und Abos als normal zu verkaufen. Die andere Seite besteht überwiegend aus Entwicklerinnen und Entwicklern, die lieber einen Backend-Fehler beheben als eine Verkaufsseite schreiben.

Dieser Text kehrt das Problem um. Statt über das Dilemma zu klagen, beantwortet er eine konkrete Aufgabe: Du richtest deinen Datenschutz in der Praxis so ein, dass er im Alltag funktioniert, mit quelloffenen Werkzeugen, die du selbst unter Kontrolle hast. Dafür brauchst du drei Bausteine, die du an einem Nachmittag aufsetzen kannst: einen zweiten Faktor, der Phishing übersteht, einen eigenen Router, der deinen Verkehr nicht dem nächsten Fremd-WLAN ausliefert, und einen Ende-zu-Ende-verschlüsselten Messenger. Alle drei Schritte funktionieren ohne Vorwissen.

Die Reihenfolge ist nicht beliebig. Fange mit dem zweiten Faktor an, weil er das teuerste Schadensbild abdeckt: ein übernommenes Konto. Danach der Router, danach der Messenger. Jeder Schritt steht für sich und bringt etwas, auch wenn du die anderen noch nicht gemacht hast. Material brauchst du wenig: zwei Hardware-Schlüssel, einen kompakten Router und eine Messenger-App. Das war es.

Kurzantwort
#

Warum gute Open-Source-Datenschutztools kaum jemand findet – und wie du sie mit Passkeys, Hardware-Schlüssel und eigenem VPN-Router nutzt.

Warum die guten Werkzeuge unsichtbar bleiben
#

Wer einen datenschutzfreundlichen Ersatz sucht, findet ihn selten über Werbung. Open-Source-Projekte haben kein Budget für Kampagnen, und ihre Entwickler stecken ihre Zeit in Code statt in Marketing. Daraus entsteht eine Asymmetrie, die nichts mit Qualität zu tun hat: Das Werkzeug mit dem größeren Werbeetat gewinnt die Aufmerksamkeit, nicht das mit dem besseren Datenschutz.

Diese Asymmetrie zeigt sich an drei Stellen. Erstens an den Voreinstellungen: Was vorinstalliert ist oder sich beim ersten Start als Standard anbietet, bleibt es meist. Zweitens an der Auffindbarkeit: App-Stores und Suchmaschinen sortieren nach Popularität und Werbung, nicht nach Prüfbarkeit. Drittens an der Sprache: Die Bedienung eines Werbeprodukts wird auf maximale Reibungslosigkeit optimiert, während ein Open-Source-Werkzeug oft erst nach ein paar Handgriffen angenehm wird.

Ein Missverständnis gehört vorab ausgeräumt: Quelloffen heißt prüfbar, nicht automatisch geprüft. Dass du den Code lesen könntest, bedeutet noch nicht, dass es jemand getan hat. Genau deshalb taucht in den Kriterien unten neben der Lizenz auch die Frage nach Audit und Nutzerbasis auf.

Für dich heißt das praktisch: Verlass dich beim Thema Datenschutz nicht darauf, was dir angezeigt wird. Nutze stattdessen ein paar feste Kriterien, die du auf jeden Kandidaten anwendest. Welche das sind, steht am Ende. Zuerst die drei Bausteine, die den größten Unterschied machen.

Schritt 1: Ein zweiter Faktor, der Phishing übersteht
#

Ein Passwort allein schützt kein Konto. Die Zwei-Faktor-Authentisierung (2FA) verlangt beim Anmelden einen zweiten Nachweis: etwas, das du weißt (das Passwort), plus etwas, das du besitzt oder bist, etwa ein Code, ein Fingerabdruck oder ein Generator 1 . Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät, den zweiten Faktor bei sensiblen Daten einzuschalten — Zahlungsinformationen, Gerätezugänge, Firmen-Accounts — und ihn nie auf demselben Gerät zu führen, mit dem du die Anmeldung startest 1 . Wer also eine Überweisung am Laptop anstößt, sollte die Freigabe nicht mit demselben Laptop bestätigen 1 .

Nicht jeder zweite Faktor ist gleich gut. SMS-Codes und Einmalpasswörter aus einer App beruhen auf einem gemeinsamen Geheimnis, das abgefangen oder weitergegeben werden kann. Ein Angreifer kann eine Website nachbauen, die echt aussieht, und dich dazu bringen, Nutzername, Passwort und den aktuellen Code einzutippen; damit übernimmt er das Konto 2 , 3 . Ein Einmalcode ist nur so lange gültig, bis er abläuft, üblicherweise rund 60 Sekunden — wer ihn in dieser Zeit abgreift, kann ihn mehrfach verwenden 3 . Genau diese Schwäche beseitigt FIDO2.

FIDO2 und Passkeys arbeiten mit öffentlicher Schlüssel-Kryptografie. Bei gerätegebundenen Passkeys und Hardware-Schlüsseln verlässt der private Schlüssel das Gerät nie; synchronisierte Passkeys liegen verschlüsselt in der Cloud des Passwort-Managers oder Gerätekontos. An den Dienst, bei dem du dich anmeldest, wird der private Schlüssel in keinem Fall übermittelt 2 . Beim Anmelden wird nur der Nachweis erbracht, dass er vorhanden ist. Das Verfahren ist damit resistent gegen Phishing, weil es nichts gibt, was du eintippst und ein Betrüger abfangen könnte 2 . FIDO2 kennt drei Träger: im Betriebssystem eingebaute Authentifikatoren wie eine Gesichtserkennung, synchronisierte Passkeys, die im Passwort-Manager oder Gerätekonto liegen, und tragbare Hardware-Sicherheitsschlüssel 2 .

Für den Einstieg reicht oft ein synchronisierter Passkey im Passwort-Manager oder Betriebssystem-Konto; auch er schützt vor Phishing, weil der private Schlüssel nie preisgegeben wird. Der Hardware-Schlüssel geht einen Schritt weiter: Der Schlüssel verlässt das Gerät nicht, ist an kein Cloud-Konto gebunden und funktioniert auch an fremden Rechnern, ohne dass du dich dort anmeldest 2 . Wer einen geteilten Arbeitsrechner nutzt oder darauf besteht, dass der Schlüssel physisch bei ihm bleibt, nimmt den Hardware-Schlüssel. Der PIN auf dem Schlüssel schützt ihn selbst: Wer ihn findet, kann ohne PIN nichts damit anfangen.

So richtest du es ein. Besorg dir zwei Schlüssel, einen für den Alltag und einen als Ersatz, damit du dich nicht aussperrst 2 . Registriere den ersten bei jedem Konto, das „Sicherheitsschlüssel" oder „Passkeys" anbietet: in den Sicherheitseinstellungen des Kontos den Punkt für Sicherheitsschlüssel oder Passkeys wählen, den Schlüssel einstecken oder an das Telefon halten, einen kurzen PIN vergeben und einen Namen für den Schlüssel eintragen. Bank, E-Mail und Passwort-Manager zuerst, danach alles Weitere. Hebe die Wiederherstellungscodes jedes Dienstes offline auf; sie sind der Weg zurück, wenn du beide Schlüssel verlierst.

Fang mit den Konten an, deren Verlust am teuersten wäre. Für die meisten sind das E-Mail, Bank und der Passwort-Manager, weil ein übernommenes E-Mail-Konto den Zugang zu fast allem anderen nachzieht. Ein Konto nach dem anderen, jeweils mit Ersatzschlüssel und gesicherten Wiederherstellungscodes. Die eigentliche Anmeldung wird danach eher schneller als vorher: Statt ein Einmalpasswort abzutippen, steckst du den Schlüssel ein oder hältst ihn ans Telefon, und die Anmeldung steht.

Für reine FIDO2-Absicherung genügt ein einfacher Schlüssel. Wer zusätzlich Einmalpasswörter, PIV- oder OpenPGP-Funktionen braucht, nimmt ein Modell mit mehreren Protokollen; viele Hardware-Schlüssel beherrschen mehrere Verfahren gleichzeitig 3 . Bietet ein Dienst nur SMS oder App-Codes an, ist ein Code aus einer Authenticator-App immer noch besser als gar kein zweiter Faktor, auch wenn er nicht phishing-sicher ist 3 .

Schritt 2: Ein eigener Router für fremde Netze
#

Café-, Hotel- und Flughafen-WLAN sind nicht dein Netz. Du weißt nicht, wer den Zugangspunkt betreibt, wer mitliest und was mit deinen DNS-Anfragen geschieht. DNS-Anfragen verraten, welche Seiten du aufrufst, noch bevor die Verbindung steht. Die sauberste Abhilfe ist ein Router, der deinen gesamten Verkehr verschlüsselt, bevor er das fremde Netz erreicht, auch von Geräten, die selbst kein VPN können.

Router der GL.iNet-Reihe laufen auf OpenWrt 6 und bringen OpenVPN sowie WireGuard vorinstalliert mit; sie verschlüsseln automatisch den Verkehr aller verbundenen Geräte, auch von Geräten, die selbst kein VPN können, und unterstützen über 30 VPN-Anbieter 4 . Der kompakte Beryl AX (GL-MT3000) erreicht laut Hersteller im Client-Modus bis zu 300 Mbit/s über WireGuard und 150 Mbit/s über OpenVPN, funkt über Wi-Fi 6 mit bis zu 574 Mbit/s auf 2,4 GHz und 2402 Mbit/s auf 5 GHz und besitzt einen 2,5-Gbit-WAN-Port 4 . Für den DNS-Teil bringt er AdGuard Home mit, das Werbung und Tracker schon auf DNS-Ebene filtert, sowie DNS-over-HTTPS und DNS-over-TLS, um deine DNS-Anfragen zu verschlüsseln 4 . Der Router kann auch selbst als VPN-Server dienen und Verbindungen kaskadieren, also den eigenen Server an einen eigenen Client weiterreichen 4 .

So richtest du es ein. Häng den Router an dein Heimnetz oder unterwegs an das Fremd-WLAN und hinterlege im Web-Interface einen WireGuard- oder OpenVPN-Client mit den Zugangsdaten deines VPN-Anbieters. WireGuard ist die schnellere Wahl, OpenVPN die breiter unterstützte 4 . Danach prüfst du, ob die Verschlüsselung wirklich greift: ein Gerät verbinden und mit einem Leak-Test kontrollieren, dass weder die echte IP-Adresse noch die DNS-Anfragen im Klartext herausgehen. Schalte anschließend AdGuard Home und DNS-over-HTTPS ein und teste mit einer Seite mit Werbung, ob die Anzeigen auf DNS-Ebene verschwinden.

Die Wahl des VPN-Anbieters folgt denselben vier Fragen wie jedes andere Werkzeug: quelloffener Client, unabhängig geprüft, klare Finanzierung, kein Lock-in. Der Router ist dabei nur die Schicht, die du kontrollierst; das Vertrauen in den Tunnel liegt beim Anbieter. Deshalb ist der Router kein Ersatz für die Anbieterwahl, sondern ihr eigener Kontrollpunkt.

Zu Hause ist der Router mehr als eine Reiseversicherung. Du kannst ihm mehrere WLAN-Netze geben, ein Arbeitsnetz und ein Gastnetz, und das Gastnetz vom Rest deines Heimnetzes abschotten, damit fremde Geräte nicht an deinen Rechner oder die Netzwerkfestplatte kommen. Derselbe Router fängt damit den Gerätezoo aus fremden Smart-TVs, Saugrobotern und Gäste-Handys ab, der sonst unkontrolliert in deinem Netz hängt.

Die Budget-Variante (Opal, AC1200) reicht für wenige Geräte. Wer mehreren Personen gleichzeitig Durchsatz geben, den 2,5-Gbit-Port nutzen oder zu Hause einen ganzen Haushalt hinter das Gerät hängen will, nimmt den Beryl AX. Zu Hause kann derselbe Router das Gast- oder Arbeitsnetz sauber vom Rest trennen; unterwegs ist er die Verschlüsselungsschicht, die du selbst kontrollierst.

Schritt 3: Ein Messenger, der deine Nachrichten nicht mitliest
#

Der Messenger ist der Ort, an dem du am wenigsten darauf achten willst, wer zuhört. Signal verschlüsselt jede Nachricht und jeden Anruf Ende-zu-Ende über das quelloffene Signal-Protokoll; der Anbieter kann sie nicht lesen 5 . Das gilt für Text ebenso wie für Bilder, Dateien, Sprach- und Videoanrufe und Gruppenchats 5 . Signal zeigt keine Werbung, setzt keine Tracker und ist eine unabhängige Non-Profit-Organisation, die nicht an ein großes Tech-Unternehmen gebunden ist und sich über Spenden und Zuschüsse finanziert 5 .

So wechselst du. Signal installieren und die Gruppen mit den Kontakten, bei denen Vertraulichkeit zählt, dorthin verlagern. Der Effekt ist begrenzt, solange deine Gesprächspartner bei einem anderen Messenger bleiben, aber deine eigenen Nachrichten, Anhänge und Metadaten landen dann nicht mehr im Datenfluss eines werbefinanzierten Dienstes. Der Wechsel ist nur die halbe Arbeit: Vergleiche mit den wichtigsten Kontakten die Sicherheitsnummern, die die App anzeigt, um auszuschließen, dass sich jemand dazwischengeschaltet hat. Schalte Benachrichtigungsvorschauen so, dass Inhalte nicht auf dem Sperrbildschirm erscheinen. Mehr steckt nicht dahinter.

Fang bei drei bis fünf Kontakten an, mit denen du am häufigsten schreibst oder bei denen Vertraulichkeit wirklich zählt. Ein gemeinsamer Kanal, der verschlüsselt ist, bringt mehr als ein halbherziger Umzug aller Gruppen auf einmal.

Entscheidungskriterien: So findest du das nächste Werkzeug selbst
#

Das Dilemma von oben löst sich nicht durch eine Liste, sondern durch eine Methode. Diese vier Fragen ersetzen die fehlende Werbung durch ein eigenes Urteil:

Quelloffen und aktiv? Der Code muss einsehbar sein und sich bewegen: Lizenz prüfen, letzte Änderungen im Repository ansehen.
Unabhängig geprüft oder breit eingesetzt? Ein externes Audit oder eine große Nutzerbasis macht Fehler sichtbarer als eine Behauptung.
Wem gehört es, womit verdient es Geld? Ein Werkzeug, das sich über deine Daten finanziert, hat einen anderen Anreiz als eine Non-Profit-Organisation oder ein bezahltes Produkt.
Gibt es einen Ausstieg? Prüfe Datenexport und offene Standards wie FIDO2, WireGuard oder das Signal-Protokoll, damit du nicht eingesperrt bist.

Jede Frage lässt sich konkret prüfen. Eine Lizenz wie GPL oder AGPL erlaubt es dir, den Code zu lesen und zu verändern; die Änderungshistorie eines Repositorys zeigt, ob das Projekt noch lebt. Ein Audit findest du über die Veröffentlichungen des Projekts selbst. Die Finanzierung steht meist in der Preisgestaltung oder im Impressum. Den Ausstieg testest du, indem du nach einem Export fragst, bevor du dem Werkzeug deine Daten gibst.

Ein Beispiel: Ein neuer Dienst verspricht eine datenschutzfreundliche Cloud. Frage eins, ist der Client quelloffen? Frage zwei, gibt es ein veröffentlichtes Audit? Frage drei, wie verdient der Anbieter Geld, mit deinen Daten oder mit einem Abo? Frage vier, kannst du deine Dateien in einem Standardformat wieder herausziehen? Sind drei der vier Antworten unbefriedigend, ist der Dienst für dich nicht besser als der etablierte Anbieter, den du ersetzen wolltest.

Diese Kriterien kosten fünf Minuten pro Kandidat und beantworten die eigentliche Frage, ob ein Werkzeug dein Vertrauen verdient, zuverlässiger als jeder Werbetext. Sie sind der Ersatz für das Marketing, das den guten Werkzeugen fehlt.

Grenzen dieser Ausstattung
#

Die drei Bausteine decken die häufigsten Löcher ab: Kontoübernahme, unverschlüsselter Verkehr in fremden Netzen und mitlesbare Nachrichten. Ein Rundum-Schutz sind sie nicht. Ein Hardware-Schlüssel hilft nicht, wenn ein Dienst nur SMS anbietet. Ein eigener Router verschiebt das Vertrauen zu deinem VPN-Anbieter; den solltest du nach denselben Kriterien wählen wie die übrigen Werkzeuge. Gegen eine gezielte Angreiferin, die dich persönlich ins Visier nimmt, hilft keine dieser Maßnahmen allein; dafür braucht es ein eigenes Bedrohungsmodell.

Eine Einschränkung gilt auch beim Messenger: Ende-zu-Ende-Verschlüsselung schützt den Inhalt, nicht jeden Begleitumstand. Wer wann mit wem schreibt, kann je nach Dienst als Metadatum anfallen. Wer darauf Wert legt, muss sich mit diesen Begleitdaten befassen, zusätzlich zur Verschlüsselung der Nachricht selbst.

Diese drei Schritte zielen auf die Massenüberwachung und den Gelegenheitsangriff, nicht auf den Staatstrojaner oder die Privatdetektivin. Wer sich gegen Letzteres absichern will, muss anders vorgehen, mit getrennter Hardware, einer klaren Vorstellung davon, was geschützt werden soll, und der Bereitschaft, dafür Bequemlichkeit aufzugeben.

Der Preis ist Bequemlichkeit. Du trägst einen Schlüssel mit dir, richtest einen Router ein und holst Kontakte zu einem Messenger, den nicht alle nutzen. Ob sich das lohnt, entscheidest du über die Frage, was bei dir am schmerzhaftesten wäre: ein übernommenes E-Mail-Konto, ein abgehörter Hotel-Aufenthalt oder Nachrichten, die jemand mitliest. Wer diese drei Schritte einmal eingerichtet hat, vergisst danach meist, dass sie da sind, weil sie im Hintergrund laufen und nur selten Aufmerksamkeit verlangen.

Zum Abschluss drei kurze Proben, ob alles greift. Erstens: Melde dich an einem neuen Gerät bei einem gesicherten Konto an, ohne den Schlüssel, und prüfe, dass der Zugang scheitert. Zweitens: Verbinde dich über den Router mit einem fremden WLAN und kontrolliere per Leak-Test, dass deine echte IP-Adresse verborgen bleibt. Drittens: Schick dir in Signal selbst eine Nachricht und sieh nach, ob der Inhalt im Sperrbildschirm-Hinweis auftaucht. Sind alle drei Proben sauber, ist die Grundausstattung fertig.

Weiterführende Artikel
#

Passende Produktrecherchen
#

Wenn du die praktische Seite vertiefen möchtest: Diese konkreten Produkte passen zum Thema dieses Artikels. Es ist keine Rangliste und keine Kaufpflicht, sondern eine kurze Auswahl mit Begründung, für wen sie interessant sein kann:

Yubico Security Key C NFC – Leser, die ihre wichtigsten Konten mit einem einfachen FIDO2-Schlüssel absichern wollen – Hardware-Sicherheitsschlüssel für FIDO2/Passkeys als phishing-resistenter zweiter Faktor (USB-C und NFC)
Yubico YubiKey 5 NFC – Leser mit USB-A-Rechnern, die einen vielseitigen Hardware-Schlüssel für mehrere Dienste suchen – Mehrprotokoll-Schlüssel (FIDO2, OTP, PIV, OpenPGP) für Leser, die über reine Passkeys hinaus mehrere Authentifizierungsverfahren brauchen (USB-A und NFC)
GL.iNet Beryl AX (GL-MT3000) WLAN-6-Reiserouter – Leser, die unterwegs und im Heimnetz einen leistungsfähigen VPN-Router mit Wi-Fi 6 und 2,5-Gbit-WAN betreiben wollen – OpenWrt-Router mit WireGuard/OpenVPN und AdGuard Home, der den Verkehr im Fremd-WLAN verschlüsselt und Tracker auf DNS-Ebene filtert
GL.iNet Opal (GL-SFT1200) Reiserouter – Leser mit kleinem Budget, die einen kompakten VPN-Router für wenige Geräte suchen – Günstiger OpenWrt-Reiserouter mit VPN als Einstieg in einen eigenen datenschutzfreundlichen Router
Starlink-Verfügbarkeit und Konditionen prüfen

Hinweis: Als Amazon-Partner verdient kalika.de an qualifizierten Verkäufen. Für dich ändert sich der Preis nicht.

Hinweis: Dieser Link ist ein Starlink-Empfehlungslink. Wenn du darüber bestellst, können für dich und kalika.de Vorteile nach den jeweils geltenden Starlink-Bedingungen entstehen.