Du wurdest belogen: Wie du erkennst, welche "privaten" Apps Quatsch sind
Die Lüge, die ich drei Jahre lang geglaubt habe
2020 bin ich für die Arbeit auf Zoom umgestiegen, weil sie "Ende-zu-Ende-Verschlüsselung" behaupteten.
Ich habe ihnen geglaubt.
Ich hatte sensible Kundengespräche auf Zoom. Vorstandssitzungen. Vertrauliche Diskussionen. Alles "verschlüsselt", oder?
Falsch.
Sicherheitsforscher haben Zooms Code gelesen und bewiesen, dass sie gelogen haben. Zoom konnte alles sehen und hören.
Zoom entschuldigte sich (irgendwie), änderte ihr Marketing und machte weiter. Aber hier ist, was mich wirklich gestört hat:
Ich hatte keine Möglichkeit zu wissen, dass sie logen, bis jemand anderes sie erwischt hat.
Und da wurde mir klar: Ich habe Unternehmen vertraut, die mir ins Gesicht gelogen haben, und ich hatte keine Ahnung, wie ich den Unterschied erkennen sollte.
Kommt dir das bekannt vor?
Jede App behauptet "privat" zu sein
Öffne eine beliebige App-Website. Was sagen sie?
- "Militärische Verschlüsselung"
- "Bank-Level Sicherheit"
- "Wir nehmen Datenschutz ernst"
- "Deine Daten sind geschützt"
- "Ende-zu-Ende-verschlüsselt"
Hier ist das Problem: Alle sagen das. Sogar die Apps, die lügen.
Die Lügner
Zoom: Sagte "Ende-zu-Ende-verschlüsselt" → Sicherheitsforscher bewiesen, es war falsch
TikTok: Sagte, sie teilen keine Daten mit China → Doch, taten sie
Telegram: Sagt "militärische Sicherheit" → Sicherheitsexperten widersprechen
LinkedIn: Sagte, sie trainieren keine KI mit deinen Daten → Doch, tun sie
Facebook: Sagt, sie kümmern sich um Datenschutz → LOL
Das Muster? Marketing-Behauptungen sind bedeutungslos.
Worte sind billig. Beweise sind alles.
Du musst kein Tech-Experte sein
Hier ist, was ich nach dem Zoom-Vorfall gelernt habe:
Du musst Verschlüsselung nicht verstehen, um Lügner zu erkennen.
Du musst nur wissen, welche Fragen du stellen musst.
Denk daran wie beim Gebrauchtwagenkauf:
- Du musst kein Mechaniker sein
- Aber du solltest wissen, ob der Tacho manipuliert wurde
- Und ob die Papiere sauber sind
- Und ob es ein Serviceheft gibt
Das Gleiche gilt für Datenschutz-Behauptungen. Du musst kein Kryptograph sein – du musst nur die Warnzeichen kennen.
Lass mich es dir zeigen.
Warnzeichen #1: Vage Marketing-Begriffe
"Militärische Verschlüsselung"
Was sie wollen, dass du denkst: "Wow, das Militär benutzt das. Muss super sicher sein!"
Was es wirklich bedeutet: Nichts Konkretes.
Das Militär verwendet verschiedene Verschlüsselungsstandards. Manche ausgezeichnet, manche veraltet, manche geheim. "Militärisch" sagt dir nicht, welcher.
Klartext: Wenn jemand "militärisch" sagt, aber dir den tatsächlichen Algorithmus nicht nennt (wie "AES-256" oder "ChaCha20"), labern sie wahrscheinlich.
"Bank-Level Sicherheit"
Was sie wollen, dass du denkst: "Banken sind sicher, also muss das sicher sein!"
Was es wirklich bedeutet: Auch bedeutungslos.
Manche Banken benutzen noch SMS-Codes (super unsicher). Manche benutzen Hardware-Tokens (sicher). "Bank-Level" könnte beides bedeuten.
Klartext: Banken werden ständig gehackt. Das ist nicht der Flex, den sie denken.
"Wir nehmen Datenschutz ernst"
Was sie wollen, dass du denkst: "Die kümmern sich um meinen Datenschutz!"
Was es wirklich bedeutet: Buchstäblich nichts.
Jede Plattform sagt das. Sogar Facebook sagt das.
Meta hat letztes Jahr 110 Milliarden Dollar mit Werbung verdient. Dieses Geld kam davon, deine Privatsphäre zu verletzen. Aber sie sagen trotzdem, sie "nehmen es ernst."
Klartext: Wenn sie nicht erklären, WIE sie Datenschutz mit spezifischen technischen Details schützen, sagen sie nur Worte.
Warnzeichen #2: "Verschlüsselt" ohne "Ende-zu-Ende" zu sagen
Das ist ein großes Ding.
Es gibt drei Arten von Verschlüsselung:
1. Transport-Verschlüsselung (HTTPS)
- Schützt Daten während sie zu ihren Servern reisen
- Das Unternehmen kann trotzdem alles lesen
- Jede Website hat das (sogar Betrugsseiten)
2. Ruhende Verschlüsselung
- Daten werden verschlüsselt, wenn sie auf Servern gespeichert sind
- Das Unternehmen kann es trotzdem entschlüsseln und lesen
- Schützt nur gegen Hacker
3. Ende-zu-Ende-Verschlüsselung (E2E)
- Nur du und der Empfänger können es lesen
- Das Unternehmen KANN es nicht lesen (mathematisch unmöglich)
- Das ist die einzige, die wirklich Privatsphäre schützt
Sie sagen "Wir verschlüsseln deine Daten" (technisch wahr – HTTPS)
Aber sie sagen nicht "Wir KÖNNEN deine Daten nicht lesen" (weil sie es können)
Echte Beispiele:
- Discord: Sagt "verschlüsselt" → Sie können alles lesen
- Telegram: Sagt "verschlüsselt" → Normale Chats sind nicht E2E
- Facebook Messenger: Sagt "verschlüsselt" → Standard-Chats sind nicht E2E
- Signal: Sagt "Ende-zu-Ende-verschlüsselt" → Sie können deine Nachrichten wirklich nicht lesen
- WhatsApp: Sagt "Ende-zu-Ende-verschlüsselt" → Nachrichteninhalt ist geschützt (aber Meta sammelt alle Metadaten)
Die Frage, die du stellen solltest: "Ist es Ende-zu-Ende-verschlüsselt, oder kann das Unternehmen meine Daten lesen?"
Warnzeichen #3: Eigene Verschlüsselung
Professionelle Sicherheitsexperten haben ein Sprichwort:
"Jeder kann eine Verschlüsselung erstellen, die so stark ist, dass ER sie nicht knacken kann. Der Trick ist, eine Verschlüsselung zu erstellen, die so stark ist, dass NIEMAND ANDERES sie auch knacken kann."
Übersetzung: Erfinde keine eigene Verschlüsselung. Benutze, was Experten getestet haben.
Standard-Verschlüsselungsalgorithmen (von echten sicheren Apps benutzt):
- AES-256
- ChaCha20
- Curve25519
- RSA-4096
Diese wurden von Tausenden von Experten über Jahrzehnte getestet. Wir wissen, dass sie funktionieren.
Eigene Verschlüsselung = Warnzeichen
Warum? Weil das Unternehmen entweder:
1. Arrogant ist (denkt, sie sind schlauer als jeder Kryptograph auf der Welt)
2. Inkompetent ist (versteht nicht, warum das gefährlich ist)
3. Lügt (eigene Verschlüsselung ist leichter mit Hintertüren zu versehen)
Echtes Beispiel: Telegram
Benutzt eigene Verschlüsselung namens "MTProto." Sicherheitsexperten haben mehrere Probleme damit gefunden.
Währenddessen benutzt Signal Standard-Algorithmen, denen jeder Experte vertraut.
Welchem würdest du vertrauen?
Positives Signal #1: Open-Source-Code
Das ist der größte Unterschied zwischen vertrauenswürdigen und fragwürdigen Apps.
Closed Source: "Vertrau uns, es ist sicher"
Open Source: "Hier ist unser Code. Überprüf ihn selbst."
Warum das wichtig ist
Erinnerst du dich an Zooms Lüge über Verschlüsselung? Sicherheitsforscher haben es nur entdeckt, weil sie Zooms Code reverse-engineered haben.
Wenn Zoom Open Source gewesen wäre, wäre die Lüge sofort aufgeflogen.
Echte Beispiele:
- Signal: Vollständig Open Source auf GitHub → Jeder kann ihre Behauptungen überprüfen
- WhatsApp: Closed Source → Du musst Meta vertrauen (lol)
- Snugg: Wird bei Launch vollständig Open Source sein → Überprüf alles selbst
Der Test: Geh auf ihre Website. Such nach einem "GitHub" oder "Open Source" Link.
Wenn sie behaupten privat zu sein, aber dir den Code nicht zeigen, ist das verdächtig.
Positives Signal #2: Unabhängige Sicherheitsaudits
Vertrauenswürdige Plattformen bezahlen externe Sicherheitsfirmen, um ihren Code zu prüfen und die Ergebnisse zu veröffentlichen.
Worauf du achten solltest:
- Audit von einer echten Firma (Trail of Bits, Cure53, NCC Group)
- Audit ist aktuell (innerhalb von 2 Jahren)
- Audit ist öffentlich (du kannst es lesen)
- Sie haben die gefundenen Probleme behoben
Warnzeichen:
- "Wir wurden geprüft", aber veröffentlichen den Bericht nicht
- Audit ist 5+ Jahre alt
- Können die Audit-Firma nicht nennen
- "Keine Probleme gefunden" (jedes echte Audit findet etwas)
Echte Beispiele:
- Signal: Mehrere öffentliche Audits, alle veröffentlicht, Probleme behoben
- Telegram: Bietet Kopfgelder, aber keine umfassenden öffentlichen Audits
- Snugg: Audit mit Trail of Bits vor Launch geplant
Der Test: Such "[App-Name] security audit" und schau, ob du es wirklich lesen kannst.
Positives Signal #3: Sie sind ehrlich über Einschränkungen
Warnzeichen: "Wir sind 100% sicher gegen alles!"
Positives Signal: "Hier ist, wovor wir schützen UND wovor nicht."
Keine Sicherheit ist perfekt. Ehrliche Unternehmen geben das zu.
Beispiel: Signals Ehrlichkeit
Wovor Signal schützt:
- Nachrichteninhalt (verschlüsselt)
- Anrufe (verschlüsselt)
- Einige Metadaten (Sealed Sender)
Wovor Signal NICHT schützt:
- Dein Telefon, wenn jemand es stiehlt
- Screenshots
- Wenn du Nachrichten an jemand anderen weiterleitest
Sie sind offen darüber. Das ist vertrauenswürdig.
Vergleich mit fragwürdigen Apps:
"Militärische Sicherheit!" (Was bedeutet das überhaupt?)
"100% sicher!" (Unmöglich)
"Komplette Privatsphäre!" (So funktioniert das nicht)
Der Test: Erklären sie Einschränkungen, oder versprechen sie Perfektion?
Die einfache Überprüfungs-Checkliste
Du musst keinen Code verstehen. Stell einfach diese Fragen:
1. Ist der Code öffentlich?
- Geh auf ihre Website
- Such nach "GitHub" oder "Open Source" Link
- Wenn sie Datenschutz behaupten, aber den Code nicht zeigen → verdächtig
2. Wurde es geprüft?
- Google "[App-Name] security audit"
- Kannst du den Audit-Bericht wirklich lesen?
- Wenn Audit geheim ist oder nicht existiert → verdächtig
3. Ist es Ende-zu-Ende-verschlüsselt?
- Sagt es spezifisch "Ende-zu-Ende"?
- Oder nur "verschlüsselt" (was nichts bedeutet)?
- Wenn vage über E2E → verdächtig
4. Welche Verschlüsselung benutzen sie?
- Nennen sie spezifische Algorithmen?
- Oder sagen sie nur "militärisch"?
- Wenn sie den Algorithmus nicht nennen → verdächtig
5. Vertrauen Sicherheitsexperten dem?
- Such Reddit r/privacy nach Meinungen
- Check HackerNews-Diskussionen
- Wenn Experten skeptisch sind → verdächtig
6. Wie verdienen sie Geld?
- Abo? (Gut – abgestimmte Anreize)
- Werbung? (Schlecht – braucht deine Daten)
- "Kostenlos" ohne Erklärung? (Sehr schlecht – verkauft deine Daten)
- Wenn Geschäftsmodell von Daten abhängt → nicht vertrauenswürdig
- 5-6 Ja: Wahrscheinlich vertrauenswürdig (trotzdem selbst überprüfen)
- 3-4 Ja: Mit extremer Vorsicht fortfahren
- 0-2 Ja: Dieser App nicht vertrauen
Echte Beispiele: Lass uns einige Apps prüfen
Signal — VERTRAUENSWÜRDIG
1. Open Source? Ja (github.com/signalapp)
2. Geprüft? Mehrere öffentliche Audits
3. E2E-verschlüsselt? Ja, alles
4. Spezifische Verschlüsselung? Signal Protocol, vollständig dokumentiert
5. Experten vertrauen dem? Ja, universell
6. Geschäftsmodell? Non-Profit-Spenden
Fazit: Behauptungen verifiziert. Signal ist legitim.
WhatsApp — GEMISCHT
1. Open Source? Nein (Closed Source)
2. Geprüft? Benutzt Signal Protocol (geprüft), aber App ist geschlossen
3. E2E-verschlüsselt? Ja, aber umfangreiche Metadaten-Sammlung
4. Spezifische Verschlüsselung? Benutzt Signal Protocol
5. Experten vertrauen dem? Verschlüsselung ja, Meta-Eigentum nein
6. Geschäftsmodell? Meta-Werbung
Fazit: Nachrichten sind verschlüsselt, aber Meta sammelt alles andere über dich. Bestenfalls halb vertrauenswürdig.
Telegram — FRAGWÜRDIG
1. Open Source? Clients ja, Server nein
2. Geprüft? Kopfgeld-Programm, aber Bedenken bleiben
3. E2E-verschlüsselt? Nur "Geheime Chats" (nicht Standard)
4. Spezifische Verschlüsselung? Eigenes MTProto (Experten skeptisch)
5. Experten vertrauen dem? Gemischt bis negativ
6. Geschäftsmodell? Unklar (wie verdienen die Geld?)
Fazit: Die meisten Chats sind nicht E2E-verschlüsselt. Eigene Verschlüsselung ist fragwürdig. Geschäftsmodell unklar. Nicht vertrauenswürdig.
Zoom — LÜGNER (Historisch)
1. Open Source? Nein
2. Geprüft? Nicht als sie die Behauptung machten
3. E2E-verschlüsselt? Behaupteten ja, Forscher bewiesen nein
4. Spezifische Verschlüsselung? Vage Behauptungen
5. Experten vertrauen dem? Haben sie beim Lügen erwischt
6. Geschäftsmodell? Freemium/Business
Fazit: Haben buchstäblich über E2E-Verschlüsselung gelogen. Perfektes Beispiel, warum Überprüfung wichtig ist.
Aktueller Status: Bietet jetzt E2E für einige Funktionen, aber Vertrauen ist weg.
"Aber ich bin nicht technisch..."
Gute Nachricht: Musst du nicht sein.
Hier ist die Drei-Fragen-Version:
Frage 1: Ist es Open Source?
- Such nach GitHub-Link auf ihrer Website
- Ja oder Nein
Frage 2: Wurde es geprüft?
- Google "[App-Name] security audit"
- Kannst du es finden und lesen?
- Ja oder Nein
Frage 3: Vertrauen Sicherheitsexperten auf Reddit/HackerNews dem?
- Such r/privacy nach Diskussionen
- Lies, was Experten sagen
- Vertraut oder Skeptisch
Wenn alle drei JA → Wahrscheinlich okay
Wenn eines NEIN ist → Sei skeptisch
Das war's. Du hast gerade gelernt, die meisten Datenschutz-Lügen zu erkennen.
Was ist mit "neuen" Apps, die noch nicht geprüft wurden?
Faire Frage. Nicht jede App ist alt genug für öffentliche Audits.
Positive Signale für neue Apps:
- Open Source (damit Experten prüfen KÖNNEN)
- Benutzen Standard-Verschlüsselung (nicht eigene)
- Haben Audit geplant/in Arbeit
- Transparent darüber, ungeprüft zu sein
- Team enthält Sicherheitsexperten
Warnzeichen für neue Apps:
- Closed Source UND ungeprüft
- Eigene Verschlüsselung
- Behauptet perfekte Sicherheit
- Will sich nicht zu zukünftigen Audits verpflichten
- Anonymes Team
Beispiel: Snugg (Das sind wir)
Wir sind neu. Also wie solltest du uns bewerten?
- Wird bei Launch Open Source sein (überprüf den Code)
- Benutzt Standard-Verschlüsselung (TweetNaCl.js: XSalsa20-Poly1305)
- Sicherheitsaudit mit Trail of Bits vor Launch geplant
- Transparentes Bedrohungsmodell veröffentlicht
- Team enthält Sicherheitsberater
Unsere Meinung: Vertrau uns nicht einfach. Wenn wir launchen, überprüf alles selbst. Das ist buchstäblich der Punkt dieses Artikels.
Das Fazit: Du hast Lügnern vertraut
Hier ist, was ich nach dem Zoom-Vorfall gelernt habe:
Unternehmen lügen ständig über Datenschutz. Die meisten Nutzer erfahren es nie.
Aber du musst nicht einer dieser Nutzer sein.
Die einfache Version:
1. Such nach Open Source → Können Experten es überprüfen?
2. Such nach öffentlichen Audits → Wurde es verifiziert?
3. Such nach spezifischen Details → Oder nur Marketing-Quatsch?
4. Frag, was Experten denken → Check Reddit r/privacy
5. Prüf das Geschäftsmodell → Brauchen sie deine Daten, um Geld zu verdienen?
Wenn eine Plattform hier gut abschneidet, ist sie wahrscheinlich vertrauenswürdig.
Wenn nicht, nimm an, dass sie lügen, bis das Gegenteil bewiesen ist.
Warum das wichtig ist
Du hast wahrscheinlich jahrelang Apps benutzt, von denen du dachtest, sie wären privat.
Vielleicht sind sie es. Vielleicht nicht.
Die Frage ist: Woher würdest du es wissen?
Bis jetzt wüsstest du es nicht. Du müsstest ihnen einfach vertrauen.
Aber Vertrauen ohne Überprüfung ist, wie wir Zooms Lügen, TikToks Datenweitergabe und Facebooks gesamtes Geschäftsmodell bekommen haben.
Du verdienst Besseres als "vertrau uns."
Du verdienst Apps, die du überprüfen kannst.
Was Snugg anders macht
Wir haben Snugg gebaut, um von Tag eins an überprüfbar zu sein.
Wozu wir uns verpflichten:
- Open Source → Überprüf unseren Code auf GitHub
- Öffentliche Audits → Lies die Audit-Berichte
- Standard-Verschlüsselung → Kein eigener Krypto-Quatsch
- Ehrliche Einschränkungen → Wir sagen dir, was wir nicht schützen
- Transparentes Geschäftsmodell → Abos, nicht Überwachung
Was du tun solltest:
Wenn wir launchen, vertrau uns nicht einfach. Überprüf uns.
Benutze diesen Artikel. Überprüf unseren Code. Lies unser Audit. Frag Sicherheitsexperten, was sie denken.
Wenn unsere Behauptungen nicht mit der Realität übereinstimmen, ruf uns zur Rechenschaft.
So sollte es funktionieren.
Ressourcen zum Weiterlesen
Willst du Apps selbst überprüfen?
Communities, wo Sicherheitsexperten Apps diskutieren:
- r/privacy (Reddit)
- news.ycombinator.com (Hacker News)
- @privacyguides@mastodon.social (Mastodon)
Datenschutz-Guides:
- EFF's Surveillance Self-Defense: ssd.eff.org
- Security Planner: securityplanner.org
Audit-Firmen, auf die du achten solltest:
- Trail of Bits: trailofbits.com
- NCC Group: nccgroup.com
- Cure53: cure53.de
Wenn eine App sagt, sie wurde von einer dieser Firmen geprüft, kannst du dem normalerweise vertrauen (solange der Bericht öffentlich ist).
Schnellreferenz-Karte
Druck das aus oder mach einen Screenshot:
Warnzeichen (Nicht vertrauen)
- "Militärisch" ohne Details
- "Bank-Level Sicherheit" ohne Details
- "Verschlüsselt" aber nicht "Ende-zu-Ende"
- Eigene Verschlüsselung
- Closed Source
- Keine öffentlichen Audits
- Geschäftsmodell braucht deine Daten
- Vage oder keine technischen Details
Positive Signale (Könnte vertrauenswürdig sein)
- Open-Source-Code
- Öffentliche Sicherheitsaudits
- Sagt spezifisch "Ende-zu-Ende-verschlüsselt"
- Nennt spezifische Algorithmen
- Ehrlich über Einschränkungen
- Sicherheitsexperten vertrauen dem
- Geschäftsmodell braucht deine Daten nicht
- Transparentes Team
Eine letzte Sache
Nach Zoom habe ich geändert, wie ich Apps bewerte.
Altes Ich: "Die sagten, es ist verschlüsselt, also muss es sicher sein."
Neues Ich: "Zeig mir den Code, zeig mir das Audit, oder ich glaub euch nicht."
Das ist kein Zynismus. Das ist Realismus.
Unternehmen haben bewiesen, dass sie über Datenschutz lügen, um Nutzer zu gewinnen.
Die einzige Verteidigung ist Überprüfung.
Und jetzt weißt du, wie.
Probier Snugg
Wir bauen eine Plattform, die du wirklich überprüfen kannst.
Was uns unterscheidet:
- Open Source (überprüf den Code selbst)
- Unabhängig geprüft (lies die Berichte)
- Ende-zu-Ende-verschlüsselt (alles, nicht nur Nachrichten)
- Keine Werbung (Abo-Modell)
- Minimale Metadaten (wir können dich nicht profilieren)
Aber vertrau uns nicht. Überprüf uns, wenn wir launchen.
Trag dich in die Warteliste ein →
Fragen?
"Ist das nicht paranoid?"
Ist es paranoid, Unternehmen nicht zu vertrauen, die nachweislich lügen? Zoom hat gelogen. TikTok hat gelogen. Facebook lügt ständig. Das ist Realismus, keine Paranoia.
"Was, wenn ich einfach benutzen will, was alle anderen benutzen?"
Das ist okay. Aber zumindest weißt du, was du aufgibst. Informierte Einwilligung ist wichtig.
"Können Audits gefälscht werden?"
Renommierte Firmen (Trail of Bits, NCC Group, Cure53) setzen ihr gesamtes Geschäft auf ehrliche Audits. Zu lügen würde sie zerstören. Also technisch möglich, aber extrem unwahrscheinlich.
"Was ist mit Apps, die nicht Open Source sein können?"
Banking-Apps zum Beispiel können ihren Code oft nicht öffnen. Das ist okay – aber dann sollten sie besser mehrere Audits, regulatorische Compliance und Transparenzberichte haben. Höhere Prüfung für Closed Source.
Teile das, wenn du jemanden kennst, der immer noch denkt, "verschlüsselt" bedeutet automatisch "privat."
Über Snugg: Wir bauen eine soziale Plattform, die du wirklich überprüfen kannst. Open Source, geprüft, Ende-zu-Ende-verschlüsselt. Keine Überwachung, keine Lügen.
Mehr erfahren: snugg.social
Fragen: hello@snugg.social
Über die Autorin - Sam Bartlett
Ich bin Yachtgutachterin in der Karibik und Gründerin von Snugg. Nachdem ich 15 Jahre lang beobachtet habe, wie Social-Media-Plattformen Werbung über echte Verbindungen stellen, habe ich beschlossen, eine Alternative zu entwickeln. Zuvor habe ich ein erfolgreiches Segelurlaubs-Unternehmen aufgebaut und geleitet, das jahrelang die Google-Suchergebnisse anführte – bis Algorithmus-Änderungen die organische Reichweite zerstörten. Ich bin keine Entwicklerin oder Datenschutzaktivistin – nur jemand, der es satt hatte, dass Plattformen ihren eigentlichen Zweck vergessen haben. Wenn ich nicht gerade Snugg entwickle oder Yachten begutachte, wünsche ich mir, dass mehr Menschen Zeit zum Segeln an wunderschönen Orten haben (oder für das, was ihnen Freude bereitet).
Kontakt:
- Twitter: @snugg_social
- LinkedIn: Sam Bartlett
- E-Mail: hello@capitainesam.com