Mache nicht die gleichen Anfängerfehler

Ein Bedrohungsmodell beantwortet drei praktische Fragen: Was soll geschützt werden, vor wem soll es geschützt werden und wie viel Aufwand ist dafür angemessen? Timo Volkov und Nino Lahrmann zeigen damit, warum dieselbe Privacy-Lösung nicht für jeden Menschen passen kann.

Schutz richtet sich nach der eigenen Situation

Journalisten müssen möglicherweise Quellen und vertrauliche Treffen schützen. Ein Polizist kann private Adressen seiner Familie vor möglichen Racheaktionen verbergen wollen. Aktivisten in repressiven Staaten müssen mit staatlicher Überwachung rechnen. Für alltägliche Nutzer stehen dagegen meist der Schutz vor Hackern und die Datensammlung durch Unternehmen im Vordergrund.

Man sollte den Aufwand am möglichen Schaden ausrichten. Wer gezielt von einer Regierung verfolgt wird, braucht andere Maßnahmen als jemand, der vor allem Kontodiebstahl und Werbetracking vermeiden möchte. Mehr Schutz bringt häufig weniger Bequemlichkeit.

Die 3-mal-3-Matrix schafft Klarheit

Für ein einfaches Bedrohungsmodell werden drei Zeilen und drei Spalten auf ein Blatt Papier gezeichnet.

Die Zeilen sind:

• Sicherheit: Schutz vor unbefugtem Zugriff
• Privatsphäre: Kontrolle darüber, welche Daten mit wem geteilt werden
• Anonymität: Trennung einer Handlung von der eigenen Identität

Die Spalten benennen mögliche Gegner:

• einzelne Personen oder private Gruppen
• Unternehmen
• Regierungen und Behörden

Jedes der neun Felder erhält eine Bewertung von 1 bis 3. Eine 1 steht für geringe Priorität, eine 3 für hohe Priorität. Man sollte nicht überall eine 3 wählen. Das würde viel Aufwand verursachen und kaum Raum für den Alltag lassen.

Für viele Menschen sind zwei Felder ein sinnvoller Start: Sicherheit gegenüber Personen und Privatsphäre gegenüber Unternehmen. Gute Kontosicherheit macht automatisierte Angriffe unattraktiver. Weniger Daten bei Unternehmen begrenzen zugleich den Schaden, falls dort später ein Datenleck entsteht.

Beispiele für passende Maßnahmen

Gegen Stalking oder unerwünschte Einblicke sollte geprüft werden, wer Social-Media-Profile sehen kann und welche Angaben dort öffentlich sind. Private Konten und bewusst ausgewählte Kontakte können die Angriffsfläche verkleinern.

Gegen Unternehmen helfen weniger Konten, abgelehnte Cookies, der Brave Browser und in passenden Fällen ein VPN. Vollständige Anonymität gegenüber einem Dienst ist wesentlich aufwendiger. Oft reicht es, nicht eingeloggt zu sein oder einen Dienst ganz wegzulassen.

Bei Reisen in autoritär regierte Länder sollte man sich vorab über die Lage informieren. Statt des Hauptgeräts mit allen persönlichen Daten kann ein separates Smartphone für die Reise sinnvoll sein.

Für vertrauliche Kommunikation ist Signal die einfachere Empfehlung. Bei E-Mails funktioniert Ende-zu-Ende-verschlüsselte Kommunikation nur, wenn beide Seiten sie korrekt einrichten. Eine Nachricht von Proton Mail an eine gewöhnliche Gmail-Adresse ist nicht automatisch vor Google verborgen. Wenn nur WhatsApp oder E-Mail zur Wahl stehen, schützt WhatsApp zumindest den Nachrichteninhalt durch Ende-zu-Ende-Verschlüsselung, auch wenn Meta weiterhin Metadaten erfährt.

Der wichtigste Schutz für Konten

Lange Passwörter sind schwer zu erraten, aber ebenso schwer zu merken. Zusätzlich muss jedes Konto ein eigenes Passwort erhalten. Kleine Varianten desselben Kennworts, etwa eine andere Endziffer oder der Name des Dienstes, werden von Angreifern schnell ausprobiert.

Ein Passwortmanager erstellt und speichert zufällige, einzigartige Passwörter. Empfohlen werden Bitwarden und als zweite Wahl Proton Pass. Beide sind bereits kostenlos für die meisten Bedürfnisse geeignet. KeePass arbeitet offline, verlangt bei mehreren Geräten aber mehr Eigenarbeit und kann für Einsteiger fehleranfälliger sein.

Timo Volkov bevorzugt Bitwarden, weil E-Mail, Cloudspeicher, VPN und Passwortmanager dann nicht alle beim selben Anbieter liegen. Nino Lahrmann nutzt Bitwarden und Proton Pass in unterschiedlichen Bereichen. Proton Pass kann bequemer sein, wenn ohnehin mehrere Proton-Dienste genutzt werden. Diese Bequemlichkeit erzeugt jedoch ein größeres Klumpenrisiko.

So gelingt der Umstieg ohne Großprojekt

Man sollte Bitwarden installieren und das Browser-Add-on in Brave aktivieren. Auf dem Smartphone übernimmt die Bitwarden-App das Ausfüllen. Neue Konten erhalten sofort ein generiertes Passwort. Bei bestehenden Konten wird das Kennwort erst beim nächsten Einloggen geändert. So verbessert sich die Sicherheit über Wochen und Monate, ohne alle Zugänge an einem Tag bearbeiten zu müssen.