Smartphone, don't spy!
✔ Eine Checkliste für deine mobile Sicherheit

Diese Checkliste soll dir helfen deine Smartphone-Sicherheit zu überprüfen. Die Liste enthält konkrete Vorschläge zur Verbesserung deiner Sicherheit. Dies ist die Druckversion der Liste. Du kannst die einzelnen Aufgaben mit einem Stift abhaken.

Legende zu Themen und Szenarien

Wichtige Basics Journalismus, Regimekritik und Exil Politischer Aktivismus Migration, Flucht und Asyl Hausdurchsuchungen und Beschlagnahmungen Stalking und Frauenhäuser Werbung und Marketing Betrug und Abzocke Verhaltensbasierte Risiken Gefahren durch direkte Zugriffe Gefahren im Mobilfunknetz Gefahren im Internet Apps und Betriebssystem Eher einfach Eher komplizierter Ist eher teurer

1 Allgemeine Tipps

1.1 Du interessierst dich für deine Sicherheit

Offenbar ist dir deine Sicherheit wichtig. Sonst würdest du hier nicht weiter lesen. Der erste Schritt für mehr Sicherheit ist getan.

1.2 Du machst dir Gedanken über deine Bedrohungslage

Nicht alle Aufgaben in dieser Liste sind für dich auch relevant. Mache dir Gedanken um deine aktuelle Bedrohungslage und priorisiere die Aufgaben mit den Icons an den Aufgaben! Eine Legende findest du oben. So bekommst du eine bessere Übersicht und vermeidest Überforderung.

1.3 Du teilst dieses Wissen mit anderen

Wenn wir es schaffen die Sicherheit aller Menschen zu erhöhen werden sich Überwachungsmaßnahmen weniger lohnen. Das kommt auch deiner Sicherheit zugute. Teile diese Liste daher in deinen Kanälen oder drucke den Flyer aus.

Flyer: Smartphone, don't spy! - https://smartphone-dont-spy.de/en/flyer

1.4 Du prüfst diese Liste von Zeit zu Zeit

Genauso, wie sich die Technologie und diese Liste ständig wandelt wird sich dein Leben, deine Gewohnheiten und deine Geräte in Zukunft ändern. Nimm dir daher einmal im Jahr Zeit und prüfe diese Liste.

1.5 Du hast schon mal an einer Cryptoparty teilgenommen

Cryptoparties sind Events auf denen du lernst deine Geräte und deine Kommunikation zu schützen.

Wenn du dich für Cryptoparties interessierst und Gleichgesinnte treffen möchtest kannst du dich zum Beispiel auf der Seite cryptoparty.in über bevorstehende Events informieren. Oder du folgst dem verlinkten Guide und veranstaltest gleich selbst eine Cryptoparty.

1.6 Du kennst deine wichtigsten Kontakte und Logins auswendig

Du kennst die wichtigsten Nummern und Namen deiner Freund*innen, deiner Familie und deinen Bekannten auswendig. Du kannst dich außerdem in deine wichtigsten Accounts wie z.B. E-Mail auswendig einloggen. Solltest du dein Telefon oder sämtliche Geräte verlieren, hast du so eine Möglichkeit deine Kontakte wiederherzustellen.

1.7 Entferne vor sensiblen Besprechungen den Akku aus deinem Telefon

Entferne den Akku aus deinem Gerät oder lagere es etwas entfernt, um vertrauliche Besprechungen zu schützen.

Bedenke, dass andere Personen nicht wissen können wie gut du dich selbst mit deinem Telefon auskennst. Es ist daher immer ein Zeichen des gegenseitigen Vertrauens Telefone aus sensiblen Gesprächen heraus zu halten. Grundsätzlich sollte gelten: Vertraue Personen eher als ihren Geräten.

2024-08-23 - Heise: Handyverbot: Niederländische Minister müssten Geräte künftig abgeben - https://www.heise.de/news/Handyverbot-fuer-Minister-Niederlande-gehen-auf-Nummer-sicher-9846074.html

1.8 Du nutzt die "NO STALK" App

Die NO STALK App des Weissen Rings kann dir helfen unerwünschte Ereignisse wie Anrufe, SMS und Chat-Nachrichten gerichtsfest zu dokumentieren.

Alle weiteren Informationen findest du auf der Website der NO STALK APP.

NO STALK App - https://nostalk.de/

1.9 Du verzichtest auf Apple-Geräte

Apple-Geräte wie iPads oder iPhones können für einige Menschen zum Problem werden, wenn sie nicht gefunden werden wollen. Schütze andere Menschen, indem du die Ortungsdienste auf deinen Geräten deaktivierst oder ganz auf sie verzichtest.

Gerade in Kontexten wie Frauenhäusern oder bei Stalking kommen manchmal winzige AirTags zum Einsatz, mit denen sich Menschen, Geräte oder Fahrzeuge in Apples Netzwerk orten lassen. Apple-Geräte registrieren AirTags in der Nähe und teilen deren Standort automatisch mit dem Apple-Netzwerk. Hier ist es daher besonders wichtig das Netwerk von Apple nicht weiter mit Informationen zu versorgen. Ein Abschlaten der Ortungsdienste auf Apple-Geräten kann zwar helfen, jedoch können unbeabsichtige Aktivierungen oder Besucher*innen mit solchen Geräten Menschen wieder in Gefahr bringen. Der Verzicht auf derartige Geräte und die Sensibilisierung des Umfeldes spielen hier also eine zentrale Rolle.

Apple: About privacy and Location Services in iOS, iPadOS, and watchOS - https://support.apple.com/en-us/102515

2 Gefahren durch direkte Zugriffe

2.1 Du verwendest kein Dumbphone

Nicht smarte Tasten-Geräte werden oft leichtfertig als "sicher" eingestuft. Diese lassen sich aber oft nicht verschlüsseln und bieten keine sichere Kommunikation.

Bei Beschlagnahmungen oder Diebstahl können Kontakte, SMS und Anruflisten ausgelesen werden. Darüber hinaus sind Dumbphones ohne weitere Schutzmaßnahmen genauso anfällig für Angriffe im Mobilfunknetz. Dumbphones lassen sich nicht verschlüsseln, du kannst keine Apps wie Passwortmanager darauf installieren, du kannst deine Bilder nicht von Metadaten bereinigen und kannst keine sicheren Messenger nutzen. Auf der einen Seite haben diese Telefone also Nachteile. Auf der anderen Seite muss aber auch festgehalten werden, dass nicht smarte Geräte einige Gefahren komplett ausschließen. Zum Beispiel ist hier die Gefahr durch Infektionen mit Malware sehr viel geringer. Verschlüsselung und sichere Kommunikation erscheint aber angesichts inflationärer Beschlagnahmungen und Überwachung so wichtig, dass ein smartes Gerät unbedingt zu bevorzugen ist.

2.2 Du hast deine Simkartennummer entfernt

Auf der Rückseite deiner Simkarte befindet sich eine unscheinbare Nummer. Zerkratze sie, damit du im Falle einer Beschlagnahmung nicht über sie und deinen Provider identifiziert werden kannst.

Sei dabei bitte vorsichtig und achte darauf den Chip nicht zu zerstören. Kratze also nicht zu tief! Selbstverständlich gilt das nur für physische Simkarten. eSims haben eine solche Nummer nicht.

2.3 Du hast eine Displaysperre eingerichtet

Der Display deines Gerätes schaltet sich nach einer Weile automatisch ab. Um diesen wieder zu entsperren nutzt du komplexe Muster oder alphanumerische Passworte.

Dein Passwort sollte mindestens 20 Zeichen lang sein.

2.4 Benachrichtigungen auf deinem Sperrbildschirm sind deaktiviert

In den Einstellungen deines Smartphones kannst du festlegen, was auf dem Bildschirm angezeigt wird, wenn dein Gerät gesperrt ist. Deaktiviere Benachrichtigungen für den Sperrbildschirm vollständig, damit keine Chatnachrichten oder andere sensible Informationen angezeigt werden.

2.5 Deine Smartphones sind verschlüsselt

Verschlüssel deine Smartphones mit einem starken alphanumerischen Passwort das mindestens 20 Zeichen lang ist. Dies verhindert das Auslesen von Daten sehr effektiv.

Eine starke Verschlüsselung ist wichtig. Eine Bildschirmsperre ist nicht ausreichend und nicht das gleiche wie eine Verschlüsselung. Aktiviere die Verschlüsselung in deinen Einstellungen! Professionelle mobilforensische Software wie Cellebrite kann über die USB-Schnittstelle die meisten Bildschirmsperren einfach umgehen, indem es Sicherheitslücken ausnutzt oder versucht deinen Pin zu erraten. Alle Polizeibehörden in Deutschland verfügen über diese Software. Alle deine Daten, Kontakte, Anruflisten, Standortdaten, Login-Daten und vieles mehr könnten dann automatisiert via USB gesammelt, aufbereitet und visuell dargestellt werden. Dein Verschlüsselungspasswort sollte daher besonders stark sein. Nutze ein sehr komplexes Muster oder ein alphanumerisches Passwort zur Verschlüsselung! Aber was ist der Unterschied zwischen Verschlüsselung und Pin bzw. Passwort? Vereinfacht ausgedrückt ist ein Passwort- oder Pin-Schutz wie ein abgeschlossener Raum. Angreifer*innen können aber trotzdem durch das Fenster oder die Wand brechen, um an deine Daten zu kommen. Bei einer Verschlüsselung hingegen wird der ganze Raum in kleine Teile gehackt und gleichmäßig auf dem Boden verstreut. Ein Auslesen dieses Daten-Chaos ist ohne den richtigen Schlüssel, der alles wieder sortiert, nicht möglich.

2.6 Du kannst deine Geräte schnell abschalten

Eine Verschlüsselung ist nur effektiv, wenn das Telefon ausgeschaltet ist. Übe daher wie du dein Telefon in Stresssituationen schnell abschalten kannst.

Auch wenn dein Telefon verschlüsselt ist kann professionelle mobilforensiche Software wie Cellebrite via USB darauf zugreifen. Solange dein Telefon eingeschaltet ist, ist die Verschlüsselung wirkungslos, da die Daten entschlüsselt sind. Erst wenn es abgeschaltet ist, ist Verschlüsselung wirklich effektiv. Schalte dein Telefon unbedingt ab, bevor du es in fremde Hände gibst! Wenn du auf Nummer sicher gehen willst kannst du auch einen Killswitch an deinem Telefon anbringen. So lässt sich der Akku in Gefahrensituationen schnell entfernen. In den weiterführenden Informationen findest du mehr Details zu dieser Idee.

2.7 Du verwendest eine Blickschutzfolie

Du kannst eine spezielle Folie auf deinen Display kleben, die verhindert, dass umstehende Personen oder Kameras mitlesen können. Diese Folien gibt es für viele Modelle. Sie verwenden optische Effekte, die dazu führen, dass dein Display nur aus einem bestimmten Winkel sichtbar ist.

2.8 Deine Simkarte ist mit einer Pin geschützt

Du solltest den Pin-Schutz deiner Simkarte niemals deaktivieren. Bei deaktiviertem Pin können Behörden oder andere Personen die Karte selbst nutzen, um sich beispielsweise Zugriff auf Messenger zu verschaffen.

Hinweis für anonyme Simkarten: Wenn du anonyme Simkarten verwendest kannst du die Pin-Sperre oft nicht aktivieren, da du die zur Karte gehörige Pin / PUK oft nicht kennst. Du erhältst diese Karten oft mit deaktiviertem Pin. Du solltest in diesem Fall darauf achten, dass alle deine Messenger mit einem zweiten Faktor (z.B. Pin) abgesichert sind und dass du die Karte nicht selbst für eine Zwei-Faktor-Authentifizierung nutzt.

2.9 Du verzichtest auf Speicherkarten

Nicht auf allen Geräten lassen sich Speicherkarten zuverlässig verschlüsseln. Zudem lassen sich Daten wiederherstellen, die bei einer früheren Nutzung mit anderen Geräten darauf gespeichert wurden. Nutze Speicherkarten daher nur, wenn du weißt was darauf gespeichert wird und wenn du diese vorher überschrieben hast.

Einige ältere Android-Geräte erzeugen auch eine Signatur über verwendete Apps auf deiner Speicherkarte indem sie dort für verwendete Apps eigene Ordner anlegen. Dadurch können Rückschlüsse auf deine verwendeten Apps gezogen werden. Achtung! Das Überschreiben von Flash-Speichern ist oft nicht zu 100% möglich. Es können trotzdem Daten zurück bleiben.

2.10 Verzichte auf biometrische Freischaltung

Du solltest nie deinen Fingerabdruck oder dein Gesicht nutzen, um dein Telefon freizuschalten. Behörden mit Zugriff auf Fingerabdrücke oder Bildmaterial können das Gerät sonst entsperren. Nutze daher komplexe Muster oder alphanumerische Passworte.

Fingerabdrücke und Gesichtserkennung sind keine sicheren Methoden, um das eigene Gerät zu entsperren. Sie sind wie Passwörter, die du niemals ändern kannst. Durch Datenlecks oder Malware könnten diese sensiblen Informationen abhanden kommen und dir so zum Nachteil werden. Zudem darf auch die Polizei deine Fingerabdrücke nutzen, um dein Gerät zu entsperren. In Deutschland und den USA gab es dazu bereits Gerichtsurteile. Wenn du ein iPhone hast kannst du durch das betätigen einer speziellen Tastenkombination Face ID und Fingerabdruck temporär sperren. Für Android ist auf einigen Geräten der Lockdown-Mode verfügbar mit dem du diese Funktionen im Notfall schnell abschalten kannst.

2.11 Du hast die Entwickler*innen-Features deaktiviert

Deaktiviere unbedingt USB-Debugging auf deinem Android-Gerät, wenn du dich damit auskennst. Normalerweise ist diese Funktion auf allen Geräten standardmäßig deaktiviert und muss von dir bewusst aktiviert werden.

2022-02-14 - Heise: Android: Entwickleroptionen aktivieren/deaktivieren - https://www.heise.de/tipps-tricks/Android-Entwickleroptionen-aktivieren-deaktivieren-4041510.html

2.12 Du verwendest nur dein eigenes Ladekabel

Verwende nur Netzteile und Kabel zum laden, denen du vertraust. Markiere Kabel und Netzteil, um ein Austauschen zu verhindern.

Wenn möglich nutze ein USB-Kabel ohne Datenfunktion zum Laden. Manipulierte Kabel oder USB-Dosen in Hotels, Bussen oder Bahnen könnten Daten auslesen oder unerwünschte Software installieren. Wenn du dir nicht sicher bist kannst du dein Telefon für den Ladevorgang einfach abschalten. So kann nichts installiert oder ausgelesen werden und es wird trotzdem geladen.

2023-04-12 - Tarnkappe: FBI warnt vor der Nutzung öffentlicher Handy-Ladestationen - https://tarnkappe.info/artikel/it-sicherheit/fbi-warnt-vor-der-nutzung-oeffentlicher-handy-ladestationen-272873.html

2.13 Dein Betriebssystem verfügt über verified Boot

Verified Boot verhindert Manipulationen an deinem Betriebssystem. Du solltest dich vergewissern, dass dein Gerät damit abgesichert ist. Wenn du selbst ein eigenes System installiert hast, solltest du verified Boot aktivieren.

Ob dein Gerät verified Boot unterstützt oder nicht erfährst du bei der herstellenden Firma. Wenn du ein eigenes Betriebssystem auf deinem Gerät installiert hast solltest du sicherstellen, dass verified Boot für dein Gerät unterstütz wird.

2024-04-29 - Android: Verifizierter Start - https://source.android.com/docs/security/features/verifiedboot?hl=de

2.14 Du hast dein Gerät versiegelt

Eine Versiegelung kann dir helfen nach einer Rückgabe deines Gerätes festzustellen, ob Hardware manipuliert wurde. Gib z.B einen Tropfen speziellen Siegellack oder Nagellack auf die Nahtstellen deines Geräts. So kannst du feststellen, ob es geöffnet wurde.

2020-08-09 - Steampixel: Schon mal über Hardware-Versiegelungen nachgedacht? - https://steampixel.de/schon-mal-uber-hardware-versiegelungen-nachgedacht/

2.15 Du hast die eindeutigen Nummern deines Gerätes notiert

In den Einstellungen deines Telefons findest du eindeutige, unveränderliche Hardwarenummern wie Seriennummer, Wi-Fi-Mac-Adresse, Bluetooth-Mac-Adresse und IMEI. Notiere diese Nummern. So kannst du dir jederzeit sicher sein, dass dein Gerät nicht heimlich ausgetauscht wurde.

Achte darauf, dass du diese Nummern an einem geheimen Platz ablegst. Speichere sie am besten verschlüsselt. So musst du nicht befürchten, dass diese Nummern in Zukunft genutzt werden, um dir ein bestimmtes Telefon zuordnen zu können.

2.16 Du fertigst regelmäßig Backups an

Erstelle von deinen wichtigsten Daten regelmäßig Backups. Dein Backup muss nicht perfekt sein. Ein schlechtes Backup ist besser als kein Backup!

Du solltest bei deinem Backup auch an wichtige Apps wie 2-Faktor-Apps oder Passwortmanager denken. Die Einstellungen lassen sich daraus meist leicht exportieren. Nutze wenn möglich quelloffene Backup-Software wie "oandbackup" oder "Neo Backup". Diese benötigen allerdings Root-Rechte. Eine einfache regelmäßige Kopie deiner wichtigsten Daten auf einen USB-Stick ist aber auch ein guter Anfang! Denke daran, dass "No Backup, No Mercy" eine arrogante Haltung ist. Nicht alle Menschen haben das Wissen und die technischen Möglichkeiten für Backups. Helft euch gegenseitig!

2.17 Deine Backups sind verschlüsselt

Wenn du die Möglichkeit hast solltest du deine Backups unbedingt verschlüsseln, um diese vor ungewollten Zugriffen zu schützen.

Die Android-App Neo Backup unterstützt Verschlüsselung von Haus aus. Du kannst aber auch verschlüsselte Zip-Archive von Hand erstellen oder gleich ganze USB-Sticks verschlüsseln. Unter Linux, MacOS und einigen Windows-Versionen geht das ganz einfach über eine grafische Oberfläche. Du kannst aber auch eine Verschlüsselungssoftware für deine Sticks wie VeraCrypt einsetzen, die auf den meisten Betriebssystemen funktioniert. Wenn du dich tiefer mit der Materie befassen möchtest und die Kommandozeile nicht scheust kannst du dir professionelle Software wie Restic (Linux) oder duplicity (Linux) ansehen. Dafür musst du dein Gerät dann mit einem Computer verbinden.

2.18 Deine Backups sind dezentral gelagert

Du solltest deine Backups unbedingt dezentral und auch außerhalb deiner Wohnung speichern, damit du bei Diebstahl oder Beschlagnahmung schnell darauf zugreifen kannst.

Verschaffe dir einen Überblick über die Wichtigkeit deiner jeweiligen Daten und lagere sie entsprechend. Lagere z.B. unwichtigere Kopien deiner Musik- oder Bildersammlung weiter entfernt bei Freund*innen. Kritische Backups von Zugangsdaten oder wichtige Dokumenten solltest du eher redundant und auch in deiner Nähe lagern. Generell solltest du eine Kopie deiner Backups auch außerhalb deiner Wohnung aufbewahren.

2.19 Du übst die Wiederherstellung deiner Backups

Die Wiederherstellung deiner Daten ist das Wichtigste an einem Backup. Übe diese Situation! So kannst du sehen, ob dein Backup intakt ist. Stelle sicher, dass du dein Backup ohne Zugriff auf andere Backups, Passwortmanager und Zwei-Faktor-Apps wiederherstellen kannst.

Du fragst dich wie das gehen soll, wenn doch alles verschlüsselt ist? Hier folgt eine Idee: Erstelle dir eine separate Passwortdatenbank. In diese Datenbank legst du alle wichtigen Haupt-Passworte für Computer, Telefon, andere Passwort-Datenbanken und auch für deine Backup-Archive. Erstelle dir nun eine Liste von 10-20 persönlichen Fragen, die nur du selbst beantworten kannst. Die Antworten auf die Fragen ergeben zusammengeschrieben dein Masterpasswort für Notfälle. Kopiere diese kritische Datenbank auf einen USB-Stick und lagere die Fragen daneben. Wenn du willst kannst du die Fragen auch mit Partner*innen, Freund*innen oder Familienmitgliedern gemeinsam erarbeiten. So sind Daten wiederherstellbar, selbst wenn dir etwas zustoßen sollte.

2.20 Du lagerst nicht genutzte Geräte nicht in deiner Wohnung

Im Falle einer Hausdurchsuchung, eines Einbruchs, einer Überschwemmung oder anderer Notlagen werden oft alle Geräte entwendet oder zerstört. Bereite dich darauf vor, indem du nicht genutzte Geräte bei deinen Freund*innen lagerst. So hast du schnell Ersatz.

2.21 Du entsperrst dein Smartphone nicht auf Verlangen

Bei Beschlagnahmungen auf richterliche Anordnung oder bei Sicherstellungen eines Smartphones fragt die Polizei oft nach Pins und Passworten. Sage nichts. Entsperre nichts. Kontaktiere Anwält*innen.

Du solltest auch dann nicht reagieren, wenn du einen Brief von der Polizei erhältst in dem du zur Heruasgabe der Pin aufgefordert wirst. Die Polizei könnte zudem versuchen dich verbal unter Druck zu setzen. Sie erzählen dir vielleicht, dass sich die Heruasgabe des Passwortes strafmildernd auswirken wird. Oder sie erzählen dir, dass du dein Telefon dann schneller wieder hast. Oder sie behaupten, dass es für dich teuer werden kann dein Smartphone professionell knacken zu lassen. Bleibe standhaft und verweigere die Herausgabe! Kontaktiere im Zweifel Anwält*innen. Bitte bedenke, dass bei der Einreise in andere Länder wie die USA oder China dein Telefon durchsucht werden darf. Möglicherweise wirst du zur Herausgabe deines Passwortes gezwungen. In diesem Fall kannst du ein frisch zurückgesetztes Telefon mitnehmen, dass gefahrlos durchleutet werden kann. Installiere nach dem Übertritt der Grenze alle Apps neu.

2.22 Du hast dein Telefon einmal überschrieben

Du hast das Telefon gebraucht gekauft? Dann solltest du einmal den kompletten Speicher überschreiben, um zu vermeiden, dass ungewollte Daten auf deinem Gerät gefunden werden.

Gebrauchte Telefone könnten illegale Daten enthalten haben, die wiederhergestellt und ausgewertet werden könnten. Um zu vermeiden, dass dir das zum Verhängnis wird solltest du das Telefon einmal komplett überschreiben. Wenn du die Möglichkeit hast generiere dir große Zufallsdateien und kopiere diese auf dein Telefon, bis es voll ist. Andernfalls kannst du dir auch große Testdaten aus dem Internet herunterladen und damit den Speicher deines Telefons überschreiben. Achtung! Das Überschreiben von Flash-Speichern ist oft nicht zu 100% möglich. Es können trotzdem Daten zurück bleiben. Bei moderneren Android-Geräten und iPhones ist das wegen des verschlüsselten Dateisystems für gewöhnlich nicht notwendig. Achte aber in diesem Fall darauf, dass das Telefon ordnungsgemäß auf Werkseinstellungen zurückgesetzt wurde. Solltest du dir nicht sicher sein, kannst du es trotzdem überschreiben.

Hier findest du große Test-Dateien - https://fastest.fish/test-files

2.23 Deaktiviere nicht genutzte Schnittstellen

Du solltest Positionierung, Wi-Fi, Bluetooth oder NFC nur aktivieren, wenn du es wirklich benötigst.

Über Wi-Fi kannst du in bestimmten Fällen wiedererkannt werden. Im extremsten Fall kann sogar deine Wohnadresse ermittelt werden. Einige Geräte verraten die eindeutige Hardwarenummer deiner Wi-Fi-Schnittstelle sowie die Liste deiner bekannten Wi-Fi-Netze. Auf Websites wie wigle.net kannst du einfach nach den physischen Standorten der Wi-Fi-Netze suchen. Google und Apple nutzen ihre Marktmacht, um die Standorte von benachbarten Wi-Fis durch ihre Geräte in ihren eigenen Datenbanken zu speichern. Betreibst du ein eigenes W-Lan? Google, Apple und sämtliche Geheimdienste kennen dadurch seine Koordinaten. Aber auch Bluetooth und andere Schnittstellen bergen Gefahren. Bluetooth ist zum Beispiel Anfällig für Bluesnarfing (Öffnung eigentlich geschlossener Ports durch Befehle von Außen), Bluejacking (Zusendung unerwünschter Nachrichten), Bluebugging (Ausnutzen einer Backdoor), Bluesmacking (Denial of Service) oder Car Whispering (Abhören der Freisprecheinrichtung).

2.24 Verzichte wenn möglich auf Bluetooth-Geräte wie Earbuds

Wenn du dir sicher sein möchtest, dass du nicht über Bluetooth abgehört wirst, solltest du eine Kabelverbindung für deine Kopfhörer nutzen.

Bluetooth-Geräte wie Earbuds können möglicherweise beim Austausch ihrer geheimen Schlüssel belauscht werden. Angreifer*innen in Reichweite könnten so unbemerkt mithören.

2.25 Nicht genutzte Kameras sind abgedeckt

Du solltest nicht genutze Kameras einfach mit Stickern abdecken. Zum Beispiel, wenn du die Selfie-Kamera nicht oder nur kaum nutzt.

Wenn du in Deutschland wohnst kannst du dir beim Bundesministerium für Familie, Senioren, Frauen und Jugend (BMFSFJ) kostenlos wiederablösbare Spezialaufkleber für deine Smartphone-Kameras bestellen. Aber auch normale Sticker erledigen diese Aufgabe. Achte darauf, dass du nicht den unscheinbaren Helligkeitssensor überklebst! Dies führt dazu dass einige Smartphones den Display abschalten, da diese sich in einer Hosentasche wähnen. Wenn du Probleme mit Stalking hast oder von Ex-Partner*innen verfolgt wirst solltest du deine Kameras zur Sicherheit komplett abkleben.

BMFSFJ: Webcamsticker-Karte TOP SECRET - https://www.bmfsfj.de/bmfsfj/service/publikationen/webcamsticker-karte-top-secret-96100

3 Gefahren im Mobilfunknetz

3.1 Du nutzt datensparsame Telefon-Tarife

Eine Flatrate erzeugt in der Regel weniger Daten als ein Tarif mit minutengenauer Abrechnung oder Einzelverbindungsnachweisen. Denn diese müssen erfasst und gespeichert werden. Flatrates erzeugen weniger Daten. Prepaid-Tarife erzeugen in der Regel nicht mal Rechnungsdaten und sind daher sehr datensparsam.

3.2 Du hast der Vermarktung deiner Bewegungsdaten widersprochen

Viele Netzbetreiber*innen verkaufen eure Bewegungsdaten an diverse Werbefirmen weiter. Ihr könnt dieser Weitergabe widersprechen.

Frag bei den Provider*innen nach wie lange die Daten in den verschiedenen Tarifen gespeichert werden und mit wem sie geteilt werden. Es gibt auch extra datenschutzfreundliche Provider*innen wie z.B. "Wetell" in Deutschland. Trotzdem schützen diese nicht vor den zahlreichen Überwachungsmöglichkeiten im Mobilfunknetz! Anonyme Simkarten sind daher immer zu bevorzugen.

2018-02-09 - Mobilfunkanbieter: Widerspruch gegen Erhebung von Bewegungsdaten - https://www.kuketz-blog.de/mobilfunkanbieter-widerspruch-gegen-erhebung-von-bewegungsdaten/

3.3 Du hast deine mobile Datenverbindung nicht durchgehend aktiviert

Deaktiviere mobile Daten, wenn du diese nicht brauchst. Eine aktivierte mobile Internetverbindung hinterlässt eine durchgehende Aufzeichnung deiner genutzten Funkzellen in den Verkehrsdaten deines Providers.

Wenn du gerade weder telefonierst, keine SMS schreibst bzw. empfängst und die mobilen Daten nicht nutzt, ist dein Telefon im sogenannten "idle state". Es entsteht dann keine Historie über deine Funkzellen-Position bei deinem Provider. Dem Funknetzwerk ist nur die letzte sogenannte Location Area bekannt. Dies ist ein Verbund aus einer Vielzahl von Funktürmen, die keinen verlässliche Aussage über deinen genauen Standort liefert. Will dich eine Behörde oder eine Angreifer*in dann finden, sind diese oft auf stille SMS (silent pings) angewiesen. Erst dadurch wird dein Telefon wieder mit einer konkreten Funkzelle verbunden.

Location Area - https://de.wikipedia.org/wiki/Location_Area

3.4 Du nimmst dein Handy nicht mit zur Demo

Du solltest dein Telefon nicht mit zur Demo nehmen oder es einige Zeit vorher in den Flugmodus schalten bzw. es ganz ausschalten und es auch nach der Demo noch einige Zeit so belassen.

Der Grund ist, dass viele Telefone schlicht von der Polizei sichergestellt oder beschlagnahmt werden. Aber auch sogenannte IMSI-Catcher sind ein Problem. Das gilt auch dann, wenn du anonyme Simkarten nutzt. Durch die gezielte Verfolgung (zum Beipiel auf dem Heimweg) einzelner Personen mit IMSI-Catchern lässt sich eine Telefonnummer einer Person zuordnen. Egal, ob die Simkarte anonym ist oder nicht. IMSI-Cathcer können in Rucksäcken oder sogar auf Drohnen befinden. Ein IMSI-Catchers erzeugt eine Fake-Funkzelle mit der sich dein Telefon verbindet, weil das Signal des IMSI-Catchers stärker ist als das der umliegenden echten Funkzellen. Wirst du lange genug verfolgt müssen die Angreifer*innen nur noch nachschauen welches Telefon am längsten eingeloggt war. Deine IMSI ist den Angreifer*innen dadurch dann bekannt. Auf dieser Basis können dann Funkzellenauswertungen, Telekommunikationsüberwachung oder andere Maßnahmen folgen. Du hast in der Regel keine einfache Möglichkeit festzustellen, ob dein Telefon mit einer Fake-Funkzelle verbunden ist.

3.5 Du verzichtest auf Apps wie "SnoopSnitch"

Apps, die potentiell IMSI-Catcher oder Stille SMS detektieren können werden dir in den allermeisten Fällen nichts bringen. Du solltest auf diese Apps verzichten und stattdessen lernen warum sie nicht viel bringen und was die Alternative ist.

Zunächst einmal ist an Apps wie "SnoopSnitch" generell nichts verkehrt. Wir können froh sein, dass es Menschen gibt, die sich mit dieser Materie befassen und solche Apps bauen. Trotzdem musst du verstehen, dass derartige Apps in den allermeisten Fällen völlig wirkungslos sind. SnoopSnitch zum Beispiel funktioniert nur in 2G und 3G Netzen, wenn dein Telefon Root hat und wenn auf dem Mainboard deines Gerätes ein ganz spezieller Chip verbaut ist. Du musst verstehen, dass die Kommunikation mit dem Mobilfunknetz für dein Betriebssystem eine völlig intransparente Blackbox ist. Dein Betriebssystem und deine Apps sind nicht in der Lage die Kommunikation mit einem Funkturm (Basisstation) im Detail zu steuern oder zu überwachen. Das bedeutet das Funknetzwerk kann mit dem Chip auf deinem Gerät kommunizieren ohne, dass dieses etwas davon mitbekommt. Schuld daran ist proprietäre, kommerzielle Hardware, die nicht quelloffen ist. So kommt es auch, dass du durch Stille SMS (Stealth Ping) grob geortet werden kannst. Der Funkchip in deinem Telefon registriert das zwar, meldet das aber nicht an dein Betriebssystem weiter. Nur einige wenige Chips haben Schnittstellen, die dem Betriebssystem eine Beobachtung erlauben. Nur dafür gibt es SnoopSnitch. Die einzig sinnvolle Verteidigung ist eine anonyme Simkarte.

3.6 Du verwendest anonyme Simkarten

Anonyme Simkarten erschweren staatlichen Akteuren und anderen Angreifer*innen die Auswahl ihrer Ziele erheblich. Ob stille SMS, IMSI-Catcher, Bestandsdatenauskunft, Verkehrsdatenauskunft, Funkzellenauswertungen, Quellen-TKÜ, Staatstrojaner oder Standortüberwachung. Eine anonyme Simkarte ist oft die einzig sinnvolle Verteidigung gegen derartige Überwachung.

Das Thema der Mobilfunküberwachung ist komplex und kann in diesem Rahmen nicht komplett behandelt werden. Wichtig zu verstehen ist aber, dass Security-Apps gegen derartige Überwachung nichts ausrichten können, weil z.B. Daten betroffen sind, die ohnehin bei deinem Provider liegen und nicht auf deinem Telefon. Oder weil die Apps selbst keinen Zugriff auf den proprietären Funkchip deines Telefons haben und so z.B. stille SMS nicht sehen können. Oder weil sich der Angriff im Funknetzwerk zwischen Netzanbieter*innen abspielt. Oder weil deine Mobilfunkanbieter*in deine Daten einfach weiter verkauft. Hier auf Apps oder Verhaltensänderungen zu setzen bringt also nichts. Die einzige Verteidigung sind anonyme Simkarten. Bedenke auch, dass in Deutschland über 100 staatliche Stellen die Personen zu Telefonnummern und andersherum ohne Gerichtsbeschluss abfragen können.

3.7 Du nutzt dein Smartphone exklusiv für eine Simkarte

Nutze deine anonyme Simkarte nur in einem bestimmten Telefon. Verwende nie das gleiche Telefon für eine andere Simkarte. Denn die eindeutige Nummer der Sim und die eindeutige Nummer deines Telefons werden immer zusammen in den Verkehrsdaten des Providers gespeichert.

3.8 Du verwendest oft andere Simkarten und ein Proxy-Telefon

Um die Sicherheit weiter zu erhöhen kannst du oft deine anonymen Simkarten wechseln. Bei jedem Wechsel solltest du auch das dafür verwendete Telefon wechseln.

Da in den Verkehrsdaten deiner Netzanbieter*in immer die IMSI zusammen mit der IMEI auftaucht solltest du beim Wechsel deiner Simkarte auch dein Telefon wechseln. Wie du dir sicher vorstellen kannst ist es aufwändig und auch teuer das Telefon von Zeit zu Zeit zu wechseln. Du müsstest ja ständig deine Apps neu einrichten und viel Geld für ein neues Telefon ausgeben. Um die Kosten gering zu halten kannst du mit Proxy-Telefonen arbeiten. Und das geht so: Du hast ein teureres Gerät für deine reguläre Nutzung auf dem all deine Apps installiert sind. In diesem Telefon befindet sich keine Simkarte. Es ist also für das Mobilfunknetzwerk unsichtbar. Internet bekommst du über ein günstiges Zweitgerät, in welches eine Simkarte eingelegt ist. Dieses Telefon braucht nicht viel Leistung. Dieses kann dir aber einen Wi-Fi Hotspot und damit Internet bereitstellen. Außerdem kannst du damit ganz normal telefonieren, wenn du willst. Dieses Telefon lässt sich mit samt der eingelegten Simkarte schnell austauschen. Einziger Nachteil: Du hast immer zwei Smartphones dabei.

3.9 Deaktiviere deine Simkarte wenn du dich mit einer Gruppe bewegst

Wenn du mit Freund*innen, Bekannten, Familie oder Genoss*innen unterwegs bist solltest du deine anonyme Simkarte nicht verweden.

Du solltest nicht damit telefonieren, keine SMS schreiben und deine mobile Internetverbindung nicht nutzen. Entferne sie sicherheitshalber aus deinem Telefon. Bewegst du dich über einen längeren Zeitraum mit anderen Personen gemeinsam durch identische Funkzellen ist theoretisch eingrenzbar wer du sein könntest oder wer dein Familien- bzw. Freund*innenkreis ist. Gleiches gilt für eine mögliche zweite Simkarte, die auf deinen Namen registriert ist. Z.B. wenn du ein zweites nicht anonymes Telefon dabei hast. Bewegt sich diese Simkarte zusammen mit der anonymen Simkarte durch ein Gebiet ist anhand der gleichen Funkzellenwechsel bekannt wem die anonyme Karte gehört. Die Funkzellenwechsel werden möglicherweise in den Verkehrsdaten deines Providers geloggt. Lass dir von Bekannten einen Wi-Fi Hotspot bereitstellen, wenn du unterwegs bist und verwende diesen mit einem VPN oder Tor. Wenn du mit einer größeren Gruppe unterwegs bist sollte nur eine einzige Person einen Hotspot erstellen. Alle anderen sollten ihre Simkarten für diese Zeit entfernen.

3.10 Du gibst deine Telefonnummer nicht weiter

Wer deine Telefonnummer kennt kann dich leicht angreifen. Halte deine Nummer wenn möglich geheim. Um trotzdem erreichbar zu sein kannst du auf Messenger mit Anruffunktion ausweichen, die keine Nummer benötigen oder bei denen sich die Nummer verbergen lässt.

Auf Seiten wie cell-track.com oder phone-location.info kann zum Beispiel einfach herausgefunden werden, ob sich ein Gerät im Ausland befindet oder nicht oder ob ein Gerät gerade eingeschaltet ist. Alles was du brauchst ist die Telefonnummer. Du kannst nichts dagegen tun als deine Nummer geheim zu halten. Staatliche Akteure haben zudem weitere Möglichkeiten wie z.B. die Infektion des Gerätes mit einem Zero-Click-Exploit (Staatstrojaner). Nur eine anonyme Simkarte und das Geheimhalten deiner Nummer schützen dich effektiv vor staatlichen Übergriffen.

3.11 Du telefonierst nicht mit deiner anonymen Karte

Nutze deine anonyme Simkarte/Telefon nicht für reguläre Telefonate oder SMS. In den Verkehrsdaten ist ersichtlich wer die Zielkontakte sind, wenn diese nicht auch eine anonyme Karte haben. Dadurch ist evtl. eingrenzbar wer du bist. Nutze die Karte wenn möglich nur mit anderen anonymen Karten oder weiche auf Internet-Messenger für Nachrichten und Telefonate aus.

3.12 Du hast Simkarten und Telefone anonym bezogen

Du solltest Simkarten und Telefone nie direkt an deine Adresse bestellen oder von deinen Konten bezahlen. Um keine Spuren zu hinterlassen kannst du Freund*innen bitten diese für dich zu bestellen oder abzuholen. Zahle in bar.

3.13 Du beziehst dein Telefon-Guthaben anonym

Du solltest auch das Guthaben für deine Simkarte anonym oder über Mittelspersonen beziehen. Verwende daher Simkarten für die du Guthaben bar an Kassen kaufen kannst oder bitte Freund*innen dir den Guthaben-Code zu senden.

3.14 Du unterdrückst deine Rufnummer, wenn du telefonierst

Du kannst deine Rufnummer unterdrücken, wenn du telefonierst. So kann die angerufene Person deine eigene Nummer nicht sehen. Das kannst du für bestimmte Personen oder für alle Anrufe einstellen.

Besonders wenn du von Stalking betroffen bist solltest du deine Nummer unterdrücken. Denn deine Nummer kann auf vielfältige Weise genutzt werden um dich anzugreifen. Sei dir auch im Klaren darüber, dass das Unterdrücken der Rufnummer lediglich dazu führt, dass diese auf dem Telefon der Gegenstelle nicht angezeigt wird. In den Anrufprotokollen (Verkehrsdaten) der beteiligten Provider*innen wird deine Nummer dennoch gespeichert. Für Behörden ist dein Anruf also trotz unterdrückter Rufnummer nachvollziehbar. Nutze anonyme Simkarten, wenn du auf wirkliche Anonymität angewiesen bist.

2023-05-03 - Chip: Der Notfall-Standortdienst liefert schnell genaue Standortinformationen - https://praxistipps.chip.de/rufnummer-unterdruecken-so-gehts_42424

3.15 Deaktiviere deine Mailbox

Sensible Informationen über dich oder deine Beziehungen könnten jeder Zeit und ohne dein Wissen als Sprachnachricht auf deiner Mailbox hinterlegt werden. Deaktivere die Mailbox daher zur Sicherheit.

Informationen, die andere Menschen auf deine Mailbox sprechen könnten Beziehungen aufdecken und sensible Informationen wie Namen preisgeben. In Deutschland ist die Überwachung der Mailbox Teil der Telekommunikationsüberwachung (TKÜ), die von der Polizei durchgeführt werden kann.

3.16 Du wählst Notrufnummern wie 110 und 112 mit bedacht

Seit 2019 wird in Deutschland und vielen anderen Ländern Advanced Mobile Location (AML) eingesetzt und schrittweise ausgebaut, um Personen in Notsituationen zu orten. Wenn du das nicht möchtest solltest du dich darauf vorbereiten.

Vor AML standen den Rettungsleitstellen lediglich extrem ungenaue Funkzellendaten zur Verfügung (wenn überhaupt), um Personen in Notsituationen orten zu können. AML dagegen ist fest in moderne Telefone und deren Betriebssysteme integriert: Wird eine Notrufnummer gewählt aktiviert das Telefon selbstständig GPS und Wi-Fi, um die eigene Position bestimmen zu können. Diese wird dann via Internet oder SMS automatisch an die Leitstelle übertragen. Diese extrem genaue Ortung wird nur durch das Wählen der Notrufnummern aktiviert und ist nicht von außen ohne dein aktives Handeln nutzbar. Du kannst in den meisten Fällen nichts dagegen tun, dass du beim Wählen dieser Nummern automatisch geortet wirst. Leider werden so aber auch anonyme Meldungen erschwert. Du solltest daher immer abwägen, ob die Wahl von Notrufnummern durch dein eigenes Telefon wirklich notwendig ist. Auf Wikipedia findest du eine Liste mit allen Ländern in denen es AML gibt. AML ist auf Android Teil der Play-Services und kann über die Notfalleinstellungen deaktiviert werden.

3.17 Du hast eine Sperre für Drittanbieter*innen eingerichtet

Mit einer Drittanbieter*innensperre kannst du verhindern, dass Apps, Websites oder Betrüger*innen Kosten für Abos oder sonstige Käufe über deine Telefonrechnung abbuchen können.

Wenn du eine solche Sperre einrichten möchtest kannst du dich online oder telefonisch an deinen Provider wenden.

2024-02-19 - Mimikama: Smartphone-Fallen: Schutz vor Abofallen mit Drittanbietersperre - https://www.mimikama.org/drittanbietersperre-schutz-abofalle-smartphone/

3.18 Du nennst nicht sofort deinen Namen, wenn du ans Telefon gehst

Du solltest nicht deinen Namen nutzen, um ein Gespräch anzunehmen. Nutze stattdessen allgemeine Floskeln wie 'Hallo'.

4 Apps und Betriebssystem

4.1 Du verwendest ein freies Betriebssystem

Freie Android-basierte Betriebssysteme wie grapheneOS, CalyxOS oder DivestOS können dir helfen deine Privatsphäre zu schützen und sind nicht an Google, Apple oder Microsoft gebunden.

Wenn du dir unsicher bist welches System du installieren solltest so lautet die klare Empfehlung derzeit grapheneOS auf einem der kompatiblen Telefone zu installieren. Mehr Informationen findest du in den Links.

4.2 Du verwendest GrapheneOS auf einem kompatiblen Gerät

GrapheneOS ist ein Android Betriebssystem mit einem besonders hohen Schutzniveau und zahlreichen Sicherheitsfeatures und ist daher hier als separate Aufgabe gelistet.

Ein freies Betriebssystem ist immer die richtige Wahl, wenn du dich von großen Konzernen wie Google oder Apple unabhängig machen möchtest. Ein Betriebssystem mit dem Namen GrapheneOS sticht mit zahlreichen Sicherheitsfeatures aber besonders hervor und ist daher für aktivistische Zwecke unbedingt zu empfehlen. Graphene unterstützt zum Beispiel einen LTE-only mode, der verschiedene Attaken im Mobilfunknetz verhindern kann. Zudem kannst du alle Sensoren des Smartphones deaktivieren. GrapheneOS unterstützt nur einige wenige Geräte. Welche das sind und was es noch alle kann, erfährst du auf der Website von GrapheneOS.

GrapheneOS - https://grapheneos.org/

4.3 Du hast dein Telefon von Bloatware befreit

Hersteller*innen von Smartphones erhalten von Google oder Apple Millionen bis Milliarden dafür, dass ihre Software fest auf deinem Telefonen platziert wird. Du solltest diese Apps unbedingt entfernen.

Derartige Beträge lohnen sich natürlich nur wenn das einen Nutzen hat: Die vorinstallierte Software sammelt Daten und verwertet eure Gewohnheiten. Ihr solltet Bloatware daher entfernen (Manchmal ist das ohne Root-Berechtigungen nicht möglich) oder gleich ein custom Betriebssystem wie GrapheneOS installieren.

2023-02-21 - Google zahlt Milliarden für Chrome unter iOS - https://www.onlinehaendler-news.de/digital-tech/unternehmen/137709-google-zahlt-milliarden-chrome-ios

4.4 Du hast deine Werbe-ID deaktiviert oder gelöscht

Du solltest unbedingt deine „mobile advertising ID“ (MAID) löschen, öfters ändern (Android) oder deinen Apps das Tracking verbieten (iOS), wenn du nicht möchtest, dass die Daten aus verschiedenen Apps durch sogenannte Datenbroker wieder zusammengeführt und verkauft werden.

Wenn du iOS oder Android verwendest überträgt dein Betriebssystem im Hintergrund eine Werbe-ID an deine Apps. Diese ID können an die Datensätze einzelner Apps gehangen werden. Wenn die Anbieter*in deiner Apps diese Daten dann verkauft können Broker diese mit anderen Datensätzen von dir zusammenführen. Dadurch entstehen regelrechte Halden aus deinen persönlichen Daten und Interessen, die online gehandelt werden.

4.5 Sind deine Apps und dein System aktuell?

Halte Apps und dein Betriebssystem aktuell. Malware und Staatstrojaner nutzen oft Schwachstellen in der Software aus. Aktuelle Apps und ein aktuelles Betriebssystem sind daher wichtig.

4.6 Nutze einen Passwortmanager

Deine Sicherheit wird enorm erhöht, wenn du für alle Services im Internet ein anderes komplexes Passwort verwendest. Diese solltest du in einem Passwortmanager wie KeepassXC oder Bitwarden speichern.

Denke daran, dass dein Passwortmanager ein besonders sicheres Passwort braucht. Denke auch daran eine regelmäßige Sicherungskopie deiner Passwortdatenbank zu erstellen. Wenn du Probleme hast dir starke Passworte auszudenken kannst du das Diceware-Verfahren nutzen. Unten findest du einen Link mit einer Anleitung. Alles was du brauchst ist ein Spiel-Würfel.

4.7 Du installierst Apps nur aus vertrauenswürdigen Quellen

Nutze nur offizielle App-Stores oder F-Droid, um deine Apps zu beziehen. Wenn du dich auskennst kannst du Apps auch direkt von den Websites der Hersteller*innen laden. Überlege immer, ob du eine App überhaupt brauchst.

Infizierte Apps haben viele Möglihkeiten dich anzugreifen. Sie können zum Beispiel Passworte stehlen.

4.8 Du prüfst Zugriffsrechte sorgfältig

Deine Taschenlampen-App will auf den Speicher zugreifen? Keine gute Idee! Frage dich immer wozu eine App Berechtigungen benötigt und gib diese nur schrittweise oder bei Bedarf frei.

4.9 Du nutzt alternative App-Stores

Über F-Droid oder Aurora Store kannst du die meisten Apps auch ohne Anmeldung in Google bzw. ohne Google-Services beziehen.

4.10 Du verzichtest auf Google-Play-Dienste und Apple-Services

Google-Play-Services bzw. Apple-Services stellen zentrale Infrastrukturen für einige Apps bereit. Zum Beispiel werden darüber Push-Nachrichten versendet. Staatliche Stellen nutzen diese Tatsache, um damit iPhone- bzw. Android-Geräte zu überwachen.

Du kannst dich davor schützen indem du Apps verwendest, die ohne Google bzw- Apple Services auskommen. Verzichte auch auf Alternativen wie microG, wenn du ein eigenes Betriebssystem installiert hast. Installiere zum Beispiel Apps aus F-Droid, die ohne diese Services auskommen. Messenger wie Telegram, Signal und Matrix bieten eigene Alternativen für zentralisierte Pushnachrichten an.

4.11 Du nutzt datenschutzfreundliche Apps

Viele gängige Apps tracken deine Gewohnheiten und Vorlieben. Informiere dich über datenschutzfreundliche Alternativen und prüfe die Tracker vorher!

Auf privascore.org findest du alternative Apps und Dienste für zahlreiche Themen. Nutze z.B. Browser, wie den DuckDuckGo-Browser, die keine Daten über dich sammeln. Das Projekt εxodus gibt dir zudem Auskunft über verwendete Tracker und Berechtigungen vieler Apps. So verzichten Karten-Apps wie Organic Maps oder Magic Earth komplett auf Tracker und sind somit eine gute Alternative zu Google Maps.

4.12 Du verzichtest auf Root-Rechte

Root-Rechte ermöglichen dir viele einzigartige Apps. Diese Rechte gelten dann aber eventuell auch für schadhafte Apps, weswegen du auf Root generell verzichten solltest.

Wenn du nicht weißt was Root ist, hast du es vermutlich nicht. Root muss bei den meisten Geräten aufwändig aktiviert werden. Leider benötigen auch einige Apps, die deine Sicherheit potentiell erhöhen können oft Root-Rechte. Zu nennen wären da zum Beispiel Backup-Anwendungen wie "Neo Backup" aber auch Apps wie "SnoopSnitch", die versuchen IMSI-Catcher oder Stille SMS zu erkennen. Du solltest immer genau abwägen, ob du wirklich Superuser-Rechte auf deinem Gerät benötigst. In den allermeisten Fällen gibt es dafür keine gute Begründung. Apps wie z.B. "SnoopSnitch" funktionieren sowieso nur in wirklich wenigen Software- und Hardwarekonstellationen. Deswegen Root einzurichten steht in keinem Verhältnis.

4.13 Du nutzt sichere Messenger

Du solltest unbedingt quelloffene, verschlüsselte Messenger wie Briar, Signal, Threema, Element oder SimpleX nutzen. Verzichte auf unsichere kommerzielle Messenger wie WhatsApp und Co.

Wenn du dir unsicher bist welche Messenger gut sind oder wenn du Argumente brauchst, um Familie und Freud*innen zu überzeugen, solltest du dir unbedingt die Messenger-Matrix von Kuketz ansehen. Dort kannst du die einzelnen Messenger bequem nach Funktionen und Sicherheitsaspekten vergleichen.

4.14 Aktiviere die zweistufige Bestätigung in deinen Messengern

Die zweistufige Bestätigung (Zwei-Faktor-Authentisierung) verhindert, dass deine Simkarte oder Kopien davon genutzt werden können, um an deine Nachrichten zu kommen.

In einigen Messengern funktioniert das über Mails. In anderen kannst du eine zusätzliche Pin vergeben. Wenn du deine Telefonnummer verlierst oder andere Menschen bzw. Behörden an deine Simkarte oder eine Kopie davon gelangen (Sim-Swapping), können sie sich mit der Telefonnummer anmelden und deine Nachrichten lesen bzw. in deinem Namen schreiben.

4.15 Du verwendest verschwindende Nachrichten

Einige Messenger wie Signal oder Threema bieten dir die Möglichkeit alte Nachrichten automatisch löschen zu lassen. Nutze diese Funktion, um zu verhindern, dass Nachrichten in der Zukunft z.B. durch Beschlagnahmungen ausgelesen werden können.

4.16 Du gibst deine Apple-ID nicht weiter und deaktivierst iMessage

Du solltest iMessage nicht nutzen und deine Apple-ID geheim halten. iMessage wurde in den vergangenen Jahren immer wieder Ziel sogenannter Zero-Click-Angriffe.

Durch speziell präparierte Nachrichten für iMessage konnten in der Vergangenheit immer wieder Staatstrojaner auf iPhones installiert wedern. Du solltest diese Software daher meiden.

4.17 Du hast auf deinem iPhone den Lockdown-Mode aktiviert

Der Lockdown-Mode (Blockierungsmodus) kann auf dem iPhone benutzt werden, um Infektionen mit Malware vorzubeugen. Hierbei werden einige Features stark eingeschränkt, um das System besonders zu schützen.

Für Android ist ein ähnliches Feature nicht verfügbar.

4.18 Du startest dein Telefon oft neu

Du solltest dein Telefon öfter neu starten. Zum Beispiel jeden Morgen oder vor kritischen Gesprächen. Einige Staatstrojaner überleben Neustarts nicht, da diese oft nicht persistent sind. Obwohl später Neuinfektionen möglich sind, kann dir diese Strategie private Zeitfenster verschaffen.

4.19 Du hast dein Gerät auf Werkseinstellungen zurückgesetzt

Du solltest dein Telefon auf Werkseinstellungen zurücksetzen, wenn du ihm nicht mehr traust. Diese Methode ist effektiv gegen handelsübliche Spionage-Apps aus dem App-Store, die sich womöglich auf deinem Gerät verstecken könnten.

Diese Methode entfernt in der Regel ungewollte Spionage- oder Stalking-Apps von deinem Telefon. Diese Apps wurden eventuell von Menschen aus deinem nahen Umfeld installiert, als sie direkten Zugriff auf dein Gerät hatten. Bitte sei dir bewusst darüber, dass diese Apps nicht vergelichbar sind mit professionellen Staatstrojanern, die auch nach einem Zurücksetzen des Telefons möglicheriweise aus der Ferne wieder installiert werden können. Trotzdem ist diese Möglichkeit ein guter Anfang, um aus toxischen Beziehungen zu entkommen oder um Stalking vorzubeugen. Bitte sichere deine wichtigsten Daten vor dem Zurücksetzen.

5 Gefahren im Internet

5.1 Du überträgst deinen Bildschirm nicht an einen Smart-TV

Einige smarte TV-Geräte erstellen Screenshots sowie Audioaufnahmen und laden diese automatisch und ungewollt ins Internet hoch. Schütze dich indem du dein Smartphone nicht mit einem Smart-TV koppelst.

2024-09-25 - Tarnkappe: Smart-TVs von LG & Samsung übertragen Screenshots an eigene Server - https://tarnkappe.info/artikel/it-sicherheit/datenschutz/smart-tvs-von-lg-samsung-uebertragen-screenshots-an-eigene-server-301935.html

5.2 Du bist vorsichtig beim Scannen von QR-Codes

Achte beim Scannen von QR-Codes auf die Echtheit der Zielseite und prüfe genau wohin der Code dich leitet. Sei skeptisch, wenn du nach dem Scannen persönliche Daten oder Bankinformationen eintippen sollst.

Immer wieder werden QR-Codes zum Beispiel an Ladesäulen oder Automaten überklebt. Sie werden aber manchmal auch mit Briefen versendet. So werden Menschen dazu gebracht persönliche Informationen auf Fake-Seiten einzugeben oder bösartige Apps zu installieren. Prüfe daher das Ziel genau. Sei skeptisch bei aufgeklebten Codes. QR-Codes sollten so gestaltet sein, dass sie fälschungssicher sind. Zum Beispiel sollten diese hinter einer Glasscheibe angebracht sein, um ein Austauschen zu verhindern.

5.3 Du trägst deine Bankkarte nicht direkt bei deinem Smartphone

Du solltest deine Bankkarte nicht direkt neben deinem Smartphone tragen oder lagern. Malware könnte die Daten über NFC auslesen und verschicken. Nutze alternativ RFID-Schutzhüllen für deine Karten und deaktiviere NFC.

Malware kann die NFC-Schnittstelle deines Smartphones nutzen, um Daten von Bankkarten auszulesen. Du kannst dich schützen indem du die Karten nicht direkt neben deinem Smartphone aufbewarst. Online kannst du auch spezielle RFID-Schutzhüllen bestellen, die dich schützen können.

5.4 Du gehst achtsam mit deinen persönlichen Daten um

Du solltest dir genau überlegen welche persönlichen Informationen du im Internet teilst. Bist du z.B. leicht über Suchmaschinen zu finden? Wenn ja solltest du versuchen diese Daten zu entfernen.

Spezialisierte Agenturen und Datenbroker sammeln öffentliche Informationen und Informationen aus Datenleaks über dich und verkaufen diese z.B. an Geheimdienste weiter. Unternehmen wie PimEyes, die auf Gesichtserkennung ausgerichtet sind, nutzen deine persönlichen Bilder, um ihre KIs zu trainieren. So werden die biometrischen Merkmale deines Gesichts erfasst und du kannst in Bruchteilen von Sekunden auf anderen Bildern identifiziert werden. Versuche dich selbst im Internet zu finden, identifiziere die Services und versuche deine persönlichen Daten von dort zu entfernen. Nutze zum Beispiel Google Alerts, um dich automatisch via E-Mail informieren zu lassen sobald dein Name oder andere persönliche Daten im Internet auftauchen. Du kannst manchmal auch DMCA-Takedown-Anfragen nutzen, um deine Daten von US-Websites löschen zu lassen.

5.5 Nutze alternative Frontends

Alternative Frontends für Webservices wie YouTube, Twitter, TikTok und andere Websites können dir helfen deine Daten zu schützen.

Anstelle von Youtube kannst du zum Beispiel eine der zahlreichen Invidious-Instanzen wie yewtu.be im Browser oder die App FreeTubeAndroid nutzen. So kannst du Werbung vermeiden und gleichzeitig deine Privatsphäre schüzen. Du kannst auch LibRedirect für FireFox installieren. Dieses Plugin leitet dich beim Surfen im Internet automatisch auf ein alternatives Frontend um. Große Unternehmen wie YouTube unternehmen große Anstrengungen um alternative Frontend immer wieder unbrauchbar zu machen oder zu sperren. Gib nicht auf, wenn es nicht gliech beim ersten Versuch funktioniert!

5.6 Du nutzt Passkeys

Passkeys können in manchen Anwendungen und Apps Passwörter ersetzen und machen diese komplett überflüssig. Sie können nicht wie Passwörter durch Pishing oder Datenleaks entwendet werden. Nutze sie, wenn sie angeboten werden!

Du solltest PassKeys nicht an eine biometrische Entsperrung binden. Denke außerdem daran deine Passkeys zu sichern für den Fall, dass du dein Gerät verlieren solltest.

2023-10-19 - t3n: Internet ohne Passwörter: Was ihr jetzt über Passkeys wissen müsst - https://t3n.de/news/passkeys-android-ios-mac-windows-1583254/

5.7 Du sicherst deine Accounts mit Zwei-Faktor-Authentifizierung

Viele Dienste und Plattformen im Internet bieten eine Absicherung der Logins mit einem zweiten Faktor an. Nutze diese Möglichkeit wann immer es geht.

Bedenke dabei bitte auch, dass es möglich sein muss ein Backup von deinem zweiten Faktor zu erzeugen. Eine Handynummer ist kein wirklich guter zweiter Faktor. Erstens kannst du deine Nummer potentiell verlieren. Es kann aber auch sein, dass andere Menschen oder Behörden Zugriff auf deine Nummer erlangen können. Im Falle eins Verlustes deiner Simkarte kommst du erst mal nicht an deine Accounts. Solltest du einen Hardware-Token als zweiten Faktor nutzen, stelle bitte sicher, dass es für Notfälle noch einen zweiten gibt! Solltest du Softwarelösungen wie Time-Based-One-Time-Passwords nutzen, fertige bitte Backups in deinen OTP-Apps an! Die Android-App Aegis bietet zum Beispiel automatische Backups an.

5.8 Dein zweiter Faktor liegt auf einem separaten Gerät

Deine Zwei-Faktor-App ist auf einem separaten Gerät installiert. So kann dein zweiter Faktor bei einer Kompromittierung deines Geräts nicht zum Einloggen in deine Accounts genutzt werden.

5.9 Du verwendest einen Werbeblocker

Gezielte Werbekampagnen (Microtargeting) werden unter anderem von Geheimdiensten genutzt, um einzelne Geräte passgenau mit Malware zu infizieren. Schütze dich mit Werbeblockern!

Aber nicht nur Geheimdienste nutzen Werbung, um Menschen zu verfolgen. Sogenannte Datenbroker verkaufen außerdem aggregierte Daten über deine Person aus diversen Apps und Websites. Es gibt verschiedene Werbeblocker, die du auf unterschiedlichen Ebenen ausprobieren kannst. Netzwerkweite Lösungen wie eBlocker und Pi-hole schützen alle Geräte in deinem Heimnetzwerk. AdAway schützt dein Smartphone und uBlock Origin ist ein Plugin für den Firefox-Browser.

5.10 Du nutzt verschiedene Pseudonyme und Mailadressen

Du kannst deine Sicherheit verbessern, indem du auf allen Plattformen einen anderen Namen und andere Mailadressen bzw. Mobilnummern für die Registrierung verwendest. So können deine Accounts durch Datenlecks nicht zusammengeführt werden.

5.11 Du nutzt deine Pseudonyme nicht zur gleichen Zeit

Arbeite zeitversetzt wenn du in verschiedenen Kanälen oder Gruppen mit verschiedenen Pseudonymen die gleiche Nachricht teilen willst. Sonst ist ersichtlich dass eine Person hinter den diversen Pseudonymen steckt.

5.12 Du nutzt Tor oder den Tor-Browser

Deine Internetzugangsprovider (Telekom, Vodafone, Telefonica, 1&1, etc...) können sehen welche Websites du besuchst. Tor (The Onion Router) kann dir helfen deine Anonymität im Internet stark zu verbessern. Nutze Websites über den Tor-Browser und leite Apps mit der Orbot-App über das Tor-Netzwerk um.

5.13 Du nutzt datenschutzfreundliche Suchmaschinen

Google, Apple und andere Hersteller*innen geben Daten ohne zu zögern an Ermittlungsbehörden weiter. Verwende daher alternative Suchmaschinen wir duckduckgo.com oder stract.com

5.14 Du nutzt Cloud-Speicher nur verschlüsselt

Viele Cloud-Anbieter*innen arbeiten vollumfänglich mit Ermittlungsbehörden zusammen und werden nicht zögern deine Daten auszuliefern. Lege dort nur verschlüsselte Daten ab.

Generell solltest du überlegen, ob du die entsprechenden Cloud-Dienste überhaupt brauchst. Du kannst zum Beispiel Apps wie "OpenKeychain" verwenden, um Dateien vor dem Upload in eine Cloud zu verschlüsseln. Für den Fall, dass du ein Apple-Gerät mit deiner iCloud nutzt aktiviere dort den erweiterten Datenschutz.

5.15 Du nutzt VPNs mit Bedacht

Bedenke, dass du VPN-Anbieter*innen vertrauen musst. Du bezahlt sie, also kennen Sie deine Identität. Viele VPN-Dienste arbeiten vollumfänglich mit Ermittlungsbehörden zusammen.

Wenn du kannst, nutze stattdessen das Tor-Netzwerk oder freie VPNs, wie das RiseupVPN, die keine Daten über dich erheben.

RiseupVPN - https://riseup.net/de/vpn

5.16 Du löschst Metadaten aus deinen Bildern

Dein Smartphone heftet Metadaten wie Koordinaten, Kameratyp, Auflösung, Smartphone-Modell oder Betriebssystem unsichtbar an deine Bilder. Bei einigen Kamera-Apps lässt sich das teilweise oder ganz deaktivieren.

Wird dein Telefon entwendet können diese Daten Aufschluss über deine Herkunft geben. Nutze Apps wie "Imagepipe" um deine Bilder zu bereinigen bevor du diese ins Internet lädst. Imagepipe kannst du über den F-Droid auf deinem Android-Smartphone installieren.

Imagepipe auf F-Droid - https://f-droid.org/en/packages/de.kaffeemitkoffein.imagepipe/

5.17 Du ließt dir Datenschutzerklärungen durch

Nimmst du dir Zeit Datenschutzerklärungen von neuen Apps und Services bei denen du dich registrierst zu lesen? Interessiert es dich mit wem deine Daten geteilt werden und was damit passiert?

5.18 Du verschlüsselst deine E-Mails

Nutzt du E-Mails? Dann solltest du unbedingt über Verschlüsselung wie GPG/OpenPGP nachdenken.

Hast du gewusst, dass zum Beispiel in Deutschland viele E-Mail-Provider als Telekommunikationsdienst gelten? Damit dürfen Behörden deine Bestandsdaten und E-Mails anfordern. Aber auch ohne behördliche Überwachung sind E-Mails vielen Gefahren ausgesetzt. Eine E-Mail passiert beim Weg in ein Postfach viele Knotenpunkte und kann an zahlreichen Stellen mitgelesen werden. Zudem nutzen vermutlich zahlreiche Freemail-Services wie GMX.de oder WEB.de die Inhalte deiner Mails, um dir gezielt Werbung anzuzeigen.

2024-02-27 - Heise: Mailbox.org: Rechtswidrige behördliche Auskunftsanfragen stark angestiegen - https://www.heise.de/news/Mailbox-org-Rechtswidrige-behoerdliche-Auskunftsanfragen-stark-angestiegen-9640860.html

5.19 Lösche nicht genutzte Accounts

Es ist wichtig nicht mehr benötigte Accounts zu löschen. Nimm dir einmal im Jahr Zeit dafür. Egal, ob du diese für eine Website oder eine App benötigt hast. Wenn du sie länger nicht mehr genutzt hast, solltest du sie schließen. Das minimiert das Risiko von Datenlecks.

5.20 Du prüfst, ob du von Datenlecks betroffen bist

Täglich leaken persönliche Daten aus Websites, Portalen und Onlineshops. Betroffne werden dabei selten informiert. Die Daten werden verkauft, gehandelt oder sind oft auch völlig frei zugänglich.

Auf der Website haveibeenpwned.com kannst du schnell und unkompliziert feststellen, ob deine Mailadresse in Datenlecks auftaucht. Du kannst dir dort auch einen Account zulegen, und dich bei neuen Funden automatisch benachrichtigen lassen.

';--have i been pwned? - https://haveibeenpwned.com/

5.21 Du prüfst die Echtheit von wichtigen Nachrichten

Du solltest die Echtheit von E-Mails, Chatnachrichten und SMS insbesondere dann prüfen, wenn sie dich zu einer Handlung bitten oder auffordern. Zum Beispiel dann, wenn du aufgefordert wirst deine persönliche Daten oder Passworte einzutippen.

Auch die Aufforderung Geld zu überweisen solltest du gründlich überprüfen. Das machst du, indem du die Person oder das Unternehmen auf einem separaten Weg kontaktierst. Rufe zum Beispiel einfach dort an. So kannst du dich vergewissern, dass die Nachricht auch wirklich echt ist. Sei skeptisch, wenn dir gesagt wird, dass ein Anruf nicht möglich ist. Die hier aufgezeigte Art des Betrugs wird auch Phishing genannt. Dabei werden echt aussehende Nachrichten in Form von E-Mail, SMS oder Chat-Nachrichten an bestimmte Personen versendet, um zum Beipiel Logindaten oder Bankdaten zu erbeuten. Täter*innen versuchen Ihre Nachrichten teilweise auch mit echten Informationen über die Zielperson anzureichern, damit diese echter wirken. Diese Daten können aus Datenlecks diverser Plattformen stammen. Auch kommt es vor, dass vermeintlich vertrauenswürdige Accounts von Freund*innen oder Familie missbraucht werden, um dich zu einer Handlung zu bewegen. Kontaktiere in wichtigen Angelegenheiten die Personen oder Unternehmen immer noch mal auf einem anderen Weg!

Phishing - https://en.wikipedia.org/wiki/Phishing

Smartphone, don't spy!✔ Eine Checkliste für deine mobile Sicherheit