Privacy unter Android (fast) ohne großen Aufwand

Mar 19, 2021 00:00 · 2928 words · 14 minute read Android Privacy Open-Source FLOSS

Summary: Nutzt freie und offene Software aus dem f-droid-Store, um Eure Daten und die Eurer Kontakte zu schützen, denn jeder Mensch hat ein Recht auf den Schutz seiner Daten und seiner Privatsphäre.

Privacy unter Android (fast) ohne Aufwand

Ja, man kann sein Android Smartphone rooten, d. h. man wird selber zum Superuser/Admin auf seinem eigenen Smartphone, das einem alle Freiheiten bringt, wie zum Beispiel die Möglichkeit der Installation einer Firewall. Aber viel Freiheit führt in diesem Falle zu viel Verantwortung und erhöhter Vorsicht im Umgang mit dem gerooteten Smartphone. Wer davon, Superuser zu sein, wenig Ahnung hat, sollte die Finger davon lassen.

Ein anderes Betriebssystem auf das Smartphone zu installieren erfordert, das passende Gerät, etwas Mut und auch Wissen um die korrekte Durchführung.

Das alles klingt für unbedarfte UserInnen nach hohem Aufwand und der Gefahr sein Smartphone zu zerstören. Mensch wird abgschreckt und nutzt besser die vorinstallierten Google Apps.

Aber schon mit sehr geringem Aufwand kann man ein großes Maß an Sicherheit und Privatsphäre gewinnen und sich sicherer mit dem Smartphone im Internet bewegen.

So habe ich es vor vielen Androidgenerationen nach meinem Wechsel von Apple zu Android getan und berichte nun hier davon, um Menschen davon zu überzeugen, dass mehr Sicherheit auf dem Smartphone einfach zu erreichen ist.

Viel Spaß beim Lesen und Umsetzen.

FLOSS-Apps ohne Tracking

Als langjähriger Linuxuser bin ich es gewohnt nahezu ausschließlich freie Software zu nutzen. Warum dann nicht auch auf dem Smartphone?

Gute Frage.

Hier die Antwort. Es gibt keinen Grund es nicht zu tun.

F-Droid-Store - ein Appstore mit ausschließlich freien und offenen Apps

Über die Seite des F-droid-Store kann man sich eine unter Android ausführbare Datei vom Typ apk (Android Package Kit) herunterladen und ausführen.

Das Smartphone-Betriebssystem benötigt dann eine Bestätigung, dass es diese Datei ausführen soll, da sie aus einer nicht sicheren Quelle (für Google-Android ist nur der Google Play Store sicher) stammt.

Bei der Installation der ersten App aus dem F-Droid-Store wird ebenfalls gefragt, ob man diesem Store vertraue. Auch das sollte dann mit “Ja” bestätigt werden, um die vielen tollen, freien und quelloffenen Apps auf dem Smartphone zu installieren und ausgiebig zu nutzen.

Freie und offene Apps / Software - was ist das überhaupt?

Freie Software nach RMS (Richard Matthew Stallman) ist nach seiner von ihm gegründeten Free Software Foundation Software, die dem nutzenden Menschen folgende vier Freiheiten lässt:

  • Freiheit 0: Die Freiheit, das Programm jederzeit nutzen zu können
  • Freiheit 1: Die Freiheit, den Quellcode des Programms einsehen und an seine eigene Bedürfnisse anpassen zu können
  • Freiheit 2: Die Freiheit, das Programm oder auch das angepasste Programm an weitere Menschen weiter zu geben
  • Freiheit 3: Die Freiheit, das Programm zu verbessern und diese Verbesserung zu publizieren zu dürfen

Mit dem Begriff FLOSS (Free/Libre Open Source Software) liegt man in der Beschreibung dieser Art Software auf der sicheren Seite (RMS zu FLOSS/FOSS).

Ein Vorteil von dieser Art Software ist, dass viele Menschen - theoretisch und größtenteils auch praktisch - den Quelltext prüfen und entsprechend die Fehler fixen können.

Software, deren Quelltext nicht offen ist, kann weder von der Community verbessert noch überhaupt (auf einfache Weise) geprüft werden. Dieser Software kann ich meiner Meinung nach systembedingt nicht trauen.

Welche Apps erhöhen meine Datensicherheit?

Hier nun eine Auswahl an Apps, die eine sinnvolle Erweiterung Deines Smartphones oder privatsphäre schützende Alternativen zu den vorinstallierten Apps darstellen.

Internetbrowsing und App-Nutzung mit Zugriff auf das Internet

Blokada

Die erste Software, die ich empfehle zu installieren, ist Blokada. Blokada ist eine Werbeblocker- sowie Datenschutz-App.

Nach der Installation dieser App wird ein lokales VPN (Virtuelles privates Netzwerk) auf dem Smartphone eingerichtet und mit wenigen Ausnahmen sämtlicher Internetverkehr vom Smartphone durch dieses VPN geleitet und Verbindungen zu Werbeseiten einfach “geschluckt”. Zusätzlich zu dem Schutz vor Trackern wird dadurch mobiles Datenvolumen und Akkuleistung geschont, weil der Werbemüll erst gar nicht heruntergeladen werden muss.

Selbst in der freien Version von Blokada können verschiedene DNS (Domain Name Server) - also einfach gesagt Übersetzer von www-Namen in www-IP-Adressen - ausgewählt werden, die angefragt werden, wenn das Smartphone eine Verbindung zu einem Server aufbaut. Auch hier kann man datenschutzfreundliche DNS, wie z. B. die von Digitale Gesellschaft (Schweiz), auswählen und muss nicht die des Diensteanbieters oder den Google DNS nutzen.

Netguard

Netguard bezeichne ich als das große Blokada. Hier kann man in der freien Version bereits je App und je Zugriffsart (mobil / W-LAN) festlegen, ob eine App ins Internet darf oder nicht. In der freigeschalteten Version kann man dies sehr detailliert einstellen. Hier ist aber etwas Aufwand zu betreiben.

Auch Netguard richtet ein lokales VPN ein und routet sämtlichen Internetzugriff der Apps über dieses und blockiert den Zugriff oder nicht.

Auch Netguard kann als Werbeblocker genutzt werden.

Für Anfänger sei von meiner Seite Blokada empfohlen. Für Enthusiasten sei Netguard empfohlen.

TOR (The Onion Routing Protokoll)

Wenn man in der F-Droid App unter Einstellungen auch Pakete aus dem Guardian Project zulässt, kann man darüber den TOR-Browser installieren.

Mit diesem kann man sehr sicher mit einem angepassten Firefox-Browser durch das Internet surfen. Darüber kann ich zum Beispiel auch die Spiegel-Online-Seite aufrufen, was mir über den Standard-Firefox-Browser nicht so einfach gelingt.

Auch in dem Tor-Browser sollte man die bereits vorinstallierten Addons wie uBlock Origin, Privacy Badger, NoScript und https Everywhere einschalten. Zu den AddOns gleich mehr in dem Bereich zum Firefox-Browser.

Warum ist diese Möglichkeit des Internetsurfens sicherer als das Surfen mit Firefox oder Chrome?

Das liegt an der genutzten Infrastruktur, die sich der Tor-Browser zu nutze macht. The onion routing protocol heißt übersetzt das Zwiebel Routing Protokoll und meint, dass die Verbindung vom Smartphone zur Zieladresse und zurück über einige Zwischenpunkte geroutet werden, die jeweils nur die Information erhalten, zu welchem nächsten Punkt sie das IP-Paket schicken sollen. An dieser nächsten Station wird das Paket dann ausgepackt und drin steht wiederum nur wohin das Paket als nächstes gesandt werden soll, bis das Paket am Ziel angekommen ist. Der Rückweg ist dann genauso unterteilt in viele kleine Einzelstrecken. Es ist extrem schwer diesen Internetverkehr abzufangen und dem Menschen zuzuordnen, der das Paket geschickt hat. Das Surfen über diesen Browser ist daher sehr sicher.

Firefox-Browser mit AddOns

Mein Standardbrowser auf allen meinen Systemen ist aber dennoch seit vielen Jahren der Firefox mit einigen Addons, um Werbetracking zu unterbinden. Mich wundert es manchmal beim Blick auf fremde Geräte wie nervtötend das Internetbrowsen sein kann, wenn man Werbung nicht blockt.

Dazu helfen mir folgende wärmstens empfohlene AddOns.

Als erstes muss unbedingt uBlock Origin installiert werden, um den Großteil an Werbetrackern und Werbung zu unterbinden. Ausserdem schont das beim mobilen Surfen das Datenvolumen und die Akkuleistung, weil viel Werbedatenmüll gar nicht erst heruntergeladen wird. Das surfen ist schneller und sicherer, weil man nicht getrackt werden kann.

Ein weiterer sehr nützlicher Trackerblocker ist der Privacy Badgder der Electronic Frontier Foundation (EFF). Auch hiermit werden Tracker geblockt. Ein must have für Smartphone und Notebook/Desktop-Recher.

HTTPS-Everywhwere ebenfalls von der EFF ist ebenso empfehlenswert, da zuallererst versucht wird eine Seite über https anstatt nur http zu erreichen. Generell sollte man wissen, dass Internetdienste mit einem “s” am Ende, wie https oder ftps, zu bevorzugen sind, weil sie eine sichere (das “s” steht für secure) Verbindung ermöglichen. Es ist schwerer solche Verbindungen zu kompromittieren und Daten abzuhören.

Generell sollte man eher mit dem Browser Dienste - auch Social Media Dienste - gegenüber den angebotenen Apps bervorzugt nutzen, da über die AddOns im Firefox diese Verbindungen sicherer sind als bei Nutzung der Apps. Die Deutsche Bahn Seite bietet nach einem Login nahezu dieselben Funktionalitäten wie die DB-App. Xing oder LinkedIn können sehr gut mit dem Browser genutzt werden. Am besten nutzt man dazu dann noch folgende App, die eine sogenannte Sandbox für diese Dienste bereitstellt, die u. U. in andere Browsertabs oder auf das System zugreifen wollen.

WebApps - eine Sandbox für Facebook, Xing, LinkedIn und Co.

Mit WebApps kann man mobile und WebApp-Sites sicher mit https und in einer Sandbox nutzen und alles andere kann dann über den Firefox abgewickelt werden. Aber im Firefox dann ohne Cookies und ohne das Sichern des Passwortes im Browser. Also sehr sicher (inkl. der o. g. AddOns).

Ich nutze Xing, LinkedIn und meinen DB-Login über WebApps. Funktioniert wie eine App (ohne URL-Leiste etc.) und klappt einfach und sicher. Auch Facebook ist mit WebApps nutzbar.

E-Mail

Nutzt bitte nicht Google-Mail. Auch nicht, um mit mir zu kommunizieren. Google liest ALLE E-Mails mit, um Dir (a) Werbung zu unterbreiten und (b) um Dich und Deine Kommunikationspartner zu tracken.

Es ist sehr einfach privacy freundliche Dienste wie posteo oder mailbox.org zu nutzen. Ja, diese Dienste kosten wahnsinnige 1 EUR/Monat, aber dafür schützen sie Eure Privatsphäre, in dem die Daten verschlüsselt gespeichert werden, so dass selbst die beiden Anbieter keinen Zugriff auf Deine Daten haben.

Ich selber nutze mit meiner Frau posteo. Posteo hosted unsere Maildaten. Sie bezahlen ihre Mitarbeiter fair. Sie nutzen grünen Strom. Man kann seinen Account anonym anlegen, nutzen und zahlen. Sie berichten öffentlich über Datenzugriffsversuche der Behörden, die aber aussichtslos sind, weil lediglich die Posteo-Kunden über den Schlüssel zu ihren Daten verfügen. Der Firmensitz und die Daten sind in Deutschland.

So nun das nächste: Nutzt bitte nicht die Googlemailapp.

Es gibt E-Mail-Apps, die Eure Privatsphäre schützen.

Viele E-Mailsapps tun das sicherlich nicht, wie man in diesem Golem-Artikel nachlesen kann.

Ich selber habe lange Zeit K9 genutzt bin dann aber vor zwei Jahren zu Fairemail gewechselt und zahle bei jedem Smartphonewechsel dem Entwickler Geld für die Proversion, was eigentlich nicht notwendig ist, aber ich finde die Software einfach toll.

Ein Posteo-E-Mail-Account ist in weniger als einer Minute eingerichtet. Die ganze E-Mail-App in zwei bis drei Minuten. Ich habe das vor zwei Jahren abends in einem Hotel in Rom “auf die Schnelle” gemacht.

Messenger

Bitte nutzt WhatsApp oder den Facebook-Messenger nicht (mehr)!

Es gibt sehr gute Apps, die Deine Privatsphäre und die Deiner Kommunikationspartner schützen. Nutzt besser ab sofort diese. Der Umstieg ist simpel. Überzeugt Eure Freundinnen und Freunde davon. Sprecht mit Eurer Familie. Überzeugt Eure ArbeitskollegInnen und die Mitglieder in Euren Gruppen.

Bitte nutzt Signal oder Threema.

Meine Versuche Matrix zu nutzen sind mangels Kommunikationspartner über diesen Kanal gescheitert. Den Großteil meiner Kommunikation wickele ich nun über Signal und Threema ab.

Viele meiner früheren Kommunikationspartner sind auf WhatsApp geblieben. Einige sind zu Signal und Threema gewechselt. Leider zu wenige. Die Gruppen, die ich verlassen habe, habe ich nur kurz wirklich vermisst. Aber das alles ist für mich kein Grund, WhatsApp nach Jahren je wieder zu installieren.

Threema ist nicht kostenlos. Das muss ich direkt dazu sagen. Aber die Software ist gut und ich nutze sie genauso wie Signal täglich. Ich kann beide Apps empfehlen. Bei beiden bist Du nicht das Produkt, wie bei WhatsApp/Facebook.

Leider gibt es die beiden Apps nicht im F-Droid-Store.

Kontakte, Kalender und Cloudspeicher für Dateien, Photos, Videos und Screenshots

Diesen Part unterteile ich in zwei Bereiche, weil der zweitere mehr Aufwandes - leider auch etwas finanziellen Aufwandes - bedarf.

Also starten wir mit dem was nichts kostet, ausser ein paar Minuten Zeit, aber aus Sicht des Privatsphärenschutzes der Personen in unseren Kontaktdaten, sehr viel bringt.

Als allererstes speichert bitte Eure Konaktdaten nicht in der Google-Cloud.

Ja, das ist extrem einfach und hilft beim Wechsel des Smartphones, aber das kann man mit freien Apps und Backups auch erreichen.

Ihr habt bei den Kontakten mehrere Möglichkeiten.

Wenn Ihr eh schon zu posteo oder mailbox.org (s. o.) gewechselt seid, dann könnt Ihr dort auch sicher und verschlüsselt Eure Kontaktdaten speichern und mit Eurem Smartphone synchronisieren. Dies hilft Euch auch bei einem Smartphonewechsel. Auf den Seiten der beiden Anbieter wird Schritt für Schritt beschrieben, wie das genau geht.

Das Mittel zur Wahl ist die App DAVx5, mit der Kontakte und auch Kalender mit dem Diensteanbieter synchronisiert werden können.

Die nächste Variante ist das lokale Speichern und das regelmässige Sichern aller Kontakte in den Smartphonespeicher oder auf die Speichererweiterungskarte und von dort per USB-Kabel auf das Notebook oder den Desktop-PC. Auch dies hilft bei einem Smartphonewechsel, alle Kontakte wiederherzustellen, nämlich per Import dieser Daten.

Was Ihr aber auf jeden Fall tun müsst ist, wenn Ihr Eure Daten bei Google sichert oder Ihr WhatsApp nutzt ist entweder alle Eure Kontakte fragen, ob sie ihre Daten auch bei Facebook oder Google hochgeladen haben wollen (DSGVO) oder den Apps wie z. B. WhatsApp, keinen Zugriff auf Eure Kontakte geben. Sinn kann es hier machen, die Kontakte, die eh auch schon bei WhatsApp sind, in der vorinstallierten Kontakt-App zu belassen und alle anderen in einer datenschutzfreundlicheren Kontaktverwaltung wie z. B. in der Simplen Kontakte App zu verwalten.

Für private Kalender gibt es die Simple Kalender App, mit der Kalenderdaten im- und exportiert (Backup/Restore bei Smartphonewechsel und zur Datensicherung) werden können. Auch ist eine Synchronisation mit z. B. posteo oder mailbox.org über DAVX5 (s. o.) möglich.

Die Variante, die ich gewählt habe, ist, alle Daten wie Kontakte, Kalender, Fotos und Screenshots vom Smartphone, sowie wichtige Dateien für unterwegs in meine Nextcloud zu sichern und das völlig automatisiert. Die Daten werden dann zusätzlich auf die Notebooks meiner Familie automatisiert synchronisiert.

Jahrelang habe ich diese Cloud selber gehostet und administriert. Zunächst auf einem Raspbery-Pi, dann auf meinem fremdgehosteten Internetspace und nun, wegen Platzmangels und weil ich mich um die Administration nicht mehr kümmern wollte, für meine Familie bei einem entsprechendem Nextcloud Hoster.

Zugriff auf diese Daten hat nur meine Familie. Jeder per Smartphone, Tablet, Notebook oder über einen Internetbrowser.

Die Clouddienste von Microsoft, Google, Amazon etc. sind nicht vertrauenwürdig, wie wir spätestens seit der Snowden-Affäre wissen. Googles und Facebooks Geschäftskonzepte beruhen auf Werbung. Das heißt, dass sie unsere Daten meistbietend verkaufen, um daraus ihre Umsätze zu generieren. Also sollten wir uns selbst um unsere Daten kümmern. Dies geht m. E. mit freier Software wie z. B. Nextcloud.

Smartwatchdaten gehören lokal gesichert und nicht in fremde Clouds

In meinem Blogpost zu meiner damals neuen und noch aktuellen privacy freundlichen Smartwatch dank Gadgetbridge habe ich geschrieben, dass auch auf diesem Gebiet mit Opensource die privatesten Daten, wie Schlafenzeiten und -qualität, Puls und Bewegungsdaten besser in den eigenen Händen gehören als in fremde Hände, die diese Daten eher gegen als für uns verwenden werden.

Freie Social Media Alternativen

Viele nutzen die Social Media Dienste von Facebook und Twitter. Die Profile und Daten liegen zentral und zentral wird dann auch gegen Haß im Netz und sehr langsam, wenn überhaupt, reagiert.

Die Idee von Facebook ist es nicht einen Dienst für UserInnen zum Austausch als reinen Selbstzweck zur Verfügung zu stellen sondern der einziege Zweck von Facebook ist es, Gelder für Werbung zu generieren und Daten über alle NutzerInnen weltweit zu generieren, da Daten das Öl des 21. Jahrhunderts darstellen.

Da finde ich Systeme, die mir wirklich lediglich Dienste zur Kommunikation (Signal) oder zum Meinungsuastausch (Mastodon) zur Verfügung stellen und über z. B. Stiftungen finanziert sind und durch eine engagierte Community am Leben gehalten und weiterentwickelt werden, deutlich nutzenswerter als die Dienste, die mich als ihr an Werbetreibende zu verkaufendes Produkt meistbietend verhökern..

Ich habe Twitter vor Jahren den Rücken gekehrt als es anfing, dass die Timeline kuratiert wurde und nicht mehr chronologisch gewesen ist. Mit Mastodon habe ich eine sehr gute dezentral organsisierte Alternative gefunden.

Aktiv bin ich auf ruhr.social als @dgr unterwegs, weil ich hier Menschen aus der Umgebung virtuell treffe, aber dennoch Menschen aus anderen Communities (aus anderen Instanzen) folgen kann.

Die Bubble ist natürlich schon nerdig und eher links-grün. Es gibt wohl rechte Instanzen, doch werden diese dann schnell geblockt, so dass mir diese üblen Kommentare bislang, seit Jahren, nicht in meine Timeline gespült werden. Es wird dennoch politisch hart und kontrovers diskutiert, aber bislang ohne Trolle und rechte Hater. Das empfinde ich als angenehm.

Ulrich Kelber als Bundesdatenschutzbeauftragter ist Teil dieser Community und nach und nach kommen Landesdatenschutzbeauftragte, Behörden, NGOs, Parteien etc. auch in das sogenannte Fediverse, in dem sich bereits sehr viele interessante Menschen befinden. Den Umgang im Fediverse empfinde ich als sehr wertschätzend und angenehm trotz aller kontroverser Meinungen, die es mitunter geben kann.

Das Wort Fediverse, und Mastodon ist Teil des Fediverse, steht für Federation und Universe. Die Instanzen von Mastodon sind föderierte Systeme, die Tröts (so heißen die Tweet in Mastodon) untereinander austauschen. Es werden Daten u. a. mit Friendica, Pixelfed, Pleroma, Peertube, GNU Social ausgetauscht, so dass man mit Menschen all over the world aus verschiedenen Diensten zu gemeinsamen Themen diskutieren kann.

Jeder User einer Nextcloud-Instanz hat übrigens gleichzeitig die Möglichkeit einen Mastodon-Account zu nutzen.

Mastodon ist selbstverständlich hervorragend mit WebApps nutzbar und ich empfehle dies. Aber es gibt selbstverständlich auch Apps, um Mastodon zu nutzen. Die beiden bekanntesten Apps im F-Droid und Google Playstore sind m. E. Tusky und Fedilab. Fedilab war dabei immer mein Vavorit. Etwas weiter unten zeige ich, wie man sich schnell Informationen bzgl. Tracker in Apps besorgen kann.

Ein weiterer interessanter Dienst ist für mich eine Instagram-/Fotocommunity-Alternative namens Pixelfed, das ich zum publizieren meiner Fotos nutze.

Auch hier bin ich als dgr unterwegs und poste meine Schwarz/Weiß-Fotografien und schaue mir gerne Fotografien und Malereien anderer an.

Apps prüfen

Auch die Apps im F-Droid Store könnten Tracker enthalten.

Du kannst jederzeit, wenn Du Dir nicht sicher bist, am besten natürlich bereits vor der Installation von Apps, diese auf Tracker überprüfen.

Am einfachsten geht das über die Website https://reports.exodus-privacy.eu.org/de/.

Mit den Tipps oben seid Ihr auf’s erste und mit wenig Aufwand schon einmal besser geschützt als ohne diese Apps.

Es macht sogar Spass zu sehen, wie schnell das Internet sein kann, wenn nicht “nebenbei” noch Daten von unseren Geräten abgesaugt (Adressdaten unserer Kontakte) oder ungefragt auf unsere Geräte (Tracker und Werbung) übertragen werden.

Auf den folgenden Links findet Ihr noch viel mehr und detailliertere Informationen zum Thema Datenschutz, Datensicherheit und Privatsphäre.

digitalcourage

prismbreak

kuketz-blog

mobilsicher