Selbstverteidigung / Lifehacks
Selbstverteidigung · Kapitel 8
Vom Kühlschrank ins Netz: 18 Lifehacks gegen die größte Geheimdienstreform der Bundesrepublik
Am 12. August 2026 hat das Kabinett auf 732 Seiten beschlossen, dass BND und Verfassungsschutz künftig nicht mehr nur beobachten, sondern eingreifen dürfen: hacken, Daten umleiten, Kameras in Echtzeit mitbenutzen, heimlich Wohnungen betreten. Die Gesellschaft für Freiheitsrechte hält den Entwurf in weiten Teilen für verfassungswidrig. Der Bundestag hat noch nicht zugestimmt — und du hast in der Zwischenzeit mehr Handlungsspielraum, als du denkst.
Lifehacks · Digitale Selbstverteidigung
16 Min · Stand 30. August 2026 Es gibt zwei Sorten von Überwachungsdebatten. Die eine endet in Empörung und ändert nichts. Die andere endet in einer Liste von Dingen, die du heute Abend erledigen kannst. Dieser Text ist die zweite Sorte. Zuerst kläre ich in aller Kürze, was am 12. August tatsächlich beschlossen wurde — mit Paragrafen, nicht mit Adjektiven. Danach kommen achtzehn Lifehacks, sortiert nach Aufwand und Wirkung, jeder mit dem konkreten Klickpfad. Und dazwischen steht ein unbequemer Satz aus dem Gesetzentwurf, den du kennen musst, bevor du anfängst.
Was am 12. August wirklich beschlossen wurde
Beginnen wir mit dem, was unstrittig ist, weil es aus der Pressemitteilung der Bundesregierung selbst stammt: Das Kabinett hat einen Gesetzentwurf zur Reform des Nachrichtendienstrechts beschlossen. Die Bundesregierung nennt ihn „die umfangreichste und grundlegendste Überarbeitung der gesetzlichen Grundlagen von Bundesnachrichtendienst und Bundesamt für Verfassungsschutz in der bundesdeutschen Geschichte“. Das ist keine Zuspitzung von Kritikern. Das ist die Eigenbeschreibung.
Bundesinnenminister Alexander Dobrindt formuliert das Ziel so: Man entwickle die Nachrichtendienste „hin zu echten Geheimdiensten“. Auch das ist ein Zitat, kein Vorwurf.
Der entscheidende Bruch steckt in einem einzigen Wort: operativ. Bislang galt in der Bundesrepublik eine klare Arbeitsteilung — Nachrichtendienste sammeln Informationen, aber sie greifen nicht ein; eingreifen darf nur die Polizei, und die unterliegt dafür deutlich strengeren Voraussetzungen. Diese Trennung ist kein technisches Detail, sondern eine Lehre aus der Geheimen Staatspolizei; die Alliierten haben sie der Bundesrepublik nach 1945 ins Fundament geschrieben. Der Entwurf gibt beiden Diensten nun eigene Eingriffsbefugnisse.
Die Gesellschaft für Freiheitsrechte, die die Verfassungsbeschwerden gegen das bayerische und das hessische Verfassungsschutzgesetz koordiniert hat — also gegen jene Gesetze, deren Scheitern in Karlsruhe dieses Verfahren überhaupt erst ausgelöst hat —, fasst ihre Bewertung in zwei Sätzen zusammen, die ich hier vollständig zitiere, weil sie präziser sind als jede Paraphrase.
„Die Regelungen greifen unverhältnismäßig in die Grundrechte ein. Der Entwurf ist daher in weiten Teilen verfassungswidrig.“
— Gesellschaft für Freiheitsrechte, Stellungnahme vom 14. Juli 2026Und weiter, zum eigentlichen Strukturbruch: „Die strenge Trennung zwischen den nur überwachenden, aber nicht operierenden Nachrichtendiensten und der dann eingreifenden Polizei wird eingerissen. […] Die Regelungen brechen mit dem Charakter der reinen Nachrichtendienste und führen zu einer ‚Verpolizeilichung‘.“
Die sechs Befugnisse, die deinen Alltag betreffen
Ich lasse alles weg, was nur Spione und fremde Mächte betrifft. Es bleiben sechs Punkte, die in eine ganz normale Wohnung hineinreichen. Die Paragrafen stammen aus dem Entwurf des neuen Bundesverfassungsschutzgesetzes, wie ihn die GFF analysiert hat.
§§ 23 ff. BVerfSchG-E
Online-Durchsuchung und Staatstrojaner
Das BfV erhält erstmals die Befugnis zur Online-Durchsuchung. Erfasst ist der Fernzugriff per Trojaner ebenso wie das Auslesen beschlagnahmter Geräte. Die höheren Hürden greifen nur bei „privaten“ Systemen — ein Begriff, den die GFF als zu unbestimmt rügt: Dienstlaptops, Leihgeräte und in der Familie gemeinsam genutzte Geräte fallen womöglich in die niedrigere Kategorie.
§ 15 BVerfSchG-E
Kameras — fremde wie eigene
Betreiber privater und öffentlicher Videoüberwachung werden verpflichtet, die Mitbenutzung zu ermöglichen, Daten in Echtzeit auszuleiten und Aufzeichnungen herauszugeben. Die GFF: Die Befugnis erstrecke sich „auf die Überwachung des gesamten öffentlichen Raums“ und erfasse faktisch alle Menschen in Deutschland, auch zufällig Anwesende.
§ 8 Abs. 1 u. 2 BVerfSchG-E
Biometrischer Abgleich im Netz
Das BfV darf öffentlich zugängliche Quellen — also das Internet — biometrisch abgleichen, und zwar auch über private Dienstleister im Nicht-EU-Ausland. Die GFF nennt hier ausdrücklich PimEyes und Clearview. Auch ein Nicht-Treffer ist rechtlich ein Grundrechtseingriff. Und: Bilder landen oft ohne Wissen der Abgebildeten im Netz.
Smart Home & Kfz
Vom Kühlschrank bis zum Auto
Die Bundesregierung selbst beschreibt die Bandbreite der Zugriffe „von Zugriffen auf intelligente Haushaltsgeräte bis zu privaten Mobiltelefonen“. Berichtet wird außerdem über Zugriffe auf Telemetriedaten von Fahrzeugen. Der vernetzte Kühlschrank ist hier kein Bild, sondern eine Kategorie im Gesetzgebungsverfahren.
§§ 36, 37 BVerfSchG-E
KI-Training und automatisierte Analyse
Beide Dienste dürfen personenbezogene Daten automatisiert auswerten und eigene KI-Systeme trainieren. Bei Verhaltens- und Persönlichkeitsprofilen zur Einschätzung eines „individuellen Bedrohungspotenzials“ gelten höhere Hürden — die Kritiker halten sie für zu vage, um kontrollierbar zu sein.
§§ 60 ff. BVerfSchG-E
Operative Maßnahmen
„Einwirkung auf Gegenstände“ — und Gegenstand ist laut GFF nicht nur Körperliches, sondern auch „digitale Bestände wie Daten, Software und digitale Infrastruktur wie Plattformen“. Gewalt gegen Personen ist ausgeschlossen. Dass die Maßnahme fremde, unbeteiligte Infrastruktur trifft, ist nach dem Wortlaut nicht ausgeschlossen. Zusätzlich: heimliches Betreten von Wohnungen, um Wanzen oder Spähsoftware anzubringen.
Ein Detail, das für sich spricht
Im heute geltenden Bundesverfassungsschutzgesetz regelt § 15 den Auskunftsanspruch: das Recht des Bürgers zu erfahren, was über ihn gespeichert ist.
Im Entwurf trägt § 15 den Zugriff auf Einrichtungen der Videoüberwachung.
Der Auskunftsanspruch verschwindet dadurch nicht — er wird an anderer Stelle geregelt. Aber die Reihenfolge, in der ein Gesetz seine Themen sortiert, sagt etwas über seine Prioritäten.
Drei Aussagen, drei Realitäten
Aussage
Die Reform sei vor allem eine überfällige Anpassung an die Rechtsprechung des Bundesverfassungsgerichts.
Begründung des Gesetzentwurfs
Wirklichkeit
Zur Hälfte richtig — und die GFF begrüßt diesen Teil ausdrücklich. Karlsruhe hat aber Grenzen verlangt, keine neuen Befugnisse. Online-Durchsuchung, Kamerazugriff, biometrischer Abgleich und operative Maßnahmen sind Erweiterungen, die aus keinem Urteil folgen.
Aussage
Die Kontrolle werde gestärkt: Alles Eingriffsintensive geht künftig vorab durch den Unabhängigen Kontrollrat.
Bundesregierung, 12. August 2026
Wirklichkeit
Die Bundesdatenschutzbeauftragte, deren Aufsicht über die Dienste weitgehend entfällt: „Die Kontrolle über die Nachrichtendienste würde nicht gestärkt, sondern erheblich geschwächt.“ Die GFF ergänzt, dem Kontrollrat fehlten „die technische Expertise und der personelle Unterbau“ für die neuen Befugnisse.
Aussage
Es gehe um Spionageabwehr, Sabotage und fremde Mächte — nicht um normale Bürger.
Politische Begleitkommunikation
Wirklichkeit
Die Eingriffsschwelle knüpft an eine unwiderlegliche Vermutung an: Werden zur Zielverfolgung Straftaten begangen, gilt erhebliche Beobachtungsbedürftigkeit als gegeben. Die GFF nennt als Beispiele ausdrücklich „das Kleben von Stickern oder das Abreißen von Plakaten, gerade im Rahmen von politischem Protest“.
Der unbequeme Satz — bitte vor den Lifehacks lesen
Jetzt kommt die Stelle, an der ich mich von der Hälfte der Ratgeber im Netz unterscheide, und ich hätte diesen Absatz gern nicht geschrieben.
Der Entwurf nennt als Regelbeispiel für erhebliche Beobachtungsbedürftigkeit unter anderem eine „planmäßig verschleiernde“ Vorgehensweise. Das Bundesverfassungsgericht hat anerkannt, dass das Maß der Abschottung ein Kriterium sein kann — es hat aber im selben Atemzug auf kritische Stimmen verwiesen. Die GFF formuliert es so:
„[…] dass Maßnahmen zur IT-Sicherheit oder zum Datenschutz als Abschottung betrachtet werden können. Eine Verschleierung kann zudem dem legitimen Ziel dienen, sich vor Angriffen des politischen Gegners oder vor ausländischen Geheimdiensten zu schützen. […] Dieses Verhalten ist in diesen Fällen als grundrechtlich geschützter Eigenschutz anzusehen und darf nicht als Indiz für eine Beobachtungsbedürftigkeit herangezogen werden.“
— GFF-Stellungnahme, S. 5, zu § 3 Abs. 7 BVerfSchG-ELies das noch einmal. Es geht um die Möglichkeit, dass Datenschutz als Verdachtsmoment gelesen wird. Die GFF hält das für falsch und fordert, die Regelvermutung zu streichen. Ich teile diese Einschätzung — und trotzdem musst du wissen, dass sie im Text steht.
Zwei Dinge zur Einordnung, damit hier niemand in die falsche Richtung läuft. Erstens: Das Kriterium steht nicht allein. Es greift innerhalb der Prüfung, ob eine bereits erkannte Bedrohung erheblich beobachtungsbedürftig ist. Wer Signal benutzt, wird davon nicht zum Fall. Zweitens: Genau deshalb ist die richtige Antwort nicht weniger Schutz, sondern mehr — und zwar von möglichst vielen.
Denn die Logik ist unerbittlich: Solange nur Verdächtige verschlüsseln, ist Verschlüsselung ein Verdacht. Wenn dagegen der Steuerberater, die Hebamme, der Handwerksbetrieb und dein Vater dasselbe tun, ist es Hygiene. Jeder einzelne Mensch, der Standardschutzmaßnahmen einschaltet, senkt den Signalwert dieser Maßnahme für alle anderen. Das ist kein Trotz, das ist Statistik. Und es ist der Grund, warum diese Liste bewusst aus unauffälligen Standardeinstellungen besteht und nicht aus exotischen Bastellösungen.
18 Lifehacks — nach Aufwand und Wirkung
Alle Angaben zu Aufwand sind ehrlich geschätzt und meinen die einmalige Einrichtung. Alle Pfade habe ich auf den aktuellen Systemständen geprüft; je nach Version und Hersteller können die Bezeichnungen leicht abweichen. Wenn du nur eine Stunde hast: mach die Nummern 1, 2, 5, 6 und 14. Das ist der Großteil der Wirkung.
Gruppe A · Das Gerät in deiner Hand
Die wichtigste Gruppe, und zwar mit Abstand. Eine Online-Durchsuchung greift das Endgerät an, nicht die Leitung. Wer sein Telefon härtet, hat mehr getan als jemand, der drei VPNs hintereinanderschaltet.
Updates am Tag des Erscheinens einspielen
Aufwand: 5 Min/MonatWirkung: sehr hoch
Staatstrojaner sind keine Magie. Sie brauchen eine Sicherheitslücke, und die allermeisten dieser Lücken sind zum Zeitpunkt des Angriffs bereits geschlossen — nur eben nicht auf dem Gerät des Opfers. Automatische Updates einschalten, und zwar für Betriebssystem und Apps.
iOS: Einstellungen → Allgemein → Softwareupdate → Automatische Updates
Android: Einstellungen → System → Softwareupdate | Play Store → Profil → Einstellungen → Automatische App-Updates
Windows: Einstellungen → Windows Update | macOS: Systemeinstellungen → Allgemein → Softwareupdate
Genauso wichtig: Geräte ohne Sicherheitsupdates gehören ersetzt. Ein sechs Jahre altes Android-Telefon ohne Patches ist kein Sparfuchs-Move, sondern eine offene Tür. Prüfe beim nächsten Kauf, wie lange der Hersteller Updates zusagt — bei aktuellen Samsung- und Google-Geräten sind es sieben Jahre, bei Apple mindestens fünf, bei vielen Billigmarken null. Stell diese Frage bei jedem Gerät, auch bei Spezialisten wie dem Solana Seeker.
Warum das gerade jetzt zählt: Die im Referentenentwurf geplante Pflicht des BSI, Schwachstellen automatisiert an den BND zu melden, wurde vor dem Kabinettsbeschluss gestrichen. Ein gesetzlich geregelter Abwägungsprozess, wann eine dem Staat bekannte Lücke gemeldet und wann sie zurückgehalten wird, fehlt in Deutschland aber weiterhin. Auf staatliches Schwachstellenmanagement kannst du dich also nicht verlassen — nur auf deinen eigenen Update-Knopf.
Lockdown-Modus beziehungsweise Erweiterten Schutz aktivieren
Aufwand: 2 MinWirkung: sehr hoch
Beide großen Systeme haben inzwischen einen Modus, der genau für dieses Bedrohungsmodell gebaut wurde: kommerzielle Spähsoftware. Er schaltet die Angriffsflächen ab, über die solche Werkzeuge typischerweise hereinkommen — komplexe Schriftvorschauen, bestimmte Nachrichtenanhänge, Zugriffe über das Ladekabel, 2G-Mobilfunk.
iOS: Einstellungen → Datenschutz & Sicherheit → Blockierungsmodus
Android 16+: Einstellungen → Sicherheit & Datenschutz → Erweiterter Schutz → Geräteschutz
Der Modus ist kostenlos, von Apple und Google selbst gebaut und nicht als solcher nach außen sichtbar. Reporter ohne Grenzen empfiehlt ihn ausdrücklich für Menschen mit erhöhtem Risiko.
Der ehrliche Preis: Einzelne Komfortfunktionen fallen weg — manche Webseiten rendern schlechter, Anrufe von unbekannten Nummern per FaceTime werden blockiert, unter Android ist Sideloading gesperrt. Probier es zwei Wochen. Die meisten merken nach dem dritten Tag nichts mehr. Voraussetzung unter Android: Version 16 — läuft dein Gerät noch auf 15, existiert der Menüpunkt nicht. Dann gilt Hack 1 umso mehr.
Das Telefon einmal pro Woche neu starten
Aufwand: 60 Sek/WocheWirkung: mittel
Der billigste Hack der ganzen Liste, und er stammt nicht aus der Aluhut-Ecke, sondern aus den Mobile-Device-Empfehlungen der NSA. Viele hochwertige Implantate sind nicht persistent: Sie leben im Arbeitsspeicher, weil ein dauerhaftes Einnisten die Entdeckungswahrscheinlichkeit vervielfacht. Ein vollständiger Neustart räumt den Speicher — und wirft den Angreifer heraus, der dann erneut zuschlagen muss.
Nimm dir einen festen Termin, etwa Sonntagabend. Wirklich aus- und wieder einschalten, nicht nur den Bildschirm sperren.
Grenze: Die NSA sagt selbst, dass ein Neustart Angriffe nur manchmal verhindert. Gegen persistente Implantate hilft er nicht. Er kostet dich aber auch nichts.
Verschlüsselung und Gerätesperre nachschärfen
Aufwand: 15 MinWirkung: hoch
Der Entwurf stellt den Fernzugriff per Trojaner ausdrücklich mit dem Auslesen eines Geräts gleich, das sich bereits im Zugriff der Behörde befindet. Übersetzt: Das beschlagnahmte oder verlorene Gerät ist genauso ein Thema wie das gehackte.
Vierstellige PINs sind in Minuten durchprobiert. Nimm eine sechsstellige PIN als Minimum, besser ein alphanumerisches Passwort. Am Rechner die Vollverschlüsselung einschalten, falls nicht ohnehin aktiv.
Windows: BitLocker (Systemsteuerung → BitLocker-Laufwerkverschlüsselung)
macOS: Systemeinstellungen → Datenschutz & Sicherheit → FileVault
Linux: LUKS bei der Installation aktivieren
iOS/Android: aktiv, sobald eine Sperre gesetzt ist — Sperre = Verschlüsselung
Und die Backups nicht vergessen: Eine externe Festplatte mit unverschlüsselten Backups macht die ganze Übung zunichte.
Das Cloud-Konto härten — der Generalschlüssel
Aufwand: 30 MinWirkung: sehr hoch
Der günstigste Weg in dein digitales Leben führt selten über einen Exploit. Er führt über dein Apple- oder Google-Konto — dort liegt in der Standardeinstellung ein vollständiges Abbild deines Telefons, inklusive Nachrichten, Fotos und Standortverlauf, und zwar in einer Form, auf die der Anbieter selbst zugreifen kann.
Drei Schritte, in dieser Reihenfolge:
1. Apple: Einstellungen → [dein Name] → iCloud → Erweiterter Datenschutz → aktivieren
(Ende-zu-Ende-Verschlüsselung für Backup, Fotos, Notizen)
2. Passwortmanager einrichten (Bitwarden, 1Password, KeePassXC) — für jeden Dienst
ein eigenes Passwort, keine Ausnahmen
3. Zweiten Faktor umstellen: Passkeys oder Hardware-Schlüssel (YubiKey, Nitrokey)
statt SMS — SMS-Codes lassen sich über den Mobilfunkanbieter abgreifen
Hinter Schritt 3 steckt ein Prinzip, das weit über die Zwei-Faktor-Anmeldung hinausreicht: Schlüssel gehören in isolierte Hardware, nicht ins Betriebssystem. Ein Trojaner, der Android oder iOS unterwandert, liest alles, was das System lesen kann — an ein Geheimnis, das die geschützte Umgebung des Chips nie verlässt, kommt er nicht heran. Genau darauf beruht ein YubiKey.
Auf der Krypto-Seite ist der Seed Vault des Solana Seeker nach demselben Muster gebaut: Die Seed Phrases — bis zu acht Stück — liegen in einer Trusted Execution Environment auf dem Chip, abgeschottet von Android und von jeder installierten App, und werden per Fingerabdruck freigegeben. Die Schlüssel verlassen diese Umgebung nicht. Für Kapitel 3 — Geld & Krypto ist das die interessantere Hälfte des Geräts; für dieses Kapitel ist es die Illustration der Regel: Was ein kompromittiertes System nie zu sehen bekommt, kann es auch nicht verraten.
Achtung bei Apples erweitertem Datenschutz: Ab dann kann Apple dir bei verlorenem Zugang nicht mehr helfen. Wiederherstellungsschlüssel ausdrucken und dorthin legen, wo auch die Ausweise liegen. Wer das nicht diszipliniert schafft, lässt es besser — ausgesperrte Menschen habe ich häufiger gesehen als gehackte.
Gruppe B · Deine Wohnung und dein Auto
Hier liegt die eigentliche Neuerung. Die Bundesregierung beschreibt die Bandbreite der Zugriffe selbst als „von intelligenten Haushaltsgeräten bis zu privaten Mobiltelefonen“. Jedes vernetzte Gerät, das du nicht besitzt, kann auch nicht gegen dich verwendet werden.
Smart-Home-Inventur machen
Aufwand: 45 MinWirkung: hoch
Setz dich einmal hin und schreib auf, was in deiner Wohnung ein Mikrofon, eine Kamera oder eine Internetverbindung hat. Die Liste wird länger, als du denkst: Fernseher, Saugroboter, Türklingel, Babyfon, Thermostat, Waschmaschine, Lautsprecher, Spielkonsole, Drucker, Uhr.
Dann drei Spalten daneben: Brauche ich das Gerät? Brauche ich seine Netzfunktion? Was gewinne ich, wenn ich die Netzfunktion abschalte?
Bei den meisten Haushalten fliegen nach dieser Übung drei bis fünf Geräte aus dem Netz — und niemand vermisst sie. Der vernetzte Kühlschrank kühlt auch ohne WLAN.
Faustregel: Ein Gerät, dessen Netzfunktion du im letzten halben Jahr nicht bewusst genutzt hast, braucht sie nicht.
Alle IoT-Geräte ins Gastnetz sperren
Aufwand: 60 MinWirkung: hoch
Was im Netz bleiben darf, gehört nicht ins selbe Netz wie dein Rechner und dein Telefon. Fast jeder moderne Router kann ein zweites, isoliertes Netz aufspannen — bei der Fritz!Box heißt es Gastzugang, bei anderen Herstellern VLAN oder IoT-Netz.
Fritz!Box: WLAN → Gastzugang → aktivieren →
„Gastzugriff auf Heimnetz und USB-Speicher sperren“ anhaken
Das kostet einen Abend und bringt zwei Dinge: Ein kompromittiertes Billiggerät sieht deinen Rechner nicht mehr, und du hast eine klare Grenze zwischen „Geräte, denen ich vertraue“ und „Geräte, die halt da sind“.
Kameras lokal betreiben statt in der Cloud — oder gar nicht
Aufwand: variabelWirkung: hoch
Das ist der Hack, der am direktesten am neuen Gesetz hängt. § 15 des Entwurfs verpflichtet Verfügungsberechtigte privater Videoüberwachung, die Mitbenutzung zu ermöglichen, in Echtzeit auszuleiten und Aufzeichnungen zu übermitteln. Wer eine Cloud-Kamera betreibt, betreibt eine Infrastruktur, die dafür bereits fertig gebaut ist.
In der Reihenfolge abnehmender Wirkung: a) Kamera abbauen, wo sie ohnehin nur Gewohnheit ist. b) Auf lokale Aufzeichnung ohne Cloud umstellen — Kamera plus eigener Rekorder, Fernzugriff aus, kurze Speicherdauer. c) Wenn Cloud bleiben muss: Aufnahmebereich strikt auf das eigene Grundstück begrenzen, Aufbewahrungsfrist auf das Minimum stellen.
Ehrlich bleiben: Eine Anordnung erreicht dich auch bei lokaler Aufzeichnung. Was du änderst, ist die Menge dessen, was überhaupt existiert, und die Möglichkeit stiller Echtzeit-Mitbenutzung ohne dein Zutun. Das ist ein realer Unterschied.
Dauerlauschende Mikrofone abschalten
Aufwand: 20 MinWirkung: mittel bis hoch
Sprachassistenten funktionieren, indem sie permanent zuhören. Das ist keine Verschwörung, das ist die Bauart. Ein Gerät mit dauerhaft aktivem Mikrofon in der Wohnung ist genau das, was der Entwurf unter „informationstechnisches System“ fasst.
Prüfe: smarte Lautsprecher, Fernseher mit Sprachfernbedienung, Sprachassistent auf dem Telefon, Spielkonsole, Babyfon. Wo es einen physischen Mute-Schalter gibt, benutz ihn. Wo nicht, schalte die Weckwort-Erkennung ab.
iOS: Einstellungen → Apple Intelligence & Siri → „Hey Siri“ deaktivieren
Android: Einstellungen → Google → Einstellungen für Google-Apps → Suche &
Assistent → Voice Match deaktivieren
Für sensible Gespräche gilt die simpelste Regel von allen: Telefone bleiben im anderen Zimmer. Das ist kein Ritual, das ist Physik.
Den Router zur Grenze machen
Aufwand: 45 MinWirkung: hoch
Der Router ist das einzige Gerät, durch das alles hindurchmuss. Er ist deshalb sowohl der wichtigste Schutzpunkt als auch das am häufigsten vergessene Gerät im Haushalt.
☐ Firmware auf aktuellem Stand, automatische Updates an
☐ Fernzugriff aus dem Internet deaktiviert (Fritz!Box: Internet → Freigaben → FRITZ!Box-Dienste)
☐ UPnP / automatische Portfreigaben aus
☐ WPA3 (oder mindestens WPA2) mit langem, eigenem Passwort
☐ Admin-Passwort geändert — nicht das ab Werk aufgedruckte
☐ Verschlüsseltes DNS (DoH/DoT) aktiviert
Wenn dein Router vom Anbieter gestellt wurde und du nicht an alle Einstellungen kommst: Das ist ein Grund, ein eigenes Gerät zu kaufen. Freie Routerwahl ist in Deutschland gesetzlich garantiert.
Wissen, was dein Auto sendet
Aufwand: 30 MinWirkung: mittel
Zu den Datenquellen, über die im Zusammenhang mit der Reform berichtet wird, gehören Telemetriedaten von Fahrzeugen. Ein modernes Auto ist ein Bewegungsprotokoll auf Rädern: Position, Geschwindigkeit, Fahrverhalten, oft auch Innenraum-Mikrofon und gekoppeltes Telefonbuch.
Konkret: Im Herstellerkonto und im Fahrzeugmenü die Datenteilung durchgehen und alles abschalten, was nicht sicherheitsrelevant ist — Fahrverhaltensanalyse, Standortverlauf, Nutzungsstatistiken, Marketing. Beim Verkauf oder bei der Rückgabe eines Mietwagens: gekoppelte Telefone und Kontakte löschen, Werkseinstellungen des Infotainmentsystems zurücksetzen.
Grenze: Der eCall-Notruf lässt sich nicht abschalten, und viele Hersteller lassen die Basis-Telematik nicht deaktivieren. Was geht, geht — der Rest ist ein Kaufkriterium beim nächsten Fahrzeug.
Gruppe C · Deine Spur im Netz
Hier geht es darum, wie leicht sich aus verstreuten Bruchstücken ein Bild zusammensetzen lässt. Genau das ist der Zweck automatisierter Datenanalyse.
Auf einen Messenger konsolidieren — und verschwinden lassen
Aufwand: 30 MinWirkung: hoch
Signal ist der Standard, an dem sich alles andere messen lassen muss — nicht weil die Verschlüsselung besser wäre als bei WhatsApp (der Kern ist derselbe), sondern weil bei Signal fast keine Metadaten anfallen. Wer wann mit wem wie oft schreibt, ist oft aussagekräftiger als der Inhalt.
Der eigentliche Hebel sind aber die verschwindenden Nachrichten. Stell sie als Standard für alle neuen Chats ein, dreißig Tage sind ein guter Kompromiss. Damit reduzierst du dauerhaft die Datenmenge, die auf deinem Gerät liegt.
Signal: Einstellungen → Datenschutz → Verschwindende Nachrichten →
Standard-Timer für neue Chats
Zusätzlich: Einstellungen → Datenschutz → Sperrbildschirm-Vorschau deaktivieren
Die wichtigste Einschränkung dieses ganzen Textes: Ende-zu-Ende-Verschlüsselung schützt die Nachricht auf dem Weg. Gegen einen Trojaner auf dem Endgerät hilft sie nicht — der liest mit, bevor verschlüsselt und nachdem entschlüsselt wurde. Deshalb steht Gruppe A vor Gruppe C. Wer Nummer 12 macht, aber Nummer 1 und 2 auslässt, hat das Problem nicht verstanden.
Metadaten reduzieren, nicht nur Inhalte
Aufwand: 20 MinWirkung: mittel bis hoch
Der BND darf Metadaten ungesichtet zwölf Monate speichern — doppelt so lang wie Inhaltsdaten. Das ist kein Zufall: Ein Jahr Verbindungsdaten ergibt ein vollständiges Sozialdiagramm.
Drei Stellschrauben, die wenig kosten: Telefonate über Signal statt über das Mobilfunknetz führen. Standortfreigaben app-weise durchgehen und auf „Beim Verwenden“ oder „Nie“ setzen. Und die Werbe-ID zurücksetzen und abschalten — sie ist der Klebstoff, mit dem Datenhändler Profile über Apps hinweg zusammenführen.
Android: Einstellungen → Sicherheit & Datenschutz → Weitere Datenschutzeinstellungen →
Werbung → Werbe-ID löschen
iOS: Einstellungen → Datenschutz & Sicherheit → Tracking → „Apps erlauben,
Tracking anzufordern“ ausschalten
Gesichtsbilder minimieren und aus Gesichtssuchmaschinen austragen
Aufwand: 45 MinWirkung: hoch
Das ist der Hack, den fast niemand macht und der am direktesten wirkt. Der Entwurf erlaubt biometrische Abgleiche mit öffentlich zugänglichen Quellen — und ausdrücklich auch über private Anbieter im Nicht-EU-Ausland. Die GFF nennt beim Namen, worum es geht: PimEyes und Clearview.
PimEyes betreibt ein kostenloses Opt-out. Es funktioniert, es dauert wenige Minuten, und praktisch niemand nutzt es:
1. pimeyes.com/en/opt-out-form aufrufen
2. Mehrere gut ausgeleuchtete Frontalfotos hochladen (verschiedene Winkel)
3. Ausweisdokument hochladen — alles außer Foto und Name schwärzen
4. E-Mail bestätigen. Bearbeitung: 3 bis 7 Werktage. Kostenlos.
5. Alle 3 bis 4 Monate wiederholen, für neu aufgetauchte Bilder
Parallel dazu die eigene Bildspur ausdünnen: alte Profilbilder löschen statt nur ersetzen, Fotos von Veranstaltungen und Demonstrationen prüfen, und im Bekanntenkreis darum bitten, keine Bilder von dir mit Namensnennung zu veröffentlichen. Ein Bild ohne zugeordneten Namen ist für einen Abgleich deutlich weniger wert.
Realistisch: Die Originalbilder bleiben auf den Webseiten, von denen sie stammen — das Opt-out entfernt sie nur aus den Suchergebnissen des Anbieters. Und die GFF weist zu Recht darauf hin, dass Bilder oft ohne Wissen oder gegen den Willen der Abgebildeten im Netz landen. Vollständigen Schutz gibt es hier nicht, nur weniger Treffer.
„Passwortgeschützt“ ist nicht „privat“
Aufwand: 60 MinWirkung: mittel bis hoch
Im Gesetzgebungsverfahren wird der Begriff der „öffentlich zugänglichen Quelle“ weit verstanden — bis hinein in Bereiche, die nur nach Anmeldung erreichbar sind. Für die Praxis heißt das: Die geschlossene Facebook-Gruppe, der private Telegram-Kanal, das Forum mit Registrierungspflicht sind keine geschützten Räume. Behandle sie wie eine Bühne.
Konkret: Einmal durch die eigenen Profile gehen. Alte Beiträge, die nur noch Kontext ohne Nutzen sind, löschen. Geburtsdatum, Wohnort, Arbeitgeber und Beziehungsstatus aus öffentlichen Profilen entfernen — das sind die Felder, über die sich Datensätze verknüpfen lassen.
Und die zweite Hälfte dieses Hacks: Identitäten trennen. Eine E-Mail-Adresse für Behörden und Banken, eine für Einkäufe, eine für alles Politische, eine für Freunde. Alias-Dienste wie SimpleLogin oder die Funktion „E-Mail-Adresse verbergen“ bei Apple machen das in Sekunden. Automatisierte Datenanalyse lebt von Verknüpfung — jede getrennte Kennung ist eine Verknüpfung weniger.
Browser härten und bei Datenhändlern austragen
Aufwand: 90 MinWirkung: mittel
Zu den in der Analyse genannten Neuerungen gehört der Ankauf kommerzieller Datensätze. Das ist der bequemste Weg an Daten, für den es keine Eingriffsschwelle braucht — man kauft sie einfach. Wer bei den Händlern nicht auftaucht, ist auf diesem Weg nicht zu haben.
Basis-Setup: Firefox mit striktem Schutz vor Aktivitätenverfolgung, dazu uBlock Origin. Wer Chrome braucht, nutzt ihn getrennt für genau die Dienste, die ihn erfordern. Cookies beim Schließen löschen. Suchmaschine auf einen Anbieter ohne Profilbildung stellen.
Firefox: Einstellungen → Datenschutz & Sicherheit → Schutz vor Aktivitäten-
verfolgung → „Streng“ | Cookies und Website-Daten → „Beim Beenden löschen“
Danach der unbequeme Teil: Bei den großen Adress- und Datenhändlern eine Löschung nach Art. 17 DSGVO verlangen. In Deutschland lohnen sich Schufa-Selbstauskunft, Auskunfteien wie Creditreform Boniversum und CRIF, sowie Personensuchdienste. Eine E-Mail pro Anbieter, Vorlagen gibt es bei den Verbraucherzentralen.
Gruppe D · Deine Rechte
Technik ist die eine Hälfte der Selbstverteidigung. Die andere ist der Rechtsweg — und der ist in diesem Land besser als sein Ruf. Beide Gesetze, die dieses Verfahren ausgelöst haben, sind in Karlsruhe gefallen, weil Bürger geklagt haben.
Ein Auskunftsersuchen stellen
Aufwand: 60 MinWirkung: mittel
Nach dem heutigen § 15 Bundesverfassungsschutzgesetz erteilt das BfV Betroffenen kostenfrei Auskunft über zu ihnen gespeicherte Daten. Anders als bei Art. 15 DSGVO ist das kein formloses Recht: Du musst einen konkreten Sachverhalt benennen und ein besonderes Interesse an der Auskunft darlegen.
Das Schreiben geht formlos an das Bundesamt für Verfassungsschutz, mit Ausweiskopie. Für Landesbehörden gelten die jeweiligen Landesgesetze, für den BND das BND-Gesetz — jeweils separat anfragen.
Erwartungsmanagement: Die Auskunft unterbleibt, wenn dadurch die Aufgabenerfüllung gefährdet würde oder Quellen und Arbeitsweisen offenbar würden. Wird sie verweigert, muss dir die Behörde mitteilen, dass du dich an die Bundesdatenschutzbeauftragte wenden kannst — und genau das solltest du dann tun. Der Wert dieser Übung liegt nicht darin, dass du sicher etwas erfährst. Er liegt darin, dass Auskunftsersuchen gezählt werden und Behörden binden.
Das Verfahren begleiten, solange es läuft
Aufwand: 30 MinWirkung: hoch
Der wirksamste Hack in dieser Liste ist der, den man am seltensten liest, weil er nicht technisch ist. Das Gesetz ist nicht beschlossen. Nach dem Kabinett kommt die Stellungnahme des Bundesrates, danach die Beratung im Bundestag — dort finden Anhörungen statt, dort werden Änderungsanträge geschrieben, und dort wird der Text tatsächlich noch angefasst.
Drei konkrete Wege, alle unter einer Stunde:
1. Wahlkreisabgeordnete anschreiben — über abgeordnetenwatch.de öffentlich,
damit die Antwort zitierbar wird. Konkret nach § 3 Abs. 7 (Eingriffsschwellen),
§ 15 (Kamerazugriff) und §§ 60 ff. (operative Befugnisse) fragen.
2. Die Gesellschaft für Freiheitsrechte unterstützen — sie hat die Verfahren gegen
das bayerische und hessische Verfassungsschutzgesetz geführt und gewonnen.
3. Die Anhörungen im Innenausschuss verfolgen; Sachverständigen-Stellungnahmen
werden auf bundestag.de veröffentlicht.
Und wenn du nur eine Sache aus diesem Abschnitt mitnimmst: Fordere, dass das BMI alle eingegangenen Stellungnahmen veröffentlicht. Bis zuletzt war das nicht geschehen. Ein Gesetzgebungsverfahren, dessen Kritik man nicht lesen kann, ist keines.
Was nicht hilft — vier verbreitete Irrtümer
Zur Ehrlichkeit gehört, auch die populären Empfehlungen zu benennen, die weniger bringen als versprochen.
Irrtum 01
„Das VPN erledigt das für mich“
Ein VPN verschiebt Vertrauen, es beseitigt es nicht: Statt deines Providers sieht der VPN-Anbieter, wohin du gehst. Gegen einen Trojaner auf dem Endgerät ist er vollkommen wirkungslos, denn dort wird vor der Verschlüsselung gelesen. Wofür er gut ist: fremde WLANs, Schutz vor der Protokollierung beim eigenen Anbieter, Umgehung von Netzsperren. Ein sinnvolles Werkzeug — aber eines von achtzehn, nicht statt achtzehn.
Irrtum 02
„Ich hole mir ein Krypto-Handy“
Exotische „sichere“ Telefone sind historisch die schlechteste Wahl gewesen: kleine Nutzerbasis, langsame Updates, mehrfach nachweislich kompromittierte Anbieter — und sie fallen auf. Ein aktuelles iPhone oder ein aktuelles Android-Flaggschiff mit Lockdown-Modus und sauberer Kontohygiene schlägt fast jedes Nischengerät, weil dahinter Sicherheitsabteilungen mit dreistelligen Millionenbudgets stehen.
Irrtum 03
„Faraday-Tasche löst das Problem“
Sie funktioniert physikalisch einwandfrei — für exakt den Zeitraum, in dem das Gerät drin liegt. Als Dauerlösung ist sie unbrauchbar, weil ein Telefon, das immer in der Tasche steckt, kein Telefon ist. Und ein Bewegungsmuster mit regelmäßigen Funklöchern ist selbst ein Muster. Für einzelne Situationen sinnvoll, als Strategie nicht.
Irrtum 04
„Ich habe nichts zu verbergen“
Das Argument setzt voraus, dass Überwachung nur Verdächtige trifft. Die GFF beschreibt beim Kamerazugriff eine „extrem hohe Streubreite“, bei der „faktisch alle Menschen, die sich in Deutschland aufhalten“ erfasst werden — auch Unbeteiligte. Und beim biometrischen Abgleich ist selbst der Nicht-Treffer rechtlich ein Grundrechtseingriff. Man muss kein Ziel sein, um betroffen zu sein.
Vier Sätze, die du dir merken solltest
- Das Gerät schlägt die Leitung. Wer eine Online-Durchsuchung fürchtet, muss das Endgerät härten — nicht den Transportweg. Updates, Lockdown-Modus und ein sauberes Cloud-Konto wirken um Größenordnungen stärker als jede Verschlüsselungs-App auf einem löchrigen System.
- Weniger Geräte schlagen bessere Einstellungen. Jedes vernetzte Gerät ist eine Angriffsfläche, die konfiguriert, gepatcht und überwacht werden will. Das eine Gerät, das du aus dem Netz nimmst, verursacht null Wartungsaufwand und null Restrisiko.
- Normalität ist Schutz. Solange nur Verdächtige verschlüsseln, ist Verschlüsselung ein Verdacht. Deshalb sind Standardeinstellungen der großen Hersteller besseren Nischenlösungen oft überlegen — und deshalb hilfst du anderen, indem du selbst mitmachst.
- Der Rechtsweg ist Teil der Selbstverteidigung. Das bayerische und das hessische Verfassungsschutzgesetz sind in Karlsruhe gefallen, weil Menschen geklagt haben. Genau deshalb liegt dieser Entwurf überhaupt auf dem Tisch. Technik schützt dich. Recht schützt alle.
Die Sperrklinke: warum das leise passiert
Zum Schluss die Einordnung, die mir am wichtigsten ist — und die unbequemste.
Die Frage, die in Talkshows gestellt wird, lautet: Ist Deutschland ein Überwachungsstaat? Sie ist falsch gestellt, und sie ist deshalb so beliebt, weil sie sich immer mit Nein beantworten lässt. Ein Überwachungsstaat ist kein Zustand, in dem man eines Morgens aufwacht. Er ist eine Richtung. Und in diese Richtung bewegt sich dieses Land seit ungefähr zwanzig Jahren mit einer Beständigkeit, die keine Regierung, keine Koalition und kein Wahlergebnis bisher unterbrochen hat.
Der Mechanismus ist immer derselbe, und er ist auch diesmal wieder lückenlos zu besichtigen. Jede einzelne Befugnis wird mit einer akuten Lage begründet — Terror, Spionage, Cyberangriff, Desinformation. Jede wird als eng begrenzte Ausnahme für die schlimmsten Fälle eingeführt. Jede wird anschließend zum Normalfall, weil sich immer eine weitere „Schutzlücke“ finden lässt; die GFF schreibt genau das über die neuen operativen Befugnisse: Sie „wecken Begehrlichkeiten für immer neue operative Befugnisse, da sich immer neue ‚Lücken‘ finden“. Und keine dieser Befugnisse wird je freiwillig zurückgenommen. Zurückgenommen wird in Deutschland nur, was Gerichte kassieren — Karlsruhe und Luxemburg haben das oft genug getan. Ein Parlament, das eine einmal beschlossene Überwachungsbefugnis aus eigenem Antrieb wieder abgeschafft hätte, wirst du lange suchen.
Das ist die Sperrklinke: Sie lässt Bewegung nur in eine Richtung zu. Und weil jeder einzelne Zahn für sich genommen klein ist und plausibel begründet wird, gibt es nie den einen Moment, an dem sich Empörung lohnen würde. Genau darin liegt die Wirksamkeit. Nicht der laute Zugriff verändert ein Land, sondern die stille Verschiebung dessen, was als normal gilt.
Und still ist dieses Verfahren tatsächlich. Ein Entwurf von 732 Seiten. Eine Anhörungsfrist von sieben Werktagen für rund 700 davon — die AG Kritis nennt das einen „ministeriellen Mittelfinger“. Ein Kabinettsbeschluss mitten im August. Stellungnahmen, die das Ministerium wochenlang nicht veröffentlicht. Nach der Analyse von netzpolitik.org werden die Dienste zudem vollständig vom Informationsfreiheitsgesetz ausgenommen, Unternehmen dürfen ihre Kunden über behördliche Auskunftsersuchen nicht informieren, und öffentliche Berichte über die neue Praxis sind erst für 2031 vorgesehen. Nichts davon ist ein Skandal, über den man eine Sondersendung machen könnte. Alles zusammen ist die Bauanleitung für eine Behörde, die alles sieht und selbst nicht gesehen wird.
Und an dieser Stelle wird der Begriff, um den sich alle herumdrücken, präzise statt polemisch. Totalitär heißt nicht Stiefel und Straßenlaterne. Totalitär ist ein Verhältnis, in dem der Staat den Bürger vollständig einsehen kann und der Bürger den Staat nicht mehr — in dem also die Sichtbarkeit nur noch in eine Richtung funktioniert. Genau dieses Verhältnis wird hier Stück für Stück hergestellt: mehr Einsicht in die Wohnung, das Auto, das Telefon, den Kühlschrank; weniger Einsicht in das, was die Behörde damit tut. Die Kontrolle wird laut Bundesdatenschutzbeauftragter „nicht gestärkt, sondern erheblich geschwächt“. Und das Trennungsgebot, das nach 1945 aus einem sehr konkreten historischen Grund ins Fundament dieser Republik geschrieben wurde, wird nach dem Befund der GFF „eingerissen“.
Am deutlichsten wird die Richtung an dem Satz, den ich weiter oben zitiert habe und der mich von allen am meisten beschäftigt: dass Maßnahmen zur IT-Sicherheit und zum Datenschutz als „Abschottung“ gelesen werden können. Ein Staat, in dessen Gesetzestexten die Sorge um die eigene Privatsphäre zum Indiz werden kann, hat sein Verhältnis zum Bürger bereits umgedreht. Nicht der Staat muss dann begründen, warum er hinsieht. Der Bürger muss begründen, warum er nicht gesehen werden will.
Ich sage das ohne Panik und ohne Verschwörung, weil es beides nicht braucht. Es gibt eine echte Frist aus Karlsruhe, es gibt realen Regelungsbedarf, es gibt eine Vorabkontrolle, und es gibt ein Parlament, das noch nicht zugestimmt hat. Das alles ist wahr. Und gleichzeitig gilt der Satz, den die Gesellschaft für Freiheitsrechte an den Anfang ihrer Stellungnahme gestellt hat: Der Entwurf ist in weiten Teilen verfassungswidrig. Wer glaubt, das eine entkräfte das andere, hat den Mechanismus nicht verstanden. Übergriffigkeit kommt in diesem Land nicht als Putsch. Sie kommt als Gesetzentwurf mit ordentlicher Begründung, im August, mit sieben Werktagen Anhörungsfrist.
Was du in der Zwischenzeit tun kannst, steht oben. Achtzehn Punkte, die meisten unter einer Stunde, keiner davon illegal, keiner davon exotisch. Sie verschieben das Verhältnis zwischen dem, was über dich mühelos verfügbar ist, und dem, wofür jemand eine Entscheidung treffen, eine Anordnung schreiben und sie einem Kontrollgremium vorlegen muss.
Dieses Verhältnis ist der ganze Unterschied zwischen einem Bürger und einem Datensatz.
Bleib wachsam. Bleib Eigentümer deiner eigenen Daten.
Mike the Pirate
Krypto-Coach & Adviser — Digitale Selbstverteidigung. FCKTEU.
E-Book · Premium Edition · Digitale Selbstverteidigung
Unsichtbar im Netz — 39 €
Die achtzehn Hacks oben sind die Grundausstattung. Wer die ganze Kette verstehen will — Identität, Geräte, Verbindungen und vor allem die Frage, wer welche Information über dich zusammenführen kann —, findet in der Premium Edition die ausgeführte Fassung:
- Das vollständige Härtungs-Setup für iOS, Android, Windows, macOS und Linux — Schritt für Schritt, mit Screenshots statt Stichworten
- Netzwerk-Segmentierung zu Hause: vom Gastnetz bis zum eigenen VLAN, auch für Nicht-Techniker
- Identitäts-Kompartmentierung: Aliase, getrennte Profile, saubere Trennung von Beruf, Privatem und Politischem
- Die Löschkampagne: Vorlagen für Auskunfteien, Datenhändler und Personensuchdienste
- Und die ehrlichen Grenzen jeder Methode — inklusive dem, was nicht funktioniert
PDF ohne Kopierschutz. Einmal kaufen, dauerhaft nutzen.
Unsichtbar im Netz — jetzt im Shop ansehen → paulbrandenburg.shop/ebooks/unsichtbar-im-netzE-Book · Band 03 · Digitale Selbstverteidigung
Unsichtbares Telefon — 29 €
Die Gruppe A dieses Beitrags härtet das Telefon, das du hast. Band 03 geht den and
Edition Spar Paket €64
2 Premium-eBooks · Unsichtbar im Netz + Investieren für Anfänger
Mike the Pirate
Privacy-Berater & Krypto Adviser
Mike ist Privacy-Berater und Krypto Adviser. Hat Unternehmen in 12 Ländern — darunter Deutschland, Schweiz, Singapur und die USA — zu Datenschutz und sensibler Infrastruktur beraten. Forscht und schreibt zu digital unsichtbarem selbstbestimmtem Leben. Gründer der Telegram-Community „Nackte Mark" mit über 4.000 aktiven Mitgliedern. Mike zeigt Dir, was er in drei Jahrzehnten gelernt hat — ohne akademisches Blabla.
Kommentare
Möchtest du mitdiskutieren? Erstelle ein kostenloses PB-Konto oder melde dich an.