Der falsche Ausgangspunkt
Die meisten Menschen merken erst nach einem Vorfall, dass sie bessere digitale Sicherheit wollen – ein gehacktes Konto, die Benachrichtigung über ein Datenleck oder eine zu treffsichere personalisierte Werbung zu viel. Der Reflex ist, sofort Dinge zu installieren: ein VPN, einen Passwort-Manager, vielleicht Signal. Das ist kein schlechter Reflex, aber er ist verkehrt herum.
Der richtige Ausgangspunkt ist nicht „Welche Tools soll ich nutzen?”. Er lautet „Was schütze ich eigentlich, und vor wem?”.
Diese Frage nennt man ein Threat-Model, und sie ehrlich durchzuarbeiten verrät Ihnen mehr über Ihre Sicherheitslage als jede App.
Was ein Threat-Model ist (und was nicht)
Ein Threat-Model ist eine strukturierte Art, über Risiko nachzudenken. Es beantwortet vier Fragen:
- Was wollen Sie schützen? Ihr E-Mail-Archiv, Finanzunterlagen, Kommunikationsverlauf, Surfgewohnheiten, Ihren physischen Aufenthaltsort.
- Wer könnte Zugriff darauf wollen? Ein:e Ex-Partner:in, ein:e Vermieter:in, ein:e Arbeitgeber:in, eine gezielte Phishing-Kampagne, eine Behörde, ein:e Gelegenheitskriminelle:r.
- Was passiert, wenn er ihn bekommt? Bloßstellung, finanzieller Verlust, berufliche Konsequenzen, körperliche Gefahr.
- Wie viel Aufwand sind Sie bereit zu investieren? Denn jede Sicherheitsmaßnahme hat einen Preis bei der Benutzbarkeit, und dieser Preis summiert sich.
Beachten Sie, dass „alles vor jedem für immer” nicht auf dieser Liste steht. Das kann es nicht, weil es nicht erreichbar ist – und dem hinterherzujagen ist ein verlässlicher Weg, sich zu erschöpfen, während man nichts richtig schützt.
Warum „perfekte Privatsphäre” das falsche Ziel ist
Perfekte Privatsphäre würde erfordern, nie ein vernetztes Gerät zu benutzen, nie mit jemandem zu kommunizieren und in keiner Datenbank aufzutauchen. Sie würde modernes Leben auch unmöglich machen. Das ist nicht die Messlatte, die Sie anstreben sollten.
Die nützliche Frage lautet: Was sind die realistischen Bedrohungen angesichts dessen, wer Sie sind und wie Sie leben? Ein:e Journalist:in, der/die über Korruption berichtet, hat ein anderes Threat-Model als ein:e Lehrer:in, der/die eine Klassenliste verwaltet. Eine Person, die eine missbräuchliche Beziehung verlässt, hat andere Prioritäten als jemand, den es nervt, dass LinkedIn ständig seine Interessen errät.
Für die meisten Privatpersonen sieht die realistische Bedrohungslandschaft so aus:
- Massenüberwachung und Datenhandel – die breite, kommerzielle Art, bei der Ihr Verhalten als Produkt verkauft wird. Browser-Kompartimentierung, DNS-Filterung und Werbeblocker decken den Großteil davon ab.
- Kompromittierung von Zugangsdaten – Phishing, Datenbanklecks, wiederverwendete Passwörter. Ein Passwort-Manager und Zwei-Faktor-Authentifizierung decken rund 90 % dieser Kategorie ab.
- Gerätediebstahl – Festplattenverschlüsselung und eine starke PIN erledigen das.
- Social Engineering – jemand ruft an, schreibt eine E-Mail oder Nachricht, um Sie oder jemanden mit Zugriff auf Ihre Konten zu täuschen. Das ist ein menschliches Problem, das Schulung und Verfahren erfordert, keine Tools.
Ehrlich abgrenzen
Sobald Sie Ihre realistischen Bedrohungen identifiziert haben, dimensionieren Sie Ihre Abwehr passend dazu. Sie müssen sich nicht gegen staatliche Akteure schützen, wenn Sie verhindern wollen, dass ein Credential-Stuffing-Bot auf Ihre E-Mails zugreift.
Das ist kein Defätismus – es ist Ressourceneinteilung. Sicherheitsaufmerksamkeit ist endlich. Sie auf die falschen Bedrohungen zu verwenden lässt die echten ungelöst.
Ein paar Prinzipien, die über die meisten individuellen Threat-Models hinweg gelten:
- Trennen Sie Identitäten dort, wo die Exposition asymmetrisch ist. Nutzen Sie eine andere E-Mail-Adresse für Finanzkonten als für Newsletter. Trennen Sie berufliches und privates Surfen. Isolation begrenzt den Schadensradius.
- Schützen Sie, was sich nicht ändern lässt. Ihre Ausweisnummer, biometrische Daten und Krankengeschichte sind dauerhaft; ein Passwort nicht. Priorisieren Sie entsprechend.
- Das Threat-Model entwickelt sich weiter. Ein Wechsel bei Job, Beziehung oder öffentlichem Profil verändert Ihre Exposition. Überprüfen Sie es jährlich oder nach größeren Lebensveränderungen.
Ein Ausgangspunkt
Wenn Sie das noch nie bewusst durchgearbeitet haben, hier eine minimale Einstiegsübung: Schreiben Sie drei Dinge auf, zu denen ein Gegner wirklich keinen Zugriff haben sollte, und eine Art von Gegner, die Sie tatsächlich beunruhigt. Das genügt, um bessere Entscheidungen darüber zu treffen, worauf Sie sich konzentrieren.
Von dort folgen die Tools ganz natürlich – nicht andersherum.