Ein Datenschutzlabel ist eine Angabe, die untersucht werden sollte, keine Messung von allem, was eine App weiß.
Ohne zu definieren, was zählt – Registrierungskennungen, Adressbuchdaten, gespeicherte Verbindungsprotokolle, Werbenutzung oder Nachrichteninhalte –, lässt sich kein allgemeiner Sieger als „Messenger, der die wenigsten Daten erhebt“ begründen. Ein Datenschutzlabel ist ein nützlicher Ausgangspunkt, keine Messung sämtlicher Daten, die eine App verarbeitet.
Dieser Leitfaden erklärt, wie sich Angaben vergleichen lassen. Er ist keine abgeschlossene unabhängige Prüfung aller Messenger und verleiht weder Livara noch einem Wettbewerber ein Abzeichen für die geringste Datenerhebung.
Erst das Label lesen, dann die Kategorien zählen
Apples Bereich „App-Datenschutz“ und Google Plays Bereich „Datensicherheit“ beruhen auf Entwicklerangaben, ihre Definitionen unterscheiden sich jedoch. Apples Anleitung unterscheidet zwischen mit Nutzern verknüpften Daten, Tracking und Erhebungszwecken. Verarbeitung, die auf dem Gerät bleibt, gilt nicht als Erhebung; für bestimmte vorübergehende Verarbeitungen und optionale Angaben gelten besondere Ausnahmen.
Auch Googles Anleitung enthält Ausnahmen: Ende-zu-Ende-verschlüsselte Daten, die bestimmte Voraussetzungen erfüllen und für Vermittler unlesbar sind, fallen nicht unter die Angaben zu erhobenen Daten. Manche Übertragungen an Dienstleister gelten zudem nicht als Weitergabe. „Bei der Übertragung verschlüsselt“ im Store-Eintrag ist kein Versprechen einer Ende-zu-Ende-Verschlüsselung. Eine leere Kategorie beweist daher nicht, dass es keine Netzwerkanfrage oder Dienstleisterbeziehung gibt.
Zählen Sie nicht Apples Kästchen und Googles Kästchen gegeneinander auf, um einen Sieger zu erklären. Vergleichen Sie denselben Store, dasselbe Datum, dieselbe Region und dieselben Annahmen zu verwendeten Funktionen.
Ein Datenschutzvergleich auf fünf Ebenen
| Nachweis | Nützliche Frage | Was er allein nicht belegen kann |
|---|---|---|
| Store-Label | Welche Datentypen und Nutzungszwecke werden angegeben? | Vollständige Richtigkeit oder tatsächliche Speicherdauer |
| Datenschutzerklärung | Wer erhält Daten, zu welchem Zweck und wie lange? | Ob die Umsetzung der Erklärung entspricht |
| Geräteberechtigungen | Kann die App auf Kontakte, Standort, Mikrofon oder Fotos zugreifen? | Was mit bereits hochgeladenen Daten geschehen ist |
| Protokolldokumentation | Welche Bereiche und Schlüssel schützen Inhalte? | Schutz jedes Geräts oder Software-Builds |
| Unabhängige Bewertung | Welche Version und Komponenten wurden getestet, und was wurde behoben? | Dauerhafte Sicherheit künftiger Versionen |
Diese Ebenen beantworten unterschiedliche Fragen. Ein quelloffener Client lässt sich untersuchen; das allein verrät nicht, wie lange Daten auf laufenden Servern gespeichert werden. Eine Prüfung kann Kryptografie abdecken, ohne Analysedaten zu untersuchen. Lesen Sie den Prüfungsumfang, bevor Sie eines davon als Datenschutzbewertung verwenden.
Nutzen Sie diese Vergleichsvorlage
Notieren Sie für jede App, die Sie erwägen, die folgenden Punkte für sich. Eine kurze, datierte Aufzeichnung ist nützlicher als eine unbelegte Rangliste.
| Feld | Was Sie notieren sollten |
|---|---|
| Produkt und Plattform | Genaue App, Store-Link, Betriebssystem und Version |
| Beobachtungsdatum | Wann Label und Datenschutzerklärung geprüft wurden |
| Registrierung | Erforderliche und optionale Telefon-, E-Mail- oder Zahlungskennungen |
| Kontaktsuche | Adressbuch, Nutzername, QR-Code, Einladungslink oder Konto-ID |
| Technische Aufzeichnungen | Angegebene IP-, Geräte-, Diagnose- und Nutzungsdaten |
| Speicherung | Angegebene Dauer, Löschbedingungen oder „nicht angegeben“ |
| Funktionsausnahmen | Backups, Bots, geschäftliche Interaktionen, Zahlungen, öffentliche Kanäle und Anrufe |
| Nachweislücke | Was die Dokumente nicht beantworten |
Steht in einer Erklärung nur, dass Daten „so lange wie nötig“ gespeichert werden, kennzeichnen Sie die genaue Dauer als unbekannt, statt eine zu erfinden. Ändert sich ein Label nach einem Update, behalten Sie das frühere Datum in Ihren Notizen bei, damit der Vergleich nachvollziehbar bleibt.
Ohne Telefonnummer ist eine Dimension, nicht das Gesamtergebnis
Session und SimpleX bieten Verbindungsmöglichkeiten ohne eine auf Telefonnummern basierende Identität. Bei Threema ist die Verknüpfung mit Telefon oder E-Mail optional. Livaras öffentliche Dokumentation beschreibt eine Registrierung ohne Telefonnummer oder E-Mail, aber auch Routing- und Mitgliedschaftsmetadaten. Diese Architekturen sollten nicht als austauschbar behandelt werden.
Signal dokumentiert inzwischen einen optionalen Registrierungsweg ohne Telefonnummer in seiner Android-Beta. Das bedeutet nicht, dass jede Signal-Version oder jedes bestehende Konto ohne Nummer auskommt. Ein Nutzername bei einem nummernbasierten Konto und die Kontoerstellung ohne Nummer sind unterschiedliche Funktionen.
Auch ohne Nummer können ein wiederverwendetes Profilfoto, ein Zahlungskonto, eine geteilte Datei, eine IP-Adresse oder der Gesprächskontext ein Konto mit einer Person verknüpfen. „Keine Telefonnummer erforderlich“ belegt keine vollständige Anonymität. Zum eigenständigen Thema Routing-Informationen siehe die Erläuterung von Messenger-Metadaten.
Kontaktzugriff testen, ohne das Adressbuch offenzulegen
- Installieren Sie die offizielle App und lehnen Sie die Kontaktberechtigung zunächst ab.
- Fügen Sie einen zustimmenden Testkontakt über eine unterstützte Kennung, Einladung oder einen QR-Code hinzu.
- Prüfen Sie, ob normales Messaging ohne Adressbuchzugriff funktioniert.
- Prüfen Sie sowohl die Kontaktsynchronisierung in der App als auch die Betriebssystemberechtigung. Das sind nicht immer dieselben Einstellungen.
- Wurden Kontakte früher synchronisiert, suchen Sie nach einer separaten Löschoption oder einem dokumentierten Anfrageverfahren. Ein Berechtigungsentzug begrenzt zukünftigen Gerätezugriff; er entfernt nicht zwangsläufig die Serverkopie.
Laden Sie kein Adressbuch hoch, nur um festzustellen, ob die App es hochlädt. Eine Berechtigungsabfrage zeigt den angeforderten Zugriff, keine vollständige Datenflussprüfung. Eine Netzwerkuntersuchung kann Ziele und Zeitpunkte zeigen, doch die Verschlüsselung kann verhindern, dass Sie die übertragenen Felder verstehen.
Was E2EE im Vergleich offenlässt
Ende-zu-Ende-Verschlüsselung schützt die davon erfassten Inhalte zwischen beteiligten Endpunkten. Sie entfernt nicht automatisch Kontokennungen, Verbindungszeiten, Gruppenmitgliedschaftsprotokolle oder Push-Token-Daten. Ebenso wenig schützt sie eine Kopie, die bewusst an einen Bot, ein Geschäftswerkzeug oder einen Supportdienst außerhalb dieses verschlüsselten Gesprächs gesendet wird.
Speziell für Livara unterscheidet die Sicherheitsdokumentation verschlüsselte Direktnachrichten und kompatible private Gruppen von serverlesbaren öffentlichen Kanälen. Die hybride Schlüsselvereinbarung ist eine Aussage zum Inhaltsschutz, kein Beleg dafür, dass weniger Metadaten als bei jedem anderen Messenger erhoben werden. Dieser Artikel hat das Serververhalten nicht unabhängig gemessen.
Wählen Sie die für Ihre Nutzung nötige Mindestmenge an Daten
Beginnen Sie mit den Informationen, die Sie am dringendsten zurückhalten möchten. Ist das eine Telefonnummer, testen Sie die Registrierung ohne Nummer. Ist es das Adressbuch, prüfen Sie die manuelle Kontaktsuche. Ist es lesbarer Chatverlauf im Cloud-Speicher, untersuchen Sie das Backup gesondert. Sind es Verbindungsmetadaten, lesen Sie das Routing- und Speicherkonzept statt der Liste der Verschlüsselungsverfahren.
Eine nützliche Abschlussfrage lautet: Was erfährt dieser Dienst, wenn ich genau die benötigten Funktionen nutze, und welche dieser Offenlegungen kann ich vermeiden? Das führt zu einer ehrlicheren Entscheidung als eine einzelne Trophäe für „die wenigsten Daten“.
