Ich habe es neulich erst im Testbericht zum Google Pixel 2 XL gesagt: Pures Google Android hat bei all seinen Vorteilen auch seine Schattenseiten. Schnelle Updates, pünktliche Sicherheitspatches und traumhaft optimierte Performance sind zwar gute Gründe, warum ich bei Android am Liebesten zu Geräten aus der (ehemaligen Nexus und jetzt) Pixel Familie greife. Gleichzeitig sind diese Geräte aber natürlich auch die, bei denen Google so tief ins System integriert ist, wie sonst nirgends. Man kann im Grunde gar kein Smartphone kaufen, mit dem man den Hersteller tiefer in sein Leben, seinen Alltag und seine Vorlieben schauen lässt, als ein Google-Smartphone.

Eine mögliche Lösung dafür hat Gastautor Lurz in seiner zweiteiligen Artikelreihe beschrieben. Unter dem Stichwort „Android ohne Google“ erklärt er, wie er mit Hilfe von Lineage OS sein Smartphone komplett von Google Diensten und proprietärer Software befreit hat. So spannend ich das aus technischer Sicht finde, so sehr muss ich doch zugeben: Für mich ist das keine befriedigende Antwort. Abgesehen von dem Aufwand, der die meisten Normalnutzerinnen überfordern dürfte, würde ich niemandem empfehlen wollen, auf den Google Play Store, Push-Nachrichten oder die original Kamera-Qualität seines Smartphones verzichten zu müssen und gar die Garantie zu riskieren (das wäre aber die Folge, wenn man sich auf Custom Rom ohne Play-Services einlässt).

Ich gehe stattdessen derzeit einen Mittelweg, versuche Googles Zugriffsmöglichkeiten systemintern ein wenig zu zähmen und vor allem auf Apps außerhalb des Google-Universums auszuweichen. In diesem Beitrag fasse ich zusammen, wie ich Android konfiguriere, wie ich Kontakte, E-Mail und Kalender verwalte und welche alternativen Apps ich nutze.

Don’t blame the user

Bevor ich aber konkret werde, noch ein Kommentar zum Thema „Selbstdatenschutz“ und „digitale Selbstverteidigung“: Unter diesen Stichworten findet man reihenweise Anleitungen, Tipps und mahnende Worte im Netz. Der Grundtenor lautet oft: „Liebe Nutzerinnen, kümmert euch gefälligst selbst um euren Schutz.“ Natürlich spricht nichts dagegen, darüber aufzuklären, was im eigenen Smartphone so passiert und wie man hier und da Einstellungen verbessern kann. Aber oft schwingt dabei auch immer das leicht elitäre Motto mit „Die Nutzerinnen sind eben selbst Schuld, wenn sie sich nicht kümmern.“ Solche Beitäge verdienen den Titel „Selbstdatenschutz“ eigentlich nicht. Ich nenne so etwas eher „Userblaming“ und damit täuscht man über das eigentliche Problem hinweg.

Digitale Dienste und Produkte sind so alltäglich und selbstverständlich wie Einkaufen im Supermarkt oder Autofahren geworden. Für beides gibt es klare Regeln. In Milch gehört keine Schwefelsäure und in Windschutzscheiben kein Fensterglas. Hält sich ein Produkt nicht an die Vorgaben, ist es mangelhaft. Diese Art von Vertrauen gibt es derzeit bei digitalen Diensten (oder konkret: Smartphones) noch nicht. Stattdessen schreiben die großen Technikkonzerne so ziemlich alles in ihre AGB oder Datenschutzerklärungen und kaum jemand ist in der Lage, abzuschätzen, welchen Risiken man sich aussetzt, wenn man die Angebote dennoch nutzt. Kurz gesagt: Derzeit ist „Selbstdatenschutz“ vor allem eine Notlösung, zumeist sogar Selbstbetrug.

Ich möchte diesen Artikel also auf keinen Fall als Appell an euch verstanden wissen, sich jetzt endlich selbst zu schützen. Das halte ich – abseits von so radikalen Lösungen, wie die von Lurz – derzeit auch gar nicht für möglich. Ich kann auch jede von euch verstehen, der das hier schlicht zu aufwändig ist. Ich möchte den Beitrag stattdessen als Angebot an diejenigen sehen, die Lust haben, sich einmal mit dem zu befassen, was derzeit so alles bei der Nutzung eines Android-Smartphones passiert. Vielleicht regt er die eine oder andere von euch ja sogar an, kritisch zu hinterfragen, wie auch Politik und zuständige Stellen oft mit dem Thema „Selbstdatenschutz“ im digitalen Alltag umgehen.

Systemeinstellungen

Unabhängig von den genutzten Apps (dazu gleich), versuche ich, meine Smartphones immer so zu konfigurieren, dass ich solche Datenverarbeitungen deaktiviere, die für mich nicht erforderlich sind. Dazu gehört für mich persönlich Vieles von dem, was mit Google Assistant und dem Google Feed (der Homescreen ganz zur Linken) zu tun hat. Da ich ohnehin nicht Google Chrome benutze, kann Google mir im Google Feed ohnehin keine anhand des Browser-Verlaufs personalisierten Inhalte vorschlagen. Und da ich auch den Google Assistent praktisch kaum nutze, bleibt er ebenfalls meist deaktiviert. Beides geht in den Einstellungen der Google App, die sich im App-Drawer befindet. Dort meldet man sich einfach ab und deaktiviert auch sonst alles, was einem nutzlos erscheint. Alle hier gezeigten Screenshots stammen übrigens – soweit nicht anders angegeben – von einem Nokia 6 (2018) mit Android One, in Version 8.1 („Oreo“), die derzeit aktuellste offizielle Version.

Hin und wieder teste ich beide Funktionen aber doch einmal aus. Selbst dann passe ich den Feed und den Assistant aber noch ein bisschen an. Erstens kann man zB den Google Feed auch nutzen, ohne die Inhalte anhand von Google Chrome zu personalisieren (entweder indem man Chrome nicht nutzt oder sich dort nicht mit dem Google Account angemeldet hat). In den Einstellungen der Google App vergraben, findet sich nämlich auch die Möglichkeit, gewisse Interessen anzugeben, anhand derer der Google Feed dann genutzt und im Laufe der Nutzung personalisiert wird. Natürlich erfährt Google damit immer noch reichlich über die eigenen Interessen, aber immerhin legt man so nicht sein gesamtes Surfverhalten offen. Zusätzlich deaktiviere ich stets die Google Hotword-Erkennung („OK, Google“). Das kann man ebenfalls in den Einstellungen der Google App tun. Blöd allerdings: Je nach Android Version triggert das Signalwort zwar nicht den Assistenten, aber manchmal immer noch das Einrichtungsmenü des Assistenten. Da hilft dann nur, der Google App die Berechtigungen zum Zugriff auf das Mikrofon zu entziehen. Dann allerdings funktioniert nicht einmal die Google Sprachsuche im Such-Widget, weshalb dieser Schritt nur Sinn ergibt, wenn man diese Funktionen wirklich gar nicht nutzen will.

In den Einstellungen selbst gibt es dann noch eine ganze Reihe weiterer Schrauben, an denen ich drehe. Dazu gehört zunächst einmal, dass ich Bluetooth und GPS deaktiviere, wenn ich es nicht brauche (per Shortcut in den Settings). Das spart nicht nur Akku, sondern verhindert z.B., dass mich Bluetooth-Tracker in Supermärkten (jetzt guckt nicht überrascht) erfassen. Je nach Laune entziehe ich meinen Apps dann auch noch jene Berechtigungen, die ich nicht gewähren will. Diverse Shopping Apps verlangen zB Zugriff auf Standort, Kontakte oder die Telefonfunktion. Seit Android 6 („Marshmallow“) ist das Berechtigungsmanagement nicht nur endlich offiziell möglich, seitdem können Apps auch „Runtime Permission“ verlangen, also erst dann eine Berechtigung erfragen, wenn sie das erste Mal eine bestimmte Funktion nutzen wollen. Die Zahl der Apps, die schon bei der Installation einen Haufen an Rechten einfordern (weil sie noch nicht für Android 6 angepasst wurden), ist mittlerweile dadurch (nach meiner Wahrnehmung deutlich) zurückgegangen.

In den Einstellungen findet man in der Google-Kategorie dann noch die Möglichkeit, z.B. die personalisierte Werbung zu deaktivieren und die Werbe-ID zurückzusetzen. Ersteres ändert natürlich nichts daran, dass trotzdem Profile über euch erstellt werden, sondern sorgt nur dafür, dass diese nicht genutzt werden, um personalisierte Werbung anzuzeigen. Wirkungsvoller ist schon eher das Zurücksetzen der Werbe-ID. So können dann das frühere und das aktuelle Verhalten nicht mit einander in Zusammenhang gebracht werden. Jedenfalls theoretisch, denn (anders als Apple) rät Google lediglich von der Verwendung anderer eindeutiger Geräte-IDs zu Werbezwecken ab (zB die IMEI oder die MAC-Adresse), geht aber selten gegen derartigen Missbrauch vor. Hier zeigt sich also mal wieder, wie sinnlos so manche vermeintlichen Datenschutz-Einstellungen sind.

Zu guter Letzt deaktiviere ich in der Regel in den Einstellungen auch noch die „Verbesserung“ der Standortgenauigkeit und verhindere so, dass Android – auch bei deaktiviertem WLan und Bluetooth – ständig im Hintergrund Verbindungen zu entsprechenden Hotspots aufbaut. Das hilft zwar, wenn das GPS-Signal mal etwas schwächer ist, aber dafür bekommt eben auch jeder Hotspot mit, dass ich gerade vorbeilaufe. und erkennt mich wieder. Wobei sich Google in der Vergangenheit selbst davon nicht abhielten ließ, Standortdaten zu sammeln.

Als kleine Zugabe zu Schluss noch der Hinweis auf die mit Android 9 („P“) kommende Möglichkeit, einen eigenen DNS Server einzutragen. Das ist ein sinnvolles Detail, weil man zB mit dem DNS-Server von Cloudflare („1.1.1.1“) so verhindert, dass der eigene Mobilfunkanbieter mitbekommt, welche Seiten man so ansurft. Das setzt natürlich voraus, dass euer Smartphone in absehbarer Zeit das Update auf Android 9 („P“) erhält und hier zeigt sich mal wieder der Grund, warum ich ein Google Smartphone nutze: Weil solche Verbesserungen eben sehr viel schneller per Update eintreffen, als bei Samsung, Motorola oder Huawei.

Welche Apps ich nutze

Bevor ich kurz erkläre, welche Apps ich als Alternative zu den Google Diensten nutze, muss ich ehrlich sagen, welche Google Apps ich trotz eindeutig vorhandener Datenschutzbedenken nutze: Google Play Store samt -Services und auch Google Maps. Was den Google Play Store angeht, halte ich es einfach für keine ideale Lösung, stattdessen einzig auf offene Appstores wie zB FDroid zu setzen. FDroid ist zwar eine wirklich empfehlenswerte Alternative, aber erfordert, dass man die Installation von Drittquellen freigibt, was ich dem Durchschnittsnutzer einfach nicht nahelegen möchte. Dass Google dank meiner Nutzung des Play Stores weiß, welche Apps ich nutze und daraus weitere Details über meinen Alltag zusammenstellen kann, bleibt also ein Problem. Das löst man aber nicht dadurch, dass ein paar engagierte Nutzerinnen sich für alternative App-Stores entscheiden.

Gleiches gilt für Play Services, die unter anderem dafür erforderlich sind, dass Push-Notifications funktionieren. Auch da ist natürlich klar, dass die Google Server über jede Benachrichtigung informiert werden, die Apps an mein Smartphone senden. Zwar kann man zB Signal und Threema so konfigurieren, dass sie ohne Play Services funktionieren. Das geht aber in der Regel auf Kosten der Zuverlässigkeit und der Akkulaufzeit. Aus dem selben Grund habe ich mich bisher auch noch nicht von Google Maps verabschiedet, weil es meiner Meinung nach einfach keine Alternativen gibt, die mit Googles Kartendienst mithalten können. Auch bei den Play Services sowie bei Google Maps sehe ich daher weniger die einzelnen Nutzerinnen in der Pflicht, sondern halte es für eine Aufgabe der zuständigen Stellen, unsere Rechte zu schützen und dafür zu sorgen, dass digitale Alltagsdienste genutzt werden können, ohne dass dabei unverhältnismäßige Einblicke in unsere Leben möglich sind.

Aber kommen wir zu den Apps, die ich tatsächlich bewusst nutze, um Googles Zugriff ein wenig zu entkommen. Ich habe die Apps jeweils hinter den Screenshots aus dem Google Play Store verlinkt:

Brave

Trotz all unserer Apps ist der Browser immer noch auf jedem Smartphone das Tor zum Internet. Da ich versuche, mich nicht unnötig dem Google Ökosystem auszusetzen, war der erste Schritt vor einer Weile, mir einen neuen Browser zu suchen. Anforderungen: Schnell, schick und integriertes Adblocking. Auf dem Desktop nutze ich seit Langem Firefox und habe auch auf dem Smartphone zuerst die mobile Version von Firefox probiert. Leider musste ich bald feststellen, dass die Mobilversion eher träge und optisch kein Hingucker ist.

Meine Wahl fiel dann letztlich auf den Browser „Brave“. Technisch handelt es sich dabei um eine Chromium-Abwandlung, das heißt, optisch und funktional gleicht er praktisch Chrome. Das merkt man vor allem beim aktuellen Design und der guten Performance. Brave hat darüber hinaus auch einen sehr wirksamen Adblocker integriert, der jedenfalls in meiner langen Zeit mit dem Browser weder Kompatibilitätsprobleme ausgelöst hat noch irgendetwas Block-würdiges übersehen hätte. Brave hat darüber hinaus auch eine eigene durchaus interessante Vision für Micropayment an Bord, mit der ich mich bisher aber nicht befasst habe (Sie war jedenfalls nicht ausschlaggebend bei der Entscheidung für Brave). Natürlich habe ich in Brave auch die Standardsuchmaschine von Google auf Startpage geändert.

Aqua Mail (Pro)

Aqua Mail ist nicht gerade ein besonders grandioser Name für einen E-Mail-Client, aber das Programm selbst überzeugt. Ich habe lange, lange die Google Mail App genutzt, wollte aber auch hier unabhängiger werden. Ich nutze – gezwungener Maßen zB für Youtube – GMail-Konten, wickle aber 99 % meiner Kommunikation über andere Mail-Anbieter bzw. selbst-gehostete Mail-Konten ab. Daher hat die Google Mail App für mich keinen Mehrwert. Dieser besteht im Wesentlichen darin, dass die Google Mail App besser mit den Mehrwert-Diensten von GMail zusammenarbeitet, also das Durchsuchen der GMail-Inhalte nach Spam oder die personalisierte Zuordnung zu bestimmten Tags.

Für Aqua Mail habe ich mich entschieden, weil es optisch recht schlicht gehalten ist, mit allen modernen Providern kompatibel ist und vor allem die E-Mails nur lokal verarbeitet und direkt von den Servern der Provider abruft. Viele (funktional sehr interessante) Konkurrenten – wie zB Spark Mail – schalten ihre eigenen Server dazwischen, um ähnliche Mehrwertdienste anzubieten, wie Google. Ich hingegen möchte einfach nur meine E-Mails abrufen und zwischen App und Server keinerlei unnötigen Mitleser haben. Als Bonus bringt Aqua Mail eine einfach Export-und-Import-Funktion aller Einstellungen und Accounts mit. Wer – wie ich – oft neue (Test-) Geräte einrichtet, weiß das bei fast einem Dutzend E-Mail-Accounts sehr zu schätzen. Außerdem kann man bei Aqua Mail auch sehr einfach Aliasse einrichten.

Threema/Signal

Zur Wahl meiner Messenger habe ich bereits an vielen Stellen gebloggt. Warum ich primär zu Threema greife und zB von Telegram abrate , habe ich hier klärt. Warum ich trotz Ende-zu-Ende-Verschlüsselung weiterhin von Whatsapp abrate (aber natürlich jeden verstehe, der „nicht ohne kann), kann man hier nachlesen. Von daher nur in aller Kürze: Threema hat neben all den Selbstverständlichkeiten, die ein guter Messenger mitbringen sollten (Ende-zu-Ende-Verschlüsselung, Sprach- und Bildnachrichten, GIF-Support, usw), vor allem ein Alleinstellungsmerkmal: Es kommt vollständig ohne Handynummer oder sonstige Identifikatoren aus. Wer, wie ich, relativ oft mit Personen per Messenger kommunzieren will, die man im beruflichen oder Hobby-Kontext trifft, muss dann nicht jedes Mal direkt die eigene Telefonnummer offenbaren: Einfach nur gegenseitig die ID scannen und fertig. Noch besser sogar: So spart man sich unter Umstände gar den rechtlichen problematischen Adressbuch-Upload und ist unabhängig vom Wechsel der Handynummer der Kommunikationspartnerin.

Für alle, die keine Lust auf Threema haben und den Ablauf von Whatsapp gewohnt sind (Handynummer austauschen und sofort taucht man beim jeweils anderen in der Messenger-App auf), weiche ich stets auf Signal aus. Signal funktioniert im Grunde genau wie Whatsapp, ist aber selbstständig (es wird von Open Whisper Systems entwickelt) und der Code der App ist Open Source.  Gegenüber Whatsapp zeichnet sich Signal durch eine bemerkenswerte Datensparsamkeit aus: Signal speichert auf den Servern derart wenige Daten, dass im Oktober 2016 bekannt wurde, dass Whisper Systems selbst auf Anordnung von US-Behörden einzig mitteilen konnte, wann ein bestimmtes Signal-Konto erstmals erstellt und letztmals genutzt wurde. Mehr nicht. Deshalb gehört Signal für mich ganz klar auf Platz 2 nach Threema. Tatsächlich habe ich Signal sogar zur Standard-SMS-App gemacht, um so gleichtzeitig auch dem Android Messenger zu entkommen.

DAVdroid

Zuletzt noch das wichtige Thema Kontakte und Kalender. Beides kann man natürlich sehr komfortabel bei Google speichern und hat die Daten dann stets und von überall verfügbar. Allerdings verfügt Google dank seiner Cloud-Speicherung der Kontakte und Kalendereinträge Unmengen an Wissen über euch und natürlich auch die Leute, die ihr als Kontakte gespeichert habt. Gerade Letzteres war mir stets ein Dorn im Auge, weil ich es einfach unangemessen fand, private Daten (Wohnort, Geburtstag, Kontaktfoto usw) auf den Servern eines US-Unternehmens abzuladen, dass auf behördliche Anfrage dort praktisch jederzeit zur Auskunft verpflichtet ist. Ich habe mich nach ein wenig Recherche daher dafür entschieden, Kontakte- und Kalendereinträge selbst zu hosten.

Dafür nutze ich die Kombination aus DAVdroid und meinem Synology NAS. DAVdroid ist eine App eines österreichischen Entwicklers, der sich darüber ärgerte, dass Google von Haus nicht zulässt, eigene CardDAV und CalCAV Accounts in Android einzubinden. Beides sind offizielle Standards zum Synchronisieren von Kalender und Kontaktbuch. Während iOS und sogar Windows Phone es ab Werk ermöglichen, entsprechende Accounts einzubinden, braucht Android leider eine Extra-App dafür. In dieser App trage ich dann die Server-Adresse meine heimischen Synology-NAS ein und sobald ich mit irgendeinem meiner Geräte (Macbook, Android, iPhone) im heimischen WLan bin, werden alle Kontakte und Kalendereinträge synchronisiert. Und zwar ohne irgendwelche Dritten oder Fremdanbieter – rein lokal unter meiner Kontrolle.

Ergänzung: BlackPlayer EX

Ich habe mich entschieden, diesen Beitrag hin und wieder durch neue Apps zu ergänzen und trage daher einen für mich ganz Wesentlichen Teil meiner App-Nutzung nach: Die Wiedergabe eigener (lokaler) .mp3-Dateien. Zwar bin ich ein großer Spotify-Fan, verfüge aber nach wie vor auch über eine stattliche .mp3-Sammlung. Lange Zeit habe ich die mit Android Bordmitteln wiedergegeben, also die Google Play Music App genutzt. Die kann tatsächlich nicht nur Musik von Google streamen, sondern auch lokale Daten wiedergeben. Weil ich Google aber durchaus zutraue, dass meine lokale Bibliothek und meine Wiedergabevorlieben nicht unbeobachtet bleiben, nutze ich seit einer Weile den BlackPlayer EX.

Ich habe hier die kostenpflichtige Premium-Version verlinkt. Ihr könnt aber auch erst einmal die kostenfreie Basis-Version testen. Da ich immer gern Entwicklern, die gute Arbeit machen, auch die paar Euro für die Bezahlversion gebe, habe ich aber seit Längerem die „EX“-Version in Benutzung. Die bringt noch einmal eine ganze Reihe mehr optischer Anpassungen mit sich. BlackPlayer ist im Grunde eine wahnsinnig gut designte Abspiel-App für alle Arten lolaker Medien, incl. automatischer Künstler- und Albumartwork-Suche sowie ID-Tag-Editor. Die Seitwärts-Bedienung erinnert wohlig an alte Windows Phone Tage und alles in allem ist die App einfach optisch und funktional sehr gelungen. Wer also noch lokale Medien hat, sollte hier mal einen Blick drauf werfen.

Fazit: Wozu das alles?

Es bleibt zuletzt natürlich die Frage: Wozu das alles? Entkomme ich jetzt tatsächlich dem Zugriff von Google & Co? Lohnt sich die Mühe überhaupt? Wie gesagt: Ich wollte mit diesem Beitrag weder den Eindruck erwecken, es gäbe die magischen Einstellungen, dank derer man sein Android-Smartphone zu einer Datenschutz-Festung macht. Auch will ich ihn nicht als Aufforderungen verstanden wissen, dass ihr alle Schritte unbedingt nachmachen müsst. Ich hoffe tatsächlich eher, dass die zuständigen Stellen – seien es die Aufsichtsbehörden, die Verbraucherschutzverbände oder sogar der Gesetzgeber – sich dem Thema annehmen und es in Zukunft schlicht nicht nötig sein wird, einen Grundkurs „IT-Support“ besuchen zu müssen, um sein Smartphone halbwegs vertraulich nutzen zu können.

Aber möglicherweise probiert ihr das ein oder andere einfach aus, weil ihr euch für die Untiefen eures Smartphones interessiert? Vielleicht geht ihr auch einfach nur mit dem Eindruck aus diesem Beitrag, dass all die Rufe nach „Selbstdatenschutz“ oft Augenwischerei sind und ihr allzu frechem Userblaming in Zukunft etwas entgegen zu setzen habt. Wie auch immer: Mich würde interessieren, welche Apps oder Einstellungen ihr noch empfehlen könnt, die einen digital zwar nicht in die Steinzeit zurückwerfen, aber vielleicht doch hier und da ein klein bisschen Wirkung entfalten. In diesem Sinne:

See you in the comments!