Tools & Grenzen
Was ich selbst nutze — und ehrlich, wann du es nicht brauchst. Sechs Tools, keine Rangliste, kein Tabellenkrieg.
Bitwarden ↗
Android · iOS · Desktop · Browser- Wofür ich es nutze
- Für jedes Konto ein eigenes Zufallspasswort. Und als Phishing-Frühwarner: Bietet die Erweiterung auf einer Login-Seite nichts an, stimmt oft die Domain nicht.
- Wann nicht nötig
- Einen Manager brauchst du fast immer. Welchen, ist zweitrangig: Nutzt du schon einen seriösen, ist Wechseln kein Muss. Nur der Passwortspeicher im Browser zählt nicht.
- Alternative
- KeePassXC, wenn du keine Cloud willst und die Datenbank selbst synchronisierst.
Mullvad VPN ↗
Android · iOS · Desktop- Wofür ich es nutze
- In fremden WLANs und wenn ein Dienst meine IP-Adresse nicht sehen soll. Kein Konto mit Mail, nur eine Kontonummer.
- Wann nicht nötig
- Gegen Tracking hilft ein VPN kaum: Cookies, Logins und Fingerprinting gehen durch den Tunnel einfach mit. Im eigenen WLAN zu Hause bringt es für die Sicherheit meist wenig.
- Alternative
- Proton VPN, wenn du ohnehin bei Proton bist — mit kostenloser Stufe zum Ausprobieren.
uBlock Origin ↗
Browser- Wofür ich es nutze
- Blockt Werbung und Tracker — und damit auch einen Teil der gekauften Anzeigen, über die verseuchte Downloads kommen.
- Wann nicht nötig
- Wenn dein Browser ab Werk kräftig blockt, etwa Brave. Zwei Blocker übereinander bringen nichts außer Fehlersuche.
- Alternative
- Brave mit eingebautem Blocker, wenn du gar keine Erweiterung installieren willst.
Proton Mail ↗
Android · iOS · Desktop- Wofür ich es nutze
- Als Postfach für die wichtigen Konten. Wer die Mail kontrolliert, setzt fast jedes Passwort zurück — also gehört sie gut geschützt und getrennt vom Newsletter-Müll.
- Wann nicht nötig
- Wenn dein bisheriges Postfach mit starkem Passwort und Passkey oder App-2FA gesichert ist. Die Verschlüsselung greift nur zwischen Proton-Konten — an Gmail geht die Mail normal raus.
- Alternative
- Tuta (früher Tutanota) aus Deutschland — gleiches Prinzip, eigene Verschlüsselung.
Aegis Authenticator ↗
Android- Wofür ich es nutze
- Für TOTP-Codes überall dort, wo es noch keinen Passkey gibt. Verschlüsselter Export statt Cloud-Sync.
- Wann nicht nötig
- Wo ein Dienst Passkeys anbietet: Die sind phishing-resistent, sechsstellige Codes nicht.
- Alternative
- Auf dem iPhone gibt es Aegis nicht — dort Ente Auth, Open Source mit verschlüsseltem Backup.
Sparrow Wallet ↗
Desktop- Wofür ich es nutze
- Als Oberfläche zur Hardware-Wallet: Transaktionen bauen, Bestände sehen, auf dem Gerät signieren. Transparent, ohne Bevormundung.
- Wann nicht nötig
- Wer kein Bitcoin selbst verwahrt, braucht sie nicht. Für kleine Beträge unterwegs ist eine Handy-Wallet praktischer.
- Alternative
- Electrum — älter und schlichter, ebenfalls mit Hardware-Wallets nutzbar.
Was ich nicht empfehle
Keine Schimpfliste. Acht Dinge, die oft als Sicherheit verkauft werden — und wo ich die Grenze ziehe.
Antivirus-Jahresabo als Ersatz für Updates und 2FA
Aktuelles Windows bringt den Defender mit, und der reicht für die meisten. Ein Jahresabo ersetzt weder Updates noch ein eigenes Passwort pro Konto oder den zweiten Faktor. Bezahl-Suiten bündeln VPN, „Identitätsschutz“ und Warnbanner — mehr Upselling als Schutz. Gegen wiederverwendete Passwörter und den schnellen Klick auf den falschen Download hilft kein Abo. Der größere Hebel ist, woher du Software lädst.
Mehr dazu: Software sicher herunterladen
Browser-Extensions „mit guter Bewertung“
Eine Erweiterung mit Zugriff auf alle Websites liest mit, was du im Browser tust. Viele Sterne sagen nichts darüber, was das nächste Update mitbringt. Beliebte Extensions werden verkauft und bekommen dann Schadcode nachgeliefert. Ein Blocker reicht — jede weitere ist Angriffsfläche und macht deinen Browser leichter wiedererkennbar.
Mehr dazu: Browser-Tracking-Schutz in 10 Minuten
Seed-Phrase in Cloud, Fotos, Passwort-Manager oder Chat
Jede digitale Kopie der Seed-Phrase landet im Cloud-Backup, auf synchronisierten Geräten und in Reichweite jedes Infostealers. Das gilt auch für den Passwort-Manager und die Nachricht an dich selbst. Wer die Wörter hat, hat das Geld — unabhängig von jeder Hardware. Gibt es ein Foto oder eine Datei davon, gilt die Phrase als verbrannt. Sie gehört offline auf Papier oder Metall, nirgendwo sonst.
Mehr dazu: Seed-Phrase & Hardware-Wallet: OpSec-Basics
SMS-2FA als „erledigt“
SMS ist besser als nichts, aber die schwächste Variante. SIM-Swapping ist ein etabliertes Geschäft, und die Codes lassen sich am Telefon oder über Phishing-Seiten abfragen. Der Haken bei „2FA aktiviert“ sagt also wenig. Wo ein Dienst Passkeys anbietet, nimm sie, sonst eine Authenticator-App. Fang beim E-Mail-Hauptkonto an, denn darüber lassen sich alle anderen Konten zurücksetzen.
Mehr dazu: 2FA: Welche Methode wirklich schützt
Gebrauchte Hardware-Wallets
Eine Hardware-Wallet schützt nur, wenn die Seed-Phrase auf deinem Gerät entstanden ist und sonst niemand sie kennt. Bei einem gebrauchten oder weiterverkauften Gerät weißt du das nicht. Liegt eine „fertige“ Phrase bei, ist sie ein fremder Schlüssel — wer sie kennt, räumt später ab. Kauf direkt beim Hersteller und richte das Gerät selbst neu ein. Die Ersparnis steht in keinem Verhältnis zum Risiko.
Mehr dazu: Seed-Phrase & Hardware-Wallet: OpSec-Basics
VPN als Allheilmittel gegen Tracking
Ein VPN hilft in fremden WLANs und wenn ein Dienst deine IP-Adresse nicht sehen soll. Gegen Tracking hilft es kaum: Cookies, Logins und Fingerprinting gehen durch den Tunnel einfach mit. Wer bei Google oder Meta angemeldet ist, wird dort als Person erkannt, VPN hin oder her. Unsichtbarkeit verspricht dir nur die Werbung. Mehr bringen ein Blocker im Browser und blockierte Drittanbieter-Cookies.
Mehr dazu: Browser-Tracking-Schutz in 10 Minuten
Support, der zuerst per DM schreibt
Echter Support schreibt dich nicht zuerst an — nicht auf X, nicht auf Discord, nicht auf Telegram. Die Nachricht kommt meist kurz nachdem du öffentlich nach Hilfe gefragt hast, also genau dann, wenn du Stress hast. Wer nach Seed-Phrase, Bildschirmfreigabe oder einem Verifizierungs-Link fragt, ist der Angriff. Hilfe holst du dir nur über den Weg, den du selbst öffnest: die offizielle Seite aus deinen Lesezeichen.
Mehr dazu: Seed-Phrase & Hardware-Wallet: OpSec-Basics
Affiliate-Links? Nein. Nur echte Empfehlungen.