Desktop/Laptop

Linux

Linux ist ein sehr sicheres Betriebssystem, das sich vor allem durch seine Open-Source-Natur, regelmäßige Updates und starke Sicherheitsfunktionen auszeichnet. Hier die wichtigsten Punkte:

• Offener Quellcode: Der Quellcode von Linux ist öffentlich, sodass Sicherheitslücken schnell erkannt und behoben werden können.
• Paketquellen und Updates: Software wird in Linux über Paketmanager (z.B. apt, yum, dnf) aus vertrauenswürdigen Quellen installiert. Diese Quellen sind sicherheitsgeprüft, und Updates werden regelmäßig angeboten, um bekannte Sicherheitslücken zu schließen.
• Verschlüsselung: Linux bietet einfache Lösungen zur Verschlüsselung von Festplatten (z.B. LUKS) und Dateien (z.B. ecryptfs), um Daten auch im Falle eines Diebstahls zu schützen.
• Firewall & Netzwerksicherheit: Linux hat leistungsstarke Firewall-Tools wie iptables, mit denen Administratoren den Datenverkehr genau steuern können. Tools wie fail2ban blockieren automatisch IP-Adressen bei wiederholten Sicherheitsverletzungen, z.B. Brute-Force-Angriffen.
• Sicherheits-Tools: Tools wie SELinux und AppArmor bieten erweiterte Sicherheitsfunktionen, um den Zugriff auf Systemressourcen weiter einzuschränken und Missbrauch zu verhindern.

Insgesamt bietet Linux ein hohes Maß an Sicherheit durch Transparenz, starke Verschlüsselung und eine einfache, aber effektive Verwaltung von Software und Updates.

Tails

Tails (kurz für Tails Amnesic Incognito Live System) ist ein auf Sicherheit und Anonymität spezialisiertes Live-Betriebssystem, das auf Linux basiert. Es ist darauf ausgelegt, von einem USB-Stick oder einer DVD aus zu booten, ohne Spuren auf dem genutzten Computer zu hinterlassen („amnesic“ = vergesslich). 

Weitere Eigenschaften von Tails:

• Anonymität durch Tor: Der gesamte Internetverkehr wird zwangsweise über das Tor-Netzwerk geleitet, wodurch die IP-Adresse verschleiert und Online-Überwachung verhindert wird.
• Keine Datenspuren: Tails läuft vollständig im Arbeitsspeicher (RAM). Nach dem Herunterfahren werden alle flüchtigen Daten gelöscht. Es wird nichts auf der Festplatte des Computers gespeichert.
• Portabilität:Tails verwandelt jeden PC in einen sicheren Computer, da es nicht installiert werden muss, sondern als Live-System genutzt wird.
• Vorinstallierte Sicherheits-Tools: Das System enthält Werkzeuge für verschlüsselte Kommunikation, darunter der Tor Browser, KeePassXC (Passwortmanager), GnuPG (Verschlüsselung) und LibreOffice.
• MAC-Adressen-Spoofing: Tails verschleiert automatisch die MAC-Adresse der Netzwerkkarte, um die Hardware im Netzwerk unkenntlich zu machen. 
• Persistenter Speicher (optional): Auf dem USB-Stick kann ein verschlüsselter Bereich eingerichtet werden, um Dateien und Konfigurationen dauerhaft zu speichern.

❗Achtung: Wie alle Betriebssysteme ist auch Tails abhängig von der Firmware und Hardware des Geräts. Ist diese Komprimitiert, wurde z.B. Spionagesoftware aufgespielt, kann auch Tails nicht mehr als sicher gelten

Es gibt Rund um Tails eine sehr nützliche Broschüre, die auch als Download zur Verfügung steht.

QubesOS

QubesOS bietet herausragende Sicherheit und lässt sich mit Whonix kombinieren, um den Schutz vor Überwachung und Angriffen weiter zu verstärken. Es ist jedoch für technisch versierte Nutzer konzipiert.

• Isolierte VMs: Anwendungen laufen in eigenen VMs (virtuelle Maschinen), wodurch Angriffe auf eine VM nicht das ganze System gefährden können.
• Minimale Rechte & Kompartimentierung: VMs haben nur die nötigen Berechtigungen, was das Risiko eines Systemdurchbruchs minimiert.
• Hardware-Virtualisierung: Schützt vor tiefgehenden Angriffen durch Xen-Virtualisierung.
• Open Source: Der Quellcode ist öffentlich zugänglich, was Transparenz und Kontrolle ermöglicht.
• Starke Verschlüsselung: Alle Daten sind standardmäßig verschlüsselt.
• Regelmäßige Updates: Sicherheitsupdates werden kontinuierlich bereitgestellt.

Integration mit Whonix:

Qubes OS kann mit Whonix kombiniert werden, einem Betriebssystem, das speziell für Anonymität entwickelt wurde. Whonix leitet den gesamten Internetverkehr über das Tor-Netzwerk, um die Privatsphäre zu schützen. Die Architektur trennt zusätzlich Tor-Netzwerkzugang (Whonix-Gateway) und Anwendungsbetrieb (Whonix-Workstation) in zwei separate virtuelle Maschinen. So bleibt die Integrität des Tor-Prozesses selbst bei kompromittierten Anwendungen erhalten. Whonix verhindert zuverlässig IP- und DNS-Leaks, schützt gegen Traffic-Korrelation, bietet vorkonfigurierte Sicherheitseinstellungen und unterstützt zahlreiche Tunneling-Varianten, etwa VPN-over-Tor oder SSH-Kaskadierungen. In Kombination mit Qubes OS bietet Whonix einen extrem hohen Schutz.

Whonix ist auch ohne Qubes nutzbar, läuft dann in einer eigenen VM oder als virtuelle Maschine auf anderen Betriebssystemen. Aber in Kombination mit Qubes OS erreicht Whonix eine nochmal höhere Isolation und geringere Angriffsfläche als im Standalone-Betrieb.

Smartphone

GrapheneOS

GrapheneOS ist das seit Jahren sicherste und datensparsamste mobile Betriebssystem. Es basiert auf dem Android Open Source Project (AOSP) und läuft derzeit nur auf Googles Pixel-Geräten, da nur diese den Sicherheitsanforderungen des Entwickler:innenteams an die Hardware gerecht werden. Soweit bekannt sind GrapheneOS-Geräte derzeit die einzigen Mobilgeräte, die in den letzten Jahren weder bei physischem Zugriff geknackt, noch remote kompromittiert werden konnten.

• Durch Spenden finanziert, kleines Entwickler:innenteam
• Dreiteilige Sicherheitsarchitektur:
  • Verkleinerung der Angriffsfläche: nur absolut notwendige Features sind im Grundzustand enthalten und aktiviert, alles Unnötige entfernt
  • Durch moderne, sichere Softwareentwicklung wird versucht, ganze Klassen von Programmfehlern (Bugs) auszuschließen (z.B. memory corruption oder dynamic code loading/execution) und fundamentale Schutzgräben ins Betriebssystem einzuziehen, statt nur auf bekannte Sicherheitslücken zu reagieren – Proaktiver statt reaktiver Sicherheitsansatz
• Durch Containment und Isolation werden die Auswirkungen minimiert, die es hat, wenn ein Angreifer doch mal eine Sicherheitslücke ausnutzen kann, weil jeder Prozess nur minimale Zugriffsrechte hat.
• Keine Google-Dienste im System, aber Nutzer:innen entscheiden selbst über Funktionen; Apps, die Google Play Services benötigen, können sicher in einer isolierten Sandbox laufen.
• Schutz vor Exploits (also Angriffen, die Sicherheitslücken ausnutzen) durch

• räumliche Einschränkung (Apps haben nur Zugriff auf bestimmte Ressourcen, getrennte Benutzerprofile möglich) und
• zeitliche Einschränkung (bei jedem Neustart sorgt Verified Boot dafür, dass das System wieder sicher ist).
• Sicherheitsfeatures:

• Auto-Reboot: wenn sich die Nutzer:in für eine konfigurierbare Zeit nicht eingeloggt hat. Dadurch geht das Gerät wieder in den sichereren Before First Unlock (BFU)-Zustand über, in dem keine Geheimnisse im RAM liegen
• keine unnötigen Netzwerkverbindungen: automatisches Abschalten der Schnittstellen (Wlan, Bluetooth etc.) bei Nicht-Verbindung, sodass darüber keine Angriffe mehr stattfinden können
• Duress-PIN möglich → die bei (erzwungener) Eingabe alle Daten vom Gerät löscht
• Zwei-Faktor-Authentifizierung zum Entsperren des Geräts möglich

Bei Resist Berlin findest du Infos, wie lange die verschiedenen Pixelmodelle noch durch Sicherheitsupdates supportet werden und wass dich das kostet.

Es gibt auch noch andere Betriebssysteme für Smartphones, die ohne Google als Basis funktionieren und doch die Nutzung ausgewählter Google-Apps ermöglichen. Sie reichen in Sachen Sicherheit jedoch nicht an GrapheneOS heran. Beispielsweise:

• CalyxOS: Schützt dein Handy stärker vor Angriffen als Android und sammelt kaum Daten. Viele Sicherheitsfunktionen sind standardmäßig aktiviert. Einfach zu installieren.
• LineageOS: Auch besser für Datenschutz als normales Android, aber mehr auf Freiheit und Anpassung ausgelegt. Sicherheit hängt stärker davon ab, wie du es einstellst.