Kurz zusammengefasst: Schalte die Werbe-ID aus (sie ist standardmäßig aktiviert und die meisten Nutzer finden die Einstellung nie). Überprüfe App-Berechtigungen über das Datenschutz-Dashboard. Stelle einen privaten DNS ein (Android 9+ unterstützt DNS-over-TLS nativ). Überprüfe die Aktivitätssteuerung in deinem Google-Konto. Erkenne, dass Google Play Services selbst ein grundlegender Telemetriekanal ist, den du nicht vollständig abschalten kannst. Erkenne außerdem, dass OEM-Telemetrie (Samsung, Xiaomi, OnePlus, Huawei) noch eine weitere Schicht darüber legt. Für alles Übrige brauchst du einen Filter auf Netzwerkebene – dasselbe Fazit wie bei iOS, aber die Lücke ist bei Android größer, weil das Betriebssystem Apps mehr erlaubt.
Der strukturelle Unterschied: Android ist nicht iOS
Bevor wir zu einzelnen Einstellungen kommen, drei strukturelle Fakten, die bestimmen, wie Datenschutz auf Android im Jahr 2026 tatsächlich aussieht:
Es gibt kein App Tracking Transparency auf Android. iOS zwingt Apps dazu, vor der Nutzung der geräteseitigen Werbe-ID zu fragen; Android nicht. Die Werbe-ID ist standardmäßig aktiviert, und Apps nutzen sie frei für app-übergreifendes Tracking. Du kannst sie in den Einstellungen deaktivieren (dazu kommen wir noch), aber die Voreinstellung ist Opt-in, kein Opt-out. Das ist die größte einzelne Richtlinienlücke gegenüber iOS. Unsere Analyse darüber, was ATT auf iOS nicht stoppt, gilt vollständig – und die Ausgangslage ist bei Android noch schwächer, weil es gar kein ATT gibt.
Google Play Services läuft unter jeder App. Es übernimmt Push-Benachrichtigungen (FCM), Ortungsdienste, Google-Anmeldung, Zahlungen, den Play Store, „Mein Gerät finden“ und ~40 weitere Systemfunktionen. Es sendet außerdem kontinuierlich Telemetriedaten an Google. Du kannst einzelne Teilsysteme deaktivieren, aber ohne Play Services vollständig zu deaktivieren, brichst du Androidas App-Ökosystem. Das ist so konzipiert und wird sich nicht ändern.
OEMs fügen obendrauf ihre eigene Telemetrie hinzu. Samsung-Smartphones laufen mit Samsung Knox Analytics. Xiaomi nutzt Xiaomi Cloud Sync. OnePlus nutzt heytap. Huawei (bei Builds ohne Google Mobile Services) nutzt Petal. Diese sind unabhängig von Googles Telemetrie und haben eigene Opt-outs (oft tief vergraben). Auf Pixel-Geräten entspricht die OEM-Telemetrie einfach der von Google, da Google das Pixel herstellt.
Was das praktisch bedeutet: Androidas Datenschutz-Decke liegt niedriger als die von iOS, aber der Bereich dessen, was du über Einstellungen kontrollieren kannst, ist breiter. Beides lässt sich durch die richtige Konfiguration sinnvoll verbessern – keines ist „standardmäßig privat“.
Die Einstellungen, die wirklich wichtig sind
In grober Reihenfolge nach Wirkung – das sind die Schalter, die deine Zeit wert sind:
1. Die Werbe-ID löschen
Einstellungen → Sicherheit & Datenschutz → Datenschutz → Werbung → Werbe-ID löschen. Tippe drauf. Bestätige. Das ist das nächste Android-Äquivalent zu iOS ATT und bei weitem die wirkungsvollste einzelne Einstellung. Nach dem Löschen erhalten Apps, die deine Werbe-ID abfragen, eine Zeichenkette aus Nullen. Die Einstellung ist Opt-in (du musst sie erst finden); die meisten Nutzer tun es nicht.
Beachte, dass das Löschen der Werbe-ID Apps nicht daran hindert, dich auf andere Weise zu tracken – über eingebettetes SDK-Fingerprinting, Google-Anmeldeveräknüpfung, gehashte E-Mail-/Telefonnummern-Identifikatoren. Es stoppt lediglich den einen von Google verwalteten Identifikator. Die anderen Schichten erfordern Filter auf Netzwerkebene, die wir später behandeln.
2. Einen privaten DNS einrichten
Einstellungen → Netzwerk & Internet → Privater DNS. Android 9+ unterstützt DNS-over-TLS nativ. Stelle es auf „Hostname des privaten DNS-Anbieters“ und gib einen datenschutzfreundlichen Resolver ein, zum Beispiel dns.cloudflare.com oder dns.adguard-dns.com. Das verhindert, dass dein Mobilfunkanbieter und lokale Netzwerke sehen, welche Hostnamen dein Smartphone auflöst.
Das ist eines der wirklich starken Datenschutzmerkmale von Android – iOS stellt es nicht so klar zur Verfügung. Es ist aber auch nur ein Teilschritt. Privater DNS verschlüsselt deine Anfragen; er filtert sie nicht. Für Filterung (Werbeblocker, Tracker-Blocker, Phishing-Erkennung) brauchst du einen filternden Resolver – genau das bietet ein Tool wie Casper auf VPN-Ebene.
3. App-Berechtigungen über das Datenschutz-Dashboard prüfen
Einstellungen → Sicherheit & Datenschutz → Datenschutz → Datenschutz-Dashboard. Android 12+ zeigt eine 24-Stunden-Chronik, welche Apps auf welche Sensoren zugegriffen haben (Standort, Mikrofon, Kamera). Die meisten Nutzer haben mindestens 3–5 Apps, die auf Dinge zugreifen, die ihnen gar nicht bewusst sind.
Typische Funde, die sich lohnen zu beheben:
- Nachrichten-Apps mit dauerhaftem Standortzugriff (entziehen; sie brauchen ihn nicht)
- Wetter-Apps mit Standortberechtigung „Immer erlauben“ (auf „Nur bei Verwendung der App“ herabstufen)
- Soziale Apps mit Mikrofonzugriff ohne aktive Sprachaufnahme (entziehen)
- Kameraberechtigung für Apps, die sie eigentlich nicht benötigen (entziehen)
- Kalender-/Kontaktzugriff für Apps, die weder das eine noch das andere lesen müssen
Android 13+ fügt außerdem die automatische Widerrufseinstellung hinzu – Apps, die du seit Monaten nicht geöffnet hast, verlieren automatisch ihre Berechtigungen. Stelle sicher, dass sie pro App aktiviert ist.
4. Aktivitätssteuerung im Google-Konto einschränken
Einstellungen → Google → Google-Konto verwalten → Daten & Datenschutz. Drei Schalter mit hoher Wirkung:
- Web- & App-Aktivitäten: standardmäßig aktiviert. Speichert deinen Suchverlauf und deine Aktivitäten über Google-Dienste hinweg. Automatisch alle 3 oder 18 Monate löschen oder vollständig pausieren.
- Standortverlauf: standardmäßig aktiviert. Zeichnet deinen Standort kontinuierlich auf, solange du angemeldet bist. Pausieren oder automatisch löschen lassen.
- YouTube-Verlauf: separate Einstellung für den Video-Wiedergabe- und Suchverlauf. Pausieren, wenn du keine Personalisierung möchtest.
Hinweis: Das Pausieren stoppt die zukünftige Datenerhebung. Vorhandene Daten bleiben gespeichert, es sei denn, du löschst sie auch über die Seite „Meine Aktivitäten“. Automatisches Löschen ist die bessere Langzeiteinstellung.
5. Personalisierte Werbung in deinem Google-Konto deaktivieren
Google-Konto → Daten & Datenschutz → Werbeanpassung → Aus. Verhindert, dass Google deine Aktivitäten nutzt, um Werbung in YouTube, Suche, Maps und auf Partnerseiten zu personalisieren. Reduziert nicht das Werbevolumen – entkoppelt sie nur von deinem Profil.
6. Bildschirm richtig sperren
Einstellungen → Sicherheit & Datenschutz → Gerätesperre. Verwende eine lange PIN (8+ Stellen) oder ein Passwort, nicht nur einen Fingerabdruck. Grund: An US-amerikanischen Grenzen und in rechtlichen Zwangslagen waren Gerichte bisher eher bereit, biometrische Entsperrung zu erzwingen als wissensbasierte. Die 5th-Amendment-Rechtsprechung ist ungeklärt, aber zeigt eine Tendenz: Fingerabdruck/Gesicht = etwas, das du hast; PIN = etwas, das du weißt.
7. OEM-spezifische Telemetrie prüfen und deaktivieren
Je nach Smartphone-Hersteller:
- Samsung: Einstellungen → Datenschutz → Berechtigungsmanager. Außerdem: Einstellungen → Sperrbildschirm → Anpassungsdienst → Aus. Außerdem: „Samsung Daily“ / „Samsung Free“ deaktivieren, falls vorhanden.
- Xiaomi (MIUI / HyperOS): Einstellungen → Datenschutz → Besondere Berechtigungen → Nutzungszugriff (prüfen). Außerdem: Mi-Konto → Datenschutz → Nutzererfahrungsprogramm → Aus. Außerdem: „Empfehlungen“ in MIUI-Apps (Musik, Video usw.) deaktivieren.
- OnePlus (OxygenOS): Einstellungen → System → Systemanwendungs-Updater → Aus. Außerdem: „Nutzererfahrungsprogramm“ und „Verbesserung der Systemstabilität“ in den Einstellungen deaktivieren.
- Huawei: EMUI-Einstellungen → System & Updates → Programm zur Verbesserung der Nutzererfahrung → Aus.
- Pixel: Einstellungen → System → Über das Telefon → Build-Nummer (7-mal tippen für Entwickleroptionen) → Entwickleroptionen → „Nutzung und Diagnose“ deaktivieren, wenn du pixelspezifische Telemetrie stoppen möchtest.
8. „Mein Gerät finden“ – Standortberichterstattung deaktivieren, wenn du es nicht nutzt
Einstellungen → Google → Mein Gerät finden. Nützlich bei echten Geräteverlust-Szenarien. Deaktivieren, wenn du es nicht nutzt. Beachte, dass sich die Netzwerkfunktion in Android 14 geändert hat und nun ähnlich wie Apples „Wo ist?“ funktioniert – dein Smartphone hilft dabei, verlorene Geräte in der Nähe über Bluetooth zu orten. Opt-in, aber es lohnt sich zu verstehen, was das bedeutet.
9. Installierte Apps prüfen und nicht verwendete entfernen
Jede App auf deinem Smartphone hat eine gewisse Angriffsoberfläche und eine grundlegende Telemetrie. Die einzeln wirksamste Datenschutzmaßnahme, die die meisten Nutzer überspringen: Deinstalliere Apps, die du seit 90+ Tagen nicht geöffnet hast. Die Hälfte des Datenschutzkampfes besteht darin, die Anzahl der Agenten zu reduzieren, die überhaupt Zugang zu deinem Gerät haben.
10. VPN-Routing pro App nutzen (wenn du ein VPN verwendest)
Android unterstützt – anders als iOS – eine VPN-Zulassungs-/Sperrliste pro App. Du kannst bestimmte Apps über ein VPN leiten und andere die lokale Verbindung nutzen lassen. Das ist deutlich flexibler als das Alles-oder-nichts-Modell von iOS. Nützlich, um Banking-Apps auszuschließen, die VPN-Verbindungen blockieren, während der VPN-Schutz für alles andere bestehen bleibt.
Was Google trotzdem noch sieht, egal was du einstellst
Selbst mit jeder gesperrten Einstellung hat Googles Stack Zugriff auf:
- Push-Benachrichtigungs-Routing. Alle Android-Push-Benachrichtigungen laufen über Firebase Cloud Messaging (FCM). Der Benachrichtigungsinhalt ist bei einigen Apps Ende-zu-Ende-verschlüsselt (Signal, Wire), aber Routing-Metadaten sind sichtbar.
- Kontoebenen-Aktivität für jeden Dienst, bei dem du dich mit deinem Google-Konto anmeldest. Der Suchverlauf kann per Schalter pausiert werden; kontoebenen-Aktivität verschwindet damit nicht.
- Ungefährer Standort über Mobilfunkmast-Triangulation und WiFi-BSSID-Fingerprinting. Unabhängig von GPS oder App-Berechtigungen. Wird für crowdsourced Ortungsdienste genutzt.
- Gerätespezifische Diagnosedaten von Pixel-Geräten. Selbst wenn „Nutzung & Diagnose“ deaktiviert ist, senden Pixels eine Grundlage an Telemetriedaten für Garantie- und Sicherheitsoperationen.
- App-Installationssignale aus dem Play Store. Google weiß, welche Apps du installiert hast, wann du sie installiert hast und wie oft du sie aktualisierst.
Nichts davon ist böswillig; so funktioniert die Plattform. Aber es bedeutet, dass „Ich habe alles in den Einstellungen ausgeschaltet“ eine sinnvolle Verbesserung ist – keine Unsichtbarkeit.
Was Apps trotzdem noch sehen können, selbst wenn Berechtigungen eingeschränkt sind
Die App-Berechtigungskontrollen in Android 13+ sind für die Kategorien, die sie abdecken (Standort, Mikrofon, Kamera, Kontakte usw.), wirklich gut. Sie decken nicht die größere Angriffsfläche ab: Jede App, die du gestartet hast, kann Netzwerkverbindungen aufbauen, und diese Verbindungen können Daten übertragen, die die App von überall gesammelt hat, worauf sie Zugriff hat – eigene Daten, die On-Device-Sensoren, die du erlaubt hast, Fingerabdruckdaten, die keine Berechtigungen erfordern (Zeitzone, Bildschirmgröße, Systemschriftarten, Sensor-Rauschenmuster).
Eingebettete SDKs sind das größte Leck. Das Facebook SDK steckt in rund 30 % der Android-Apps; selbst wenn alle Berechtigungen verweigert werden, telefonieren diese Apps noch immer mit Meta nach Hause – mit allem, was das SDK übermitteln soll. Mixpanel, Amplitude, AppsFlyer, Adjust, Branch – dasselbe Muster. Das Android-Berechtigungssystem war nie dafür ausgelegt, diese Schicht zu kontrollieren.
Hier zahlt sich Filter auf Netzwerkebene aus – dieselbe Logik wie im DNS-Filter-Deep-Dive. Blockiere das Ziel des SDKs auf DNS-Ebene und es spielt keine Rolle mehr, welche Daten das SDK gesammelt hat, denn diese Daten können das Gerät nicht verlassen. Das Casper-Team hat Tracker-Blocking genau dafür entwickelt – deckt Zehntausende von Tracker- und Werbenetzwerk-Endpunkten ab, einschließlich OEM-Telemetrie-Endpunkten (Samsung Knox, Xiaomi Cloud, OnePlus heytap usw.).
Sideloading: echtes Risiko, echter Nutzen
Android erlaubt dir, Apps außerhalb des Play Store zu installieren – APK-Sideloading, F-Droid, alternative Stores. Der Vorteil: Zugang zu Apps, die Google entfernt hat oder nie erlaubt hat, einschließlich einiger legitimer datenschutzorientierter Tools. Der Nachteil: schwächere Malware-Prüfung als im Google Play Store. Die meiste Consumer-Malware auf Android kommt aus Sideloading-Quellen.
Wenn du sideloadest:
- Nur aus Quellen, denen du vertraust (F-Droid, offizielle Entwickler-Websites, GitHub-Releases mit Prüfung gegen Checksums).
- Lass Google Play Protect aktiviert (Einstellungen → Sicherheit → Google Play Protect) – es scannt auch sidegeloadete APKs.
- Erkenne, dass eine bösartige sidegeloadete App dasselbe Berechtigungsmodell hat wie eine Play-Store-App; dieselbe Filterung auf Netzwerkebene gilt.
Das Zwei-Schichten-Modell auf Android
Dasselbe Fazit, zu dem wir immer wieder kommen:
- Einstellungen auf Betriebssystemebene decken ab, wofür Google sie entwickelt hat – Berechtigungssperren, Werbe-ID-Schalter, Datenkontrolle auf Kontoebene. Nimm dir einmal 20 Minuten, um diese richtig einzustellen.
- Filter auf Netzwerkebene (VPN mit DNS-Filterung) deckt ab, was die Betriebssystemeinstellungen nicht abdecken – eingebettete SDK-Telemetrie, Werbenetzwerke, Phishing-Ziele, OEM-Telemetrie. Hier liegt Caspers Filterung. Die Android-Version verfügt über Pro-App-Override-Steuerung (flexibler als die iOS-Implementierung).
Das Paar deckt den größten Teil dessen ab, wie eine Android-Bedrohungsfläche im Jahr 2026 aussieht. Jede Schicht allein lässt große Lücken. Unsere Android-Plattformseite erläutert, was Casper im Einzelnen abdeckt.
Was sich 2026 und 2027 ändert
Privacy Sandbox auf Android. Googles langjährige Bemühungen, app-übergreifendes Werbe-ID-Tracking durch themenbasierte und rein gerätebasierte Signale zu ersetzen, werden schrittweise eingeführt. Die Topics API und SDK Runtime befinden sich seit 2026 in der Beta-Phase. Ob sich dadurch das Datenschutzbild tatsächlich verbessert, hängt davon ab, ob Werbenetzwerke sie wirklich übernehmen statt weiterhin Fingerprinting zu betreiben – die ersten Anzeichen sind gemischt.
Erweiterung des Netzwerks „Mein Gerät finden“. Android 14 hat das „Mein Gerät finden“-Netzwerk erweitert, sodass es ähnlich wie Apples „Wo ist?“ funktioniert – dein Smartphone hilft dabei, verlorene Geräte in der Nähe über Bluetooth zu orten. Standardmäßig deaktiviert, bis du dich anmeldest, aber es lohnt sich zu verstehen, was es tut.
Staatliche Datenschutzgesetze weiten sich auf Mobilgeräte aus. Washingtons My Health My Data Act (in Kraft seit 2024) und Nevadas ähnliches Gesetz von 2024 haben beide Auswirkungen auf gesundheitsnahe Android-Apps (Fitness-Tracker, Meditations-Apps, Zyklus-Tracker usw.). Erwarte, dass weitere Bundesstaaten diesem Muster folgen.
Fazit
Androidas Datenschutz-Geschichte im Jahr 2026 lautet: „Die Kontrollen sind vorhanden, aber standardmäßig verborgen, und sie decken den größten Teil der Angriffsfläche nicht ab.“ Die 20 Minuten, die du in den Einstellungen verbringst, um die Werbe-ID zu deaktivieren, Berechtigungen zu prüfen, Privaten DNS einzurichten und OEM-Telemetrie zu deaktivieren, bringen pro Minute mehr Datenschutzverbesserung als alles andere, was du tun kannst. Danach schließt Filter auf Netzwerkebene die Lücke bei eingebetteten SDKs und Werbenetzwerken, die kein App-Berechtigungssystem der Welt adressiert.
Wenn du möchtest, dass die Netzwerkebene für dich erledigt wird – einschließlich der Android-spezifischen OEM-Telemetrie-Endpunkte – das ist es, was Casper's Cloak auf Android macht. Die Android-spezifische Seite führt durch die Installation und das App-spezifische Routing; Tracker-Blocking deckt die SDK-Schicht im Einzelnen ab.