In meinem Freundeskreis bin ich der Mann mit der Drohung. Zwei Bier, ein Satz über WhatsApp-Kundenchats — und ich sage, was ich immer sage: Ich zeig euch an. Alle. Das Verrückte daran ist nicht der Witz. Das Verrückte ist, dass ich damit recht hätte.
## Ich zeig euch an. Alle.
Auf jeder Grillfeier derselbe Moment: Das zweite Bier ist offen, einer erzählt stolz, wie er seinen Laden digitalisiert hat, die Angebote gehen per WhatsApp raus, die Kundenliste wohnt im Handy, das Handy sichert alles in irgendeine Cloud, deren Namen er nicht mal kennt, und während er redet, stelle ich mein Bier ab, gucke langsam in die Runde und sage den Satz, für den sie mich lieben und fürchten: Ich zeig euch an. Alle. Jeden Einzelnen.
**Alle lachen. Keiner ändert was.**
Dabei ist der Witz gar keiner. Der Witz ist nur, dass ich’s noch nicht getan hab.
Ein Kumpel von mir baut Statistiken für eine Molkerei. Mit ChatGPT. Kann man machen — solange keine Kundendaten, keine Mitarbeiterdaten und keine internen Firmenzahlen im Prompt landen. Grauzone, kein Verbrechen, dafür gibt’s von mir nur den strengen Blick. Den Anzeigen-Finger gibt’s für den zweiten Teil: Die komplette Kommunikation, intern und mit Kunden, läuft über WhatsApp. Begründung, wörtlich: “Die wollen das alle so.”
**”Die wollen das alle so” steht in keinem Gesetz. Ich hab nachgeguckt.**
## Königsklasse: Gesundheitsdaten per WhatsApp
Anderer Fall, und den anonymisiere ich jetzt gründlich, sonst muss ich ihn ja wirklich anzeigen: ein Versicherungsvermittler. Arbeitet in den üblichen Branchenportalen — das ist der saubere Teil, die Portale haben ihre Verträge, ihre Server, ihre Juristen. Der dreckige Teil beginnt in dem Moment, wo er Daten aus dem Portal zieht und per WhatsApp weiterschickt: Policen, Angebote, Schadensmeldungen, abfotografierte Dokumente, Gesundheitsfragen für die Berufsunfähigkeitsversicherung. Gesundheits- und Finanzdaten sind nach Artikel 9 DSGVO besonders geschützt. Das ist nicht die Kategorie “Parkscheibe vergessen”. Das ist die Königsklasse.
Und das Ganze läuft auf Windows 11, was einen eigenen Absatz verdient: Die Telemetrie funkt Nutzungsdaten nach Redmond, ohne zu fragen. Recall — falls das Feature aktiv ist — macht laufend Bildschirmfotos von allem, was auf dem Monitor liegt, Branchenportal inklusive. Und OneDrive nimmt den Dokumentenordner mit den Kundenunterlagen und synchronisiert ihn automatisch in eine amerikanische Cloud.
**Er weiß von nichts. Windows fragt auch nicht laut.**
Und der Umständliche bin in solchen Geschichten natürlich immer ich — der mit Linux Mint, wo nichts davon passiert.
Jetzt kommt immer dasselbe Totschlagargument: “Aber WhatsApp ist doch Ende-zu-Ende-verschlüsselt!” Stimmt. Steht drauf. So wie “mit natürlichen Zutaten” auf der Gummibärchentüte steht. Technisch nicht gelogen. Praktisch irreführend.
Ende-zu-Ende heißt: Unterwegs kann keiner reingucken. Das war’s aber auch schon. Meta sieht trotzdem, wer mit wem schreibt, wann, wie oft, wie lange — und diese Metadaten sind das eigentliche Geschäft. Das Backup deiner Chats landet bei den meisten Leuten unverschlüsselt bei Google Drive oder in der iCloud. Und dein Adressbuch — bei einem Selbständigen also die komplette Kundenliste — lädt WhatsApp automatisch zu Meta hoch, ohne dass auch nur ein einziger dieser Kunden je zugestimmt hätte.
Und den Auftragsverarbeitungsvertrag, den du als Firma bräuchtest, gibt es für die normale WhatsApp-Version schlicht nicht.
Der Brief fährt im Panzertransporter.
Und am Ziel legt ihn einer als Fotokopie in den offenen Karton vor die Tür.
Du mietest ein Schließfach in Frankfurt. Der Vermieter ist eine amerikanische Firma. Klopft eine US-Behörde beim Vermieter an, macht er dein Schließfach auf
— und dass das Ding in Frankfurt steht, interessiert dabei exakt niemanden.
Genau das ist der CLOUD Act, ein US-Gesetz von 2018: Amerikanische Unternehmen müssen Daten an US-Behörden herausgeben, egal wo auf der Welt der Server steht. Betroffen: Microsoft, Google, Amazon, Meta, Salesforce mit Slack — also so ziemlich alles, womit deutsche Firmen täglich hantieren. Ein europäisches Gesetz, das diese Lücke schließt, existiert nicht.
“Unsere Daten liegen in der EU” beruhigt nur Leute, die nicht wissen, wem der Server gehört.
Was passiert, wenn so ein Konzern dir dann auch noch den Stecker zieht, steht hier:
Digitale Erpressbarkeit — der Kill Switch in deinem Betrieb
Tool | E2E | Serverstandort | CLOUD Act | DSGVO-tauglich | Kosten | Besonderheit |
|---|---|---|---|---|---|---|
| Teilweise | USA/Meta | Ja | Nein | “kostenlos” | Adressbuch-Upload zwingend | |
| Telegram | Nein (Standard-Chats) | Dubai/verteilt | Unklar | Nein | kostenlos | Nur Secret Chats E2E, Gruppen nie |
| Slack | Nein automatisch | USA/Salesforce | Ja | Aufwändig (AVV, Business+, TIA) | ab 0 € | Cloud-Act-Restrisiko bleibt auch mit AVV |
| Zoom | Optional | USA | Ja | Aufwändig | ab 0 € | 2020 Routing-Skandal über China |
| Signal | Ja | USA | Minimal | Bedingt | kostenlos | Praktisch keine auswertbaren Metadaten |
| Threema | Ja | Schweiz | Nein | Ja | ca. 4 € einmalig | Keine Telefonnummer, keine E-Mail nötig |
| Threema Work/OnPrem | Ja | Schweiz/eigener Server | Nein | Ja | Lizenz | Auch fürs Gesundheitswesen ausgelegt |
| Infomaniak kChat/kMeet | Ja | Schweiz | Nein | Ja | ab 0 € | AVV verfügbar |
| Matrix (öffentl. Server) | Ja | UK | Unklar | Problematisch | kostenlos | UK ohne stabilen Angemessenheitsstatus |
| Matrix selfhosted | Ja | Eigener Server | Nein | Ja | ~5 €/Monat Server | Basis des BundesMessengers |
| Delta Chat | Ja | Dein Mailserver | Vom Mailanbieter abhängig | Ja bei eigenem Server | kostenlos | Läuft über vorhandene E-Mail |
| Briar | Ja | Kein Server (P2P) | Nein | Ja — technisch sauberste Lösung | kostenlos | Schlüsseltausch nur persönlich per QR-Code |
| Wire Bund | Ja | Deutschland (ITZBund) | Nein | Ja | — | Bund, Frankreich, Polen, NL steigen darauf um |
| Nextcloud Talk selfhosted | Ja | Eigener Server | Nein | Ja | Serverkosten | Läuft bei mir seit Jahren |
Bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes — je nachdem, was höher ist. Das ist keine Theorie, das ist verhängte Praxis: Deutsche Wohnen, ursprünglich 14,5 Millionen Euro — im Juni 2026 hat das Landgericht Berlin das nach jahrelangem Prozessieren auf 900.000 runtergestutzt, mit Konzernanwälten, die sich dein Betrieb nicht leisten kann. AOK Baden-Württemberg, 1,24 Millionen — eine halbstaatliche Krankenkasse, hat ihr auch nicht geholfen. 1&1 Telecom, 900.000 Euro. EU-weit kamen 2023 und 2024 zusammen rund 4,5 Milliarden Euro Bußgeld zustande, davon 1,3 Milliarden allein gegen Meta — exakt die Firma, über deren Server eure Kundenchats laufen. Und Deutschland steht seit 2018 bei rund 77.000 dokumentierten DSGVO-Verstößen. Spitzenplatz in Europa. Herzlichen Glückwunsch.
Und bevor jetzt einer jammert, das sei ja alles so schwer: Die Lösungen liegen rum. Threema kostet vier Euro, einmalig, Schweiz, kein CLOUD Act, keine Telefonnummer nötig. Signal ist kostenlos und sammelt praktisch nichts. Wer es richtig macht, hostet selbst: Nextcloud Talk auf dem eigenen Server — läuft bei mir seit Jahren, kein Konzern, kein Kill Switch, kein amerikanischer Richter. Für die ganz Vorsichtigen gibt es Briar: Da liest garantiert niemand mit, weil es nicht mal einen Server gibt, den man anzapfen kann. Sogar der Bund steigt für die interne Kommunikation aus US-Messengern aus — BundesMessenger auf Matrix-Basis, Wire, gemeinsam mit Frankreich, Polen und den Niederlanden. Wenn selbst die deutsche Verwaltung schneller umstellt als du, ist das kein Kompliment.
Und jetzt der Teil, den keiner hören will: Meta zwingt euch nicht. Microsoft zwingt euch nicht. Ihr macht das freiwillig. Ihr jammert über Datenkraken, klickt “Zustimmen” und schickt die nächste Schadensmeldung per WhatsApp, weil die Kunden “das alle so wollen”. Der erste Schuss vom Dealer war gratis — und ihr holt euch seit zehn Jahren freiwillig Nachschub.
Ich hab übrigens nie jemanden angezeigt. Keinen einzigen. Ich bin Techniker, kein Denunziant — der Running Gag funktioniert ja nur, weil alle am Tisch wissen, dass ich recht hätte. Aber merkt euch eins: Auf mich kommt es gar nicht an. Ein unzufriedener Kunde, ein gefeuerter Mitarbeiter, ein gelangweilter Ex-Geschäftspartner — die Beschwerde bei der Datenschutz-Aufsichtsbehörde ist ein Onlineformular. Kostenlos. Zehn Minuten.
Nein. WhatsApp lädt das komplette Adressbuch — also auch alle Kundenkontakte — automatisch zu Meta hoch, ohne dass diese Kunden zugestimmt haben. Für die normale WhatsApp-Version gibt es keinen Auftragsverarbeitungsvertrag (AVV), und als US-Dienst unterliegt Meta dem CLOUD Act. Für geschäftliche Kundenkommunikation ist WhatsApp damit nicht DSGVO-konform einsetzbar.
Der CLOUD Act ist ein US-Gesetz von 2018. Es verpflichtet amerikanische Unternehmen, Daten auf Anforderung an US-Behörden herauszugeben — unabhängig davon, wo der Server steht. Auch Daten auf EU-Servern von Microsoft, Google, Amazon, Meta oder Salesforce/Slack sind betroffen. Ein europäisches Gesetz, das diese Lücke vollständig schließt, existiert nicht.
Threema (Schweiz, ca. 4 € einmalig, keine Telefonnummer nötig) und Threema Work/OnPrem für Firmen,
selbstgehostetes Nextcloud Talk oder Matrix auf eigenem Server (kein CLOUD Act, voller AVV-freier Eigenbetrieb) Der Königsweg, auch gegen Schnüffeluschi
sowie Signal als Minimallösung mit kaum Metadaten.
Die deutsche Verwaltung setzt intern auf BundesMessenger (Matrix-Basis) und Wire.
Der Rahmen: bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist.
Verhängte Beispiele aus Deutschland:
EU-weit wurden 2023/2024 rund 4,5 Milliarden Euro verhängt, davon rund 1,3 Milliarden gegen Meta.
## Quellen
– DSGVO Art. 9 (besondere Kategorien personenbezogener Daten), Art. 83 (Bußgeldrahmen)
– CLOUD Act (H.R. 4943), USA, 2018
– Berliner Beauftragte für Datenschutz und Informationsfreiheit: Bußgeldbescheid Deutsche Wohnen SE (14,5 Mio. €); Landgericht Berlin I, Urteil Juni 2026: Reduktion auf 900.000 €
– LfDI Baden-Württemberg: Bußgeld AOK Baden-Württemberg (1,24 Mio. €)
– BfDI: Bußgeld 1&1 Telecom GmbH (900.000 €)
– DLA Piper GDPR Fines and Data Breach Survey (EU-Bußgeldsummen 2023/2024, Meta-Bußgelder)
– IBM Cost of a Data Breach Report (Durchschnittskosten eines Datenschutzvorfalls: rund 4,9 Mio. USD)
– Kuketz IT-Security-Blog: Messenger-Analysen (Briar, Delta Chat)
– BfDI / Bundeswehr: BwMessenger und BundesMessenger (Matrix/Element, On-Premise ITZBund)
– BornCity / Presseberichte: Bund, Frankreich, Polen und Niederlande führen Wire für die interne Kommunikation ein
– Slack-Dokumentation: DSGVO-Einsatz nur mit AVV, Business+-Plan und Transfer Impact Assessment
Lokale Hilfe:
Linux Club Saarbrücken – hervorragende Admins, praktische Unterstützung, regelmäßiger Stammtisch
Überregional: LinuxGuides.de
Einfach gut zu wissen
Was deine Cyberversicherung nicht zahlt
Beispiel: Handwerksbetrieb 10 Mitarbeiter.
Hardware einmalig ~600 € extra.
Einfach gut zu wissen
Was Windows 11 täglich über dich sammelt
Einmalig: kostenloser Umstieg — deine Daten bleiben bei dir.
