Denk daran, was nach sechs Monaten in so einem Konto steckt: Gespräche, die offener sind als alles in deinem Postfach, generierte Bilder, eine Zahlungsmethode und eine E-Mail-Adresse, die alles mit dem Rest deines Lebens verknüpft.
Dazu kommt: Der Betreiber ist meist ein kleines Unternehmen mit einem kleinen Entwicklerteam und ohne Aufsicht, die ihm über die Schulter schaut. Genau diese Kluft – hoher Wert, gewöhnlicher Schutz – ist das ganze Problem.
Was diese Apps typischerweise nicht bieten
Nicht durchgängig, aber oft genug, dass du es annehmen solltest, solange du es nicht geprüft hast:
- Keine Zwei-Faktor-Authentifizierung. Ein Passwort ist das Einzige, was zwischen dem Konto und jedem steht, der Zugriff auf deine E-Mails hat.
- Keine Sitzungsliste. Du siehst nicht, wo du angemeldet bist, und kannst keine Sitzung beenden, die du nicht kennst.
- Keine Login-Benachrichtigungen. Eine Anmeldung von einem neuen Gerät geht unbemerkt durch.
- Dünne Kontowiederherstellung, und das wirkt in beide Richtungen: schwierig für dich, wenn du ausgesperrt bist, leicht für jemanden, der sich gegenüber dem Support als du ausgibt.
- Langlebige Sitzungen, sodass ein Gerät, das du nicht mehr benutzt, noch Monate später angemeldet sein kann.
Bietet eine App 2FA und eine Sitzungsliste an, ist das bemerkenswert. Meist steht dahinter ein Team, das auch über den Rest nachgedacht hat.
Die vier Dinge, auf die es ankommt
1. Ein einzigartiges Passwort aus einem Passwortmanager
Selbstverständlich, und trotzdem entscheidend. Die realistische Gefahr ist nicht, dass jemand gezielt diese App angreift, sondern Credential Stuffing: Ein Passwort aus einem fremden Datenleck wird hier ausprobiert.
Mit einem Passwortmanager kostet das nichts. Jedes wiederverwendete Passwort ist nur ein unbeteiligtes Datenleck davon entfernt, jemand anderem zu gehören.
2. Eine eigene E-Mail-Adresse
Das erreicht zwei Dinge gleichzeitig. Das Konto lässt sich nicht mehr über deine Hauptidentität finden, und ein Einbruch in das eine führt nicht zum anderen.
Nimm ein echtes Postfach, das du kontrollierst, und keine Wegwerfadresse – du musst in einem Jahr noch eine Passwort-Rücksetzung empfangen können. Alias-Dienste oder ein zweites Postfach bei deinem Anbieter funktionieren beide.
An dieselbe Adresse sollten auch die Zahlungsbelege gehen, wie in Zahlungsprivatsphäre beschrieben.
3. 2FA einschalten, wo es sie gibt
Bietet die App sie an, nutze sie, und bevorzuge eine Authenticator-App gegenüber SMS. Gibt es sie nicht, sichere stattdessen das E-Mail-Konto mit 2FA: Das ist der Wiederherstellungsweg, und sein Schutz deckt jede App ab, die dir einen Rücksetz-Link mailen kann.
Das ist der wirkungsvollste Schritt, wenn die App selbst nichts anbietet.
4. Von Geräten abmelden, die du nicht mehr brauchst
Vor allem von allem, was geteilt oder geliehen war. Hat die App keine Sitzungsliste, ist das Ändern des Passworts das grobe Werkzeug, das in den meisten Implementierungen andere Sitzungen ungültig macht.
Die Gefahr, die nicht technisch ist
Sie verdient eine klare Nennung, weil sie in dieser Kategorie den echten Schaden anrichtet: jemand mit Zugriff auf dein entsperrtes Gerät.
Keine Passwortregel hilft dagegen. Die Arbeit liegt auf der Geräteseite – getrennte Browserprofile, Benachrichtigungsvorschau aus, Downloads außerhalb synchronisierter Ordner – und steht in KI-Companion auf einem geteilten Gerät.
Wenn eine App gehackt wird
Das passiert, und der Ablauf ist jedes Mal derselbe:
- Ändere sofort das Passwort, auch überall dort, wo du es wiederverwendet hast.
- Beobachte die E-Mail-Adresse auf Passwort-Rücksetzungen, die du nicht angefordert hast.
- Prüfe die Zahlungsmethode und überlege, die Kartennummer auszutauschen.
- Entscheide, ob du bleibst. Ein Vorfall, der mit klarer Mitteilung und echtem Zeitplan behandelt wird, ist ein anderes Signal als einer, den Journalisten drei Monate später öffentlich machen.
Lies, was der Betreiber tatsächlich schreibt. Vagheit beim Umfang – also bei der Frage, ob Gespräche betroffen waren – ist selbst eine Antwort.
Bevor du ein Abo abschließt
Zwei Minuten in den Einstellungen vor der Zahlung verraten mehr über die Technik eines Betreibers als jede Werbeseite:
- Gibt es 2FA?
- Gibt es eine Sitzungsliste?
- Gibt es eine Selbstbedienungs-Löschung oder nur eine Support-Adresse?
Apps, die auf jahrelang angesammelten Verlauf ausgelegt sind – Nomi, Replika – sind die, bei denen sich das am stärksten summiert, einfach weil sie am meisten über dich speichern. Woraus dieses Material besteht, steht in was deine App über dich weiß, und wie du es loswirst, in Konto löschen.
