Jeder Weg, Dateien zu verstecken, wägt drei Dinge gegeneinander ab: ob er ein eigenes Passwort hat, ob er nach nichts aussieht und ob deine Dateien ein verlorenes oder ein neues Handy überstehen. Das Album „Ausgeblendet“ auf dem iPhone und der Gesperrte Ordner in Google Fotos sind kostenlos und eingebaut, öffnen sich aber mit dem Code deines Handys. Der Sichere Ordner von Samsung und der Private Bereich (Private Space) von Android bringen eine eigene Sperre mit, bleiben aber auf einem Handy. Verschlüsselte Container wie VeraCrypt sind stark und übertragbar, und offensichtlich verschlüsselt. Steganographie-Tools sehen nach nichts aus und fassen sehr wenig. HideFile legt Dateien jedes Typs mit eigenem Passwort in einem gewöhnlichen Foto, PDF oder Video ab, ist Closed Source und für ein forensisches Werkzeug sichtbar.

Keine Option gewinnt in jeder Zeile. Die nützliche Frage ist, wer hinsehen könnte und was mit deinen Dateien passiert, wenn sich etwas ändert.

Zeilen: iPhone-Album „Ausgeblendet“: eigenes Passwort nein, sieht gewöhnlich aus teilweise, jeder Dateityp nein, wandert als Datei nein, Open Source nein. Google Gesperrter Ordner: nein, nein, nein, nein, nein. Samsung Sicherer Ordner: ja, teilweise, ja, nein, nein. Android Privater Bereich: optional, teilweise, ja, nein, ja. Foto-Tresor-App: meist, nein, unterschiedlich, oft nein, selten. VeraCrypt-Container: ja, nein, ja, ja, ja. Verschlüsseltes Festplattenabbild auf dem Mac: ja, nein, ja, ja, nein. Steganographie-Tool: ja, ja, nur kleine Dateien, wenn nicht neu gespeichert, ja. HideFile-Tarndatei: ja, ja, ja, wenn nicht neu gespeichert, nein.
Neun Optionen zu den fünf Fragen, die Leute am häufigsten stellen. „Wandert als Datei“ heißt: Du kannst sie wie jede andere Datei auf ein anderes Gerät oder in eine Sicherung kopieren.

Eingebaute ausgeblendete Alben öffnen sich mit dem Code deines Handys

Das Album „Ausgeblendet“ auf dem iPhone und der Gesperrte Ordner in Google Fotos sind für die meisten Leute meistens die richtige Antwort. Sie kosten nichts, brauchen zwei Tipper und halten Fotos aus der Hauptmediathek, der Suche und den Widgets heraus.

Ihre Grenze ist die Sperre. Apples Album „Ausgeblendet“ entsperrt sich mit Face ID, Touch ID oder dem Gerätecode, und der Code ist immer die Ausweichmöglichkeit. Google ist beim Gesperrten Ordner eindeutig: Sein Passwort sei „dasselbe wie deine Displaysperre“, und „Personen, die Zugriff auf die Displaysperre haben, können den Gesperrten Ordner entsperren“ (aus dem Englischen übersetzt). Wer deinen Code kennt, kommt hinein.

Sie fassen außerdem nur Fotos und Videos und gehen beim Handywechsel unterschiedlich damit um. Ist iCloud-Fotos eingeschaltet, wird das Album „Ausgeblendet“ mit jedem Gerät synchronisiert, das mit deinem Apple Account angemeldet ist, auch mit iCloud.com. Der Gesperrte Ordner ist lokal, solange du sein Backup nicht einschaltest, das Googles Hilfeseite erstmals im August 2023 dokumentierte; ohne Backup gehen laut Google Inhalte verloren, wenn du Google Fotos deinstallierst, seine Daten löschst oder das Handy beschädigt wird oder verloren geht. Unsere Ratgeber zu ausgeblendeten Fotos auf dem iPhone und zum Gesperrten Ordner in Google Fotos behandeln beides im Detail.

Sicherer Ordner und Privater Bereich bringen eine Sperre mit, bleiben aber auf einem Handy

Der Sichere Ordner von Samsung und der Private Space von Android 15 („Privater Bereich“) sind getrennte, verschlüsselte Bereiche des Handys, die neben Fotos auch Apps und Dateien fassen können, mit einer Sperre, die sich von der Displaysperre unterscheiden kann. Beide können ihren eigenen Einstieg verbergen: der Sichere Ordner über „Show icon on Apps screen“ (Symbol auf dem Apps-Bildschirm anzeigen), der Private Bereich über „Hide private space when it's locked“ (Privaten Bereich ausblenden, wenn er gesperrt ist).

Keiner von beiden reist gut. Samsungs US-Supportseite sagt inzwischen „Data backup is no longer available for Secure Folder“ (Für den Sicheren Ordner ist keine Datensicherung mehr verfügbar) und verweist für den Umzug auf ein neues Handy auf Smart Switch. Google sagt, Daten des Privaten Bereichs seien nicht in Gerätesicherungen enthalten und würden mit ihnen nicht wiederhergestellt, und wer den Entsperrfaktor vergisst, verliert den Zugriff. Google nennt auch, wo ein Privater Bereich dennoch aufgedeckt werden kann: Computerzugriff einschließlich adb, Geräteprotokolle und andere Apps. Der Private Bereich ist Teil des Android Open Source Project; der Sichere Ordner ist Samsungs eigene Lösung. Siehe Samsung Sicherer Ordner und Android Privater Bereich.

Tresor-Apps machen deine Dateien zur Geisel der App

Eine Foto-Tresor-App bringt eine eigene PIN mit, was das Code-Problem löst und meist ein neues schafft: Deine Dateien liegen im privaten Speicher der App. Geht die App nach einem Update kaputt, wird sie nicht mehr gepflegt, zieht sie nicht auf ein neues Handy um oder verlangt sie Geld fürs Wiederhereinlassen, gehen die Dateien mit ihr. Das sind die Fehler, die die Bewertungen von Tresor-Apps füllen. Das Symbol auf deinem Home-Bildschirm sagt außerdem jedem, der hinsieht, dass etwas privat gehalten wird, weshalb sich manche als Taschenrechner tarnen.

Die Qualität schwankt stark und ist schwer zu prüfen. In einer Analyse einer iOS-Tresor-App von 2015 fand die Sicherheitsfirma IOActive die PIN „stored in plaintext“ (im Klartext gespeichert) und die Fotos gar nicht verschlüsselt. Das war eine App, vor einem Jahrzehnt, aber es zeigt, warum der Sperrbildschirm eines Tresors kein Beleg für Verschlüsselung ist. Ist eine Foto-Tresor-App sicher geht weiter.

Verschlüsselte Container sind stark, übertragbar und offensichtlich verschlüsselt

VeraCrypt und die in macOS eingebauten verschlüsselten Festplattenabbilder fassen jede Art von Datei hinter einem starken Passwort, und der Container ist eine einzelne Datei, die du kopieren, sichern und verschieben kannst. VeraCrypt ist kostenlos, Open Source, läuft unter Windows, macOS und Linux und wurde von Quarkslab unabhängig geprüft, mit im Oktober 2016 veröffentlichten Ergebnissen. Es bietet auch versteckte Volumes, ein zweites Volume im freien Platz des ersten, so entworfen, dass es „should be impossible to prove“ (unmöglich zu beweisen sein sollte), dass das versteckte existiert.

Der Preis dafür ist, dass sich ein Container selbst ankündigt. Eine große Datei mit zufällig wirkenden Daten oder ein Festplattenabbild, das nach einem Passwort fragt, sagt jedem, der hinsieht, dass etwas verschlüsselt ist. Beides sind Desktop-Werkzeuge; auf einem Handy ist keines praktikabel. Für einen Mac führt Dateien auf dem Mac verstecken durch das Erstellen eines verschlüsselten Festplattenabbilds.

Steganographie-Tools verstecken wenig, sehr gut

Klassische Steganographie-Tools wie steghide und OpenStego verstecken Daten in den Pixeln oder Samples einer Bild- oder Tondatei. Gut gemacht, ist das Ergebnis von einem gewöhnlichen Bild kaum zu unterscheiden, und sie sind Open Source. Der Preis ist die Kapazität: Eine Nutzlast auf Pixelebene ist klein, geeignet für eine Nachricht oder einen Schlüssel, nicht für einen Ordner voller Fotos. Eine erneute Kodierung des Bildes löscht sie in der Regel.

Auch Pflege und Erkennung spielen eine Rolle. Die letzte Version von steghide war 0.5.1 im Jahr 2003, und das Open-Source-Tool stegseek kann steghide-Daten ohne das Passwort erkennen und eine Liste mit Millionen gängiger Passwörter in Sekunden dagegen laufen lassen. Was ist Steganographie behandelt das Verfahren und seine Erkennung.

Geh davon aus, vor wem du Dateien verstecken willst. Jemand ohne deinen Code: Das Album „Ausgeblendet“ oder der Gesperrte Ordner genügt. Jemand, der deinen Code kennt: Sicherer Ordner, Privater Bereich oder eine HideFile-Tarndatei. Ein geschulter Gutachter oder rechtlicher Druck: Keine davon verbirgt, dass Daten existieren. Für Videos, PDFs oder Ordner, die zwischen Handys und Computern wandern, passen eine Tarndatei oder ein verschlüsselter Container.
Wähle danach, wer hinsehen könnte, nicht danach, welche Option am stärksten klingt.

Wann welche Option gewinnt

OptionSie gewinnt, wennSie verliert, wenn
iPhone-Album „Ausgeblendet“, Google Gesperrter OrdnerNiemand sonst deinen Code kennt und du nur Fotos aufräumen willstJemand deinen Code kennt oder du Dokumente brauchst
Samsung Sicherer Ordner, Android Privater BereichJemand deinen Code kennt und die Dateien dieses Handy nie verlassen müssenDu das Handy wechselst, zurücksetzt oder das Gerät verlierst
Foto-Tresor-AppDu eine eigene PIN auf einem Handy willst und dem Entwickler vertraustDie App kaputtgeht, verschwindet oder Geld verlangt, um dich wieder hineinzulassen
VeraCrypt, verschlüsseltes Festplattenabbild auf dem MacDu geprüfte oder eingebaute Verschlüsselung für jede Datei auf einem Computer willstDu es auf einem Handy brauchst oder nicht willst, dass es verschlüsselt aussieht
Steganographie-ToolDu eine kurze Nachricht oder einen Schlüssel dort verstecken willst, wo niemand sie erwartetDu mehr als wenige Daten hast oder das Bild neu gespeichert wird
HideFile-TarndateiJemand deinen Code kennt, die Dateien gemischte Typen sind und sie als eine gewöhnlich aussehende Datei zwischen Handys und Computern wandern müssenDu offenen, geprüften Code brauchst oder Schutz vor einem forensischen Gutachter

Wo HideFile hineinpasst

HideFile übernimmt die Teile dieser Optionen, nach denen Leute am meisten fragen, und nimmt ihre Kosten offen in Kauf. Wie ein Container fasst es jede Art von Datei und Ordner, hat ein eigenes Passwort und ist eine einzelne Datei, die sich kopieren, sichern und auf ein neues Handy übertragen lässt. Wie ein Steganographie-Tool sieht es aus wie das, was es ist: ein gewöhnliches Foto, PDF oder Video, das sich in jedem Anzeigeprogramm normal öffnet. Es läuft in jedem aktuellen Browser, auf iPhone, Android und Computern, ohne Installation und ohne Konto.

Eine HideFile-Tarndatei, direkt in einem Browser-Tab geöffnet, zeigt nur ein einfaches Landschaftsbild mit grünen Hügeln, blauem Himmel und blasser Sonne.
Eine HideFile-Tarndatei, in einem gewöhnlichen Anzeigeprogramm geöffnet.

Die Kosten sind genauso real. HideFile hält beiläufiges Neugierigsein ab, keine forensischen Werkzeuge: Ein dafür gebautes Werkzeug kann erkennen, dass der Tarndatei Daten hinzugefügt wurden, auch wenn es den Inhalt ohne das Passwort nicht lesen kann. Die Tarndatei wächst etwa um die Größe dessen, was darin steckt. Apps, die Bilder neu speichern oder komprimieren, können den versteckten Teil entfernen. Es gibt keine Passwortwiederherstellung. Und anders als VeraCrypt ist unser Code nicht Open Source und wurde nicht unabhängig geprüft. Die Sicherheitsseite legt all das dar, und die Schritt-für-Schritt-Anleitung zeigt den ganzen Ablauf mit echten Screenshots.

Quellen