Ich nutze seit Jahren Google Photos, weil es praktisch und plattformübergreifend ist. Gleichzeitig stört mich, dass Google keine echte Ende‑to‑End‑Verschlüsselung (E2EE) für Photos anbietet. Die Folge: Wer Zugriff auf dein Google‑Konto hat — Google selber, Strafverfolgung mit Rechtstitel oder ein Angreifer bei einem Leak — kann (je nach Einstellung) auf deine Bilder und Metadaten zugreifen. In diesem Artikel zeige ich dir, wie ich meine Google‑Photos‑Backups so umgestellt habe, dass die Dateien vor dem Upload clientseitig verschlüsselt werden und gleichzeitig lokal synchronisiert bleiben. Weder Google noch Dritte können so die Inhalte lesen.
Grundprinzip: Clientseitige Verschlüsselung + lokaler Sync
Wichtig ist das Prinzip: Die Verschlüsselung muss auf deinem Gerät geschehen, bevor die Daten in die Cloud gelangen. Dann speichert Google nur noch chiffrierte Datenblöcke. Für die lokale Nutzung brauchst du einen Weg, die verschlüsselten Dateien auf deinem Gerät entschlüsselt bereitzustellen oder eine lokale, unverschlüsselte Kopie sicher zu verwalten.
Optionen, die ich geprüft habe
- rclone crypt — flexibel, geeignet für Desktop/Server, unterstützt Google Drive als Ziel (Google Photos lässt sich über Drive-API indirekt nutzen).
- Cryptomator — einfachere GUI, gute mobile Apps (Android/iOS), Vaults werden clientseitig verschlüsselt und dann z. B. in Google Drive abgelegt.
- Nextcloud (self‑hosted) + End‑to‑End Encryption — wenn du Cloud komplett selbst betreiben willst.
- Syncthing — Peer‑to‑peer‑Sync ohne Cloud; gut, wenn du nur Geräte synchronisieren willst und keinen externen Cloudanbieter.
Ich beschreibe im Folgenden zwei praktikable Setups: 1) Cryptomator (einsteigerfreundlich, mobil tauglich) und 2) rclone crypt (flexibler, automatisierbar, ideal für Desktop/Server). Beide verhindern, dass Google die Bilder im Klartext sieht.
Setup A — Cryptomator + Google Drive (für mobile Nutzung und Desktop)
Warum Cryptomator? Weil es auf dem Smartphone und Desktop funktioniert, Open‑Source ist und einen Vault erstellt, dessen Inhalte clientseitig verschlüsselt werden. So gehst du vor:
- Installiere Cryptomator auf Desktop und die App auf deinem Smartphone (Android/iOS).
- Erstelle einen neuen Vault und wähle als Speicherort Google Drive (über die Google Drive App / Drive‑Integration). Cryptomator legt verschlüsselte Containerdateien in deinem Google Drive an.
- Lege ein starkes Passwort für den Vault fest und sichere das Recovery‑Masterkey‑File offline (z. B. auf einem verschlüsselten USB‑Stick).
- Auf dem Smartphone: aktiviere in Google Photos die Sicherung eines lokalen Ordners, der deinen entschlüsselten Cryptomator‑Mount enthält (oder verwende die Cryptomator‑App, um den Vault zu öffnen und die Fotos von dort zu verwalten).
Vorteile: einfache Bedienung, Mobile Apps, Dateinamen werden verschlüsselt. Nachteile: du gibst etwas Komfort von Google Photos auf (keine Gesichtserkennung, kostenlose Suchfeatures über Inhalte).
Setup B — rclone crypt + Google Drive (für Power‑User und Automatisierung)
rclone ist mein Favorit, wenn ich automatisierte Backups auf Servern oder Desktop‑Rechnern einrichte. rclone kann eine verschlüsselte Remote (crypt) erstellen, die vor dem Upload verschlüsselt.
Kurzanleitung (Linux/Mac/Windows; Terminal):
- Installiere rclone: https://rclone.org/install/
- Konfiguriere Google Drive:
rclone config→ neuen remote “gdrive” anlegen und OAuth abschließen. - Erstelle ein crypt remote:
rclone config→ new remote → Typ “crypt” → give it a name like “gdrivecrypt” → set remote to “gdrive:/PhotosCrypt” → wähle Passwort für Filename und Content Encryption (starkes Passwort!) - Sync/Upload Befehl:
rclone sync /home/user/Pictures gdrivecrypt: --progress --checksum - Um lokal eine entschlüsselte Ansicht zu mounten:
rclone mount gdrivecrypt: /mnt/photos --vfs-cache-mode writes
rclone crypt verschlüsselt Dateiname und Inhalt (je nach Einstellung). EXIF‑Daten sind verschlüsselt, weil die ganze Datei verschlüsselt wird. Beachte aber: Thumbnails/Previews, falls du sie vorher erzeugst, müssen auch verschlüsselt werden.
Metadaten und Suchfunktionen
Ein Nachteil der vollständigen Verschlüsselung ist, dass Google keine Bildinhalte, Gesichter, Orte oder Timeline-Features mehr indexieren kann. Wenn dir solche Smart‑Features wichtig sind, musst du entscheiden, ob Komfort oder Datenschutz für dich überwiegt. Ich persönlich habe die automatische Gesichtserkennung deaktiviert und setze stattdessen lokal auf PhotoPrism für die Bildverwaltung und Suche — PhotoPrism kann auf meinem verschlüsselten Vault lokal oder auf dem NAS laufen.
Sicherheits‑ und Betriebsregeln, die ich befolge
- Schlüssel nicht in der Cloud speichern: Master‑Passwort/Schlüssel offline sichern (lokales Passwortmanager‑Backup oder USB‑Stick im Tresor).
- 2‑Faktor‑Authentifizierung: Für Google zwingend aktivieren.
- Regelmäßige Backups: Verschlüsselte Daten allein in der Cloud sind ein Risiko (z. B. Löschung). Ich halte zusätzlich eine lokale verschlüsselte Kopie.
- Passphrasen lang und einzigartig: Nutze einen Passwortmanager (z. B. Bitwarden, KeePassXC offline) für die Vault‑Passwörter.
- Metadaten prüfen: Falls du Metadaten wie Standort entfernen willst, mache das vor der Verschlüsselung (Tools: ExifTool).
Beispieltabelle: Vergleich der vorgestellten Lösungen
| Feature | Cryptomator | rclone crypt | Nextcloud E2EE |
|---|---|---|---|
| Mobile App | Ja | Begrenzt (Workarounds) | Ja (mit Apps) |
| Automatisierbar | Begrenzt | Sehr gut (Skripte, Cron) | Gut |
| Datei- und Inhaltsverschlüsselung | Ja | Ja | Ja |
| Erfordert Selfhost | Nein | Nein | Optional (ja für volle Kontrolle) |
Praxisbeispiel: Mein Workflow
Ich habe auf meinem Smartphone einen Cryptomator‑Vault, der in Google Drive liegt und automatisch gesichert wird. Fotos, die sofort in die Cloud sollen, landen im Vault und werden verschlüsselt hochgeladen. Auf meinem NAS läuft ein rclone‑Sync, der einen lokalen, verschlüsselten Mirror zu Google Drive hält. Zusätzlich betreibe ich PhotoPrism auf dem NAS, das über einen entschlüsselten Mount auf die Bilder zugreift — so habe ich Suchfunktionen lokal ohne Google.
Wenn du magst, kann ich dir im nächsten Beitrag ein detailliertes Schritt‑für‑Schritt‑Skript für rclone (inkl. Cronjob & Systemd‑Service) oder eine Anleitung für Cryptomator‑Integration mit Google Drive und Android schreiben. Sag mir, welche Geräte (Android/iPhone, Windows/Mac/Linux, NAS) du einsetzt — dann mache ich die Anleitung konkret für deine Situation.
