Ist LocalSend sicher? Die ehrliche Antwort und die Vorbehalte, die zählen

LocalSend stand ganz oben bei einer Suche nach Alternativen zu AirDrop. Sie sind also dabei, eine App zu installieren, die in Ihrem Netzwerk lauscht und Dateien annimmt. Kurz innezuhalten ist berechtigt. LocalSend ist ein solide gebautes Open-Source-Projekt und für den normalen Gebrauch sicher. Die Vorbehalte betreffen Ihr WLAN, nicht die App.

LocalSend ist im Alltag auf einem vertrauenswürdigen Netzwerk sicher

Drei Eigenschaften leisten hier die ganze Arbeit, und jede schließt eine Möglichkeit aus, wie ein Transfer-Tool schiefgehen kann.

• LocalSend veröffentlicht seinen gesamten Quellcode unter der Apache-2.0-Lizenz. Das Projekt liegt auf GitHub, sodass jeder, der Code lesen kann, prüfen kann, wohin es sich verbindet.
• Eine mit LocalSend gesendete Datei durchquert Ihr eigenes Netzwerk bis zum anderen Gerät, sodass kein Unternehmen eine Kopie davon behält. Nichts wird hochgeladen, sodass kein Dienst gehackt oder weiterverkauft werden kann.
• LocalSend verschlüsselt jede Übertragung per HTTPS, mit einem Zertifikat, das jedes Gerät selbst erzeugt. Ein anderes Gerät, das dasselbe WLAN beobachtet, sieht verschlüsselte Daten, nicht Ihre Fotos.

LocalSend verlangt kein Konto und funktioniert ohne Internet

Zwei weitere Eigenschaften sind es wert, bekannt zu sein.

• LocalSend verlangt kein Konto, keine E-Mail-Adresse und keinerlei Anmeldung. Nichts über Sie wird gespeichert, sodass es keine Zugangsdaten gibt, die durchsickern könnten.
• LocalSend funktioniert weiter, wenn das Internet getrennt ist, weil eine Übertragung nie mehr als das lokale Netzwerk nutzt. Es braucht nur das WLAN, in dem sich beide Geräte befinden.

Nichts davon macht LocalSend risikofrei. Die Teile, die von Ihnen abhängen, folgen weiter unten.

Camera to Clipboard endet in einem Einfügen, LocalSend in einer Datei

Camera to Clipboard ist unsere eigene App, und sie ist kein Konkurrent von LocalSend. LocalSend schickt eine Datei in einen Ordner. Camera to Clipboard schickt ein Foto in die Zwischenablage.

• Camera to Clipboard legt ein Foto vom Telefon in die Zwischenablage des Computers statt in einen Ordner. Drücken Sie Strg + V oder Cmd + V in dem Dokument, das Sie geöffnet haben.
• LocalSend gibt Ihnen eine Datei in die Hand, was genau richtig ist, wenn Sie eben eine Datei behalten wollen. Fotos archivieren, ein Video verschieben, jemandem ein PDF geben, dafür ist LocalSend gemacht.
• Camera to Clipboard schickt das Foto über Ihr eigenes WLAN, ohne irgendetwas hochzuladen. Beide Apps nutzen das Internet nur, um sich gegenseitig zu finden. Der Hotspot des Telefons funktioniert ebenfalls, weil die mobilen Daten die beiden Apps verbinden.

Camera to Clipboard verlangt kein Konto und ist nicht Open Source

Ein Komfortmerkmal und eine ehrliche Einschränkung gehören hier zusammen.

• Camera to Clipboard koppelt sich einmalig per QR-Code und verlangt weder Konto noch E-Mail-Adresse. Danach braucht das Senden eines Fotos nur zwei Tipps.
• Der Quellcode von Camera to Clipboard ist nicht veröffentlicht, sodass niemand von außen ihn lesen kann, wie es bei LocalSend jeder kann. Im Gegenzug behält die App das Foto in Ihrem eigenen Netzwerk.

Offener Code lässt jeden den Quellcode von LocalSend prüfen

"Es ist Open Source" ist der Satz, den Leute über LocalSend wiederholen, ohne je zu sagen, was er wirklich bringt.

• Veröffentlichter Quellcode erlaubt es, eine Behauptung wie "LocalSend lädt nichts hoch" zu prüfen, statt sie einfach zu glauben. Der Teil des Programms, der Netzwerkverbindungen öffnet, liegt lesbar da, mit allen Adressen, die er ansprechen kann.
• Einen heimlichen Upload in LocalSend zu verstecken wäre sehr schwer durchzubringen. Jeder kann den Quellcode lesen, und jeder kann vom Router aus beobachten, mit wem ein Programm spricht.
• Open Source heißt nicht, dass LocalSend von bezahlten Sicherheitsexperten geprüft wurde. Veröffentlichter Code lädt zur Prüfung ein, kann sie aber nicht garantieren. Verfügbar sein und tatsächlich geprüft werden sind zwei verschiedene Dinge.

Geschlossener Code ist unprüfbar, offener Code ist unentziehbar

Zwei Folgen ergeben sich daraus, ob man den Code lesen kann oder nicht.

• Eine Transfer-App mit geschlossenem Code lässt sich nur von außen beurteilen, allein nach dem Wort ihres Herausgebers. Viele geschlossene Produkte sind vertrauenswürdig. Es ist schlicht eine Prüfmöglichkeit, die Ihnen verschlossen bleibt.
• Ein Open-Source-Projekt wie LocalSend kann von anderen übernommen und weitergeführt werden, wenn die Maintainer aussteigen. Der Code kann nicht entzogen werden, sodass ein verlassenes offenes Projekt ein kleineres Problem darstellt.

LocalSend-Dateien verlassen Ihr lokales Netzwerk nie

"Nur lokal" ist der andere Satz, der wiederholt wird. Das ist der stärkste Punkt für die Sicherheit von LocalSend, und die Quelle seiner größten Einschränkung.

• Eine von LocalSend gesendete Datei durchquert Ihr eigenes WLAN von einem Gerät zum anderen und hört dort auf. Beide Geräte sprechen direkt miteinander, sodass nichts auf einem Server abgelegt wird.
• Da LocalSend keinen Server nutzt, gibt es keine gespeicherte Kopie Ihrer Dateien, die ein künftiger Einbruch offenlegen könnte. Cloud-Dienste behalten Ihre Datei zumindest kurz, und alles, was aufbewahrt wird, kann durchsickern.
• LocalSend überträgt normal weiter, selbst wenn Ihr Router keine Internetverbindung hat. Eine App, die Ihre Dateien heimlich hochladen würde, würde an diesem Test scheitern, und er dauert nur eine Minute.

LocalSend überwindet weder Netzwerke noch die Client-Isolation

Genau die Bauweise, die Ihre Dateien schützt, begrenzt auch ihre Reichweite.

• LocalSend verlässt das lokale Netzwerk nie, sodass es nichts an ein Gerät in einem anderen Gebäude schicken kann. Das ist eine Grenze und kein Fehler, und der Hauptgrund, warum Leute sich anderswo umsehen.
• WLAN-Netzwerke in Hotels, an Universitäten und in Unternehmen, die Geräte voneinander trennen, hindern LocalSend daran, das andere Gerät zu sehen. Das nennt man Client-Isolation, und sie bringt jedes lokale Transfer-Tool zum Stillstand. Nutzen Sie stattdessen den Hotspot des Telefons.

LocalSend meldet Ihr Gerät und seinen Namen dem ganzen Netzwerk

Dieser Punkt zählt, und er hat nichts mit dem Internet zu tun. LocalSend muss Ihr Gerät auffindbar machen, bevor irgendetwas es erreichen kann. In einem Netzwerk voller Fremder ändert das die Bedeutung von "auffindbar".

• LocalSend meldet Ihr Gerät im lokalen Netzwerk, sodass jede andere Person, die dort LocalSend laufen lässt, es in ihrer Liste auftauchen sieht. So finden sich die beiden Enden, ohne dass Sie eine einzige Adresse eintippen.
• Der Gerätename, den Sie in LocalSend wählen, wird allen anderen im Netzwerk angezeigt, verwenden Sie also nicht Ihren vollen Namen. In einem geteilten WLAN ist dieser Name alles, was ein Fremder über Sie erfährt.
• Die Quick-Save-Einstellung von LocalSend nimmt eine eingehende Datei an, ohne zu fragen, lassen Sie sie also in einem nicht vertrauenswürdigen Netzwerk deaktiviert. Sonst kann ein Fremder im WLAN eines Hotels eine Datei direkt in Ihren Downloads ablegen.

Deaktivieren Sie Quick Save und setzen Sie eine PIN in fremden Netzen

Drei Einstellungen entscheiden, was ein Fremder in diesem WLAN tun kann.

• Ist Quick Save deaktiviert, kann eine LocalSend-Übertragung von einem Fremden erst ankommen, wenn Sie auf Annehmen getippt haben. Diese Bestätigung ist die ganze Verteidigung, die Sie in einem nicht vertrauenswürdigen Netzwerk haben.
• LocalSend kann vor der Annahme einer Datei eine PIN verlangen, was sich auf einem Laptop lohnt, der ständig im WLAN des Büros lebt. Das zählt vor allem auf einem Gerät, das Sie eingeschaltet lassen.
• Nichts in LocalSend setzt Ihr Gerät dem übrigen Internet aus, die einzige Frage ist also, wer sonst noch in Ihrem WLAN ist. Ein Heimnetzwerk aus Leuten, die Sie kennen, braucht keine der obigen Vorsichtsmaßnahmen.

Installieren Sie LocalSend von der Projektseite oder einem App-Store

Die einzige echte Gefahr auf dieser Seite hat nichts mit offenem Code zu tun. Ein bekannter Name zieht Nachahmer an, und eine Download-Seite lässt sich leicht fälschen.

• Das echte LocalSend kommt von localsend.org, aus den veröffentlichten Versionen auf dem GitHub des Projekts oder aus einem App-Store. Es wird über den App Store, Google Play, F-Droid, Homebrew, Flathub und winget vertrieben, und jeder davon prüft den Herausgeber.
• Der sehr bekannte Name von LocalSend macht es zum Ziel für eine Fälschung, die jeder unter demselben Namen zusammenbauen kann. Offener Code ist nicht die Schwachstelle. Eine über eine Anzeige erreichte Download-Seite schon.
• LocalSend hat keine automatische Aktualisierung, und deshalb rät das Projekt zur Installation über einen Store oder Paketmanager. Diese Kanäle bringen Ihnen die neue Version von sich aus.
• Zu prüfen, ob ein LocalSend-Installer wirklich vom Projekt stammt, dauert zehn Sekunden und beseitigt das einzige ernste Risiko seiner Installation. Schauen Sie sich die Adressleiste an, bevor Sie klicken.

Die Firewall-Meldung beim ersten Start von LocalSend ist normal

Viele Leute landen hier, weil Windows oder macOS eine Warnung ausgab, genau als sie die App öffneten. Diese Warnung ist das Betriebssystem, das seine Arbeit macht.

• Dass Windows beim ersten Start fragt, ob LocalSend die Firewall passieren darf, ist zu erwarten, denn eine App, die Dateien empfängt, muss auf Verbindungen lauschen. Ein Tool, das diese Frage nie auslösen würde, könnte nichts empfangen.
• Wenn die Windows-Firewall wegen LocalSend nachfragt, haken Sie private Netzwerke an und lassen Sie das Kästchen für öffentliche Netzwerke leer. Das hält es zu Hause funktionsfähig und im WLAN eines Cafés still.
• Die macOS-Abfrage, ob LocalSend eingehende Netzwerkverbindungen annehmen darf, stellt dieselbe Frage nur unter anderem Namen. Sie zu erlauben ist das, was andere Geräte den Mac sehen lässt.

SmartScreen bewertet Seltenheit, eine Blockade stoppt den Empfang

Zwei weitere Windows-Warnungen verdienen es, richtig gelesen zu werden.

• Eine SmartScreen-Warnung von Windows bei einem LocalSend-Installer bezieht sich darauf, wie oft Windows diese Datei schon gesehen hat, nicht auf etwas, das darin gefunden wurde. Die Installation über winget umgeht die Frage vollständig.
• LocalSend an der Firewall zu blockieren lässt es meist noch senden, aber nicht mehr empfangen. Geht eine Übertragung nur in eine Richtung, prüfen Sie noch einmal die Antwort, die Sie der Firewall gegeben hatten.

Blip hält seinen Code geschlossen und verlangt eine E-Mail-Adresse

Blip ist das Tool, dem LocalSend am häufigsten gegenübergestellt wird. Die beiden unterscheiden sich grundsätzlich, nicht nur im Schliff.

• Blip ist ein kommerzielles Produkt, dessen Quellcode nicht veröffentlicht ist, sodass seine Sicherheit nur von außen beurteilt werden kann. Die oben beschriebene Codeprüfung steht Ihnen hier schlicht nicht offen.
• LocalSend ist ein von der Community getragenes Open-Source-Projekt unter der Apache-2.0-Lizenz, mit dem gesamten Quellcode auf GitHub. Jeder kann es lesen, kompilieren, davon ableiten oder ein Problem öffentlich melden.
• Blip verlangt bei der Installation eine E-Mail-Adresse und einen Bestätigungscode, während LocalSend überhaupt nichts verlangt. Eine Adresse verbindet Ihre Geräte mit einer Identität, die das Unternehmen danach aufbewahrt.

Blip überwindet das Internet und verkauft Unternehmen eine Lizenz

Vier Unterschiede ergeben sich daraus, dass Blip ein kommerzielles Produkt ist.

• Blip kann zwischen zwei Geräten senden, die sich überhaupt nicht am selben Ort befinden, was LocalSend nicht kann. Dateien an ein Gerät in einer anderen Stadt zu schicken ist der ehrliche Grund, sich für Blip zu entscheiden.
• Blip behauptet, eine Übertragung laufe direkt zwischen den beiden Geräten und nutze eigene Server nur, wenn die direkte Verbindung scheitert. LocalSend hat diesen Ausweg nicht, weil es Ihr WLAN nie verlässt.
• Blip läuft unter Windows, macOS, Android und iOS, mit einer noch in Entwicklung befindlichen Linux-Version, während LocalSend Linux bereits abdeckt. Für einen Haushalt mit einer Linux-Maschine reicht das zur Entscheidung.
• Blip ist für den persönlichen Gebrauch kostenlos und verkauft Organisationen eine Lizenz, während LocalSend für alle kostenlos ist. Keines der beiden Modelle ist verdächtig, aber sie beantworten die Frage "wie überlebt dieses Projekt" unterschiedlich.

Wenn Sicherheit heißt, prüfen zu können, was eine App tut, gewinnt LocalSend deutlich. Wenn sie heißt, eine Datei in eine andere Stadt zu schicken, kann Blip das und LocalSend nicht.

LocalSend ist hier das einzige Tool mit für alle lesbarem Code

Hier sind die vier Fragen, die man jedem Transfer-Tool stellen sollte, angewendet auf LocalSend und seine drei üblichen Konkurrenten.

Schicken Sie Dateien mit LocalSend, Fotos mit Camera to Clipboard

Nichts auf dieser Seite ist ein Grund, LocalSend zu meiden. Die Wahl hängt von der Aufgabe ab, die Sie gerade erledigen.

• LocalSend ist das richtige Werkzeug, um Dateien jeder Art zwischen Ihren eigenen Geräten zu schicken. Installieren Sie es an beiden Enden und hören Sie auf zu suchen.
• LocalSend bleibt im WLAN eines Hotels oder Büros völlig in Ordnung, solange Quick Save deaktiviert ist und Sie jede Übertragung annehmen. Diese eine Einstellung entscheidet, ob Fremde Ihren Download-Ordner erreichen können.
• Blip ist die bessere Wahl, wenn sich die beiden Geräte nicht am selben Ort befinden, weil LocalSend keine Netzwerke überwindet. Sie tauschen eine Codeprüfung, die Sie selbst durchführen können, gegen Reichweite ein.

Camera to Clipboard für Fotos, LocalSend nur von der eigenen Seite

Eine letzte Entscheidung, und die Warnung, die am meisten zählt.

• Camera to Clipboard ist die bessere Wahl, wenn Fotos vom Telefon den ganzen Tag über in Dokumente, E-Mails und Chats wandern. Einfügen erspart die Suche nach der heruntergeladenen Datei.
• LocalSend aus einem Suchergebnis oder einer Anzeige herunterzuladen statt vom Projekt selbst wäre das, was LocalSend wirklich gefährlich machen würde. Alles andere auf dieser Seite ist eine Einstellung. Das hier ist ein anderes Programm mit demselben Namen.

Häufige Fragen zur Sicherheit von LocalSend

Ist LocalSend sicher zu benutzen?
Ja, für alltägliche Übertragungen in einem vertrauenswürdigen Netzwerk. Der Quellcode ist veröffentlicht und für alle lesbar, und die Dateien gehen direkt von einem Gerät zum anderen über Ihr eigenes Netzwerk. Jede Übertragung ist per HTTPS verschlüsselt, und es ist kein Konto nötig. Installieren Sie es vom Projekt oder aus einem App-Store, und lassen Sie Quick Save in einem WLAN, das Sie nicht kontrollieren, deaktiviert.

Sehen andere Personen im selben WLAN mein LocalSend-Gerät?
Ja. LocalSend meldet sich im lokalen Netzwerk, sodass jede andere Person, die dort LocalSend laufen lässt, Ihr Gerät unter dem von Ihnen vergebenen Namen sieht. In Ihrem Heimnetzwerk ist das genau das, was Sie wollen. Im WLAN eines Hotels oder Büros deaktivieren Sie Quick Save und wählen einen Namen, der nicht Ihr voller Name ist.

Ist LocalSend ein Virus, und warum warnt meine Firewall?
LocalSend ist kein Virus, und eine Firewall-Meldung beim ersten Start ist zu erwarten. Eine App, die Dateien empfängt, muss auf eingehende Verbindungen lauschen, und genau das fragt die Firewall. Erlauben Sie es in privaten Netzwerken und lassen Sie öffentliche Netzwerke abgewählt. Das echte Risiko ist eine Kopie von einer Nachahmerseite statt von localsend.org, den veröffentlichten Versionen auf GitHub oder einem App-Store.

LocalSend oder Blip, was ist sicherer?
Sie verlangen unterschiedliche Formen von Vertrauen. LocalSend veröffentlicht seinen Quellcode, verlangt kein Konto und schickt nie etwas über Ihr lokales Netzwerk hinaus. Blip ist ein kommerzielles Produkt mit geschlossenem Code, das bei der Installation eine E-Mail-Adresse verlangt, und eine Blip-Übertragung kann über das Internet laufen. Wenn den Code selbst prüfen zu können für Sie Sicherheit bedeutet, wählen Sie LocalSend.