Sailfish OS auf dem Fairphone 4

Warum Verschlüsselung hier kein Feature, sondern Haltung ist

Während andere Betriebssysteme beim ersten Start fragen, welche Cloud man anbinden möchte, macht Sailfish OS etwas völlig anderes:
Es verschlüsselt zuerst meine Daten. Punkt.

Kein Marketing.
Kein Konto.
Kein Zwang zur Online-Anmeldung.

Ein stiller, technischer Akt – mit politischer Aussage.

Kein Klick-OS, sondern Kontrolle zurückholen

Die Installation von Sailfish OS ist kein „Weiter-Weiter-Fertigstellen“.
Sie ist bewusst nicht bequem. Und genau das ist ihre Stärke.

Bootloader offen

Flashen per Terminal

Kein One-Click-Installer

Kein App-Store-Zwang

Kein Google

Keine Telemetrie-Orgie

Das System läuft jetzt auf meinem Fairphone 4 – weil ich es so wollte, nicht weil ein Konzern es mir erlaubt.

Verschlüsselung als Standard – nicht als Option

Während Android & iOS Verschlüsselung gerne als „Sicherheitsfeature“ verkaufen, behandelt Sailfish sie als das, was sie ist:

Grundvoraussetzung für digitale Selbstbestimmung.

Die komplette interne Festplatte wird verschlüsselt:

Kontakte

Nachrichten

Systemdaten

Ohne Cloud.
Ohne Hintertüren.
Ohne Werbe-ID.

Das Passwort liegt bei mir – nicht auf fremden Servern.

Warum genau das der Unterschied ist

Wir reden ständig über:

Datenschutz

Digitale Souveränität

Abhängigkeiten von US-Konzernen

europäische Alternativen

Aber kaum jemand geht den Weg konsequent zu Ende.

Sailfish OS ist keine perfekte Lösung –
aber eine ehrliche.

Ja, nicht jede Hardware läuft perfekt

Ja, es gibt weniger Apps

Ja, es erfordert technisches Verständnis

Doch dafür gibt es:

Kontrolle

Transparenz

ein System, das mir gehört

Technik ohne Ideologie – und gerade deshalb politisch

Sailfish OS ist nicht „woke“.
Nicht missionarisch.
Nicht belehrend.

Es sagt nicht, was du denken sollst.
Es zwingt dich nur, selbst Verantwortung zu übernehmen.

Und das ist heute radikaler als jede Parole.

Mein Fazit (vorläufig)

Während mein Fairphone gerade still vor sich hin verschlüsselt, wird mir klar:

Freiheit beginnt nicht beim Posten –
sondern beim Besitz der eigenen Infrastruktur.

Sailfish OS ist kein Massenprodukt.
Es ist ein Werkzeug für Menschen, die verstanden haben,
dass Bequemlichkeit der Preis für Kontrolle ist.

Ich bleibe dran.
Tests, Alltagserfahrungen, Stärken, Schwächen – alles folgt.

🔐 Open-Source verstehen – Teil 2: Wie man Software richtig prüft

(Digitale Signaturen, Checksums & Vertrauen – einfach erklärt)

Wer Open-Source nutzt – egal ob Debian, Ubuntu, postmarketOS, Fedora, Arch oder andere – arbeitet immer auch mit Paketen, also kleinen Software-Bausteinen.
Damit diese Pakete sicher sind und nicht manipuliert wurden, besitzt jedes seriöse Linux-System eingebaute Sicherheitsmechanismen, die wir in diesem Teil einfach erklären.

🧠 Warum muss man Pakete überhaupt prüfen?

Jedes Linux-Paket wird in der Regel digital signiert:
mit GPG / OpenPGP, einem kryptografischen Verfahren.

Die digitale Signatur stellt sicher, dass:

das Paket vom echten Entwickler stammt

es unterwegs nicht verändert wurde

die Quelle (Repository) authentisch ist

keine Schadsoftware eingeschleust wurde

Damit hat Linux von Haus aus einen höheren Sicherheitsstandard als Windows oder macOS – wenn man die Signaturhinweise beachtet.

🧩 Wie prüft man die Echtheit?
(Beispiele für Debian, Ubuntu & postmarketOS)

Es gibt viele Wege – aber alle basieren auf dem gleichen Prinzip:
Wurde die digitale Signatur erfolgreich geprüft oder nicht?

🔹 1. Paketlisten aktualisieren (und Warnungen ernst nehmen)

Beim Aktualisieren zeigt Debian/Ubuntu die Signaturen automatisch an:

sudo apt update

Wenn alles korrekt ist → läuft ohne Warnungen durch.

Wenn etwas nicht stimmt, erscheint:

W: GPG error: … The following signatures couldn’t be verified…

Das bedeutet:

❌ Die Echtheit des Repositorys kann nicht bestätigt werden
❌ Pakete könnten manipuliert sein
❌ Keine Updates installieren!

Solche Warnungen niemals ignorieren.

🔹 2. Wo speichert Debian die vertrauenswürdigen Schlüssel?

Die Schlüssel für alle Paketquellen liegen hier:

ls /etc/apt/trusted.gpg.d/

Dort befindet sich jeder Schlüssel, dem dein System vertraut.
Fehlt ein Schlüssel → kann APT Updates nicht verifizieren

🔹 3. Manuelle Prüfung bei Downloads (ISO, .deb, tar.xz)

Wenn du Software außerhalb eines Repos herunterlädst (z. B. GitHub, Gnome.org, KDE.org), findest du oft diese Dateien:

software.tar.xz (die Datei selbst)

software.tar.xz.asc (digitale Signatur)

software.tar.xz.sha256 (Hash-Prüfsumme)

Hash prüfen: sha256sum DATEI.iso

Ausgabe vergleichen → muss exakt übereinstimmen.

Signatur prüfen: gpg –verify DATEI.asc DATEI

Wenn korrekt signiert:

✔ „Good signature from …“

Wenn nicht:

❌ „BAD signature“ → Datei löschen, nicht benutzen.

🔹 4. postmarketOS / Alpine Linux (apk)

postmarketOS nutzt apk, ein extrem strenges und modernes Paket-System.
Die Schlüssel liegen hier: ls /etc/apk/keys/

Wenn bei dir apk update fehlschlägt, liegt es fast immer an:

fehlenden Schlüsseln

veralteten Schlüsseln

defekter Zeiteinstellung (sehr häufig!)

defekten Repository-Servern

🛡️ Warum diese Prüfungen so wichtig sind

Linux ist ein offenes System – und genau deshalb ist Transparenz so zentral.
Man ist nicht auf „Blindes Vertrauen in eine Firma“ angewiesen, sondern auf:

Kryptografie

Signaturen

Öffentliche Schlüssel

Offene Verfahren

Die größte Gefahr entsteht, wenn man Warnungen ignoriert wie:

„Signature could not be verified“

Darum gilt:

✔ Warnungen ernst nehmen
✔ Schlüssel prüfen
✔ Repositories im Blick behalten

So bleibt das System sicher – ganz egal ob Laptop, Server oder Smartphone.

💬 Fazit

Linux bietet eines der sichersten Paket-Systeme der Welt – aber es funktioniert nur richtig, wenn man ihm aufmerksam folgt.

Du musst kein Experte sein.
Du musst nur wissen, worauf du achten solltest:

Stimmen die Signaturen?

Gibt es Warnungen?

Kommt das Paket aus einer offiziellen Quelle?

Dann bist du auf der sicheren Seite.

🧠 Warum man Pakete prüfen sollte

🧠 Warum man Pakete prüfen sollte

(Und wie du dich vor manipulierten Updates schützt)

Wenn du Linux nutzt – egal ob Debian, Ubuntu, postmarketOS, Fedora oder andere Distributionen – installierst du Software immer als sogenannte Pakete:

.deb (Debian / Ubuntu)

.apk (postmarketOS / Alpine Linux)

.rpm (Fedora, Red Hat)

.tar.xz (Quellpakete, Releases auf GitHub usw.)

Damit du sicher sein kannst, dass diese Pakete echt sind, werden sie vom Entwickler oder vom Maintainer kryptografisch signiert – meistens mit GPG / OpenPGP.

Diese Signaturen stellen sicher, dass:

✔ das Paket vom richtigen Entwickler stammt
✔ es nicht manipuliert wurde (z. B. durch Malware)
✔ die Übertragung nicht abgefangen wurde

Das Prüfen von Signaturen gehört zu den wichtigsten Sicherheitsmechanismen im Linux-Universum.

🔍 Wie man die Echtheit prüft

(Beispiele für Debian, Ubuntu & postmarketOS)

Jede Linux-Distribution hat eigene Werkzeuge – aber die Prinzipien sind überall gleich.

🔹 1. Paketlisten aktualisieren (und Warnungen ernst nehmen)

Wenn du bei Debian/Ubuntu eingibst: sudo apt update

und du bekommst eine Warnung wie: W: GPG error: … The following signatures couldn’t be verified
dann heißt das:

❌ Die Signatur konnte nicht überprüft werden
❌ Das Paket ist möglicherweise unsicher
❌ Du solltest KEINE Updates installieren, bevor der Fehler behoben ist

Diese Warnungen NIE ignorieren – sie schützen dich vor manipulierten Repositories.

🔹 2. Vertrauenswürdige Schlüssel anzeigen

APT (Debian/Ubuntu) speichert alle Signaturen der Paketquellen hier: ls /etc/apt/trusted.gpg.d/

Jede Datei dort steht für einen Schlüssel, der für Updates vertraut wird.

Wenn hier ein Schlüssel fehlt → kann APT Updates nicht verifizieren.

🔹 3. Signatur manuell prüfen (z. B. bei Downloads von GitHub)

Wenn du ein .tar.xz oder .iso herunterlädst, findest du oft daneben:

eine Datei .asc (Signatur)

eine Datei .sha256 (Checksummen)

Du kannst damit prüfen:

🔸 Hash prüfen
sha256sum DATEI.iso

→ ergibt eine lange Zeichenkette
→ muss mit der Hersteller-SHA256 übereinstimmen

🔸 Signatur prüfen

gpg –verify DATEI.asc DATEI Wenn alles korrekt ist, erscheint:

✔ Good signature from “NAME DES ENTWICKLERS”

🔹 4. postmarketOS / Alpine Linux (apk-tools)

postmarketOS nutzt apk, nicht apt.

Du prüfst die Repository-Signaturen so:

Repository-Schlüssel anzeigen sudo apk policy
oder:
ls /etc/apk/keys/
Dort liegen die öffentlichen Schlüssel der Maintainer.

Wenn apk update bei dir sofort abbricht, kommt das meistens durch:

fehlende Schlüssel

beschädigte Schlüssel

falsche Zeitzone

falsches Datum des Systems

defekte Repository-Server

Das könnte gefixt werden, sobald du so weit bist.
Doch das würde in einem separaten Blogbeitrag erörtert werden.

🛡️ Warum das Prüfen so wichtig ist

In der Linux-Welt ist das Paket-System eines der sichersten der Welt.
Aber es hängt von dir ab, Warnungen ernst zu nehmen.

Wenn die Signatur nicht stimmt:

🚫 Kein Update installieren
🚫 Kein Paket anfassen
🚫 Repository überprüfen
🚫 Schlüssel aktualisieren

Nur so bleibt dein System wirklich sicher.

Und vor allem:

✔ Dein Server bei Hetzner oder sonstigen Hostern
✔ Dein Laptop
✔ Dein postmarketOS-Smartphone

sind dadurch besser geschützt als jedes Windows-System.

💡 Fazit
Das Prüfen von Paketen ist kein kompliziertes Hacker-Werkzeug, sondern ein eingebauter Schutzmechanismus in jeder Linux-Distribution.
Du brauchst nur:

die Warnungen zu verstehen

und angewöhnen, auf Signaturen zu achten

Dann kann dir fast nichts passieren.

Willkommen in der Matrix – Warum dezentrale Kommunikation keine Spinnerei ist





💥 Willkommen in der Matrix – Warum dezentrale Kommunikation keine Spinnerei ist

💥 Willkommen in der Matrix – Warum dezentrale Kommunikation keine Spinnerei ist

Die Matrix ist nicht nur ein Film – es ist ein System. Und diesmal sprechen wir nicht über dystopische Simulationen, sondern über ein freies, dezentrales Kommunikationsprotokoll, das mehr ist als nur ein Chatdienst: Matrix. Genauer gesagt: Synapse – dein eigener Kommunikationsserver, frei, open-source, unabhängig.


📡 Was ist Matrix (Synapse)?

Matrix ist ein dezentrales Netzwerkprotokoll für Echtzeitkommunikation. Es erlaubt dir, mit jedem Matrix-Server zu kommunizieren – ganz ohne zentrale Kontrolle. Dein Synapse-Server kann Textnachrichten, VoIP, Videoanrufe und sogar Brücken zu anderen Systemen (z. B. Telegram, Slack, Signal) bereitstellen.

Dein Server – deine Kontrolle. Wenn du treff.darknight-coffee.org betreibst, dann gehört dir die Matrix. Kein Big Tech, keine staatliche Identifizierungspflicht – du bist der Knoten in deinem eigenen Netzwerk.


🔒 Föderation & Sicherheit

Die Matrix funktioniert über „Föderation“ – also Vernetzung von Servern untereinander. Damit das funktioniert, braucht es einen SRV-Eintrag in der DNS-Konfiguration und den offenen Port 8448. Ein gültiges TLS-Zertifikat ist ebenso Pflicht. Alles open, transparent, sicher – aber unter deiner Kontrolle.

_matrix._tcp.treff.darknight-coffee.org. 3600 IN SRV 10 0 8448 treff.darknight-coffee.org.

Mehr zur Konfiguration findest du auf der offiziellen GitHub-Seite von Synapse.


⚖️ Die dunkle Seite der Digitalisierung: DSA, Wallet & Co.

Und hier kommt die Matrix in ihrer philosophischen Bedeutung wieder ins Spiel. Während in der EU der Digital Services Act (DSA) verbindlich wird, arbeitet das neue Bundesministerium für Digitales unter Mittelberg bereits an der nächsten Kontrollwelle: das digitale EU-Wallet – deine zentrale ID, Zahlungsquelle, Krankenakte, Führerschein – alles in einer App.

Ich? Nein danke. Genau deshalb hoste ich meine eigene Matrix. Weil ich nicht will, dass 2030 oder 2040 meine freie Meinung, mein Chatverlauf oder meine Identität durch eine staatlich gelenkte App gelenkt oder bewertet wird.


🌍 Eine kleine Geschichte aus dem freien Netz

Die Aktualisierung meines Synapse-Servers lief gut. Die Infos waren klar:

  • Port 8448 offen? ✅
  • SRV-Eintrag gesetzt? ✅
  • TLS-Zertifikat aktiv? ✅

Und was bedeutet das? Dass du jetzt über treff.darknight-coffee.eu auf meiner Matrix kommunizieren kannst. Vollständig dezentral, verschlüsselt, Open Source – so wie das Netz sein sollte.

🔧 Wenn du selbst einen Matrix-Server betreiben willst: Nutze YunoHost oder Synapse direkt. Mehr Infos hier:
https://github.com/YunoHost-Apps/synapse_ynh


🧠 Persönlich: Gedanken zu 2030/35/40

Ich sehe eine Zukunft, in der zentralisierte Systeme unsere Freiheiten verschlucken, unter dem Deckmantel von Sicherheit, Komfort und „Einfachheit“. Der digitale EU-Wallet ist kein Fortschritt – er ist ein Einstieg in die totale Kontrolle.

Deshalb braucht es dezentrale Kommunikation. Deshalb Matrix. Deshalb mein Server, meine Regeln.

👉 Und genau darüber schreibe ich weiter in meinem Buch – Kapitel 4 wird digital, wild & unbequem. So wie der Rest der Geschichte.


📢 Bald auch auf Mastodon: treff.darknight-coffee.eu

Folg mir dort – frei, unabhängig, dezentral. Noch nicht „in der Matrix“, aber definitiv außerhalb der Blase.


Mit kritischem Blick & eigenem Server –
Eure Carrabelloy

Tags:


🛠️ Carrabelloy meldet sich zurück!

Mein -Server läuft bald wieder – entweder repariert oder ganz neu aufgesetzt. Warum?
Weil ich an digitale Unabhängigkeit glaube.
Weil ich meine Daten selbst verwalte – mit , , und bald mit einem eigenen Sicherheitsservice für dich.

🔁 Adressdaten von Excel in Nextcloud? Kein Problem – mit ein bisschen Umweg und Know-how.
💡 Anleitung: https://kaffeeringe.de/2025/05/28/adresslisten-in-nextcloud-importieren-via-thunderbird/
📣 Bald: Mein persönliches Angebot für alle, die Sicherheit, Freiheit & Fairness wollen.
🚲 Carrabelloy – dein Sprung in digitale Unabhängigkeit.

📷 ![=“https://carrabelloy.darknight-coffee.org/blog/wp-content/uploads/2023/05/cropped-cropped-cropped-cropped-carrabelloy-1024×397-1.jpg“>/>]

#DigitaleSouveränität