WhatsApp, Teams, Signal, Threema, Telegram, SimpleX – welcher Messenger schützt dich (und dein Unternehmen) wirklich?

1. August 2026von René Wunsch

Kurz vorweg: Fast jeder Messenger wirbt heute mit „Ende-zu-Ende-verschlüsselt“. Klingt beruhigend – ist aber nur die halbe Wahrheit. Denn die spannende Frage ist gar nicht so sehr, ob deine Nachrichten verschlüsselt sind. Die spannende Frage ist: Was weiß der Anbieter über dich, obwohl er gar nicht in deine Nachrichten reinschaut? Und wer kommt im Zweifel dran?

Und wenn du das Ganze geschäftlich nutzt – also Kunden, Lieferanten oder Kollegen anschreibst – kommt noch eine zweite Ebene dazu: die DSGVO. Denn sobald du fremde Telefonnummern und Namen an einen Anbieter durchreichst, verarbeitest du personenbezogene Daten. Und dann gelten Regeln.

Darum geht’s in diesem Beitrag. Ich habe mir sechs Messenger vorgenommen und sie nach denselben sechs Kriterien durchleuchtet. Am Ende gibt’s eine Vergleichstabelle, einen Abschnitt speziell für Unternehmer und eine klare Empfehlung.

Das Wichtigste in Kürze

Verschlüsselung allein sagt wenig. Der eigentliche Unterschied liegt bei den Metadaten – also wer mit wem, wann und wie oft schreibt. Die verrät fast so viel wie der Inhalt selbst.
WhatsApp verschlüsselt die Inhalte gut (Signal-Protokoll), sammelt aber bei Meta jede Menge Metadaten – und lädt im Zweifel dein ganzes Adressbuch hoch. Im Business ein echtes DSGVO-Thema.
Microsoft Teams ist standardmäßig nicht Ende-zu-Ende-verschlüsselt; Microsoft kann Inhalte technisch lesen, Admins alles durchsuchen. Lässt sich DSGVO-konform betreiben – aber nur mit Vertrag, EU-Speicherung und Aufwand.
Telegram ist der große Trugschluss: Standard-Chats sind nicht Ende-zu-Ende-verschlüsselt. Seit 2024 gibt Telegram außerdem IP-Adresse und Telefonnummer an Behörden weiter.
Signal ist der Goldstandard bei der Technik – speichert fast nichts. Kleiner Haken: US-Sitz und Telefonnummer als Pflicht.
Threema kommt aus der Schweiz, braucht keine Telefonnummer und liegt außerhalb des US-Zugriffs.
SimpleX geht als einziger den radikalen Schritt: gar keine Nutzer-ID. Kein Account, den man dir zuordnen könnte. MMn aktuell die datensparsamste Architektur am Markt – mit einem ehrlichen „Aber“, zu dem ich am Ende komme.

Worauf schaust du eigentlich? (Die sechs Kriterien)

Damit der Vergleich fair bleibt, habe ich jeden Messenger nach denselben Punkten bewertet:

Verschlüsselung – Gibt’s Ende-zu-Ende-Verschlüsselung (E2EE), und wenn ja, standardmäßig oder nur auf Knopfdruck?
Firmensitz & Serverstandort – Wo sitzt das Unternehmen, wo stehen die Server? Das entscheidet, welches Recht gilt.
Cloud Act – Kann die US-Regierung theoretisch mitgreifen? (Dazu gleich mehr.)
Gespeicherte Daten – Was landet überhaupt beim Anbieter, außer deinen (verschlüsselten) Nachrichten?
Architektur – Ein zentraler Server oder ein dezentrales Netz?
Quellcode – Ist der Code offen einsehbar, sodass unabhängige Leute prüfen können, ob wirklich das passiert, was versprochen wird?

Der rote Faden dabei: Je weniger ein Dienst überhaupt über dich weiß, desto weniger kann schiefgehen – egal ob durch Hack, Gerichtsbeschluss oder ein Unternehmen, das irgendwann sein Geschäftsmodell ändert. Verschlüsselung schützt den Brief. Aber der Umschlag verrät trotzdem, wer wem wie oft schreibt.

Exkurs 1: Zentral vs. dezentral – und was passiert, wenn der Server ausfällt

Der Punkt „Architektur“ klingt trocken, ist aber im Alltag richtig wichtig. Deshalb kurz zum Mitnehmen:

Zentrale Architektur heißt: Es gibt einen Betreiber mit seinen Servern, über die alles läuft. WhatsApp, Teams, Signal, Threema und Telegram funktionieren so (auch wenn Telegram seine Server auf mehrere Rechenzentren verteilt – kontrolliert werden sie trotzdem zentral). Vorteil: bequem, alles aus einer Hand, Nummer eintippen, läuft. Nachteil: ein einziger Punkt, an dem alles hängt.

Was das konkret bedeutet, hast du wahrscheinlich selbst schon erlebt: Wenn WhatsApp mal wieder eine globale Störung hat, geht bei allen gleichzeitig nichts mehr – weltweit, egal wie gut dein Handy oder dein Internet ist. Genau das ist der Preis der Zentralisierung. Ein Server unten, alle offline. Dazu kommt: Ein zentraler Anbieter ist auch ein zentrales Ziel – für Hacker genauso wie für Behörden mit Gerichtsbeschluss. Ein Punkt, an dem man ansetzen kann.

Dezentrale Architektur heißt: Es gibt nicht den einen Server, sondern viele unabhängige Knoten (bei SimpleX heißen die „Relays“). Du kannst sogar deinen eigenen betreiben. Fällt ein Knoten aus, laufen die anderen weiter – es gibt keinen einzelnen „Aus-Schalter“ für das ganze Netz. Das macht so ein System robuster gegen Ausfälle und deutlich schwerer zu zensieren oder komplett abzuschalten. Der Preis: Es ist aufwändiger, weniger bequem und (noch) nicht so massentauglich.

Konkret bedeutet das: Zentral = bequem, aber verwundbar an einer Stelle. Dezentral = robuster und unabhängiger, aber mehr Eigenverantwortung. Merk dir die Unterscheidung – sie taucht gleich bei jedem Messenger wieder auf.

Exkurs 2: Was ist eigentlich der US Cloud Act?

Der CLOUD Act (von 2018) erlaubt es US-Behörden, von Unternehmen unter US-Recht die Herausgabe von Daten zu verlangen – egal, wo auf der Welt diese Daten liegen. Entscheidend ist nicht der Serverstandort, sondern die Frage: Hat die Firma einen US-Bezug? (Erklärung des Prinzips)

Wichtig für uns: Der Cloud Act ist „verschlüsselungsneutral“. Er zwingt niemanden, etwas zu entschlüsseln (Quelle: Wiley). Konkret bedeutet das: Bei echter E2EE hat der Anbieter gar keinen lesbaren Inhalt, den er rausgeben könnte – die Metadaten aber schon. Und für ein US-Unternehmen wie Microsoft gilt: Selbst wenn die Daten in einem EU-Rechenzentrum liegen, folgt der Zugriff der Konzernstruktur, nicht der Landesgrenze (archTIS).

Und jetzt der Reihe nach – ich habe die sechs bewusst so sortiert, dass der rote Faden Stück für Stück klarer wird.

1. WhatsApp – gut verschlüsselt, aber mitten im Meta-Kosmos

WhatsApp ist für die meisten der Einstieg ins Thema, weil es schlicht jeder nutzt. Und fairerweise: Die Inhaltsverschlüsselung ist solide. WhatsApp nutzt seit Jahren das Signal-Protokoll, das gleiche wie der Platzhirsch Signal (WhatsApp-Whitepaper). Deine Nachrichten kann also weder WhatsApp noch Meta mitlesen.

Das Problem sitzt woanders. WhatsApp gehört zu Meta (Sitz in Kalifornien, USA), und Metas Geschäftsmodell ist Werbung. Der Inhalt ist zwar dicht, aber die Metadaten – wer mit wem, wann, wie oft, welche Geräte, welche Gruppen – fließen ins Meta-Ökosystem (Analyse). Und Gruppenmitgliedschaften sind für die WhatsApp-Server sichtbar, weil der Server ja wissen muss, an wen er zustellt (dev.to).

Nur zur Info, ein paar Details, die gern untergehen:

Backups waren lange der Schwachpunkt – seit Oktober 2025 lassen sie sich zwar per Passkey verschlüsseln, aber standardmäßig ist das nicht an (Mozilla).
Business-Chats können anders behandelt werden, wenn das Unternehmen seine Chats über Meta-Dienste verwalten lässt.
Und der Klassiker fürs Business: WhatsApp will Zugriff aufs Adressbuch – dazu unten im DSGVO-Teil mehr, denn genau das ist der wunde Punkt.

Kurzprofil WhatsApp

Verschlüsselung: E2EE standardmäßig, Signal-Protokoll ✅ (Backups nur optional)
Sitz/Server: Meta Platforms, USA – zentrale Server
Cloud Act: voll betroffen (US-Unternehmen); Inhalte sind E2EE, Metadaten nicht
Gespeicherte Daten: viele Metadaten, Teilung mit Meta
Architektur: zentral
Quellcode: nicht vollständig quelloffen, nicht unabhängig prüfbar

2. Microsoft Teams – der Kollege, den fast jedes Unternehmen schon nutzt

Teams ist streng genommen keine klassische Handy-Messenger-App, sondern eine Kollaborationsplattform. Aber Hand aufs Herz: In vielen Firmen ist der Teams-Chat längst der Standard-Weg, um schnell was zu klären. Deshalb gehört Teams in diesen Vergleich – und es fällt aus Datenschutzsicht in eine ganz andere Liga als Signal & Co.

Der wichtigste Punkt zuerst: Teams-Chats sind standardmäßig nicht Ende-zu-Ende-verschlüsselt. Microsoft verschlüsselt zwar den Transport (TLS/SRTP) und die Ablage auf den Servern („at rest“) – aber weil die Microsoft-Cloud die Daten verarbeitet, kann Microsoft die Inhalte technisch entschlüsseln, etwa für Funktionen, Compliance oder auf gesetzliche Anordnung (Microsoft Learn, Microsoft Tech Community, Juni 2025). Eine echte E2EE gibt es nur optional – und zwar nur für ungeplante 1:1-Anrufe (nur Audio/Video, beide müssen es aktivieren). Für Chats und Kanäle ist sie standardmäßig nicht vorgesehen. Für Enterprise gibt’s zusätzlich „Customer Key“ (eigene Schlüssel), aber das ist Konfigurationsarbeit, kein Auslieferungszustand.

Dazu kommt: Teams speichert richtig viel. Deine 1:1- und Gruppen-Chats werden ins Exchange-Postfach der Nutzer gespiegelt, Kanal-Nachrichten ins Gruppenpostfach, Dateien in SharePoint/OneDrive. Über die Compliance-Werkzeuge (Purview/eDiscovery) können Admins praktisch die gesamte Kommunikation durchsuchen und exportieren (Microsoft Learn). Für ein Unternehmen ist das oft ein Feature (Nachvollziehbarkeit, Recht & Compliance) – aus reiner Privatsphäre-Sicht ist es das Gegenteil von Datensparsamkeit.

Firmensitz ist Microsoft in Redmond (USA). Für EU-Kunden speichert Microsoft die Kerndaten inzwischen über die sogenannte „EU Data Boundary“ in EU-Rechenzentren (fraghugo). Das entschärft die Sache, hebelt aber den Cloud Act nicht aus – Microsoft bleibt ein US-Konzern. Mehr dazu gleich im Unternehmer-Teil, denn Teams lässt sich durchaus DSGVO-konform betreiben, nur eben nicht einfach „out of the box“.

Kurzprofil Microsoft Teams

Verschlüsselung: ❌ standardmäßig keine E2EE für Chats; nur Transport-/Ablageverschlüsselung, Microsoft kann entschlüsseln. E2EE nur optional für 1:1-Anrufe
Sitz/Server: Microsoft, USA; EU-Kerndaten über „EU Data Boundary“ in der EU
Cloud Act: voll betroffen (US-Konzern) – auch bei EU-Speicherung
Gespeicherte Daten: sehr viel – Chats/Dateien in der Cloud, Admin- und eDiscovery-Zugriff
Architektur: zentral (Microsoft-Cloud)
Quellcode: proprietär, geschlossen

3. Telegram – der große Trugschluss

Telegram hat den Ruf, „der sichere Messenger“ zu sein. Grundsätzlich müssen wir hier aber mit einem Mythos aufräumen: Die normalen Chats bei Telegram sind gar nicht Ende-zu-Ende-verschlüsselt.

Telegram nutzt sein eigenes Protokoll namens MTProto 2.0. Die Standard-Chats („Cloud-Chats“) sind nur zwischen dir und dem Telegram-Server verschlüsselt – der Server kann sie also lesen (ESET). Echte E2EE gibt es nur in den sogenannten „Secret Chats“, und die musst du manuell starten. Sie funktionieren nur 1:1 und nur auf dem Gerät, auf dem du sie angelegt hast. Gruppen und Kanäle sind nie Ende-zu-Ende-verschlüsselt (Telegram FAQ). Sprich: Die allermeisten Leute, die Telegram für „sicher“ halten, nutzen es im unverschlüsselten Modus.

Beim Standort wird’s interessant. Telegram sitzt in Dubai (ursprünglich Russland), und die Server sind über mehrere Rechenzentren und verschiedene Rechtsträger verteilt. Die Idee dahinter: Damit man an die Daten kommt, bräuchte man Gerichtsbeschlüsse aus mehreren Ländern gleichzeitig (Telegram FAQ).

Klang lange gut – hat sich aber verschoben. Nach der Verhaftung von Telegram-Gründer Pavel Durov in Frankreich hat Telegram im September 2024 seine Datenschutzrichtlinie geändert: Bei validen behördlichen Anfragen gibt Telegram nun IP-Adresse und Telefonnummer von Verdächtigen heraus – vorher nur bei Terrorverdacht (Help Net Security). Das ist eine echte Kehrtwende für einen Dienst, der sein Image auf „wir geben nichts raus“ gebaut hatte.

Kurzprofil Telegram

Verschlüsselung: ❌ standardmäßig keine E2EE; nur in „Secret Chats“ (1:1, manuell, gerätegebunden). Eigenes Protokoll MTProto, wenig extern geprüft
Sitz/Server: Dubai (VAE); Server weltweit verteilt
Cloud Act: nicht direkt US – aber seit 2024 Herausgabe von IP & Telefonnummer bei Justizanfragen
Gespeicherte Daten: Cloud-Chats liegen (für Telegram lesbar) auf dem Server, plus Telefonnummer & IP
Architektur: zentral (verteilte Rechenzentren, zentral kontrolliert)
Quellcode: Clients offen, Server geschlossen (EPFL)

4. Signal – der Goldstandard mit einem kleinen Haken

Jetzt wird’s technisch sauber. Signal gilt zu Recht als Referenz. Das Signal-Protokoll (mit dem sogenannten Double-Ratchet-Verfahren) ist quasi der Goldstandard – so gut, dass WhatsApp es selbst benutzt. E2EE ist bei Signal immer an, ohne dass du irgendwas einstellen musst.

Der eigentliche Clou ist aber, wie wenig Signal über dich weiß. Auf den Servern liegt pro Konto praktisch nur: deine Telefonnummer, das Datum der Registrierung und dein letztes Login. Keine Kontakte, keine Gruppen, keine Info darüber, mit wem du schreibst (CyberInsider). Dazu kommt „Sealed Sender“, eine Technik, die sogar dem Signal-Server verbirgt, von wem eine Nachricht kommt (Mozilla).

Betrieben wird das Ganze von der Signal Foundation, einer gemeinnützigen Non-Profit-Organisation (501(c)(3)) mit Sitz in Mountain View, Kalifornien (Wikipedia). Kein Werbemodell, finanziert über Spenden. Und der Code ist komplett offen – Client und Server, unter der AGPL-3.0-Lizenz (Wikipedia). Theoretisch könntest du den Server also selbst betreiben.

Der Haken – und deshalb steht Signal hier und nicht ganz oben: Signal sitzt in den USA und ist damit grundsätzlich vom Cloud Act erfasst. Realistisch relativiert sich das, weil ja fast nichts zum Herausgeben da ist (außer eben Telefonnummer und Zeitstempel). Und genau die Telefonnummer ist der zweite Wermutstropfen: Deine Identität hängt am Handy. Ganz anonym bist du damit nicht.

Kurzprofil Signal

Verschlüsselung: E2EE standardmäßig, Signal-Protokoll (Double Ratchet) ✅✅ + Sealed Sender
Sitz/Server: Signal Foundation (Non-Profit), USA – zentrale Server
Cloud Act: betroffen (US) – aber kaum Daten vorhanden, die man herausgeben könnte
Gespeicherte Daten: minimal – nur Telefonnummer + Zeitstempel
Architektur: zentral, Server-Code aber offen (selbst hostbar)
Quellcode: vollständig quelloffen (Client + Server, AGPL-3.0)

5. Threema – die Schweizer Variante ohne Telefonnummer

Threema löst genau das Problem, das bei Signal übrig bleibt: Du brauchst keine Telefonnummer. Beim ersten Start würfelt die App dir eine zufällige, achtstellige Threema-ID aus – kein Name, keine Nummer, keine E-Mail (EuropeanStack). Optional kannst du eine Nummer hinterlegen, damit dich Kontakte finden – aber dann geht nur ein SHA-256-Hash an den Server, nie die echte Nummer (PrivacyGear).

Verschlüsselt wird alles (Text, Anrufe, Dateien) mit der bewährten NaCl-Krypto-Bibliothek. Nachrichten werden nach der Zustellung vom Server gelöscht, es gibt keinen gespeicherten „Social Graph“ – also keine Landkarte, wer mit wem redet (EuropeanStack).

Und jetzt der für uns DSGVO-Leute spannende Teil: Threema GmbH sitzt in Pfäffikon (Schweiz), die Server stehen in zwei ISO-27001-zertifizierten Rechenzentren im Raum Zürich (Threema FAQ). Damit greift Schweizer Datenschutzrecht (FADP/DSG) – und kein US Cloud Act. Ausländische Behörden müssen den offiziellen Rechtshilfeweg über ein Schweizer Verfahren gehen. 2021 hat Threema sogar vor dem Schweizer Bundesgericht ein Verfahren gewonnen, das die Firma zur Nutzeridentifikation zwingen wollte (PrivacyGear). Mehr juristischen Schutz als die meisten anderen, ehrlich getestet.

Die Apps sind seit 2020 quelloffen (AGPLv3, auf GitHub) (European Purpose). Der Server ist proprietär – für Firmen gibt’s aber eine „OnPrem“-Variante zum Selbsthosten. Nebenbei: Threema ist einmalig kostenpflichtig, kein Abo, kein Werbe-Geschäftsmodell. Sogar die Schweizer Armee und Verwaltung setzen es ein.

Kurzprofil Threema

Verschlüsselung: E2EE standardmäßig, NaCl-Bibliothek ✅✅
Sitz/Server: Threema GmbH, Schweiz; Server im Raum Zürich (ISO 27001)
Cloud Act: nicht betroffen – Schweizer Recht, Bundesgerichts-Urteil 2021
Gespeicherte Daten: minimal, keine Telefonnummer nötig (zufällige ID), kein Social Graph
Architektur: zentral (eigene Schweizer Server), OnPrem für Firmen möglich
Quellcode: Apps quelloffen (AGPLv3); Server proprietär

6. SimpleX – der radikale Schritt: gar keine Nutzer-ID

Und jetzt kommt der Kandidat, der die ganze Logik auf den Kopf stellt. Alle bisherigen Messenger – selbst die guten – identifizieren dich über irgendwas: Telefonnummer, Konto, Zufalls-ID. SimpleX macht genau das nicht. Es gibt schlicht keinen Identifier für dich im Netzwerk. Keine Telefonnummer, keine E-Mail, keinen Benutzernamen, nicht mal eine Zufalls-ID (IQ.wiki).

Wie soll das gehen? Statt „Nutzer A schreibt an Nutzer B“ arbeitet SimpleX mit paarweisen Warteschlangen (pairwise per-queue identifiers). Vereinfacht gesagt: Jeder deiner Kontakte erreicht dich über einen komplett eigenen, anonymen Kanal. Jeder Kontakt sieht sozusagen ein anderes „Du“ – und keiner dieser Kanäle lässt sich mit einem anderen verknüpfen (European Purpose). Für einen Angreifer, der Verbindungen nachverfolgen will, ist das ein Albtraum. Kontakt aufnehmen kannst du nur über einen Einladungslink oder QR-Code – ungefragt anschreiben kann dich niemand (F-Droid).

Unter der Haube läuft der Double-Ratchet-Algorithmus (wie bei Signal), plus eine zusätzliche Verschlüsselungsschicht auf Transportebene, plus Post-Quanten-Kryptografie für den Schlüsselaustausch – also schon jetzt vorbereitet auf die Zeit, in der Quantencomputer heutige Verschlüsselung knacken könnten (blog.brightcoding.dev). Selbst Zeitstempel stecken im verschlüsselten Umschlag.

Zur Architektur: SimpleX ist dezentral. Deine Daten liegen ausschließlich auf deinem Gerät, die Server sind nur Relay-Knoten, die Nachrichten kurz zwischenlagern und nach Zustellung löschen – teils sogar nur im Arbeitsspeicher, ohne dauerhafte Speicherung (GitHub). Und du kannst deine eigenen Server betreiben und trotzdem mit allen anderen kommunizieren. Erinnerst du dich an den Ausfall-Exkurs von oben? Genau hier zahlt sich das aus: Es gibt keinen zentralen „Aus-Schalter“.

Was heißt das für den Cloud Act? Ehrlich gesagt: Er läuft weitgehend ins Leere. Zwar ist SimpleX Chat Ltd eine britische Firma – aber es gibt schlicht keine zentralen Konten und keinen Social Graph, den man herausgeben könnte (PRIVACY.md). Die Relay-Server sehen nur verschlüsselte Datenblobs, ohne zu wissen, wer mit wem redet. Der Code ist komplett offen (AGPLv3), und es gibt unabhängige Sicherheits-Audits (u. a. von Trail of Bits).

Kurzprofil SimpleX

Verschlüsselung: E2EE standardmäßig, Double Ratchet + Transportschicht + Post-Quantum ✅✅✅
Sitz/Server: SimpleX Chat Ltd (UK), aber dezentral, selbst hostbar, keine Nutzerkonten auf Servern
Cloud Act: praktisch irrelevant – es gibt nichts zu holen
Gespeicherte Daten: keine Nutzer-ID, alle Daten nur auf dem Gerät; Server sehen nur verschlüsselte Blobs
Architektur: dezentral, Relay-Netzwerk mit Wegwerf-Knoten
Quellcode: vollständig quelloffen (AGPLv3), extern auditiert

Die Übersicht auf einen Blick

Kriterium	WhatsApp	MS Teams	Telegram	Signal	Threema	SimpleX
E2EE standardmäßig	Ja (Signal-Prot.)	Nein	Nein (nur „Secret Chats“)	Ja (Signal-Prot.)	Ja (NaCl)	Ja (Double Ratchet + PQ)
Firmensitz	USA (Meta)	USA (Microsoft)	Dubai (VAE)	USA (Non-Profit)	Schweiz	UK
Serverstandort	USA / global	EU-Kerndaten (Boundary)	global verteilt	USA	Zürich (CH)	dezentral / selbst hostbar
US Cloud Act	voll betroffen	voll betroffen	nein (gibt aber IP+Nr. raus)	betroffen, aber wenig Daten	nicht betroffen	irrelevant
Telefonnummer nötig	Ja	Konto/Firma	Ja	Ja	Nein	Nein
Gespeicherte Daten	viele Metadaten	sehr viel (Cloud + Admin)	Cloud-Chats + IP/Nr.	minimal	minimal, kein Social Graph	keine Nutzer-ID
Architektur	zentral	zentral	zentral	zentral	zentral	dezentral
Quellcode offen	nein	nein	Clients ja, Server nein	komplett	Apps ja, Server nein	komplett

Kleiner Hinweis: Auf dem Handy ist die Tabelle etwas breit – am besten quer halten oder am Desktop anschauen.

Der Unternehmer-Blick: Was das mit DSGVO zu tun hat

Bis hier ging’s um Technik. Jetzt wird’s für dich als Unternehmer praktisch – denn im Business gelten andere Maßstäbe als bei „ich schreibe privat mit Freunden“.

Der Kern in einem Satz: Sobald du geschäftlich Nachrichten schreibst, verarbeitest du personenbezogene Daten – Namen, Telefonnummern, Inhalte. Und die DSGVO ist ein „Verbot mit Erlaubnisvorbehalt“: Du brauchst für jede Verarbeitung eine Rechtsgrundlage (keyed.de).

Daraus ergeben sich drei Dinge, die du kennen solltest:

1. Wer für dich Daten verarbeitet, braucht einen Vertrag (AVV). Gibst du Daten an einen Dienstleister, der sie in deinem Auftrag verarbeitet, brauchst du einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Microsoft z. B. bietet den an – er steckt im „Data Protection Addendum“ und muss aktiv akzeptiert werden (fraghugo). Der reguläre WhatsApp-Messenger dagegen ist für die Privatnutzung gedacht und bietet Unternehmen keinen solchen Vertrag – im Gegenteil, es ist Teil von Metas Geschäftsmodell, die Daten selbst zu nutzen (datenschutzkanzlei.de).

2. Das Adressbuch-Problem – der Klassiker bei WhatsApp. WhatsApp gleicht dein komplettes Adressbuch mit den Servern ab – und überträgt dabei auch die Kontaktdaten von Leuten, die selbst gar kein WhatsApp nutzen und nie zugestimmt haben. Die deutschen Aufsichtsbehörden (DSK, BayLDA) sehen die geschäftliche WhatsApp-Nutzung mit Adressbuchabgleich deshalb als datenschutzwidrig an; in einem Fall wurde sogar ein Untersagungsverfahren angedroht (ratgeberrecht.eu). Und die möglichen Bußgelder sind kein Pappenstiel: bis zu 20 Mio. € oder 4 % des Jahresumsatzes.

3. Der Weg in die USA – Schrems II, DPF und der Cloud Act. Landen Daten bei einem US-Anbieter, ist das ein „Drittlandtransfer“. Nach dem Schrems-II-Urteil (2020) fiel das damalige Privacy Shield; seit Juli 2023 gibt es das EU-US Data Privacy Framework (DPF), über das Transfers an zertifizierte US-Firmen (z. B. Microsoft, Meta) wieder gerechtfertigt sein können (SRD Rechtsanwälte). Microsofts EU Data Boundary hält die Kerndaten europäischer Kunden zusätzlich in der EU – reduziert Übermittlungen also stark, eliminiert sie aber nicht ganz, und am Cloud Act ändert sie nichts (pcffm). Kurz: Microsoft 365/Teams ist in Deutschland DSGVO-konform einsetzbar (der hessische Datenschutzbeauftragte hat das 2025 bestätigt) – aber nur mit AVV, EU-Einstellung und in der Regel einer Datenschutz-Folgenabschätzung (DSFA) bei umfangreicher Verarbeitung.

Und die Telefonnummer? Die ist selbst schon personenbezogene Daten. Deshalb ist es aus DSGVO-Sicht ein echter Vorteil, wenn ein Dienst gar keine Nummer braucht – wie Threema oder SimpleX. Weniger Daten weitergeben heißt weniger Rechtfertigungsdruck. Gerade für sensible Bereiche – denk an Berufsgeheimnisträger wie Ärzte, Anwälte oder Steuerberater (§ 203 StGB) – ist das oft der ausschlaggebende Punkt.

Wichtig – und ich sag’s ganz offen: Ich bin kein Anwalt, und das hier ist keine Rechtsberatung. Ich fasse den öffentlich dokumentierten Stand zusammen, damit du weißt, worauf du achten musst und die richtigen Fragen stellen kannst. Für deinen konkreten Fall – gerade bei sensiblen Daten, Beschäftigtendaten oder besonderen Branchen – hol dir bitte deinen Datenschutzbeauftragten oder eine Fachanwältin/einen Fachanwalt für IT-Recht dazu. Es geht mir hier nicht um Panikmache, sondern darum, dass du bewusst entscheidest.

Fazit: Welcher ist jetzt der sicherste Messenger?

Wenn wir nur die eine Frage stellen – „Wer weiß am wenigsten über mich, selbst wenn er wollte?“ – dann ist die Antwort mMn eindeutig: SimpleX.

Der Grund ist nicht bessere Verschlüsselung (die haben Signal, Threema und SimpleX auf vergleichbar hohem Niveau). Der Grund ist die Architektur. Alle anderen brauchen irgendeinen Anker, an dem deine Identität hängt – die Telefonnummer, ein Konto, eine ID. SimpleX entfernt genau diesen Anker. Kein Identifier heißt: kein Social Graph, kein zentrales Konto, nichts, was man per Gerichtsbeschluss oder Hack abgreifen könnte. Der Cloud Act läuft ins Leere, weil es nichts zu holen gibt. Das ist Datenschutz by Design, nicht by Policy – und das ist ein qualitativer Unterschied.

Ja, aber – und das gehört zur Ehrlichkeit dazu:

Das Netzwerk ist klein. Realistisch nutzt niemand aus deinem Umfeld SimpleX. Ein Messenger, den nur du hast, bringt dir im Alltag wenig.
Die Bedienung ist gewöhnungsbedürftiger, gerade bei Backup und Geräte-Wechsel. Weniger Komfort als WhatsApp – das muss man wollen.
Es ist ein jüngeres Projekt. Sehr gut auditiert, aber eben noch nicht so kampferprobt wie Signal.

Meine Empfehlung wäre daher pragmatisch, nicht dogmatisch:

Für maximalen Schutz bei wirklich sensiblen Dingen (Quellenschutz, Whistleblowing, heikle Mandate): SimpleX.
Als realistischer Alltags-Kompromiss, den du auch anderen zumuten kannst: Signal (technisch top) oder Threema (Schweizer Recht, keine Telefonnummer nötig – für den geschäftlichen Einsatz oft der beste Kompromiss aus Datenschutz und Praxistauglichkeit).
Microsoft Teams ist als interne Firmenlösung okay, solange AVV, EU-Speicherung und ggf. DSFA sitzen – aber nichts, wo du dich auf E2E-Verschlüsselung verlassen solltest.
WhatsApp ist für Privates okay – im geschäftlichen Kundenkontakt aber ein DSGVO-Minenfeld (Stichwort Adressbuch). Wenn, dann nur mit Diensthandy ohne Adressbuchzugriff bzw. über die offizielle Business-API.
Telegram würde ich für nichts Vertrauliches empfehlen, solange du nicht bewusst in „Secret Chats“ bist. Der Standardmodus ist einfach nicht das, wofür ihn viele halten.

Merksatz für den Weg: Verschlüsselung schützt, was du sagst. Aber erst wenn ein Dienst gar nicht weiß, dass du überhaupt mit jemandem redest – und wenn kein zentraler Server existiert, den man abschalten oder auslesen kann –, bist du wirklich privat. Und da ist SimpleX aktuell konkurrenzlos.

Hinweis: Dieser Beitrag gibt den Stand von August 2026 wieder und ist keine Rechtsberatung. Gerade bei Serverstandorten, Datenschutzrichtlinien und Rechtslage kann sich schnell etwas ändern – im Zweifel lohnt der Blick in die verlinkten Originalquellen oder das Gespräch mit deinem Datenschutzbeauftragten.