Aktualisiert 7. September 2026 · Von Sumbat.T

Ist OpenWhispr sicher? Was die eigenen Dokumente sagen

Diktat ohne etwas zu konfigurieren

Keine Modelle zum Download, keine API-Keys zum Verwalten

BlabbyAI läuft auf Whisper v3 Turbo und tippt in jedes Textfeld unter Windows oder in Chrome. Unter Windows speichert History jede Aufnahme auf Ihrer eigenen Festplatte. 60 Credits pro Woche gratis, ohne Karte.

Add BlabbyAI to Chrome

"Ist es sicher" sind vier Fragen in einem Mantel

Wer sucht, ob ein Diktier-Tool sicher ist, findet selbstbewusste Antworten in entgegengesetzte Richtungen. Nicht weil jemand lügt. Sondern weil das Wort vier verschiedene Fragen abdeckt, und OpenWhispr bei jeder ganz anders abschneidet. Sie zuerst zu trennen macht den Rest dieser Seite deutlich kürzer.

Die drei Modi, und warum sie die ganze Antwort sind

Die meisten Privacy-Texte behandeln eine Diktier-App als ein Ding, das Ihre Stimme entweder hochlädt oder nicht. OpenWhispr funktioniert so nicht, und die eigene Security-Seite sagt das klar: die App wandelt Sprache in Text unter macOS, Windows und Linux, und Sie wählen, wie das Audio verarbeitet wird. Es gibt drei Modi, und das sind keine Varianten eines Themas. Sie schicken Ihre Stimme an drei verschiedene Orte.

Lokale Modelle: der einzige Modus mit struktureller Garantie

Das ist der Modus, den Leute meinen, wenn sie OpenWhispr privat nennen. Sie laden ein Whisper- oder NVIDIA-Parakeet-Modell herunter, und die Transkription läuft auf Ihrem eigenen Prozessor. Die Privacy Policy nennt die Folge ohne Wenn und Aber.

Der Grund, warum das mehr wert ist als ein gleicher Satz eines Closed-Source-Anbieters: Sie können es prüfen. Die Desktop-App ist MIT-lizenziert und öffentlich, und die Security-Seite sagt das selbst: Sie können genau nachvollziehen, wie Audio erfasst, verarbeitet und übertragen wird. Im lokalen Modus gibt es keinen Upload-Schritt zu finden, und das ist eine andere Klasse von Sicherheit als ein Unternehmen, das verspricht, etwas gelöscht zu haben.

Eigenen Key mitbringen: OpenWhispr tritt aus dem Pfad

In diesem Modus hinterlegen Sie einen API-Key für einen Anbieter, bei dem Sie schon einen Account haben, und in den Worten der Privacy Policy wird "audio is sent directly to that provider" unter Ihrer eigenen Beziehung zu ihm. Die gelisteten Optionen für Transkription sind OpenAI Whisper, Deepgram, AssemblyAI, Groq und Mistral, mit OpenAI, Anthropic und Google Gemini für die Agent-Funktionen.

Die Privacy-Frage hier betrifft OpenWhispr eigentlich gar nicht. Ihr Audio unterliegt den Bedingungen des Anbieters, bei dem Sie sich angemeldet haben, und dessen Aufbewahrungsrichtlinie gilt. Das ist ein vernünftiges Design, und es ist auch der Modus, in dem Leute am häufigsten annehmen, sie seien durch die Versprechen von OpenWhispr geschützt, während sie in Wahrheit durch die von OpenAI geschützt sind.

OpenWhispr Cloud: Echtzeit, dann verworfen

Die verwaltete Option. Audio geht an deren API, kommt als Text zurück und wird nicht behalten.

Hinter diesem Endpunkt stehen OpenAI und Groq, Parasail übernimmt die Agent- und Reasoning-Funktionen, und die Security-Seite merkt an, dass sie zwischen Anbietern wechseln können, solange keiner auf Ihren Daten trainiert. Die Aufbewahrungsfristen sind je Anbieter veröffentlicht, mehr Detail als die meisten Unternehmen geben: Groq steht als opted out für deren Accounts, Parasail als Zero Data Retention, und die Memory- und Search-Anbieter als kein Training auf Ihren Daten.

Was Ihren Rechner verlässt, egal welchen Modus Sie wählen

Audio ist nur ein Teil des Bildes, und hier hört viel Berichterstattung zu früh auf. OpenWhispr veröffentlicht in der Privacy Policy eine Data-at-a-glance-Tabelle, wirklich mehr Transparenz als der Kategorie-Standard. Hier die verdichtete Fassung.

Die zweite Zeile sollte man merken. Ihre Transkriptionen liegen in einer lokalen SQLite-Datenbank und werden nicht synchronisiert, der Text dessen, was Sie diktiert haben, bleibt also bei Ihnen, auch wenn Sie den Cloud-Transkriptionsmodus nutzen. Notizen und Agent-Gespräche sind die Ausnahme, und nur wenn Sie Sync einschalten: dann gehen sie in deren Cloud-Datenbank Neon, im Ruhezustand verschlüsselt.

Die Zertifizierungen sind echt. Die Homepage überzieht eine davon.

Es wäre leicht und falsch, diesen Abschnitt als Abrechnung zu schreiben. Wenn ein junges Open-Source-Projekt SOC-2- und ISO-27001-Badges zeigt, ist der vernünftige Verdacht: Dekoration. Hier sind sie das nicht. Das Data Processing Addendum nennt Details, die Dekoration nicht mitbringt.

An anderer Stelle ergänzt die DPA, dass das ISO-Zertifikat von KVQA Certification Services ausgestellt wurde, akkreditiert vom Standards Council of Canada, mit Erstregistrierung am 27. Juli 2026 und Gültigkeit bis 27. Juli 2027, und dass der SOC-2-Bericht Security, Confidentiality und Availability abdeckt. Es gibt ein Trust Center unter trust.openwhispr.com mit einem Request-Access-Pfad zu den Dokumenten. Das ist ein echtes Compliance-Programm, und das darf man so sagen.

Zwei Beobachtungen bleiben, beide sachlich. Die SOC-2-Prüfgesellschaft wird öffentlich nicht genannt, nur der Berichtszeitraum, während die ISO-Zertifizierungsstelle namentlich steht. Und die Security-Seite erhebt keinerlei Zertifizierungsansprüche: die Wörter HIPAA, SOC 2 und ISO 27001 kommen dort nicht vor. Jedes Badge sitzt stattdessen auf der Marketing-Homepage.

Die eine echte Lücke: was die Homepage zu Gesundheitsdaten sagt, und was die DPA sagt

Das ist der Fund, der zählt, wenn Sie mit Patienteninformationen arbeiten, und der Grund, warum diese Seite existiert. Die Homepage trägt einen Block mit der Überschrift "Compliance & certifications" und dem Untertitel "Everything your security team will ask for, already in place", darunter ein HIPAA-Badge mit der Markierung "Compliant" und dem Text "Whether you use local or cloud processing, we keep your health information safe."

Abschnitt 14 des Data Processing Addendum sagt etwas deutlich Engeres.

Ein BAA wird Kunden im Business-Tarif und darüber angeboten, auf Anfrage. Beide Aussagen sind also für sich verteidigbar: das Unternehmen hat eine HIPAA-Attestierung, und es bietet ein BAA. Eine Klinikperson, die die Homepage liest, würde aber vernünftigerweise schließen, Cloud-Diktat von Patientennotizen sei abgedeckt, und die DPA sagt in klaren Worten, das dürfe ohne separate unterzeichnete Vereinbarung nicht geschehen, die man standardmäßig nicht hat. Wenn das Ihre Lage ist, ist das Badge nicht das Dokument, das Sie lesen sollten.

Was Open Source Ihnen kauft und was nicht

OpenWhispr ist MIT-lizenziert, und das Projekt ist unverkennbar lebendig: 7.276 Stars, 928 Forks, Version 1.9.2 erschienen am 29. August 2026, und Commits bis in den September. Es hat eine echte Security Policy mit privater Schwachstellenmeldung, einem 48-Stunden-Bestätigungsziel und einer Scope-Liste, die die richtigen Risiken für eine Electron-App nennt: Remote Code Execution über präpariertes Audio, Privilege Escalation über native Key-Listener und Paste-Helfer, Credential-Exposure, Cross-Site-Scripting im Renderer, unsichere Inter-Process-Communication und Supply-Chain-Angriffe über Abhängigkeiten.

Ein Detail, das Tests übersehen: die meisten Downloads sind Windows

OpenWhispr wird oft als Mac-Tool beschrieben, teils weil die Open-Source-Diktier-Szene in diese Richtung tendiert. Die eigenen Release-Assets sagen etwas anderes. Zählt man Downloads von Release 1.9.2 direkt über die GitHub-API, ist der Windows-Installer mit Abstand die meistgeladene Datei. Downloads sind keine Nutzer, und ein Release ist keine Geschichte, aber die Lücke ist groß genug, dass man sie kennen sollte.

Das zählt für die Sicherheitsfrage ganz praktisch. Der lokale Modus, der mit der echten Privacy-Garantie, ist auch der, der einem Windows-Laptop zumutet, ein Whisper- oder Parakeet-Modell so gut zu betreiben, dass es mit Ihrer Sprache mithält. Auf fähiger Hardware ist das in Ordnung. Auf einem gewöhnlichen Arbeitslaptop ist das der Grund, warum Leute still in den Cloud-Modus wechseln und die Garantie verlieren, für die sie die App gewählt haben.

Wie das Privacy-Modell im Vergleich dasteht

Vier Tools, und die Zeile, die zählt, ist, wo Ihr Audio physisch liegt. Die Preise sind die aktuellen Listenpreise zum Zeitpunkt des Schreibens.

Tool	Transkription	Wo die Aufnahme liegt	Training	Preis
OpenWhispr	Lokal, BYOK oder deren Cloud	Nur Gerät im lokalen Modus	Nein, vertraglich	Gratis, Pro kostenpflichtig
BlabbyAI	Cloud-Transkription	Lokale Festplatte unter Windows, nie hochgeladen	Wird nicht zum Training genutzt	8,49 $/Monat
Wispr Flow	Nur Cloud, kein Opt-out	Server des Anbieters, wenn Cloud-Speicher an	Opt-in, standardmäßig aus	15 $/Monat
Superwhisper	Lokale Modelle verfügbar	Auf dem Gerät mit lokalen Modellen	Nicht genutzt bei lokalen Modellen	8,49 $/Monat

Lesen Sie die Tabelle als drei verschiedene Abwägungen statt als Ranking. OpenWhispr im lokalen Modus hält Audio vom Netz fern und kostet Sie Modell-Downloads, Modus-Entscheidungen und eine Maschine, die schnell genug ist, sie zu betreiben. Wispr Flow verlangt Ihnen nichts ab und gibt auf dieser Achse nichts zurück: Transkription ist cloud-only ohne Opt-out in jedem Tarif, bei fast dem doppelten Preis. BlabbyAI ist das Tool, das Ihnen die Aufnahme ohne das Setup gibt, weil unter Windows die History-Funktion jede Aufnahme auf Ihre eigene Festplatte schreibt, in dem Moment, in dem Sie aufhören zu sprechen, noch bevor die Transkription beginnt, und dieses Audio nie hochgeladen wird. Nichts an Ihrer History berührt einen Server, und dafür war nichts zu konfigurieren.

Wenn Sie die Garantie ohne die Konfiguration wollen

Alles oben läuft auf denselben Kompromiss hinaus. OpenWhispr legt Ihnen die Kontrolle in die Hand, und der Preis dafür ist, dass Sie sie ausüben müssen: einen Modus wählen, Modelle je Maschine laden und verwalten, über Sync entscheiden und eine DPA lesen, bevor regulierte Daten in die Nähe kommen. Das ist ein faires Geschäft für Leute, die das wollen.

Viele wollen das Ergebnis ohne die Verwaltung. BlabbyAI ist andersherum gebaut: keine Modelle zum Download, keine Engines zum Vergleichen und keine API-Keys zum Halten. Sie installieren es, drücken Ctrl+Space, und Ihre Worte erscheinen in dem Textfeld, in dem der Cursor steht, ob das Word, Outlook, Slack, Notion, ein EHR-Textfeld oder ein Code-Editor ist. Es läuft auf Whisper v3 Turbo, unterstützt über 90 Sprachen mit Auto-Detect und kostet 8,49 $/Monat für unbegrenzte Nutzung, mit 60 Credits pro Woche gratis und ohne Karte zum Start.

Ein eigener BlabbyAI-Modus ist eine frei formulierte Anweisung, die auf das angewendet wird, was Sie gerade gesagt haben. Quelle: BlabbyAI.

Die Funktion, die man kennen sollte, sind eigene Modi. Ein Modus ist eine frei formulierte Anweisung, die über die Worte läuft, die Sie gerade gesprochen haben: einer räumt Grammatik auf, einer macht aus einem mäandernden Gedanken eine geordnete Aufzählung, einer übersetzt während Sie sprechen, oder einer erkennt Ihre eigenen gesprochenen Befehle. Sagen Sie ihm, dass bei "neuer Absatz" ein echter Umbruch gesetzt werden soll, und er tut es. Das liegt näher an einer programmierbaren Schicht über Ihrer Stimme als an einer festen Feature-Liste.

Die Chrome-Erweiterung ist die andere Hälfte des Produkts, und für viele Leute ist es die Hälfte, die sie nutzen. Das meiste Diktat passiert in einem Browser-Tab: Gmail, Google Docs, Notion, Jira, ein CRM-Kommentarfeld, das Prompt-Feld des KI-Tools, mit dem Sie gerade sprechen. Die Erweiterung diktiert in all das, ohne etwas zu installieren, ohne 250-MB-Download und ohne Account zum Ausprobieren, und das macht sie auch zum schnellsten Weg herauszufinden, ob Diktat überhaupt zu Ihrer Arbeit passt.

So entscheiden Sie, in einem Durchgang

Häufig gestellte Fragen

Das Fazit

OpenWhispr ist sicher, mit einem Vorbehalt, der die Arbeit macht: es ist sicher in dem Modus, den Sie gewählt haben, nicht als Produkt. Es bietet einen Modus, in dem Ihre Stimme den Rechner nie verlässt, und es ist offen genug, dass Sie das prüfen können statt es zu glauben. Die Compliance-Unterlagen dahinter sind ebenfalls echt, mit einem namentlich genannten ISO-Zertifikat und einem abgeschlossenen SOC-2-Bericht. Wer diese beiden Badges Dekoration nennt, hat die DPA nicht gelesen.

Zwei Dinge sollten Sie mitnehmen. Erstens: die Garantie sitzt im Modus, nicht in der Marke, und sie verschwindet still, sobald Sie der Geschwindigkeit wegen auf Cloud-Transkription wechseln. Zweitens: wenn Sie Gesundheitsdaten verarbeiten, sagen Homepage und Abschnitt 14 der DPA nicht dasselbe, und die DPA gilt. Prüfen Sie, auf welche Sie sich gestützt haben.

Und wenn Sie nach dem Lesen vor allem überzeugt sind, dass Sie gar nicht über Verarbeitungsmodi nachdenken wollen, ist das eine legitime Schlussfolgerung. BlabbyAI existiert dafür: installieren, Taste drücken, sprechen, und bereinigter Text in jeder Anwendung, mit Aufnahmen auf Ihrer eigenen Maschine und ohne etwas zu konfigurieren. Der Start ist gratis, 8,49 $/Monat wenn Sie dabei bleiben.

Quellen

• OpenWhispr, Local Speech-to-Text Privacy & Security. Die drei Verarbeitungsmodi, Audio-Handling und Trainingszusagen.
• OpenWhispr, Privacy Policy, zuletzt aktualisiert am 12. August 2026. Data-at-a-glance-Tabelle und die Subprozessor-Liste.
• OpenWhispr, Data Processing Addendum, Version 1.2, aktualisiert am 21. August 2026. Abschnitt 10 (Audit) und Abschnitt 14 (HIPAA).
• GitHub, OpenWhispr/openwhispr und die Security Policy. Lizenz, Release 1.9.2, Downloads je Asset und Schwachstellen-Scope, gelesen über die GitHub-API am 7. September 2026.
• BlabbyAI, Diktiersoftware und Windows Sprache zu Text.

Weiterlesen

• OpenWhispr Test: Was "Free Forever" wirklich abdeckt
• Ist Wispr Flow sicher? Was die eigenen Privacy-Seiten sagen
• Die besten Diktier-Apps, getestet