Anlass ist ein Thread auf r/flossdroid, in dem User freie Tastaturen für Android sammeln: LeanType, Bucky, Simple Keyboard, dazu WM Keyboard, HeliBoard und FUTO. Die Kandidaten laufen hier mit deutschem Layout, im Android-Emulator und auf einem Pixel 10. Dazu kommt ein Blick in Manifeste und Repositories: Was fordert die App an, wer entwickelt sie, wie aktuell ist sie?

Eine Tastatur weiß alles

Technisch ist eine Tastatur eine ganz normale App, die sich als Eingabemethode ins System hängt. Sie bekommt jeden Tastendruck, kann den Text vor und hinter dem Cursor lesen und erfährt sogar, dass gerade ein Passwortfeld offen ist. Android warnt euch beim Aktivieren davor. Erzwingen kann das System aber nichts: Ob eine Tastatur anständig mit den Daten umgeht, ist am Ende eine Vertrauensfrage.

Dass das nicht nur Theorie ist, zeigt eine Studie auf der IEEE-Konferenz PST 2015: Von 139 untersuchten Tastaturen aus Google Play hätten sich 84 als Keylogger missbrauchen lassen. Bewiesen ist damit nicht, dass jede davon es getan hat. Dass es auch passiert, zeigen Fälle wie ai.type, dessen Datenbank mit Daten von 31 Millionen Nutzern offen im Netz lag, oder chinesische Tastatur-Apps, über die Lauscher Tastendrücke mitlesen konnten. Aber die Hürde liegt niedrig, und genau deshalb lohnt der Blick darauf, wem ihr eure Eingaben anvertraut.

Gboard: Komfort mit Google-Anschluss

Gboard ist gut, keine Frage. Die Vorschläge sitzen, und auf einem Pixel-Handy laufen gleich Deutsch und Englisch auf einer Leertaste. Den Preis nennt Google in der eigenen Hilfe selbst: Suchanfragen aus der Tastatur gehen an Google, ebenso Nutzungsstatistiken, und beim Diktat wandert die Stimme zur Transkription auf Googles Server. Passend dazu steht im Manifest der App, dass sie ins Internet möchte.

Dazu kommen die Wortvorschläge. Damit sie besser werden, lernt Gboard direkt auf euren Handys. Eure Texte sollen dabei das Gerät nicht verlassen, an Google gehen nur die Lernergebnisse, mit Zufallswerten vermischt, damit sich niemand Einzelnes herauslesen lässt. Das klingt sauber. Trotzdem rechnet euer Handy für Google mit, und ob das hält, was Google verspricht, könnt ihr nicht prüfen: Der Quelltext von Gboard ist nicht frei.

Auch bei Gboard gab es Sicherheitslücken. Über CVE-2022-20125 ließ sich der Schutz vor dem Zurücksetzen des Geräts (Factory Reset Protection) umgehen, betroffen waren Android 10 bis 12L, behoben wurde die Lücke im Juni 2022. Ein Angreifer brauchte dafür allerdings das Gerät in der Hand. Einen Datenabfluss bei Gboard selbst habe ich nicht gefunden.

SwiftKey gehört Microsoft

Microsoft hat SwiftKey im Februar 2016 gekauft. Der Preis blieb offiziell geheim, die Financial Times nannte rund 250 Millionen US-Dollar. Schon im Juli desselben Jahres zeigte die Cloud-Synchronisation bei einigen Nutzern fremde E-Mail-Adressen und Telefonnummern als Wortvorschläge an. SwiftKey schaltete den Sync ab und nahm die E-Mail-Vorschläge heraus. Aus einem Bug wurde so eine Datenpanne.

Älter ist die Lücke in der Samsung-Tastatur, die SwiftKey-Technik nutzte. Sie lud Sprachpakete unverschlüsselt und ungeprüft nach, was laut dem Sicherheitsunternehmen NowSecure Codeausführung aus der Ferne erlaubte. Geschätzt waren rund 600 Millionen Geräte betroffen, die eigenständigen SwiftKey-Apps allerdings nicht. Samsung kannte das Problem nach Angaben von NowSecure seit November 2014.

Dazu kommt die Entwicklung der letzten Jahre. Auf Android hat Copilot den Bing-Button ersetzt, und seit dem 31. Mai 2026 braucht ihr für Backup und Sync ein Microsoft-Konto, die Daten liegen dann in OneDrive. Konten, die ihr über Google oder Apple angelegt hattet, wurden gelöscht (heise). Ihr tippt also weiter auf einer Tastatur, die immer enger mit dem Microsoft-Konto verwächst.

Die freien Alternativen im Test

Frei heißt hier: Der Quelltext ist offen, und am besten fragt die App gar nicht erst nach Internet. Letzteres lässt sich ohne Vertrauen in die Projektseite prüfen: Die Berechtigungen stehen in der Installationsdatei (APK) und lassen sich mit einem Werkzeug von Google auslesen. Version und Stand stehen bei jeder Tastatur dabei.

Getestet wird im Android-Emulator (Pixel-10-Profil, Android 17, deutsche Systemsprache), LeanType und FUTO laufen auf einem echten Pixel 10. Jede Tastatur bekommt das deutsche Layout und tippt ein anderes Suchwort. Das zeigt Layout, Vorschläge und Aufbau. Wischen und Diktat sind nicht getestet.

HeliBoard

HeliBoard ist der Platzhirsch unter den freien Tastaturen. Es stammt von der Android-eigenen Tastatur ab, über den Umweg OpenBoard. Aktuell ist Version 4.2 vom 12. Oktober unter GPL-3.0. F-Droid baut sie reproduzierbar und prüft damit, ob die Installationsdatei wirklich aus dem veröffentlichten Quelltext stammt. Das Projekt ist inzwischen zu HeliBorg umgezogen. Eine Internet-Berechtigung gibt es nicht, angefordert werden nur Benutzerwörterbuch, Kontakte, Vibration und Autostart.

Im Test ist HeliBoard am schnellsten einsatzbereit: Das deutsche Layout kommt von allein, und beim Tippen von „datenschutz“ bietet die Vorschlagsleiste gleich drei Varianten an. Die Schwächen: Weitere Wörterbücher ladet ihr nach, und Wischen geht nur mit einer proprietären Bibliothek, die ihr selbst besorgen müsst. Seit Juni 2025 fördert NLnet einen freien Ersatz. Dazu kommt: Fast alle Änderungen stammen von einem Entwickler. Fällt er aus, steht das Projekt.

FlorisBoard

FlorisBoard hat eine eigene Code-Basis in Kotlin, steht unter Apache-2.0 und mit knapp 8.800 Sternen bei der größten Fangemeinde. Der Haken: Die stabile Version 0.5.2 stammt vom November 2025, die Vorabversion 0.6.0 vom Januar 2026. Wortvorschläge und Rechtschreibprüfung fehlen noch, beides ist für 0.6 geplant. Im Test zeigt sich das: Beim Tippen von „kernel“ bleibt die Vorschlagsleiste aus.

Das deutsche Layout muss man in den Einstellungen erst als Eingabestil anlegen. Dafür gibt es Zwischenablage, Emoji, Themes und ein eigenes Gleittippen, ganz ohne fremde Bibliothek, das die Roadmap ab 0.7 neu bauen will. Berechtigungen fordert die App nur drei an, Internet gehört nicht dazu. Auch hier stammt der Löwenanteil der Commits von einer Person.

AnySoftKeyboard

AnySoftKeyboard ist der Veteran: Die Code-Basis stammt von 2012, die Lizenz ist Apache-2.0, aktuell ist 1.13, auch im Play Store. Es kennt Gleittippen, Spracheingabe, einen Inkognito-Modus und Themes als Add-ons. Deutsch bringt die App nicht mit. Ihr installiert dafür ein eigenes Sprachpaket und schaltet das Layout in der App ein, es taucht erst nach einem Neustart der App in der Liste auf.

Danach läuft es: Bei „firefox“ schlägt die Vorschlagsleiste die Schreibweise „Firefox“ vor. Eine Internet-Berechtigung fehlt auch hier, dafür fragt die App nach Kontakten. Der Aufwand bei der Einrichtung ist höher als bei HeliBoard, und die Pflege hängt ebenfalls an einem Entwickler. Wer eine Tastatur mit Add-on-System mag, dem bleibt AnySoftKeyboard eine Option.

Simple Keyboard

Simple Keyboard von rkkr tut, was der Name sagt. Das README schließt Emoji, GIFs, Rechtschreibprüfung und Wischen ausdrücklich aus, die einzige Berechtigung ist Vibration. Aktuell ist Version 6.8 vom 22. Oktober unter Apache-2.0, ebenfalls auf Basis der Android-eigenen Tastatur. Im Test kommt das deutsche Layout von allein, eine Vorschlagsleiste gibt es nicht, und genau das ist der Punkt. Aufpassen müsst ihr beim Namen.

Auch die Simple Mobile Tools hatten eine Tastatur namens Simple Keyboard, soweit ich das nachvollziehen kann. Deren Entwickler haben Ende 2023 an ZipoApps verkauft, eine Firma, die gekaufte Apps mit Werbung zu Geld macht. Der Fork Fossify Keyboard führt sie ohne Internet-Berechtigung weiter. Gemeint ist hier die Tastatur von rkkr. In den letzten 90 Tagen hat sie allerdings nur acht Commits bekommen, ein Projekt im Dauerleerlauf.

WM Keyboard

WM Keyboard ist der Favorit im Reddit-Thread, und es ist das Gegenteil von Simple Keyboard. Der Entwickler hat das Repository im August 2026 angelegt und seitdem 3.381 Commits in 90 Tagen geschrieben, das README gibt offen zu, dass er KI-unterstützt entwickelt. Dafür bringt die Tastatur Wischen, Offline-Diktat über mehrere Engines, Emoji 18, Theme-Editor, 89 Werkzeuge und Lua-Plugins mit. Die Lizenz ist MIT, der Quelltext offen.

Das APK verrät mehr: Die normale Fassung von GitHub fordert 44 Berechtigungen an, darunter Internet, Standort, Kalender, Kontakte, Kamera, Mikrofon, Vollzugriff auf alle Dateien, Einblendung über anderen Apps und das Installieren von Paketen. Angefordert heißt nicht gewährt, und manches dürfte zu den Anbindungen an Aufgaben- und Lernkarten-Apps gehören. Für eine Tastatur ist das trotzdem ein dickes Paket.

Es gibt einen Offline-Build ohne Internet-Berechtigung, seine übrigen Rechte sind nicht geprüft. Der Einrichtungsassistent bietet Deutsch (QWERTZ) gleich an. Beim Tippen von „gnome“ erscheinen „Gnomen“, „GNOME“ und „Gnom“, über der Tastatur sitzen eine Zahlenreihe und eine Werkzeugleiste. Mehr Funktionen als bei jeder anderen Tastatur im Test – aber auch mehr, was jemand prüfen müsste.

Bucky Keys

Bucky will der Nachfolger von Hacker’s Keyboard sein: ein komplettes PC-Layout mit Esc, Tab, Strg, Alt, Pos1, Ende, Pfeiltasten und F-Reihe, gedacht für Termux, SSH und Programmieren. Die Lizenz ist Apache-2.0, laut README fehlt die Internet-Berechtigung, und im APK steht tatsächlich keine einzige echte Berechtigung. Der Haken: Es ist eine Alpha (0.1.0-alpha12 vom 3. November) mit 20 Sternen, von einer Person, seit Oktober.

In einem normalen Suchfeld zeigt Bucky ein kompaktes Layout, im Testfeld der eigenen App das volle PC-Layout. Für Deutsch taugt es nicht: Zur Auswahl stehen nur Englisch (US), Griechisch, Estnisch und Finnisch. Fürs Terminal reichen die Tasten, für einen deutschen Text ist Bucky nichts. Das PC-Layout selbst ist vollständig, und für Termux gibt es in den Einstellungen eine eigene Tastenreihe.

LeanType

LeanType ist ein Fork von HeliBoard, GPL-3.0 und mit rund 1.150 Sternen. Es kommt mit sehr viel mehr Funktionen: Cloud-KI-Anbindung (Gemini, Groq, OpenAI), GIF-Suche, Offline-Diktat per Whisper-Plugin, Screenshot-Vorschläge und ein eigener Update-Prüfer. Die Variante standard hat dafür die Internet-Berechtigung, auch die Fassung, die F-Droid ausliefert. Die Variante offline hat sie nicht, fragt aber trotzdem nach Kamera und Mikrofon.

Das Willkommensfenster verspricht „100% privat & sicher“, ohne Telemetrie und Netzwerk-Tracking. Der Entwickler ist seit November 2025 auf GitHub aktiv und hat 1.933 Commits geschrieben, 1.257 davon in den letzten 90 Tagen, dazu kommen mehrere Betas pro Woche. Unter den letzten 200 Commits weisen zwei eine KI-Mitarbeit aus. Positiv: F-Droid baut die Tastatur reproduzierbar gegen die Signatur des Entwicklers.

Auf dem Pixel 10 erscheint LeanType sofort, mit deutschem Layout. Die Vorschlagsleiste bleibt leer: Die Variante offline bringt kein Wörterbuch mit, die Symbolleiste verweist für „Deutsch“ auf einen Download von Codeberg.

Dazu die Einstellungen: Beim Öffnen erscheint ein Spendenhinweis, und die Gestenbibliothek steht auf „Nicht installiert“, sie muss also nachgeladen werden. Wer HeliBoard mag, aber mehr Schalter und Funktionen braucht, findet hier die Erweiterung. Wer möglichst wenig Angriffsfläche möchte, bleibt bei HeliBoard.

FUTO Keyboard

FUTO Keyboard läuft auf dem Pixel 10 sofort mit deutschem Layout. Im APK steht keine Internet-Berechtigung, dafür das Mikrofon für das eingebaute Offline-Diktat mit Whisper. Beim Tippen von „tuxedo“ schlägt die Leiste allerdings „zu del“, „zu Edo“ und „zu edi“ vor: Mit Eigennamen tut sich die Vorhersage schwer. Wichtiger ist die Lizenz. Die FUTO Source First License verbietet kommerzielle Änderungen und ist keine Open-Source-Lizenz im Sinne der OSI.

Der Quelltext liegt offen, entwickelt wird intern auf GitLab, GitHub ist ein Spiegel, und wer mitmachen will, muss FUTO per Vertrag Rechte an seinem Code einräumen. Deshalb ist FUTO auch nicht im offiziellen F-Droid, sondern in einer eigenen Paketquelle. Das Wischen erkennt ein KI-Modell auf dem Gerät, die Bibliothek steht unter GPL, die Modelle unter einer eigenen Lizenz. Als „FOSS“ würde ich FUTO nicht durchgehen lassen, als „Source available“ schon.

Die Eckdaten im Überblick

Welche Tastatur nehme ich?

Für den Alltag auf einem normalen Handy würde ich nach diesem Test zu HeliBoard greifen: kein Internet, reproduzierbare Builds, Vorschläge, deutsche Layouts, aktive Pflege. Wer Wischen will, muss mit der nachzuladenden Bibliothek leben, FlorisBoard wischt ohne, tippt aber noch ohne Vorschläge. Wer nur tippen will, ist bei Simple Keyboard gut aufgehoben. Für Termux ist Bucky einen Blick wert, sobald es Deutsch und eine stabile Version gibt.

WM Keyboard und LeanType reizen mit ihrem Funktionsumfang. Ob sie euer Vertrauen verdienen, entscheidet ihr selbst: Eine Tastatur sieht alles, und ein Ein-Personen-Projekt mit Dutzenden Commits pro Woche lässt sich schwer prüfen. Internet-Berechtigung und 44 angeforderte Rechte sind bei WM Keyboard keine Kleinigkeit. Mir wäre das für die Tastatur zu viel Vorschuss.

Welche Tastatur tippt bei euch, und worauf achtet ihr bei der Wahl? Schreibt es gern in die Kommentare.

☕ Linux und Ich unterstützen
Danke, dass du Linux und Ich liest. Wenn dir das Blog gefällt und du meine Arbeit unterstützen möchtest, findest du weitere Informationen auf der Blogspende-Seite.