WhatsApp ist tot: Wenn deine liebste App zur Datenkrake wird und die Alternativen

Dominik Bärlocher

3.3.2021

WhatsApp macht Schluss mit der Privatsphäre und verkauft deine Daten. Vielleicht. Oder auch nicht. Doch der Exodus hat begonnen. Die Frage ist aber nur, wohin. Die Antwort kommt aus dem Vergleich der Secure Messengers und heisst Signal.

Es musste ja so kommen. Der Gratis-Messenger WhatsApp, der seit 2014 Facebook gehört, gibt ab dem 8. Februar deine Daten an Facebook weiter, damit sie Facebook verkaufen und für all die Zwecke nutzen kann, für die Facebook deine Daten nutzen will.

Dies, obwohl Facebook einst versprochen hat, dass das nicht passiert. Und überhaupt, das sei alles nicht so gemeint, reagiert WhatsApp. Die Konversationen zwischen dir, deinen Freunden und deiner Familie sei nach wie vor verschlüsselt. Wenn du aber mit Unternehmen kommunizierst, also WhatsApp Business entweder als Fragender oder Antwortender nutzt, dann hört Facebook mit. Vielleicht. Eventuell. Der Konzern windet sich da gut im Moment. Und wer sagt, dass dies für immer so bleiben wird?

Das heisst, du brauchst einen neuen Messenger.

Nicht einfach irgendeinen Messenger. Sondern einen, der sicher ist. Dem du deine wichtigen und unwichtigen Gespräche anvertrauen kannst und der dir auch einen Desktop Client bietet, damit du auch während der Vorlesung am Macbook schnell eine Message tippen kannst. Dein neuer Messenger soll verschlüsselt sein, natürlich, deine Daten nicht weiterverkaufen und dann auch noch so bitzli cool sein.

Die Basis der Kryptographie geht in etwa so: Alice und Bob sind in einem Zimmer. Eve ist auch im Zimmer. Alice und Bob müssen miteinander reden können, ohne, dass Eve zuhören kann. Wenn Eve mithören kann, dann heisst das in der Fachsprache «Man in the Middle Attack» (MITM). Wenn WhatsApp in deinen Chats mithört, dann ist das ein in die App eingebauter MITM-Angriff. Alice und Bob könnten also einfach von Deutsch nach Englisch wechseln. Eve versteht nämlich kein Englisch. Sie kann zwar mithören, aber nicht wissen, was gesagt wird.

Mit anderen Worten: Alice und Bob verschlüsseln ihre Chats. WhatsApp tut das zwar auch, aber nur so, dass sie auf Wunsch mitlesen können. Vielleicht. Wenn sie denn Lust haben.

Die Übersicht über die drei meistdiskutierten Secure Messengers zeigt: Dein neuer Messenger heisst Signal. Ich halte diesen Artikel bewusst oberflächlich. Cypherpunks müssen das hier nicht lesen, denn sie haben WhatsApp längst den Rücken gekehrt. Hier geht es um Leute, die sich heute fragen, wo sie nach WhatsApp hinsollen.

Signal: Dein neuer Messenger, den du noch nicht kennst

Signal ist seit einigen Jahren auf dem Markt. Erfolgreich. So erfolgreich sogar, dass Gründer Matthew Rosenfeld, alias Moxie Marlinspike, anno 2018 die Signal Foundation ins Leben gerufen hat, ein Non-Profit-Unternehmen, das Open Source Solutions finden soll, die deine Privatsphäre verbessern. Rosenfeld war einst Head of Security bei Twitter und hat dann seinen Apps TextSecure und RedPhone erste Schritte in die Welt des Messengers gewagt. Im Jahre 2015 wurden die Apps zusammengelegt.

Signal war geboren.

Moxie Marlinspike will, dass private Kommunikation nicht nur sicher ist, sondern auch einfach. Dem trägt Signal dadurch Rechnung, dass die App sich recht stark wie WhatsApp anfühlt. Nicht zuletzt, da WhatsApp-Gründer Brian Acton massgeblich an Signal beteiligt ist.

Um Signal so sicher wie möglich zu machen, hat sich die Truppe um Marlinspike einiges einfallen lassen: Damit eine Kommunikation zwischen Alice und Bob zustande kommt, egal ob Eve jetzt da ist oder nicht, werden drei Schlüssel ausgetauscht. Und: Jede Message hat ihre ganz eigene Verschlüsselung. So stellt Signal sicher, dass wenn Eve eine verschlüsselte Message entschlüsseln kann, sie nicht auch alle anderen Messages lesen kann.

Da das kompliziert ist, hat sich das Team um Moxie Marlinspike die Einfachheit aufs Banner geschrieben. Im Wesentlichen: Du benutzt Signal wie jeden anderen Messenger, merkst kaum einen Unterschied, ausser dass da mehr Optionen sind, mit denen du rumspielen kannst. Kryptographie und das ganze komplizierte Zeug, das Moxie oben im Video erklärt, wird von Signal übernommen.

Privacy Check: Signal

Signal nimmt nur einen Datensatz auf, der als externer Identifikator herhält – extern in dem Sinne, dass du ja irgendwie von Freunden gefunden werden willst: Deine Telefonnummer. Wenn du die App installierst, dann musst du sie via SMS authentisieren. Genau wie WhatsApp.

Daher sieht die Privacy-Checklist Signals so aus:

• Kontaktinformationen: Werden nicht mit dir verknüpft

Signal ist gratis und für Apple iOS und Android erhältlich.

Telegram: Vom Mann, der gegen Putin verloren hat

Telegram ist eine russische App, erfunden von Tech-Entrepreneur Pavel Durov. Durov ist mit der Gründung der Social Media Platform VKontakte zu Ruhm, Geld und Anrüchigkeit gekommen. Als er sich geweigert hat, Daten seiner User an die Regierung Putin im Zuge der Ukraine-Krise zu übergeben und regierungskritische Gruppen zu löschen, ist er geschasst worden. Seither lebt Durov im Exil und hat keine Pläne, nach Russland zurückzukehren.

Telegram ist dann und wann wieder in den Medien, da die App von Terroristen genutzt wird. Neulich wurde bekannt, dass die App nahe an der 500-Millionen-User-Grenze ist und anfangen will, die App zu monetarisieren. Gruppen, die von einer Person, juristisch oder natürlich, genutzt werden, um den Gruppenmitgliedern Informationen zukommen zu lassen, könnten laut Durov kostenpflichtig werden. Auch Premium Sticker könnten kosten, schreibt Durov laut Techportal Tech Crunch.

Die App setzt unter anderem auf End-to-End Encryption (E2EE) der Messages. Das heisst, dass sowohl Alice wie auch Bob je zwei Keys haben. Einen Private Key und einen Public Key. Der Public Key kann und soll veröffentlicht werden, damit verschlüsselte Kommunikation möglich wird. Alice veröffentlicht ihren Public Key. Bob nutzt den Public Key Alices als Verschlüsselung und schickt Alice eine Message. Alices Private Key ist der Schlüssel zu mit dem Public Key verschlüsselter Kommunikation. Nur sie kann Bobs Message entschlüsseln. Wenn sie antworten will, dann wiederholt sie das Verfahren mit Bobs Public Key.

Das Problem mit Telegrams Implementation der End-to-End Encryption: Sie ist standardmässig ausgeschaltet. Was nutzt also ein vernünftiger Mechanismus, wenn er nicht eingeschaltet ist und User drei Klicks machen müssen, von denen sie nichts wissen, damit er eingeschaltet wird?

Privacy Check: Telegram

Telegram ist zwar laut eigenen Angaben gut verschlüsselt, macht aber einen auf Mini-Datenkrake. Die folgenden Daten werden direkt mit dir verknüpft, können also im Zweifelsfall zu deiner Echtwelt-Identität zurückgeführt werden.

• Kontaktinformationen
• Kontakte
• Kennungen

Der Information-Security-Experte Filippo Valsorda schreibt ferner über den einen «Bug, der sehr stark nach Backdoor aussieht», in dem er über einen alten Bug in Telegram spricht, der aussieht wie ein Design-Entscheid, der das Mitlesen Dritter ermöglicht.

Telegram: Aktiviere die Verschlüsselung

Achtung: Die Verschlüsselung in der App Telegram ist standardmässig ausgeschaltet. Du kannst sie einschalten. Das ist einfach, sollte aber nicht so, dass du das noch separat aktivieren musst, sondern wennschondennschon im Opt-Out-Verfahren gehandhabt werden. Oder wie bei Signal: Gar nicht. Alles ist verschlüsselt. Immer. Basta.

• Öffne den Chat mit der Person, mit der du verschlüsselt reden willst
• Tippe auf ihr Kontaktbild oben rechts

• Tippe auf «More»

• Tippe auf «Start Secret Chat»

Telegram ist gratis und für Apple iOS und Android erhältlich.

Threema: Privatsphäre, die kostet

Threema ist eine Schweizer App aus Pfäffikon SZ. Der Konzern Bosch benutzt Threema als Kommunikationsmittel und Threema hat sich nicht nur «Made in Switzerland», sondern auch die Privatsphäre seiner Nutzer gross auf die Fahne geschrieben.

Der Volksmund sagt, dass etwas wertlos ist, solange es nichts kostet. Genau darum kostet Threema drei Franken. Wo Signal auf freiwillige Spenden setzt und Telegram bis dato gratis ist, aber durch kostenpflichtige Dienste Geld machen will, macht Threema keine halben Sachen. Die drei Stutz geben dir nicht nur eine End-to-End Encryption und Formatierung von Messages, sondern auch einen Transparency Report, in dem die Macher offenlegen, wie viele Behörden die Betreiber der App um Daten gefragt haben und wie oft Threema dem nachgekommen ist. Im Transparency Report steht:

Dass Anbieter von Messenger-Diensten wie Threema «technisch sehr wohl in der Lage wären, die Herkunft der Benutzer auszuwerten und bekannt zu geben», behauptete IT-Security-Experte Marc Ruef im Jahr 2015 in einem Artikel der «Sonntagszeitung». Im Artikel ging es um die Frage, welche Möglichkeiten die Schweizer Bundespolizei hätte, wenn Terrormilizen wie der IS über Dienste wie Threema kommunizierten. Ruef wird in dem Artikel weiterhin mit der Aussage zitiert: «Es kann durchaus sein, dass Threema diese Daten momentan gar nicht vorliegen.» Und weiter: «Bei Systemen, bei denen Anonymität versprochen wird, ist es nicht selten, dass man auf das Anlegen personenidentifizierender Daten verzichtet.»
Threema sagt dazu, dass ihr Messenger-Service nachweislich ohne Angabe personenidentifizierender Daten wie einer Handynummer genutzt werden kann. Das sei bei anderen Messengern nicht möglich. Zudem habe sich die Aussage von Ruef im Artikel ausschliesslich auf Metadaten bezogen, nicht auf Nachrichteninhalte.

Threema erreiche Sicherheit für die Nutzer über das Prinzip «Privacy by Design», bei dem keine personenbezogene Daten wie zum Beispiel eine Handynummer angegeben werden müssen. Denn Daten, die gar nicht erst erfasst werden, können auch nicht gestohlen, missbraucht oder an Dritte herausgegeben werden.

Dass Threema Nachrichten und Daten wie jeder andere Messenger auf den Servern speichert, macht das Unternehmen aus Pfäffikon auf seiner Website öffentlich. Demnach haben die Server «die Funktion einer Relaisstation». Weiter wird erklärt: «Ganz ohne die (temporäre) Speicherung von Daten geht es aber doch nicht, denn sonst könnte keine asynchrone Kommunikation stattfinden.»

Welche Daten werden also nun – wie lange oder kurz – auf den Threema-Servern gespeichert? Auch hier gibt die Firma die Antwort auf ihrer Website: Eine Nachricht werde vom Server gelöscht, sobald sie erfolgreich an den Empfänger übermittelt wurde. Es werde auch nicht geloggt, wer mit wem kommuniziere.

Die Verschlüsselung ist auch bei Threema kompliziert – das Erklärdokument alleine ist 22 A4-Seiten lang –, aber diese Komplexität wird nicht auf Nutzer abgewälzt. Nicht nur werden die Messages verschlüsselt, sondern auch die Authentifizierung, mit der Alice und Bob sich überhaupt in Kommunikation setzen.

Im [Transparency Report[(https://threema.ch/de/transparencyreport) weist das Unternehmen vor allem seit 2018 und dem Inkrafttreten des Bundesgesetz betreffend die Überwachung des Post- und Fernmeldeverkehrs (BÜPF) eine gestiegene Zahl von Anfragen von Behörden, schweizerischen wie auch ausländischen, aus. Und in fast allen Fällen werden diese Anfragen mit einer Datenlieferung beantwortet.

Was dann an Daten ausgeliefert wird, beantwortet Threema selbst:

• Hash der Handynummer, sofern durch den Nutzer verknüpft
• Hash der E-Mail-Adresse, sofern durch den Nutzer verknüpft
• Push-Token, sofern der Nutzer einen Push-Dienst verwendet
• Öffentlicher Schlüssel
• Datum (ohne Uhrzeit) der Erstellung der Threema-ID
• Datum (ohne Uhrzeit) des letzten Logins

Wie Threema im Transparenzbericht ausführt, werden ausschliesslich Anfragen der zuständigen Behörde «Dienst ÜPF» bearbeitet. Über diese Behörde laufen auch etwaige Anfragen von ausländischen Diensten.

Wenn du jetzt rummötzeln willst, von wegen «Bääh, kostet», dann bedenke, dass die drei Franken den Coder Freiraum schaffen. Aktuell sollten Firmenkunden wie Bosch das Geschäft tragen können. Was aber, wenn Bosch entscheidet, dass sie lieber Microsoft Teams verwenden wollen? Dann braucht Threema ein Kissen, um den Betrieb aufrecht zu erhalten. Das sind deine drei Franken.

Threema ist für Apple iOS und Android erhältlich und kostet einmalig pro Plattform 3 Franken.

Zum Vergleich: WhatsApp

WhatsApp muss nicht gross erklärt werden. Du kennst den Messenger aus deinem Alltag. Text, Bilder, Sprachnachrichten, grün. Aber der Privacy Check zeichnet ein erschreckendes Bild.

Das zeichnet Whatsapp über dich auf, selbst, wenn du grad andere Apps benutzt:

• Gekaufte Artikel
• Standort
• Kontakte
• Kennungen
• Diagnosedaten (Metadaten oder Klardaten? Beides ist möglich)
• Finanzinformationen
• Kontaktinformationen
• Benutzerinhalte wie Bilder und Videos
• Nutzungsdaten

So. Fertig. Ich seh euch alle auf Signal. Hoffentlich.

*Anmerkung (15.2.2021): In diesem Artikel hat meine Obrigkeit den Abschnitt über Threema zusammen mit mir überarbeitet. Als Autor bedauere ich die Missverständnisse, die durch unklare Formulierungen entstanden sind.

Dominik Bärlocher

Senior Editor

dominik.baerlocher@digitecgalaxus.ch

Journalist. Autor. Hacker. Ich bin Geschichtenerzähler und suche Grenzen, Geheimnisse und Tabus. Ich dokumentiere die Welt, schwarz auf weiss. Nicht, weil ich kann, sondern weil ich nicht anders kann.

Diese Beiträge könnten dich auch interessieren