Threema – Sichere WhatsApp Alternative?

Messenger sind praktisch und daher sehr populär. Am meisten wird der Facebook gehörende WhatsApp Service genutzt. Dass WhatsApp aus Datenschutzsicht bedenklich ist, dürfte sich herumgesprochen haben. Vielen Nutzern scheint aber nicht bewusst zu sein, was das genau bedeutet. WhatsApp verspricht zwar eine End-to-End Verschlüsselung der Kommunikation zwischen den Teilnehmern.

Tatsache ist jedoch, dass WhatsApp Zugriff auf das Adressbuch des Nutzers benötigt und sich dann der Telefonnummern sämtlicher Einträge bemächtigt. Diese werden an die zentralen Server weitergeleitet. Somit kennt Facebook auch Telefonnummern von Personen, die den Service gar nicht nutzen. Zudem kann aus diesen Informationen ein Beziehungsnetz bestimmt werden in dem nebst den Nutzern von WhatsA pp auch sehr viele andere Personen (bzw. deren Telefonnummern) enthalten sind. Verknüpft mit den Nutzungsdaten von Facebook ergibt dies einen riesigen Datenschatz.

Mit Threema steht eine Alternative zu WhatsApp zur Verfügung, welche verspricht, den Datenschutz vollumfänglich zu respektieren. In diesem Beitrag soll nun dargelegt werden, ob dem auch wirklich so ist.

Anonymität

Threema verspricht, völlig anonym verwendet werden zu können. Tatsächlich kann ein Threema Konto ohne Angabe jeglicher persönlichen Informationen erstellt werden. Dem Benutzer wird immer eine zufällige ID (8 Buchstaben) zugeteilt. Der Nutzer kann dann auf freiwilliger Basis seine Telefonnummer oder Email Adresse mit dieser ID verbinden. In diesem Fall wird ein Hash dieser Information auf dem Directory Server von Threema abgelegt. Mit Hilfe dieses Hashes können andere Benutzer herausfinden, ob Personen aus ihrem Adressbuch ebenfalls Threema nutzen. Für die Betreiber von Threema sind diese Informationen jedoch nicht verwertbar.

Im Gegensatz zu WhatsApp, wo zwingend die Telefonnummer hinterlegt werden muss, kann Threema tatsächlich völlig anonym verwendet werden.

Verschlüsselte Kommunikation

Threema verwendet ein sogenanntes asynchrones Schlüsselpaar zur Verschlüsselung der Kommunikation. Dabei wird ein zusammengehörendes Paar aus einem öffentlichen und einem privaten Schlüssel erzeugt. Diese Schlüssel basierend auf sehr grossen Zufallszahlen und sind einmalig. Das spezielle an dieser Art von Verschlüsselung ist, dass man etwas mit dem einen Schlüssel (z.B. dem öffentlichen) verschlüsseln kann und dann zur Entschlüsselung den jeweils anderen Schlüssel des Paares benötigt. Die Entschlüsselung mit dem gleichen Schlüssel ist nicht möglich.

Der private Schlüssel wird sicher in der Threema App auf dem Smartphone gespeichert. Der öffentliche Schlüssel wird nun zusammen mit der oben erwähnten Threema ID auf dem Verzeichnisdienst von Threema abgelegt. Somit kann sich ein anderer Threema Benutzer den öffentlichen Schlüssel eines anderen Benutzers holen, sofern er dessen Threema ID kennt. Die zu übermittelnde Nachricht wird nun mit diesem öffentlichen Schlüssel verschlüsselt. Entschlüsseln kann die Nachricht nur, wer den zugehörigen privaten Schlüssel besitzt.

Werden Medienfiles mitgeschickt, so werden diese mit einem zufälligen Schlüssel symetrisch verschlüsselt auf den Medienserver von Threema geladen. In der Meldung wird dann eine Referenz darauf sowie der Schlüssel übermittelt.

Bei Gruppenchats sendet Threema die einzelnen Mitteilungen jeweils einzeln und individuell verschlüsselt an jedes Mitglied. Dadurch ist eine echte End-to-End Verschlüsselung gegeben und weder den Betreibern von Threema noch Dritten ist ein Mitlesen möglich.

Nutzung

WhatsApp ist zwingend an die Mobilenummer gebunden. Dadurch ist es relativ einfach für die App herauszufinden, welche der Kontakte im persönlichen Adressbuch ebenfalls WhatsApp nutzen. Bei Threema kann die Adressbuchsynchronisation explizit angestossen werden. Dabei wird für sämtliche Einträge im Adressbuch geprüft, ob eine der Telefonnummern oder Mailadressen im Threema Directory Service hinterlegt ist. Zentral dabei ist, dass dabei die Identifikationsmerkmale als Hashes zum Directory Service geschickt werden. Dadurch haben die Betreiber keine Einsicht in die Einträge der Adressbücher. Wird bei diesen Abfragen ein Treffer erzielt, so liefert der Directroy Service die passende Threema ID zurück. Diese wird dann von der App mit dem entsprechenden Kontakt im Adressbuch verknüpft und die App kann dann den passenden Namen anzeigen.

Fazit

Mit Threema steht ein Messanger zur Verfügung, der die Anforderungen an den Datenschutz erfüllt. Die Kommunikation erfolgt immer End-to-End verschlüsselt und es werden keine Kontaktdaten oder andere persönliche Informationen weitergegeben.

Weitere technische Betrachtungen

Directory Service

Benutzer von Threema haben die Möglichkeit, ihre Telefonnummer oder Mailadresse an die Threema ID zu binden. Diese Information wird dann im Threema Directory hinterlegt, so dass andere Threema Benutzer prüfen können, ob Personen, die sie in ihrem Adressbuch abgelegt haben, ebenfalls Threema nutzen. Aus Datenschutzgründen werden diese Informationen mit einem Einwegverfahren (Hash) verschlüsselt, so dass die eigentliche Information nicht zu Threema übermittelt wird. Der Abgleich erfolgt dann über die abgelegten Hashes. Stimmt der Hash überein, stimmt auch der Originalwert überein.

Diese Vertraulichkeit muss bei den Telefonnummern jedoch relativiert werden. Durch den relativ kleinen Werteraum von Telefonnummern (Schweiz: 9 Ziffern) könnten alle 10⁹ Varianten in kurzer Zeit durchprobiert werden. Threema weist im Cryptography Whitepaper (Seite 13 – A word about hashing phone numbers) explizit darauf hin.

Metadaten

Unter Metadaten oder auch Randdaten versteht man alle Informationen, welche nicht den eigentlichen Inhalt einer Kommunikation betreffen. Im Falle eines Messanger also z.B. die Information wer mit wem wann und wie lange kommuniziert hat.

Im Falle von WhatsApp fallen auch die Informationen aus den zu den Betreibern synchronisierten Adressbüchern der Nutzer darunter.

Insbesondere wenn eine grosse Menge dieser Metadaten vorliegt, können daraus Schlüsse gezogen werden, die wesentlich interessanter sind, als die ausgetauschten Nachrichten selbst.

Quellen

Die Informationen in diesem Artikel stammen aus verschiedenen öffentlich zugänglichen Quellen. Die wichtigsten sind unter Links aufgeführt.

Der Autor hat keinerlei Verbindung oder Beziehung zu den Betreibern von Threema.