{"id":1069,"date":"2014-03-28T09:52:16","date_gmt":"2014-03-28T08:52:16","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=1069"},"modified":"2023-11-09T15:24:55","modified_gmt":"2023-11-09T14:24:55","slug":"threema-hoch-gelobt-aber-was-ist-dran","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/threema-hoch-gelobt-aber-was-ist-dran\/","title":{"rendered":"Threema: Hoch gelobt \u2013 aber, was ist dran?"},"content":{"rendered":"

Im zweiten Teil unseres Messenger-Tests<\/strong> besch\u00e4ftigen wir uns ausf\u00fchrlich mit Threema<\/strong>. Nachdem Facebook WhatsApp kaufte, gewann Threema aufgrund des Versendens verschl\u00fcsselter Nachrichten an Bekanntheit. Aber existieren auch bei diesem Messenger sicherheitsrelevante M\u00e4ngel? Wir haben genau hingeschaut:<\/p>\n

<\/p>\n

Threema: Nicht f\u00fcr alle eine Alternative<\/h2>\n

\"Messenger-Test_2\"<\/a>Bevor wir richtig in den Test eintauchen, sei gesagt, dass Threema leider nicht f\u00fcr alle eine Alternative sein kann: Die App gibt es nur f\u00fcr iOS und Android<\/strong>. W\u00e4hrend WhatsApp nur auf Smartphones verwendet werden kann, funktioniert Threema auch auf Tablets<\/strong>, allerdings k\u00f6nnen Sie nicht gleichzeitig beide Ger\u00e4te mit dem Server verbinden. Ihre Nachrichten werden ausschlie\u00dflich am zuletzt verwendeten Ger\u00e4t angezeigt. Um Ihre ID auf ein anderes Ger\u00e4t zu \u00fcbertragen, erstellen Sie ein Backup. Sie erhalten einen Backup-QR-Code, den Sie nun mit Ihrem zweiten Ger\u00e4t scannen und das Backup wird nach Eingabe Ihres Passworts eingespielt.<\/p>\n

Bei der Erstinstallation von Threema<\/strong> werden Sie sofort merken, dass die Vereinbarkeit von Sicherheit und Komfort einer Gratwanderung gleicht: Nachdem Sie Threema aus Ihrem App-Store oder direkt von der Website heruntergeladen<\/a> (nur f\u00fcr Android) und installiert haben, starten Sie die Anwendung. Nun muss ein individuelles Schl\u00fcsselpaar<\/strong> erstellt werden \u2013 ein privater und ein \u00f6ffentlicher Schl\u00fcssel, damit die Ende-zu-Ende-Verschl\u00fcsselung<\/strong> funktioniert. Das Generieren Ihres Schl\u00fcsselpaars funktioniert denkbar einfach<\/strong>: Durch Fingerbewegungen erstellt der Messenger Ihre individuellen Codes aus zuf\u00e4lligen Buchstaben und Zahlen. Im Anschluss erhalten Sie Ihre eigene ID, die Ihre Echtheit best\u00e4tigen soll.<\/p>\n

Sie haben drei M\u00f6glichkeiten, mit anderen Threema-Nutzern in Kontakt zu kommen und zu kommunizieren: Threema selbst empfiehlt<\/a> als sicherste Methode<\/strong>, Ihrem Kontakt pers\u00f6nlich gegen\u00fcberzustehen und seine ID per QR-Code zu scannen. Mit Kollegen und Freunden im direkten Umfeld klappt das sicher toll, aber ist Ihr Kontakt weiter weg, kommen die anderen Methoden ins Spiel: Sie k\u00f6nnen Ihr eigenes Adressbuch synchronisieren<\/strong> lassen. Daf\u00fcr muss Ihr Kontaktpartner seine Handynummer und E-Mail-Adresse seiner ID zugeordnet haben. Einmal t\u00e4glich gleicht Threema diese Daten automatisiert ab. Die dritte und unsicherste Methode ist die manuelle Eingabe der Kontakt-ID<\/strong>. In Ihrer Kontaktliste wird Ihnen sp\u00e4ter der Sicherheitsstatus jedes Kontakts angezeigt.<\/p>\n

Wir sind noch nicht ganz fertig mit dem Einrichten: Sie selbst k\u00f6nnen, m\u00fcssen aber nicht Ihre eigene E-Mail-Adresse und Handynummer eingeben und mit Ihrer ID verkn\u00fcpfen. Dann geben Sie sich einen Nicknamen, der Ihrem Chatpartner bei Push-Benachrichtigungen angezeigt wird<\/strong>. Wollen Sie den Zugriff auf Threema absichern, k\u00f6nnen Sie in den Einstellungen zus\u00e4tzlich eine Passphrase eingeben<\/strong>, die optional nach jedem Start oder in einem vorher festgelegten Zeitintervall abgefragt wird. Sie k\u00f6nnen ein H\u00e4kchen bei der Option setzen, dass alle Daten in der App nach zehn erfolglosen Eingabeversuchen gel\u00f6scht werden.<\/p>\n

Usability & Kosten: Threema braucht sich nicht zu verstecken<\/h3>\n

\"Messenger-Test_3\"<\/a>Dass Threema f\u00fcr mehr Sicherheit entwickelt wurde, sp\u00fcren Sie garantiert beim Einrichten der App, aber nicht mehr in ihrer Anwendung. Der Messenger erinnert in seiner Bedienung sehr an WhatsApp<\/strong>, sodass Ihnen der Umstieg bestimmt genauso leicht f\u00e4llt wie der grunds\u00e4tzliche Einstieg in die Messengerwelt. Per Fingertipp \u00fcbertragen Sie auch bei Threema Fotos und Videos<\/strong> oder setzen in Windeseile Textnachrichten mit oder ohne Smileys<\/strong> ab. Wenn Sie von WhatsApp umsteigen, k\u00f6nnte es sein, dass Ihnen die k\u00fcrzlich eingef\u00fchrte „Push-to-Talk“-Funktion fehlt<\/strong>, dar\u00fcber verf\u00fcgt Threema nicht. Aber der Messenger erlaubt ebenfalls Gruppenchats und Sie erfahren bei Threema auch, ob Ihr Chatpartner Ihre Nachricht bereits gelesen hat \u2013 ein Feature, das wiederum bei WhatsApp fehlt.<\/p>\n

F\u00fcr 1,79 \u20ac (iOS) beziehungsweise 1,60 \u20ac (Android)<\/strong> laden Sie die App herunter. Die Geb\u00fchren fallen einmalig an, sodass Threema sp\u00e4tenstens dann, wenn WhatsApp seine j\u00e4hrliche Nutzungsgeb\u00fchr von 99 Cent eintreibt, sogar g\u00fcnstiger ist. Der Versand von Fotos funktioniert nur einzeln<\/strong> (bei WhatsApp bis zu 10 Fotos), das hat aber seinen guten Grund: Die Qualit\u00e4t der Bilder bleibt besser erhalten, da sie nicht so heruntergerechnet werden wie bei WhatsApp. Leider fehlt es an Zahlenmaterial f\u00fcr die maximale Gr\u00f6\u00dfe des Dateiversands. Sind Ihnen diesbez\u00fcglich Informationen bekannt, freuen wir uns \u00fcber Ihren Kommentar! Wir haben den Support von Threema angeschrieben und um Zahlen gebeten \u2013 Threema schreibt, dass die vielen Anfragen zu Verz\u00f6gerungen f\u00fchren k\u00f6nnen. Wir erg\u00e4nzen die maximale Gr\u00f6\u00dfe, sobald uns der Support geantwortet hat.<\/p>\n

Bei Threema entscheiden Anwender \u00fcber Datenschutz mit<\/h3>\n

Bei WhatsApp ergibt sich eine Sicherheitsproblematik aus dem Auslesen des Adressbuchs. Threema \u00fcberl\u00e4sst diese Entscheidung Ihnen, dem Anwender: Grunds\u00e4tzlich l\u00e4sst sich der Messenger auch ohne Zugriff aufs Adressbuch<\/strong> verwenden. Schalten Sie die Synchronisation aus, liest die App keine Adressbuchdaten. Ihre Threema-Kontakte m\u00fcssen Sie dann manuell \u2013 via ID-Eingabe oder QR-Code-Scan \u2013 eingeben. Entscheiden Sie sich f\u00fcr die Synchronisation, werden die E-Mail-Adressen und Telefonnummern aus Ihrem Adressbuch gehasht<\/strong>, also einwegverschl\u00fcsselt. Mittels zus\u00e4tzlicher SSL-Sicherung werden die Daten an die Schweizer Server<\/strong> \u00fcbertragen. Diese l\u00f6schen die Hashes aus ihrem Arbeitsspeicher, sobald die Liste der \u00fcbereinstimmenden IDs ermittelt wurde. Threema selbst versichert, dass weder Hashes noch Abgleich-Ergebnisse auf Datentr\u00e4ger geschrieben<\/strong> werden. Theoretisch k\u00f6nnen Hashes aufgrund der recht geringen m\u00f6glichen Zahlenkombinationen der Telefonnummern mittels Brute-Force-Attacken entschl\u00fcsselt werden. Threema erkl\u00e4rt dazu auf seiner FAQ-Seite<\/a>: „Dies ist prinzipbedingt und kann nicht anders gel\u00f6st werden (die Verwendung von Salts wie beim Hashing von Passw\u00f6rtern funktioniert f\u00fcr so einen Datenabgleich nicht). Wir behandeln daher die Telefonnummern-Hashes mit der selben Vorsicht, als wenn es rohe\/ungehashte Telefonnummern w\u00e4ren.“<\/p>\n

\"Messenger-Test_4\"<\/a>Hinter der App steckt die Threema GmbH mit Sitz in Einsiedeln, Schweiz<\/strong>. Die Schweiz geh\u00f6rt nicht zur EU, und w\u00e4hrend sich WhatsApp in seinen AGB vorbeh\u00e4lt, Ausk\u00fcnfte \u00fcber User weiterzugeben, ohne den Nutzer zu informieren, ist im Falle Threema eine \u00dcberwachungs-\/ Auskunftsanordnung seitens eines Schweizer Gerichts notwendig. Entwickelt wurde Threema von Manuel Kasper, der in einem Interview Mitte 2013<\/a> von rund 50.000 Nutzern sprach; mit dem WhatsApp-Kauf durch Facebook d\u00fcrften die Userzahlen noch mal angekurbelt worden sein. In demselben Interview spricht Kasper auch davon, wie sich die App finanziert: Derzeit geschehe das ausschlie\u00dflich durch die Appverk\u00e4ufe<\/strong> selbst, Kasper k\u00f6nne sich aber auch ein Abomodell in Anlehnung an WhatsApp vorstellen. Bestandskunden seien davon ausgeschlossen, da diese bereits bezahlt h\u00e4tten, so Kasper. Die Kasper Systems GmbH aus Z\u00fcrich<\/a> ist das eigentliche Steckenpferd des knapp 30-j\u00e4hrigen Informatikers, der die Server f\u00fcr Threema selbst hostet<\/strong>.<\/p>\n

Ende-zu-Ende-Verschl\u00fcsselung: Was Threema kann, fehlt bei WhatsApp<\/h3>\n

Es ist kein Leichtes, Sicherheit und Benutzerfreundlichkeit zu verbinden, und w\u00e4hrend sich WhatsApp eindeutig f\u00fcr die Benutzerfreundlichkeit entschieden hat, gelingt die gesunde Mischung aus beidem bei Threema recht gut. Zum Erstellen des Schl\u00fcsselpaars w\u00e4hrend der Einrichtung der App ist Threema beispielsweise offline. Der private und der \u00f6ffentliche Schl\u00fcssel verlassen w\u00e4hrend der Einrichtung das Smartphone nicht<\/strong> \u2013 alles geschieht lokal. W\u00e4hrend der \u00f6ffentliche Schl\u00fcssel verbreitet<\/strong> werden muss, damit verschl\u00fcsselte Botschaften versendet werden k\u00f6nnen, verbleibt der private auf dem genutzten Device. Aus beiden Schl\u00fcsselpaaren, also dem \u00f6ffentlichen Key des Empf\u00e4ngers und dem privaten vom Sender, errechnet die App einen dritten Schl\u00fcssel, der die Nachricht selbst verschl\u00fcsselt<\/strong>. Der Nachrichtenempf\u00e4nger dekodiert eine Nachricht mit seinem Private Key. Auf den Threema-Servern werden Nachrichten nicht dechiffriert<\/strong>, sodass sie auch nicht an irgendwelche Beh\u00f6rden rausgegeben werden k\u00f6nnen. Wenn also ein Schweizer Gericht nach Schweizer Gesetz Ausk\u00fcnfte anordnet, k\u00f6nnen diese Ausk\u00fcnfte nicht aus versendeten Nachrichten bestehen. Und auch sonst s\u00e4he die Auskunft ziemlich mager aus: Werden Nachrichten vom Empf\u00e4nger abgerufen, werden sie vom Server gel\u00f6scht<\/strong>. IP-Adressen oder Verkehrsdaten (wer hat wann wem welche Nachricht geschickt) werden ebenso wenig gespeichert. Entscheidet sich der Nutzer gegen das Verkn\u00fcpfen der E-Mail-Adresse und Handynummer mit seiner ID, liegen auch diese Daten nicht auf den Servern.<\/p>\n

Geht bei dem asymmetrischen Verschl\u00fcsselungsverfahren etwas schief, war es das mit der sicheren Kommunikation \u2013 CryptoCat musste diese Erfahrung bereits machen<\/a>. Genau deshalb hat sich Kasper f\u00fcr eine fertige L\u00f6sung entschieden und setzt auf die vom Kryptografie-Guru Daniel J. Bernstein<\/a> entwickelte NaCl Cryptography Library<\/a><\/strong>. Der Quellcode dieser Bibliothek liegt offen<\/strong> und sie wird von Sicherheitsexperten als sicher eingestuft.<\/p>\n

Aber apropos Quellcode: Hier liegt ein Schwachpunkt von Threema<\/strong>. Kasper legt den Quellcode der App n\u00e4mlich bis heute nicht offen<\/strong>. Es ist zwar nicht anzunehmen, dass Threema eine Hintert\u00fcr hat, aber \u00fcberpr\u00fcft werden kann das aufgrund des geschlossenen Quellcodes nicht. Threema wirbt damit, eine Validation vornehmen zu lassen<\/strong> \u2013 damit lie\u00dfe sich die richtige Umsetzung der Verschl\u00fcsselung pr\u00fcfen. Eine englischsprachige Anleitung stellt Threema auf seiner Website bereit<\/a>. Zeit f\u00fcr ein zweites Aber: Golem hat sich die Validation genauer angesehen<\/a> und musste feststellen, dass sie wenig aussagekr\u00e4ftig<\/strong> ist.<\/p>\n

Keine Garantie auf Sicherheit<\/h3>\n

\"Messenger-Test_5\"<\/a>Threema verzichtet auf XMPP<\/strong> und kann nicht Brief und Siegel darauf geben, dass NSA & Co. nicht doch mitlesen k\u00f6nnen. Das allerdings hat wenig mit der App selbst zu tun als eher mit der M\u00f6glichkeit, Hintert\u00fcren im Betriebssystem auszunutzen<\/strong> und vielleicht Bildschirminhalte mitzuschneiden. Dieses Risiko besteht allerdings bei jeder App und soll deshalb nicht Threema allein zugeschrieben werden. So gesehen ist es am sichersten, auf Smartphone und Tablet generell zu verzichten \u2013 und auf den Desktop-Rechner idealerweise auch. Da das keine Option ist, z\u00e4hlt das Prinzip der gr\u00f6\u00dftm\u00f6glichen Sicherheit. Und g\u00e4be es nur die Wahl zwischen WhatsApp und Threema, l\u00e4ge die gr\u00f6\u00dftm\u00f6gliche Sicherheit eindeutig bei Threema<\/strong>.<\/p>\n

Es gab hier und da bereits Vorw\u00fcrfe bez\u00fcglich etwaigen Schwachstellen in Threema<\/strong>. Diese bezogen sich allerdings ausschlie\u00dflich auf Situationen, in denen Dritte Zugang zu dem Device<\/strong> hatten. Um sich vor neugierigen Blicken zu sch\u00fctzen, k\u00f6nnen unter Android Passphrasen, unter iOS eine PIN<\/strong> eingerichtet werden. Auch hier bietet Threema also gr\u00f6\u00dftm\u00f6gliche Sicherheit. Bez\u00fcglich der Zuverl\u00e4ssigkeit gibt es nichts zu meckern<\/strong>: Threema ackert, wenn der User die App braucht; Ausf\u00e4lle sind bislang nicht bekannt. Die AGB beziehungsweise Datenschutzrichtlinien von Threema sind nachvollziehbar und transparent<\/strong> auf der Threema-Website zu finden<\/a>.<\/p>\n

Verglichen mit der „Mutter aller Messenger“, WhatsApp, macht Threema eine gute Figur<\/strong>: Usability ist gegeben, Sicherheit ebenfalls \u2013 nur hapert es daran, dass der Quellcode nicht offenliegt und die Aussagekraft der Validation als fragw\u00fcrdig eingestuft werden kann. Als plattform\u00fcbergreifende App<\/strong> ist es schade, dass Threema auf nur zwei Plattformen<\/strong> arbeitet. Um richtig User zu ziehen, w\u00e4re es sch\u00f6n, Threema auch auf anderen Systemen finden zu k\u00f6nnen. Threema-Entwickler Kasper plant keine weiteren Plattformen, lediglich eine Webversion kann er sich vorstellen, plant aber noch nicht konkret.<\/p>\n

Threema: Hier die\u00a0Zusammenfassung<\/h2>\n