{"id":1223,"date":"2014-05-09T10:29:01","date_gmt":"2014-05-09T08:29:01","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=1223"},"modified":"2026-01-23T10:28:34","modified_gmt":"2026-01-23T09:28:34","slug":"textsecure-die-quelloffene-verschluesselte-alternative","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/textsecure-die-quelloffene-verschluesselte-alternative\/","title":{"rendered":"TextSecure: Die quelloffene, verschl\u00fcsselte Alternative"},"content":{"rendered":"

Eigenen Beschreibungen zufolge soll TextSecure zu den sichersten Messenger-Apps \u00fcberhaupt geh\u00f6ren. Und es gleicht schon einem Ritterschlag, dass Edward Snowden TextSecure neben RedPhone als Messenger empfiehlt<\/a>. Auch dass der Entwickler und Hacker Moxie Marlinspike<\/a> unter Sicherheitsexperten einen exzellenten Ruf genie\u00dft und von US-Beh\u00f6rden regelm\u00e4\u00dfig drangsaliert wird<\/a>, gilt fast schon als Auszeichnung. Was steckt hinter der App? Gelingt diesem Messenger der Spagat zwischen Benutzerfreundlichkeit und Sicherheit? Wir haben getestet:<\/p>\n

<\/p>\n

TextSecure: Kein Anschluss unter diesem Betriebssystem<\/h2>\n

„Die App ist mit keinem Ihrer Ger\u00e4te kompatibel“, k\u00f6nnte es auch in Ihrem App-Store hei\u00dfen, wenn Sie versuchen, TextSecure herunterzuladen. Den Messenger gibt es derzeit nur unter Android<\/strong>. Und zwar ausschlie\u00dflich f\u00fcr Smartphones<\/strong>. Das soll sich aber \u00e4ndern: Die iOS- und Desktop-Versionen sind bereits in Arbeit<\/strong>. F\u00fcr den Sp\u00e4tsommer stellen die Entwickler die iOS-App in Aussicht; im Blog<\/a> kann man sich bereits per E-Mail anmelden, um dann vom Release informiert zu werden. Ob die App auch f\u00fcr Windows Phone das Licht der Welt erblicken soll, ist bislang unklar \u2013 Aussagen dar\u00fcber sind jedenfalls nicht zu finden. Damit ist der Kreis potenzieller Messengerkontakte auf Android-Smartphone-User begrenzt und Anwender, deren Kontakte vorrangig mit iOS unterwegs sind, m\u00fcssen sich in Geduld \u00fcben. Rund 100.000 Installationen verzeichnet die App derzeit.<\/p>\n

\"Messenger-Test_2\"<\/a>Nachdem Sie die App heruntergeladen haben, verl\u00e4uft die Installation bei TextSecure genauso einfach<\/strong> wie bei allen bisher getesteten Messengern. Starten Sie die App zum ersten Mal, k\u00f6nnen Sie ein lokales Sicherheitspasswort<\/strong> einrichten. Praktisch, da dieses Passwort f\u00fcr die lokale Verschl\u00fcsselung<\/strong> Ihrer Nachrichten sorgt. Geht Ihr Ger\u00e4t verloren, k\u00f6nnen Ihre Nachrichten aufgrund dieser Verschl\u00fcsselung nicht gelesen werden. Sie werden gefragt, ob die App die Datenverbindung zum Versand von Nachrichten verwenden soll \u2013 entscheiden Sie sich f\u00fcr „ja“, m\u00fcssen Sie Ihre Handynummer eingeben. Verzichten Sie darauf, k\u00f6nnen Sie TextSecure ausschlie\u00dflich f\u00fcr den SMS-Versand<\/strong> nutzen, dann aber f\u00fcr verschl\u00fcsselte und unverschl\u00fcsselte. Die Messaging-Funktion k\u00f6nnen Sie nur unter Angabe Ihrer Mobilfunknummer verwenden. Die App greift ausschlie\u00dflich nach Ihrem Einverst\u00e4ndnis auf Ihre Handynummer zu<\/strong>.<\/p>\n

Arbeitet Sie mit Android 4.4 KitKat, m\u00fcssen Sie eventuell eine Einstellung korrigieren: TextSecure stellt sich nach dem erstmaligen Start als Standard-Anwendung f\u00fcr den Nachrichtenversand<\/strong> ein, also auch f\u00fcr herk\u00f6mmliche SMS. Die Entwickler setzen ein Ende-zu-Ende-Verschl\u00fcsselungsprotokoll<\/strong> ein, was zur Folge hat, dass die Nachrichtenempf\u00e4nger ebenfalls mit TextSecure arbeiten m\u00fcssen, um die Nachrichten dann entschl\u00fcsseln zu k\u00f6nnen. SMS-Geb\u00fchren fallen nicht an<\/strong>, da die Nachrichten \u00fcber die Datenverbindung gesendet werden. Nutzt der SMS-Empf\u00e4nger TextSecure nicht, wird die SMS unverschl\u00fcsselt zu g\u00e4ngigen Geb\u00fchren versendet. Sie sehen an der Farbe der Sprechblasen und an den Symbolen (Schloss-Icon), ob Ihre Nachricht als Standard-SMS oder WhisperPush (verschl\u00fcsselter SMS) gesendet wurde.<\/p>\n

Nach dem Einrichten: TextSecure in der Praxis<\/h2>\n

W\u00e4hrend des Einrichtens wird nicht ganz klar, ob TextSecure das Adressbuch automatisiert ausliest. Lediglich die Information, dass Kontaktinformationen vor\u00fcbergehend an den Server \u00fcbertragen werden, bekommt der Anwender aufs Smartphone-Display. Der Entwickler Marlinspike \u00e4u\u00dfert sich in einem Blogbeitrag dazu<\/a>: Damit Nutzer sehen, welcher ihrer Kontakte TextSecure ebenfalls verwendet, \u00fcbertr\u00e4gt der Messenger die Telefonbuchkontakte an den Server<\/strong>, auf dem die Daten nicht dauerhaft gespeichert werden. Versuche, auf das \u00dcbertragen der Adressbuchdaten zu verzichten, erwiesen sich als unpraktikabel oder unsicher. Und doch gibt es Alternativen zum Auslesen des Adressbuchs in der App<\/strong>: \u00c4hnlich wie bei Threema k\u00f6nnen Sie den QR-Code Ihres Gegen\u00fcbers einscannen<\/strong> oder Sie haben die Ruhe, einen 68-stelligen Zahlencode, die User-ID, manuell einzugeben<\/strong>.<\/p>\n

\"Messenger-Test_3\"<\/a>Funktional l\u00e4sst sich TextSecure nicht lumpen: Neben der Option, auch verschl\u00fcsselte SMS<\/strong> zu \u00fcbertragen, k\u00f6nnen Sie Gruppenchats<\/strong> mit einer unbegrenzten Anzahl von\u00a0Teilnehmern starten, Bilder, Audios und Videos \u00fcbertragen<\/strong>. Noch ist die Emoticon-Auswahl nicht inklusive, sie wurde aber schon f\u00fcr die folgenden Updates angek\u00fcndigt. Die Farb- und Symbolgebung in der App machen die Bedienung einfach und \u00fcbersichtlich: Unverschl\u00fcsselte SMS sind gr\u00fcn unterlegt und ihnen fehlt das Schloss-Symbol, verschl\u00fcsselte Nachrichten sind blau und inklusive Schloss-Symbol. Wenn Sie verhindern wollen, dass verschl\u00fcsselt angedachte SMS unverschl\u00fcsselt versendet werden, da Ihr Kontakt TextSecure nicht nutzt, k\u00f6nnen Sie diese Fallback-Option in den Einstellungen ausschalten<\/strong>. Dann wird die SMS allerdings auch nicht zugestellt. Sinnvoll ist diese Option auch, wenn Sie keine SMS-Flatrate nutzen und in einer Situation sind, in der Sie keine Internetverbindung haben. Damit bietet TextSecure mehr Funktionalit\u00e4t als sein Konkurrent myENIGMA, aber deutlich weniger als LINE. F\u00fcr Anwender, denen es um den Austausch von Nachrichten geht, die auf Zusatzfeatures und eine gr\u00f6\u00dfere Emoticon-Auswahl verzichten k\u00f6nnen, reicht die Funktionalit\u00e4t allemal.<\/p>\n

In der Dokumentation auf github.com<\/a> ist zwar zu sehen, dass es eine maximale Versandgr\u00f6\u00dfe gibt, allerdings ist nirgends festgehalten, was das in Zahlen bedeutet. Wir haben angefragt und wenige Stunden sp\u00e4ter Antwort erhalten: Aktuell liegt das Versandlimit f\u00fcr s\u00e4mtliche Anh\u00e4nge bei 1 MB. Nicht sehr viel – und daran will TextSecure arbeiten, ohne uns schon einen Zeitplan oder eine geplante Maximalgr\u00f6\u00dfe nennen zu k\u00f6nnen.<\/p>\n

Open Source: Eine ganze Gemeinde steckt hinter TextSecure<\/h2>\n

TextSecure wurde, wie eingangs erw\u00e4hnt, vom Hacker Moxie Marlinspike erdacht. Marlinspike ist Mitbegr\u00fcnder des Unternehmens WhisperSystems<\/a>, das hinter TextSecure und RedPhone, Snowdens zweiter Empfehlung, steht. WhisperSystems wurde im Jahre 2011 von Twitter gekauft<\/strong>, allerdings wurden die beiden Produkte TextSecure und RedPhone, fern von Twitters H\u00e4nden, als Open Source-Projekte unter dem Projektnamen Open WhisperSystems<\/a> von der Gemeinde (weiter-)entwickelt<\/strong>. Die ganze Story inklusive einer Einladung auf die Mailingliste bloggte Open WhisperSystems<\/a>.<\/p>\n

Auch aus der Information, wie sich Open WhisperSystems und damit auch TextSecure finanziert, ist frei einsehbar<\/a>: TextSecure wird durch Zusch\u00fcsse aus dem Open Technology Fonds finanziert<\/strong>. Weitere Informationen zur Finanzierung und der Quellcode von TextSecure sind\u00a0auf GitHub<\/a>\u00a0einzusehen. Damit ist das Verschl\u00fcsselungsverfahren der Messenger-App frei einsehbar und vielfach gepr\u00fcft<\/strong>. Zweimal durchlief der Code auch einer \u00dcberpr\u00fcfung durch Gutachter.<\/p>\n

Sicherheit bei TextSecure: wie Threema, myENIGMA und schmoose, nur offener<\/h2>\n

\"Messenger-Test_4\"<\/a>TextSecure ist die erste Messenger-App in unserer nun acht\u00a0Wochen andauernden Testreihe, die ihren Quellcode offenlegt. Darauf verzichten Threema, myENIGMA und schmoose \u2013 die Messenger, die ebenfalls Sicherheit und Privatsph\u00e4re in den Fokus ihrer Apps r\u00fccken. Die Ende-zu-Ende-Verschl\u00fcsselung<\/strong> ist also nachvollziehbar. In ihrer 2. Version setzt die App auf die OTR-Weiterentwicklung Axolotl<\/a>, und das gibt ein immenses Sicherheitsplus! Denn: OTR findet vorrangig bei XMPP-Chatprogrammen Einsatz. OTR und das Axolotl-Protokoll verstehen Forward Secrecy<\/strong>, Axolotl geht aber noch einen Schritt weiter: Nachrichten k\u00f6nnen selbst dann mittels Forward Secrecy verschl\u00fcsselt werden, wenn der Gespr\u00e4chspartner offline ist<\/strong>. Aufs Wesentliche heruntergebrochen bedeutet das: Sie und Ihr Chatpartner verf\u00fcgen \u00fcber einen Sitzungsschl\u00fcssel, der das nachtr\u00e4gliche Entschl\u00fcsseln Ihrer Kommunikation unm\u00f6glich<\/strong> macht, da er nur f\u00fcr diese eine Session erstellt wurde und anschlie\u00dfend vernichtet wird. Das funktioniert auch dann, wenn Ihr Gespr\u00e4chspartner nicht online ist.<\/p>\n

Neben dem asynchronen Schl\u00fcsseltausch, Forward Secrecy und der Abstreitbarkeit<\/strong> (Deniability; kein Gespr\u00e4chspartner kann beweisen, dass ein anderer etwas geschrieben hat) gibt es die Verschl\u00fcsselung f\u00fcr die lokal gespeicherten Nachrichten<\/strong>. Damit k\u00f6nnen wir uns bei TextSecure tats\u00e4chlich \u00fcber viele effektive Sicherheitsparameter<\/strong> freuen. Zwar liest TextSecure die Telefonnummern aus dem Adressbuch, diese werden allerdings gehasht an die Server \u00fcbertragen<\/strong>. TextSecure steht unter der GNU GPL Version 3<\/a><\/strong>.<\/p>\n

Zuverl\u00e4ssigkeit von TextSecure<\/h2>\n

In unserem Test arbeitete TextSecure zuverl\u00e4ssig<\/strong>, allerdings berichten andere, etwa die t3n, von diversen Problemen: Die App war „nicht in der Lage, nach dem Deaktivieren der Datenverbindung eine per App begonnene Konversation als SMS fortzusetzen, obwohl die entsprechende Funktion aktiviert war“ und: „In unserem kleinen Test hatte die App leider auch kleinere Probleme mit dem Gruppenchat-Feature<\/strong>. Mindestens ein Teilnehmer bekam die Nachrichten der Gruppe erst mit massiver Versp\u00e4tung auf sein Smartphone ausgeliefert“, schreibt die Redaktion<\/a>. Sicherheitsprobleme sind bislang nicht aufgetreten.<\/p>\n

\"Messenger-Test_5\"<\/a>Kontaktinformationen werden nicht auf den Servern, die unter der AGPLv3-Lizenz<\/a> stehen, gespeichert. Auch Telefonnummern werden nicht gespeichert<\/strong>; die Kontaktnummern aus dem Telefonbuch wandern in gehashter Form an die Server<\/strong>, um einen Abgleich der bereits vorhandenen Kontakte bei TextSecure zu ermitteln und zu nutzen. Hosting-Geb\u00fchren werden aus Spenden finanziert. Gehostet werden die Server von den Entwicklern von CyanogenMod<\/a>; einem Open Source-Betriebssystem f\u00fcr Smartphones und Tablets, das auf Android basiert. Moxie Marlinspike antwortet auf die Frage<\/a> einiger User, wie die Hosting- und Client-Kosten gedeckt werden, mit der Hoffnung, dass sich weitere Sponsoren\u00a0zum Decken der Kosten finden werden.<\/p>\n

Insgesamt hinterl\u00e4sst TextSecure einen sehr guten Eindruck bei uns: Von der Installation \u00fcber die Nutzerfreundlichkeit bis hin zur Sicherheit gibt es keinen Grund, auf den Messenger zu verzichten. Einige „Abers“ bleiben dennoch: Aber die App existiert derzeit nur f\u00fcr Android-Smartphones. Deshalb das n\u00e4chste Aber: Es kann sein, dass Ihre Kontakte noch nicht zu den rund 100.000 Nutzern geh\u00f6ren. Das allerdings kann sich im Sp\u00e4tsommer \u00e4ndern. Ein weiteres Aber sind die Funktionsst\u00f6rungen, die in diversen Tests aufgefallen sind. Anwender, die Sicherheit \u00fcber eine schier unglaubliche Funktionsvielfalt stellen, sind mit TextSecure gut beraten.<\/p>\n

Zusammenfassung TextSecure<\/h2>\n