{"id":1238,"date":"2014-05-23T12:37:02","date_gmt":"2014-05-23T10:37:02","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=1238"},"modified":"2025-12-03T13:43:17","modified_gmt":"2025-12-03T12:43:17","slug":"chatsecure-sicherheit-steht-vor-komfort","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/chatsecure-sicherheit-steht-vor-komfort\/","title":{"rendered":"ChatSecure: Sicherheit steht vor Komfort"},"content":{"rendered":"

\u00d6ffnet man die Website von ChatSecure<\/a>, f\u00e4llt sofort das Logo ins Auge: Ein schwarzes Schloss. Hier geht es um Sicherheit<\/strong>. In unserem zehnten\u00a0Test unserer Messenger-Testserie m\u00f6chten\u00a0wir pr\u00fcfen, was an dem Sicherheitsversprechen der Open Source-App ChatSecure dran ist:<\/p>\n

<\/p>\n

ChatSecure bietet immense Verbreitung<\/h2>\n

iOS, Android, Windows, Mac und Linux<\/strong>: Mit ChatSecure kann jeder mit jedem kommunizieren; die App l\u00e4sst sich wirklich als plattform\u00fcbergreifend bezeichnen. Auf Smartphones und Tablets funktioniert der Messenger genauso wie auf Desktops \u2013 XMPP sei dank, denn Nutzer mit verschiedenen XMPP-Clients wie Pidgin oder Adium k\u00f6nnen verschl\u00fcsselt mit ChatSecure-Nutzern kommunizieren. Die Installation funktioniert denkbar einfach<\/strong>: Gehen Sie in Ihren App-Store, laden Sie sich die App herunter und folgen Sie den Installationshinweisen.<\/p>\n

Wir sind kurz irritiert: Unsere iOS-Tester sehen ein anderes Interface als die, die mit Android arbeiten<\/strong>. Diese Unterschiede sind bereits in den Screenshots der App-Stores (Android \/ iOS<\/a>) ersichtlich. Beide Versionen sind recht holprig \u00fcbersetzt \u2013 f\u00fcr Anwender mit sp\u00e4rlichen Englischkenntnissen d\u00fcrfte es schwer werden, die englischsprachigen Informationen zu den Einstellungen der Verschl\u00fcsselung\u00a0zu verstehen.<\/p>\n

\"Messenger-Test_2\"<\/a>Wir starten die App und werden aufgefordert, eine neue Passphrase einzugeben. Alternativ kann der User darauf auch verzichten. Hat sich der Nutzer f\u00fcr eine neue Passphrase entschieden, folgt nach der Eingabe die Best\u00e4tigung und die Konfigurierung des Accounts. Wir haben die Wahl: Google, Jabber oder Bonjour. Wir w\u00e4hlen Google und die App m\u00f6chte auf Google Mail zugreifen<\/strong>. Wir willigen ein. Anschlie\u00dfend wird uns die Option gegeben, uns \u00fcbers Tor-Netzwerk anzumelden, was die Orbot-App notwendig macht. F\u00fcr den Test verzichten wir darauf. Sch\u00f6n: Unseren Online-Status k\u00f6nnen wir als online, abwesend, unt\u00e4tig, offline und besch\u00e4ftigt anzeigen lassen<\/strong>. In den Einstellungen finden wir weitere datenschutzrelevante Optionen, etwa die automatische Anmeldung unseres Accounts, die wir leicht ausstellen k\u00f6nnen.<\/p>\n

Ein Klick in „Contacts“ erlaubt uns, neue Kontakte per E-Mail einzuladen<\/strong>. Theoretisch. Denn unsere Einladung kam nie im Posteingang oder Spam-Ordner des Nutzers an. Etwas gewohnheitsbed\u00fcrftig wirkt auch die Tatsache, dass ein Messenger, der Wert auf Privatsph\u00e4re legt, Kontaktlisten von Google Mail abgleicht<\/strong>: Wir sehen all unsere G+-Kontakte und deren Online-Status. Sowohl unter iOS als auch unter Android ist die App ansonsten aber intuitiv und leicht bedienbar.<\/p>\n

ChatSecure finanziert sich aus Spenden<\/h2>\n

In unserem Test wollten wir Anh\u00e4nge versenden<\/strong>, wurden allerdings darauf hingewiesen, dass wir erst die Verschl\u00fcsselung in den Einstellungen aktivieren sollen. Gesagt, getan \u2013 und wieder dieser Hinweis. Dasselbe beim Versuch, ein Foto und eine Audiodatei zu versenden oder ein Foto aufzunehmen. Wir haben es mit s\u00e4mtlichen Einstellungen probiert: Chat-Verschl\u00fcsselung voraussetzen, automatisch, manuell oder nie \u2013 die Aufforderung blieb gleich, der Dateiversand ist uns im Test nicht gelungen<\/strong>. Wie gro\u00df die Dateien sein d\u00fcrfen, konnten wir nicht recherchieren\u00a0und haben beim Support angefragt.<\/p>\n

\"Messenger-Test_3\"<\/a>Der kostenfreie Messenger ChatSecure setzt auf Spenden<\/strong>: Ein InApp-Link f\u00fchrt zu PayPal, Spenden werden auch online via PayPal oder in Bitcoins<\/a> angenommen. Hinter dem Messenger ChatSecure steht The Guardian Project<\/a><\/strong>; ein Entwickler von Open Source-Apps. Neben ChatSecure w\u00e4re das beispielsweise Orbot; eine App, die dank Tor-Verbindung anonymes Browsen unter Android erlaubt. Auch TextSecure steht auf der Seite des Guardian Projects, allerdings unter den Apps, die von Dritten entwickelt wurden, die aber von dem Entwicklerteam unterst\u00fctzt und weiterentwickelt werden. Wer f\u00fcr welche Entwicklungen verantwortlich ist, zeigt die Teamseite von The Guardian Project<\/a>.<\/p>\n

Sicherheit: ChatSecure erinnert an TextSecure<\/h2>\n

In Bezug auf die Verschl\u00fcsselung und die Transparenz erinnert ChatSecure sehr an TextSecure<\/strong>. W\u00e4hrend TextSecure mit der OTR-Weiterentwicklung Axolotl arbeitet, setzt ChatSecure auf Off-the-Record-Verschl\u00fcsselung (OTR)<\/a>. Deshalb sind verschl\u00fcsselte Nachrichten nur dann m\u00f6glich, wenn das Gegen\u00fcber einen kompatiblen OTR-Client nutzt<\/strong>. Eine Liste von Clients, die OTR unterst\u00fctzen, finden Sie im Ubuntuusers-Wiki<\/a>. OTR unterst\u00fctzt Perfect Forward Secrecy (PFS)<\/strong>, was daf\u00fcr sorgt, dass das nachtr\u00e4gliche Entschl\u00fcsseln von Nachrichten nicht m\u00f6glich ist (ausf\u00fchrliche Informationen in unserem Artikel „Knowledgebase: Perfect Forward Secrecy<\/a>„).<\/p>\n

Im Systemspeicher werden ausgetauschte Konversationen nicht abgelegt, sodass neugierige Apps an keine Informationen kommen. ChatSecure verzichtet auch darauf, Adressb\u00fccher oder Nachrichten auf die Server zu laden. Wird ChatSecure zusammen mit dem Datenschutz-Plugin Orbot verwendet, k\u00f6nnen Firewalls, Netzwerkeinschr\u00e4nkungen und Blacklists umgangen werden, weiter ist eine R\u00fcckverfolgung ausgeschlossen. Die Datenschutzrichtlinien wurden nach den Creative Commons Privacy Policy<\/a><\/strong> erstellt. Demzufolge werden keinerlei pers\u00f6nliche Informationen auf den Servern gespeichert und an Dritte weitergegeben<\/strong>, Nutzer werden nur nach pers\u00f6nlichen Daten gefragt, die zur Anwendung der App n\u00f6tig sind. Melden sich Nutzer, wie wir in unserem Test, \u00fcber Google an,\u00a0verweist ChatSecure erg\u00e4nzend zu den eigenen Richtlinien auf Googles Privatsph\u00e4rerichtlinien<\/a>.<\/p>\n

\"Messenger-Test_4\"<\/a>Auch die AGB sind frei einsehbar: Unter iOS entsprechen sie der GNU GPL in Version 3<\/a>, unter Android der Apache 2.0-Lizenz<\/a>. Ein Jugendfilter<\/strong> ist auch in diesem Messenger nicht vorhanden<\/strong>. Der Quellcode von ChatSecure ist \u00fcber GitHub einsehbar (iOS<\/a> \/ Android<\/a>).<\/p>\n

Keine Sicherheitsprobleme mit ChatSecure<\/h2>\n

ChatSecure hat bislang keine Negativ-Schlagzeilen bez\u00fcglich etwaiger Sicherheitsprobleme<\/strong> gemacht \u2013 die Verschl\u00fcsselungsparameter sind zum einen \u00f6ffentlich einsehbar, zum anderen gilt OTR als sicher. Einschr\u00e4nkungen gibt es jedoch in der Zuverl\u00e4ssigkeit und generellen Bedienung: In unserem Test konnten wir weder Dateien versenden noch kam unsere E-Mail-Einladung an<\/strong>. Bei unseren Recherchen sind uns genau diese Probleme \u00f6fter aufgefallen, sodass dies ein generelles Problem zu sein scheint. F\u00fcr iOS-User<\/strong> ergibt sich noch ein weiteres Problem: Die Verbindung zum XMPP-Server wird automatisch vom Betriebssystem nach zehn Minuten unterbrochen. Wenn Sie also elf Minuten lang auf eine Antwort Ihres Chatpartners warten, haben Sie Pech und m\u00fcssen eine neue Konversation starten.<\/p>\n

\"Messenger-Test_5\"<\/a>ChatSecure ist ein Messenger, der auf Live-Kommunikation setzt \u2013 Sie und Ihr Gespr\u00e4chspartner sollten online sein. Diesen Punkt realisiert\u00a0WhatsApp attraktiver: Sie k\u00f6nnen dort auch Offline-Nachrichten f\u00fcr den sp\u00e4teren Empfang versenden. Auf Gruppenchats m\u00fcssen Sie mit ChatSecure verzichten. Positiv zu erw\u00e4hnen ist die Tatsache, dass XMPP f\u00fcr eine immense Verbreitung<\/strong> sorgt: Sie k\u00f6nnen mit jedem Betriebssystem mobil und station\u00e4r kommunizieren. Auch die Sicherheitsparameter stimmen. Via OTR kommunizieren Sie Ende-zu-Ende-verschl\u00fcsselt und PFS<\/strong> sch\u00fctzt Sie vor nachtr\u00e4glichen Entschl\u00fcsselungen. Dieses Sicherheitsdenken geht auf den Komfort: Ein OTR-Schl\u00fcssel muss erzeugt und ein Jabber-Account hinzugef\u00fcgt werden. Die schnelle Alternative via Google-Login sorgt daf\u00fcr, dass s\u00e4mtliche Kontakte aus Google Talk automatisch\u00a0importiert<\/strong>\u00a0werden. Insgesamt ist ChatSecure als sichere App einzustufen, die sich f\u00fcr Anwender eignet, die bereit sind, beim Komfort dezente Abstriche zu machen.<\/p>\n

<\/h2>\n

Zusammenfassung ChatSecure<\/h2>\n