PSW GROUP eBook Messenger 300dpi

Transcription

Chaos im Messenger-Dschungel:
Die PSW GROUP testet ausführlich
1
Inhaltsverzeichnis
Was passiert ist... 5
• Facebook hat WhatsApp gekauft • Unser Messenger-Test: Das dürfen Sie erwarten 5
5
WhatsApp 6-9
• WhatsApp: Der Ursprung der aktuellen Diskussion • Bedienbarkeit, Dateiversand & Kosten • Sicherheit bei WhatsApp • Verschlüsselung, Quellcode, Datenschutz und AGB • Weitere Sicherheitsaspekte bei WhatsApp • Zusammenfassung WhatsApp Threema 6
6
7
8
8
9
10-14
• Hoch gelobt – aber was ist dran? • Threema: Nicht für alle eine Alternative • Usability & Kosten: Threema braucht sich nicht zu verstecken • Anwender entscheiden über Datenschutz mit • Ende-zu-Ende-Verschlüsselung: Was Threema kann,
fehlt bei WhatsApp • Keine Garantie auf Sicherheit • Zusammenfassung Threema Telegram • Ein Messenger, bei dem viele Fragen offenbleiben • Telegram: Validierungscode ohne Validierung 10
10
10
10
12
13
14
15-19
15
15
• Wer WhatsApp kennt, kennt Telegram • Wer steckt hinter Telegram? • Merkwürdigkeiten in Telegrams Verschlüsselung • Teilweise quelloffen, teilweise intransparent • Sicherheitslücke bei Telegram wurde sofort gestopft • Zusammenfassung Telegram 15
16
16
17
18
19
LINE 20-23
WeChat 24-27
• Funktionaler als die Konkurrenz, aber leider fast so unsicher wie WhatsApp 20
• LINE gibt es für alle, überall und immer 20
• Nutzerfreundlich und leicht zu bedienen 21
• Die LINE Corporation aus Japan 21
• Verschlüsselung & Datenschutz so desaströs wie bei WhatsApp22
• LINE arbeitet zuverlässig 22
• Zusammenfassung LINE 23
• Höchster Komfort mit sehr fragwürdigen Richtlinien • Ein bisschen WhatsApp und LINE, ein bisschen Facebook • WeChat ist noch vielseitiger als LINE • WeChat gehört Chinas größtem Internetunternehmen • Verschlüsselung? Fehlanzeige … • Was ist dran an den Zensurvorwürfen? • Zusammenfassung WeChat 24
24
24
25
25
26
27
2
Inhaltsverzeichnis
schmoose • Messenger mit Potenzial
• schmoose muss erst noch für alle entwickelt werden • Ganz schön schmoosig • schmoose wird es auch morgen noch geben • schmoose kann, was Threema kann • Aus der Praxis: Ausfälle & Sicherheitsprobleme bei schmoose • Zusammenfassung schmoose myENIGMA 28-32
28
28
29
29
30
30
32
33-36
• Sicherer Messenger mit Schwachstellen 33
• myENIGMA gibt es für die “üblichen Verdächtigen”
33
• Weniger funktional, aber alles Wichtige inklusive 33
• myENIGMA setzt auf Ende-zu-Ende-Verschlüsselung 34
• myENIGMA zeigt transparent, was mit Daten geschieht
35
• Störungsmeldungen auf der Facebook-Page von myENIGMA 35
• Zusammenfassung myENIGMA36
TextSecure 37-40
• TextSecure: die quelloffene, verschlüsselte Alternative 37
• Kein Anschluss unter diesem Betriebssystem 37
• Nach dem Einrichten: TextSecure in der Praxis 38
• Open Source: Eine ganze Gemeinde steckt hinter TextSecure 39
• Sicherheit wie bei Threema, myENIGMA & schmoose, nur offener39
• Zuverlässigkeit von TextSecure
39
• Zusammenfassung TextSecure
40
Cryptocat41-44
• Chat-Applikation mit bewegter Vergangenheit
• Privatsphäre bislang nur für iOS & Browser
• Verschlüsselt chatten – nur darum geht es Cryptocat
• Open Source-Gemeinde steht hinter Cryptocat
• Problematische Verschlüsselungsparameter
• Zusammenfassung Cryptocat
41
41
42
42
43
44
ChatSecure45-47
• Sicherheit steht vor Komfort
• ChatSecure bietet immense Verbreitung
• ChatSecure finanziert sich aus Spenden
• Sicherheit: ChatSecure erinnert an TextSecure
• Keine Sicherheitsprobleme mit ChatSecure
• Zusammenfassung ChatSecure
45
45
45
46
46
47
surespot48-51
• surespot will die Messenger-Welt privater machen
• surespot: Von amüsanten Wortfetzen begrüßt
• Kann surespot mehr als andere sichere Messenger?
• surespot finanziert sich durch In-App-Käufe & Spenden
• Daumen hoch für das Sicherheitskonzept von surespot
• Zusammenfassung surespot
48
48
49
49
49
51
3
Inhaltsverzeichnis
Chadder52-55
• Verschlüsselter Messenger von John McAfee
• Chadder bisher nur für Android und Windows Phone
• Spendenfinanzierung funktioniert nur bedingt
• Trifft das Sicherheitsversprechen von Chadder zu?
• Noch ist Chadder kein alltagstauglicher Messenger
• Zusammenfassung Chadder
52
52
52
53
54
55
Die Ergebnisse unseres großen Messenger-Tests 56-57
• Sicherheit versus Komfort
• Open Source: Die Universallösung? • Ranking: Das sind die sichersten Messenger Alle getesteten Messenger in der Übersicht • Tabelle mit allen Messenger • Platz 1: Threema, Cryptocat und surespot • Platz 2: ChatSecure und TextSecure • Platz 3: myENIGMA und Chadder • Platz 4: schmoose • Platz 5: Telegram • Platz 6: WhatsApp, LINE und WeChat • Fazit unseres großen Messenger-Tests • Ihr Messenger in wenigen Klicks 56
56
57
58-60
58
59
59
59
59
60
60
60
60
4
Was passiert ist...
Facebook hat WhatsApp gekauft
Als diese Meldung durch die Medien ging, zeigte sich ein Sturm der Entrüstung – insbesondere die Kaufsumme und die datenschutzrechtlichen
Folgen betreffend. Christian Heutger, Geschäftsführer der PSW GROUP,
hat schon auf Threema aufmerksam gemacht, als WhatsApp noch zum
Interieur moderner Smartphones und Tablets gehörte. Der Verschlüsselungsexperte schaut sich in den folgenden Wochen Alternativen um
WhatsApp an und testet sie auf Security- und alle weiteren Eigenschaften.
In einem Schnelltestverfahren machte sich jüngst erst die Stiftung Warentest dran, Messenger auf ihren Datenschutz zu testen. Sich nur auf dieses eine Merkmal festzulegen, finden wir unzureichend, wenngleich der
Datenschutz natürlich ein erheblicher Aspekt in der Messengerwahl sein
sollte. Die Stiftung Warentest stellt Threema als unkritisch dar – was allerdings fehlt, ist eine funktionierende Möglichkeit, die Ende-zu-Ende-Verschlüsselung auch nachzuvollziehen. Golem berichtete jüngst von der
zweifelhaften Validation.
Am Ende unserer Serie haben Sie einen Überblick über die Pros und Contras einzelner Messenger aus Sicht eines kompetenten, unabhängigen
Sicherheitsexperten und Sie sind in der Lage, Messenger gut auf ihre Sicherheitsaspekte einzuschätzen. In einem Fazit werden wir Ihnen konkrete Empfehlungen geben.
19
MRD. $
Unser Messenger-Test: Das dürfen Sie erwarten
Sämtliche Messenger werden auf allgemeine Parameter wie Verbreitung,
Kosten, Optik oder Bedienbarkeit sowie auf sicherheitsrelevante Parameter wie der Firma hinter dem Service, Verschlüsselung oder Speicherung
der Daten getestet. Haben wir einen Messenger in unserer Liste übersehen, den Sie getestet wissen wollen? Dann zögern Sie nicht, uns einen
Kommentar zu hinterlassen, gerne nehmen wir Ihre Vorschläge noch auf.
Facebook hatte Mitte Februar den Kauf von WhatsApp
für insgesamt 19 Milliarden Dollar angekündigt.
5
WhatsApp
WhatsApp: Der Ursprung der aktuellen Diskussion
Sehen wir uns zunächst WhatsApp an. Genutzt werden kann die App mit
folgenden Betriebssystemen: Android 2.1+, iOS 4.3+, BlackBerry OS 4.6+,
der Nokia S40-Serie, diversen Symbian-Versionen und Windows Phone
7.5+. Die App arbeitet nur auf Smartphones, nicht auf Tablets, Computern oder reinen WLAN-Geräten. Mit einigen Tricks lässt sich WhatsApp
allerdings auch auf Tablets verwenden: Auf dem iPad benötigen Sie beispielsweise noch iFunBox und iExplorer sowie eine noch nicht angemeldete Rufnummer. Beachten Sie bitte, dass Sie mit iFunBox Ihr iOS-System
verändern und schlimmstenfalls auch beschädigen können! Mit WhatsRemote oder dem BlueStacks App Player können Sie WhatsApp auch in
Ihrem Browser auf dem PC nutzen. Wenn Ihr Gerät nicht unterstützt wird,
erhalten Sie eine Fehlermeldung. Die Installation ist denkbar einfach: Sie
gehen in den App-Store Ihres Betriebssystems und laden sich die App herunter. Wichtig ist natürlich, dass Ihre Kontaktpartner WhatsApp auch nutzen, denn auch wenn plattformübergreifende Nachrichten möglich sind,
ist Voraussetzung dafür, dass WhatsApp auch genutzt wird. Sobald Kontakte in der Kontaktliste sichtbar sind, können Sie mit ihnen Nachrichten
austauschen.
Einen Kontakt hinzuzufügen, ist ebenfalls recht leicht: Zunächst muss wieder sichergestellt sein, dass Ihr Kontakt WhatsApp installiert hat. Im Adressbuch des Smartphones muss die Telefonnummer eines Kontakts korrekt gespeichert sein. Sie geben die Telefonnummer des Kontakts so ins
Suchfeld ein, als würden Sie ihn anrufen wollen. Bei internationalen Num-
mern verzichten Sie auf vorangehende Nullen und beginnen die Nummer
mit einem +-Zeichen, anschließend folgt der Ländercode. Ein Beispiel:
Sie wollen die 0152 1234567 hinzufügen, also geben Sie +491521234567
ein. Wenn Sie nun WhatsApp öffnen und Ihre Favoritenliste (bei Android:
“Kontakte auswählen”) öffnen, sehen Sie den Kontakt und können mit
ihm kommunizieren. Wenn Sie Chats von einem alten Telefon auf ein
neues übertragen wollen, bietet WhatsApp selbst keine Möglichkeit dafür. Aber für die einzelnen Betriebssysteme stellt WhatsApp Anleitungen
bereit. Auch gibt es für jede Plattform Anleitungen, um den WhatsApp-Account löschen zu können.
Bedienbarkeit, Dateiversand &
Kosten
Zu dem Erfolg, den WhatsApp feiert(e), hat
nicht nur der günstige Preis von nur 89 Cent
pro Jahr beigetragen, sondern auch die Benutzerfreundlichkeit und der Komfort. Neue
User sehen sofort, welche Kontakte WhatsApp nutzen. Es sind nur wenige Fingerbewegungen nötig, um Nachrichten abzusetzen,
die neben textlichen Inhalten seit geraumer
Zeit auch Smileys enthalten. Fotos, Videos
und Audio-Dateien, Kontakt-Informationen
9
0,8
€
6
WhatsApp
sowie die Koordinaten des aktuellen Standorts können ebenfalls versendet werden. Insgesamt erinnert der Service an den E-Mail-Versand,
nur in vereinfachter Form und schneller. Die Gruppenchats sind ein weiterer Pluspunkt: Schnell lässt sich mit vielen Menschen kommunizieren.
Die Broadcasts wirken wie eine Statusmeldung und werden ebenfalls an
mehrere oder alle Kontakte versendet. Mit dem letzten Update hat WhatsApp seinen Datenversand auf eine Größe von 16 MB erhöht. Zehn Fotos
können gleichzeitig versendet werden. Mit Tools wie WhatsApp Plus kann
der Datenversand auf maximal 50 MB erhöht werden.
Sicherheit bei WhatsApp
Was WhatsApp bezüglich der allgemeinen Eigenschaften richtig gut
macht, macht die Messenger-App beim Thema Sicherheit wieder wett.
Sehen wir uns die Einfachheit des Hinzufügens der
Kontakte noch mal unter
datenschutzrechtlichen
Gründen an: Die App greift
auf Ihr Telefonbuch zu.
Weder Sie noch betroffene
Dritte können irgendetwas
gegen das Übertragen der
Adressbuchdateien unternehmen. Die Telefonnummern werden unver-
schlüsselt an Dritte übertragen. Daten, die Sie als Android-User eingeben,
darunter auch Gesprächsinhalte, sendet die App unverschlüsselt. Das
Account-Konzept scheint fragwürdig: Anstelle eines Benutzernamens
und Passworts arbeitet der Service mit Ihrer Telefonnummer. Ganz nebenbei wird die IMEI-Nummer Ihres Smartphones ausgewertet. Es ist
nie klargeworden, was WhatsApp mit den Daten aus den Adressbüchern
macht. Der Service behält sich jedenfalls vor, Daten zu speichern, weiterzugeben oder für Werbezwecke zu nutzen.
Facebook hat WhatsApp kürzlich aufgekauft – und das soziale Netzwerk
fällt durch Datenschutzmängel immer wieder in die Kritik bei Datenschutzexperten. So sah Hamburgs Datenschützer Johannes Caspar die
WhatsApp-Übernahme durch Facebook sehr kritisch: Bei dem Kaufpreis
“kann man davon ausgehen, dass eine Kapitalisierung über die personenbezogenen Daten der Nutzer erfolgen muss“, zitiert die Welt. Caspar
sieht allerdings positiv, dass sich WhatsApp künftig ans europäische Datenschutzrecht zu halten hat, womit der Datenschutz transparenter werde. Weiter gilt zu bedenken: In öffentlichen WLAN-Netzen war und ist die
App weiterhin unsicher. WhatsApp überträgt Daten übers XMPP-Protokoll
unverschlüsselt; Nachrichten können also kinderleicht ausgespäht werden. Spionage-Apps wie WhatsApp Sniffer, die Google mittlerweile aus
dem PlayStore entfernt hat, die aber immer noch in installierter Version
ihren zweifelhaften Dienst tut, machen es selbst Laien besonders leicht.
Sogar in verschlüsselten und passwortgeschützten WLANs liest die App
mit; Betroffene bemerken den Mitleser jedoch nicht.
7
WhatsApp
Verschlüsselung, Quellcode, Datenschutz und AGB
Aufgrund der ehemals unverschlüsselten Übertragung war es früher ein
Leichtes, Accountdaten im WLAN abzufangen und Accounts zu kapern.
Mittlerweile überträgt der Dienst den Datenverkehr verschlüsselt. Bei
WhatsApp scheint es nicht ohne ein Aber zu gehen: Aber es handelt sich
um keine Ende-zu-Ende-Verschlüsselung, was zur Folge hat, dass der
Anbieter Ihre Unterhaltungen mitlesen kann. Zwar werden Nachrichten
nicht auf den Servern gespeichert (weshalb die Übertragung von Chats
von einem Smartphone aufs andere über WhatsApp nicht möglich ist),
aber auch nicht gelöscht; Nachrichten und Statusänderungen landen im
Nirvana der Anwendungsdatenbank. Die Verschlüsselungstechnologie ist
kompromittiert und schwach. Der Chefentwickler des Messaging-Dienstes Adium, Thijs Alkemede, hat selbst getestet: WhatsApp verwendet RC4
als schwachen Algorithmus und nutzt denselben Schlüssel, denselben
Initialisierungsvektor und denselben HMAC-Schlüssel für ein- und ausgehende Nachrichten.
WhatsApp nimmt es sich heraus, Details Ihrer Kontakte auszulesen: Name,
E-Mail, Adresse – also sämtliche Infos
der Kontakte aus Ihrem Adressbuch.
Weiter greift die App durch die Kamerafunktion auf die GPS-Daten zu, sodass Ihr aktueller Standort ermittelt
werden kann. Chats und Telefonate
können selbst dann mitgeschnitten werden, wenn Sie die App gar nicht
aktiviert haben. Dass die Daten über US-amerikanische Server laufen,
gibt nicht gerade ein behagliches Gefühl von Sicherheit – nicht umsonst
hört man bei Gesprächen über WhatsApp häufiger den Satz “NSA für die
Hosentasche“. WhatsApp untersagt es, den Quellcode zur Weiterentwicklung oder für Anpassungen zu nutzen. Bei der nicht-quelloffenen App ist
es schwierig, zu sagen, ob weitere Daten in verschlüsselter Form übertragen werden.
Die Allgemeinen Geschäftsbedingungen von WhatsApp sind nur in englischer Sprache verfügbar – Pech für diejenigen Anwender, deren Sprachschatz aus anderen Sprachen besteht. Weiter sehen die AGB vor, dass
selbige jederzeit geändert und Informationen an die Strafverfolgung
weitergeleitet werden können – ohne dass Sie darüber informiert werden. Dieser Mangel an Informationen wird nicht besser dadurch, dass die
Kontaktdaten Dritter ebenfalls übertragen werden dürfen, und zwar ohne,
dass es einer Zustimmung bedarf. Ein wichtiger Punkt in den AGB von
WhatsApp ist, dass Daten beim Verkauf der App an den neuen Eigentümer übergehen können. Heißt: Facebook kann direkt auf die Daten sämtlicher WhatsApp-User zugreifen. Und das sind allein in Deutschland die
von rund 30 Millionen Nutzern.
Weitere Sicherheitsaspekte bei WhatsApp
WhatsApp ist ein zuverlässiger Messenger, wenngleich direkt nach Bekanntwerden der Übernahme durch Facebook Serverprobleme zu mas8
WhatsApp
senhaftem Spott führten. Die Server waren down, Nachrichten konnten
nicht versendet werden. Bisher wurden zahlreiche Sicherheitsprobleme
entdeckt: Eklatante Datenschutzmängel machten genauso die Runde
wie die Tatsache, dass Nachrichten lange Zeit unverschlüsselt und nun
mit unzureichender Verschlüsselung versendet wurden und werden.
Die App darf offiziell erst ab dem 16. Lebensjahr ohne Erlaubnis der Eltern genutzt werden, überprüft wird das allerdings nicht. Einen Jugendfilter für Content gibt es nicht, wohl aber den nett gemeinten Hinweis,
nicht-jugendfreien Content entsprechend zu kennzeichnen. WhatsApp
speichert nach eigener Aussage keine Daten auf seinen Servern. Auf der
microSD-Karte des Smartphones werden aber Backup-Dateien gespeichert, die alte Chats wiederherstellen. WhatsApp verwendet XMPP. Die
App finanziert sich nicht durch Werbung, sondern durch das Abosystem.
Wenngleich gemunkelt wird, dass Datenverkäufe positiven Einfluss auf
die Bilanzen nehmen, kann diesbezüglich nichts bewiesen werden. Dass
der Datenverkauf durch den Werberiesen und neuen Eigentümer Facebook aber ins Rollen kommen dürfte, versteht sich. Bislang gibt es keine
Informationen darüber, ob Facebook Alternativfinanzierungspläne hegt,
ob vielleicht eine Werbefinanzierung infrage kommt oder ähnliches.
Durch diesen Milliardendeal jedenfalls dürfte die Zukunft von WhatsApp
gesichert sein.
Zusammenfassung WhatsApp
Verbreitung: alle gängigen Mobilsysteme
Einschränkungen: Tablets, Computer, WLAN-Geräte
Installation: einfach
Kontakte rüberziehen: einfach
Optik/ Bedienbarkeit: ansprechend & einfach
Flexibilität: max. 16 MB/ 10 Fotos, Erhöhung durch externe Tools
Kosten: günstig (1. Jahr kostenlos, dann 0,89 €/Jahr)
Orga/ Land hinter dem Service: Facebook/ USA; nach europäischen
Datenschutzrichtlinien
Verschlüsselung: RC4, unzureichend
Quellcode: kein Zugriff
Datenschutz: App greift auf alle Daten im Adressbuch zu
AGB: intransparent
Zuverlässigkeit: insgesamt sehr gut
Sicherheitsprobleme: Datenschutzmängel, Verschlüsselung unzureichend
Jugendfilter: nicht vorhanden
Datenspeicherung: keine Daten auf eigenen Servern, Backups auf
microSD-Karte des Smartphones
XMPP: ja
Finanzierung: Abo-Modell
9
Threema
Hoch gelobt – aber was ist dran?
Im zweiten Teil unseres Messenger-Tests beschäftigen wir uns ausführlich
mit Threema. Nachdem Facebook WhatsApp kaufte, gewann Threema
aufgrund des Versendens verschlüsselter Nachrichten an Bekanntheit.
Aber existieren auch bei diesem Messenger sicherheitsrelevante Mängel?
Wir haben genau hingeschaut:
Threema: Nicht für alle eine Alternative
Bevor wir richtig in den Test eintauchen, sei gesagt, dass Threema leider
nicht für alle eine Alternative sein kann: Die App gibt es nur für iOS und
Android. Während WhatsApp nur auf Smartphones verwendet werden
kann, funktioniert Threema auch auf Tablets, allerdings können Sie nicht
gleichzeitig beide Geräte mit dem Server verbinden. Ihre Nachrichten
werden ausschließlich am zuletzt verwendeten Gerät angezeigt. Um Ihre
ID auf ein anderes Gerät zu übertragen, erstellen Sie ein Backup. Sie erhalten einen Backup-QR-Code, den Sie nun mit Ihrem zweiten Gerät scannen
und das Backup wird nach Eingabe Ihres Passworts eingespielt.
Bei der Erstinstallation von Threema werden Sie sofort merken, dass die
Vereinbarkeit von Sicherheit und Komfort einer Gratwanderung gleicht:
Nachdem Sie Threema aus Ihrem App-Store oder direkt von der Website
heruntergeladen (nur für Android) und installiert haben, starten Sie die
Anwendung. Nun muss ein individuelles Schlüsselpaar erstellt werden –
ein privater und ein öffentlicher Schlüssel, damit die Ende-zu-Ende-Verschlüsselung funktioniert. Das Generieren Ihres Schlüsselpaars funktio-
niert denkbar einfach: Durch Fingerbewegungen erstellt der Messenger
Ihre individuellen Codes aus zufälligen Buchstaben und Zahlen. Im Anschluss erhalten Sie Ihre eigene ID, die Ihre Echtheit bestätigen soll.
Sie haben drei Möglichkeiten, mit anderen
Threema-Nutzern in Kontakt zu kommen und
zu kommunizieren: Threema selbst empfiehlt
als sicherste Methode, Ihrem Kontakt persönlich gegenüberzustehen und seine ID per QRCode zu scannen. Mit Kollegen und Freunden
im direkten Umfeld klappt das sicher toll, aber
ist Ihr Kontakt weiter weg, kommen die anderen Methoden ins Spiel: Sie können Ihr eigenes Adressbuch synchronisieren lassen. Dafür
X12YZ34X
muss Ihr Kontaktpartner seine Handynummer und E-Mail-Adresse seiner ID zugeordnet
haben. Einmal täglich gleicht Threema diese
Daten automatisiert ab. Die dritte und unsicherste Methode ist die manuelle Eingabe der Kontakt-ID. In Ihrer Kontaktliste wird Ihnen später der Sicherheitsstatus jedes Kontakts angezeigt.
Wir sind noch nicht ganz fertig mit dem Einrichten: Sie selbst können, müssen aber nicht Ihre eigene E-Mail-Adresse und Handynummer eingeben
und mit Ihrer ID verknüpfen. Dann geben Sie sich einen Nicknamen, der
10
Threema
Ihrem Chatpartner bei Push-Benachrichtigungen angezeigt wird. Wollen
Sie den Zugriff auf Threema absichern, können Sie in den Einstellungen
zusätzlich eine Passphrase eingeben, die optional
nach jedem Start oder in einem vorher festgelegten
Zeitintervall abgefragt wird. Sie können ein Häkchen bei der Option setzen, dass alle Daten in der
**************
App nach zehn erfolglosen Eingabeversuchen ge10
löscht werden.
Usability & Kosten: Threema braucht sich nicht zu
verstecken
Dass Threema für mehr Sicherheit entwickelt wurde, spüren Sie garantiert
beim Einrichten der App, aber nicht mehr in ihrer Anwendung. Der Messenger erinnert in seiner Bedienung sehr an WhatsApp, sodass Ihnen der
Umstieg bestimmt genauso leicht fällt wie der grundsätzliche Einstieg in
die Messengerwelt. Per Fingertipp übertragen Sie auch bei Threema Fotos
und Videos oder setzen in Windeseile Textnachrichten mit oder ohne Smileys ab. Wenn Sie von WhatsApp umsteigen, könnte es sein, dass Ihnen
die kürzlich eingeführte “Push-to-Talk”-Funktion fehlt, darüber verfügt
Threema nicht. Aber der Messenger erlaubt ebenfalls Gruppenchats und
Sie erfahren bei Threema auch, ob Ihr Chatpartner Ihre Nachricht bereits
gelesen hat – ein Feature, das wiederum bei WhatsApp fehlt.
Für 1,79 € (iOS) beziehungsweise 1,60 € (Android) laden Sie die App herunter. Die Gebühren fallen einmalig an, sodass Threema spätestens dann,
wenn WhatsApp seine jährliche Nutzungsgebühr von 99 Cent eintreibt,
sogar günstiger ist. Der Versand von Fotos funktioniert nur einzeln (bei
WhatsApp bis zu 10 Fotos), das hat aber seinen guten Grund: Die Qualität der Bilder bleibt besser erhalten, da sie nicht so heruntergerechnet
werden wie bei WhatsApp. Leider fehlt es an Zahlenmaterial für die maximale Größe des Dateiversands. Wir haben den Support von Threema angeschrieben und um Zahlen gebeten – Threema schreibt, dass die vielen
Anfragen zu Verzögerungen führen können. Wir ergänzen die maximale
Größe, sobald uns der Support geantwortet hat.
Anwender entscheiden über Datenschutz mit
Bei WhatsApp ergibt sich eine Sicherheitsproblematik aus dem Auslesen
des Adressbuchs. Threema überlässt diese Entscheidung Ihnen, dem Anwender: Grundsätzlich lässt sich der Messenger auch ohne Zugriff aufs
Adressbuch verwenden. Schalten Sie die Synchronisation aus, liest die
App keine Adressbuchdaten. Ihre Threema-Kontakte müssen Sie dann
manuell – via ID-Eingabe oder QR-Code-Scan – eingeben. Entscheiden
Sie sich für die Synchronisation, werden die E-Mail-Adressen und Telefonnummern aus Ihrem Adressbuch gehasht, also einwegverschlüsselt.
Mittels zusätzlicher SSL-Sicherung werden die Daten an die Schweizer
Server übertragen. Diese löschen die Hashes aus ihrem Arbeitsspeicher,
sobald die Liste der übereinstimmenden IDs ermittelt wurde. Threema
selbst versichert, dass weder Hashes noch Abgleich-Ergebnisse auf Datenträger geschrieben werden. Theoretisch können Hashes aufgrund der
recht geringen möglichen Zahlenkombinationen der Telefonnummern
11
Threema
mittels Brute-Force-Attacken entschlüsselt werden. Threema erklärt dazu
auf seiner FAQ-Seite: “Dies ist prinzipbedingt und kann nicht anders gelöst werden (die Verwendung von Salts wie beim Hashing von Passwörtern funktioniert für so einen Datenabgleich nicht). Wir behandeln daher
die Telefonnummern-Hashes mit der selben Vorsicht, als wenn es rohe/
ungehashte Telefonnummern wären.”
50.000 Nutzer
2.800.000 Nutzer
2013
2014
Hinter der App steckt die Threema GmbH mit Sitz in Einsiedeln, Schweiz.
Die Schweiz gehört nicht zur EU, und während sich WhatsApp in seinen
AGB vorbehält, Auskünfte über User weiterzugeben, ohne den Nutzer zu
informieren, ist im Falle Threema eine Überwachungs-/ Auskunftsanordnung seitens eines Schweizer Gerichts notwendig. Entwickelt wurde
Threema von Manuel Kasper, der in einem Interview Mitte 2013 von rund
50.000 Nutzern sprach; mit dem WhatsApp-Kauf durch Facebook dürften
die Userzahlen noch mal angekurbelt worden sein. In demselben Interview
spricht Kasper auch davon, wie sich die App finanziert: Derzeit geschehe
das ausschließlich durch die Appverkäufe selbst, Kasper könne sich aber auch
ein Abomodell in Anlehnung an WhatsApp vorstellen. Bestandskunden seien
davon ausgeschlossen, da diese bereits
bezahlt hätten, so Kasper. Die Kasper
Systems GmbH aus Zürich ist das eigentliche Steckenpferd des Informatikers, der
die Server für Threema selbst hostet.
Ende-zu-Ende-Verschlüsselung: Was Threema kann,
fehlt bei WhatsApp
Es ist kein Leichtes, Sicherheit und Benutzerfreundlichkeit zu verbinden,
und während sich WhatsApp eindeutig für die Benutzerfreundlichkeit
entschieden hat, gelingt die gesunde Mischung aus beidem bei Threema
recht gut. Zum Erstellen des Schlüsselpaars während der Einrichtung der
App ist Threema beispielsweise offline. Der private und der öffentliche
Schlüssel verlassen während der Einrichtung das Smartphone nicht – alles geschieht lokal. Während der öffentliche Schlüssel verbreitet werden
muss, damit verschlüsselte Botschaften versendet werden können, verbleibt der private auf dem genutzten Device. Aus beiden Schlüsselpaaren,
also dem öffentlichen Key des Empfängers und dem privaten vom Sender, errechnet die App einen dritten Schlüssel, der die Nachricht selbst
verschlüsselt. Der Nachrichtenempfänger dekodiert eine Nachricht mit
seinem Private Key. Auf den Threema-Servern werden Nachrichten nicht
dechiffriert, sodass sie auch nicht an irgendwelche Behörden rausgegeben werden können. Wenn also ein Schweizer Gericht nach Schweizer Gesetz Auskünfte anordnet, können diese Auskünfte nicht aus versendeten
Nachrichten bestehen. Und auch sonst sähe die Auskunft ziemlich mager
aus: Werden Nachrichten vom Empfänger abgerufen, werden sie vom Server gelöscht. IP-Adressen oder Verkehrsdaten (wer hat wann wem welche
Nachricht geschickt) werden ebenso wenig gespeichert. Entscheidet sich
der Nutzer gegen das Verknüpfen der E-Mail-Adresse und Handynummer
mit seiner ID, liegen auch diese Daten nicht auf den Servern.
12
Threema
Geht bei dem asymmetrischen Verschlüsselungsverfahren etwas schief,
war es das mit der sicheren Kommunikation – CryptoCat musste diese
Erfahrung bereits machen. Genau deshalb hat sich Kasper für eine fertige Lösung entschieden und setzt auf die vom Kryptografie-Guru Daniel
J. Bernstein entwickelte NaCl Cryptography Library. Der Quellcode dieser
Bibliothek liegt offen und sie wird von Sicherheitsexperten als sicher eingestuft.
Aber apropos Quellcode: Hier liegt ein Schwachpunkt von Threema. Kasper legt den Quellcode der App nämlich bis heute nicht offen. Es ist zwar
nicht anzunehmen, dass Threema eine Hintertür hat, aber überprüft werden kann das aufgrund des geschlossenen Quellcodes nicht. Threema
wirbt damit, eine Validation vornehmen zu lassen – damit ließe sich die
richtige Umsetzung der Verschlüsselung prüfen. Eine englischsprachige
Anleitung stellt Threema auf seiner Website bereit. Zeit für ein zweites
Aber: Golem hat sich die Validation genauer angesehen und musste feststellen, dass sie wenig aussagekräftig ist.
Keine Garantie auf Sicherheit
Threema verzichtet auf XMPP und kann nicht Brief und Siegel darauf geben, dass NSA & Co. nicht doch mitlesen können. Das allerdings hat wenig
mit der App selbst zu tun als eher mit der Möglichkeit, Hintertüren im Betriebssystem auszunutzen und vielleicht Bildschirminhalte mitzuschneiden. Dieses Risiko besteht allerdings bei jeder App und soll deshalb nicht
Threema allein zugeschrieben werden. So gesehen ist es am sichersten,
auf Smartphone und Tablet generell zu verzichten – und auf den Desktop-Rechner idealerweise auch. Da das keine Option ist, zählt das Prinzip der größtmöglichen Sicherheit. Und gäbe es nur die Wahl zwischen
WhatsApp und Threema, läge die größtmögliche Sicherheit eindeutig bei
Threema.
Es gab hier und da bereits Vorwürfe bezüglich etwaigen Schwachstellen
in Threema. Diese bezogen sich allerdings ausschließlich auf Situationen,
in denen Dritte Zugang zu dem Device hatten. Um sich vor neugierigen
Blicken zu schützen, können unter Android Passphrasen, unter iOS eine
PIN eingerichtet werden. Auch hier bietet Threema also größtmögliche Sicherheit. Bezüglich der Zuverlässigkeit gibt es nichts zu meckern: Threema ackert, wenn der User die App braucht; Ausfälle sind bislang nicht
bekannt. Die AGB beziehungsweise Datenschutzrichtlinien von Threema
sind nachvollziehbar und transparent auf der Threema-Website zu finden.
Verglichen mit der “Mutter aller Messenger”, WhatsApp, macht Threema
eine gute Figur: Usability ist gegeben, Sicherheit ebenfalls – nur hapert es
daran, dass der Quellcode nicht offenliegt und die Aussagekraft der Validation als fragwürdig eingestuft werden kann. Als plattformübergreifende
App ist es schade, dass Threema auf nur zwei Plattformen arbeitet. Um
richtig User zu ziehen, wäre es schön, Threema auch auf anderen Systemen finden zu können. Threema-Entwickler Kasper plant keine weiteren
Plattformen, lediglich eine Webversion kann er sich vorstellen, plant aber
noch nicht konkret.
13
Threema
Zusammenfassung Threema
Verbreitung: iOS und Android
Einschränkungen: alle weiteren Betriebssysteme
Einrichtung: schwerer als bei WhatsApp, aber gut gelöst
Optik/ Bedienbarkeit: ansprechend & einfach, an WhatsApp angeglichen
Flexibilität: bislang keine Aussagen
Kosten: günstig (iOS: 1,79 €, Android: 1,60 €, jeweils einmalig)
Orga/ Land hinter dem Service: Threema GmbH, Schweiz
Verschlüsselung: Ende-zu-Ende-Verschlüsselung, sehr gut
Quellcode: kein Zugriff
Datenschutz: App kann, muss aber nicht auf Adressbuchdaten zugreifen
AGB: transparent
Zuverlässigkeit: sehr gut
Sicherheitsprobleme: keine direkten
Datenspeicherung: keine Daten auf eigenen Servern
XMPP: nein
Finanzierung: durch Download-Kosten
14
Telegram
Ein Messenger, bei dem viele Fragen offenbleiben
Weiter geht es in unserer ausführlichen Messenger-Testserie mit Telegram,
einer App, die noch recht jung ist und, ähnlich wie Threema, mehr Sicherheit verspricht. Besonders im spanisch-sprachigen Raum ist Telegram
sehr beliebt, zumindest zwitscherten die Entwickler das kürzlich. Am 24.
März 2014 twitterten die Entwickler außerdem, dass Telegram die 35 Mio.
Nutzermarke erreicht hat. Nicht schlecht dafür, dass die App erst vor kurzem das Licht der mobilen Welt erblickt hat – schlecht ist allerdings, dass
die App Fragen aufwirft, die sich nicht beantworten lassen.
Telegram: Validierungscode ohne Validierung
Ähnlich wie Threema will Telegram alles, was an WhatsApp positiv hervorzuheben ist, übernehmen und alles negative besser machen. So hat sich
die Optik der App sehr an WhatsApp gehalten: Bisherige WhatsApp-User
finden sich schnell zurecht. Die App ist offiziell für iOS und Android erhältlich, inoffiziell auch für Windows, Mac, Linux und Windows Phone – teilweise
sind die inoffiziellen Versionen noch in der Alpha-/ Beta-Phase. “Inoffiziell”
heißt: Über eine API können Drittanwendungen mit dem Netzwerk kommunizieren. So lässt sich Telegram tatsächlich plattformübergreifend nutzen,
und zwar sowohl auf dem Smartphone als auch auf dem Tablet und am
Rechner. Das gibt einen dicken Pluspunkt, denn vergleichen wir das mit
Threema, ist die Verbreitung von Telegram wesentlich umfangreicher.
Die Installation ist kinderleicht: Auf seiner Website verlinkt Telegram alle
Quellen zu offiziellen und inoffiziellen Versionen. Folgen Sie den Anwei-
r
tze
u
N
io.
M
35
sungen Ihres App-Stores und schon ist die App installiert. Öffnen Sie die
App, werden Sie aufgefordert, Ihre Handynummer einzugeben. Per SMS
erhalten Sie postwendend einen Code. Nun geben Sie Ihren Vornamen,
optional auch Ihren Nachnamen an. Ihre Namenseingabe können Sie
später jederzeit in den Einstellungen ändern. Die App ist eingerichtet, wir
starten sie für unseren Test. An dieser Stelle tauchte für uns die erste Frage
auf: Wozu haben wir den Validierungscode zugesendet bekommen, wenn
wir ihn nirgends eingeben mussten? Die App lässt sich einfach starten,
ohne dass eine Eingabe nötig wäre. Nach einiger Recherche im Web finden wir keine Antwort auf diese Frage.
Wer WhatsApp kennt, kennt Telegram
Wäre es möglich, WhatsApp und Telegram aufeinander zu packen, wäre
schnell klar: Die beiden ähneln sich optisch wie ein Ei dem anderen. Die
Farbgestaltung ist bei Telegram etwas frischer, ansonsten nehmen sich
die beiden Messenger nichts. Das gilt auch für die Handhabung: Komplett
identisch zeigen sich Kontaktübersicht, Chatansicht und das Starten von
neuen Unterhaltungen. Auf der Telegram-Website und in der Twitter-Bio
ist zu lesen, dass Telegram die weltweit schnellste Messaging-App sei.
Das lassen wir einfach so stehen,
ohne die Geschwindigkeit der Nachrichtenübertragung mit anderen
Messengern zu vergleichen.
15
Telegram
Videos und Bilder können mit einer sehr angenehmen Größe von bis
zu 1 GB versendet werden – diese Großzügigkeit fanden wir weder bei
WhatsApp noch bei Threema, wo noch immer die Aussage zur maximalen
Versandgröße fehlt. Seit dem 21. März 2014 können Sprachnachrichten
versendet werden, das Versenden von Dokumenten und dem eigenen
Standort sind ebenfalls möglich, Emoticons sind mittlerweile selbstverständlich. Sie können offene und geheime Gruppenchats mit bis zu 200
Mitgliedern führen, Inhalte zwischen verschiedenen Geräten synchronisieren, ähnlich wie bei SnapChat sind sich selbstvernichtende Nachrichten
möglich und der Status einer Nachricht wird angezeigt: Ist die Nachricht
beim Server angekommen, sehen Sie ein Häkchen, wurde die Nachricht
gelesen, sehen Sie zwei Häkchen. Etwas schade finden wir, dass es Telegram nicht erlaubt, den eigenen Online-Status zu verbergen – hier hatte
jüngst sogar WhatsApp unter Android nachgebessert.
Wer steckt hinter Telegram?
Telegram ist komplett kostenfrei. Weder eine Downloadgebühr wie bei
Threema noch Abokosten wie bei WhatsApp fallen an. Man kommt nicht
umhin, sich zu fragen, wie sich die App finanziert.
In den FAQ wollen die Entwickler diese Frage wie
folgt beantworten: Bei kommerziell ausgerichteten Unternehmen würden Gewinne die Wertigkeit eines Projekts beeinflussen: Je mehr, umso
besser. Telegram hingegen sei ein nichtkommerzielles Projekt, man beabsichtige nicht, Gewinne
zu generieren. Deshalb werde es nie Anzeigen oder Investitionen von Dritten geben. Telegram würde man auch nicht verkaufen wollen; man kreiere mit Telegram keine Börse für Userdaten, sondern eine Messaging-App
für User. Pavel Durov, einer der beiden Entwicklerbrüder, habe die App
mit einer “großzügigen Spende” unterstützt, sodass Telegram aktuell über
genügend finanzielle Mittel verfüge. Sollte dieses Geld nicht ausreichen,
wolle man die User bitten zu spenden oder einige eher unwichtige Funktionen kostenpflichtig machen.
Pavel und sein Bruder Nikolai Durov stammen aus Russland, sie sind die
Gründer von Russlands größtem Social Network
vk.com. Als Telegram im August 2013 für iOS startete, titelte die Nachrichtenagentur Reuters: “Russia’s Zuckerberg launches Telegram, a new instant
messenger service“. Dass Pavel Durov nicht am
Hungertuch nagt, zeigt auch die Tatsache, dass
Telegram eine Prämie von 200.000 US-Dollar bietet, sollte es einem Hacker gelingen, ein Schlupfloch ausfindig zu machen.
Merkwürdigkeiten in Telegrams Verschlüsselung
Kommen wir zum Thema Sicherheit bei Telegram, tauchen neue Fragen und Merkwürdigkeiten auf. Telegram arbeitet mit MTProto, einem
Protokoll, das Nikolai Durov entwickelt hat. Laut Telegram-FAQ kam es
Durov beim Entwickeln auf eine gesunde Mischung aus Sicherheit und
High-Speed sowie Zuverlässigkeit an. Telegram verwendet zwei Arten
16
Telegram
der Verschlüsselung: Server-Client und Client-Client. Basierend auf 256
Bit-AES-Verschlüsselung, RSA 208 und Diffie-Hellman-Schlüsselaustausch, verspricht Telegram, bei der sicheren Kommunikation zu helfen,
aber auch nichts gegen Dritte unternehmen zu können, die Zugang zu
Ihrem Device haben. Klingt logisch und ähnlich wie bei Threema. Aber:
Kryptografie-Experten sind nicht sonderlich begeistert von der hauseigenen Lösung. Die Bausteine seien veraltet und angreifbar. In den Hacker
News diskutierten die Macher von Telegram mit Moxie Marlinspike, dem
Entwickler von TextSecure – leider ist die Diskussion für Krypto-Laien
kaum nachvollziehbar. Erfahrene User können sich gerne mal durch die
erweiterten FAQ klicken, in denen die Durov-Brüder Stellung zu einigen
Vorwürfen nehmen; schade, dass das in sehr aggressivem und unangenehmem Tonfall stattfindet.
Mit dem Wechsel in einen privaten Chat geht man von der Client-Server-Verschlüsselung über zur Client-zu-Client-Verschlüsselung. Sie können
sich das wie einen “Inkognito-Modus” vorstellen. In diesem privaten Chat
können Sie die Selbstzerstörung Ihrer Nachrichten einstellen. Klicken Sie
auf das Bild Ihrer Kontaktperson und wählen Sie die Option “neuer geheimer Chat” aus. Ihnen wird ein Verschlüsselungscode angezeigt, der allerdings eher eine Spielerei ist. Wenn Sie mit Ihrem Chatpartner unsinniger
Weise gerade in einem Café zusammensitzen, können Sie die Schlüssel
auf Ihren beiden Devices vergleichen, ansonsten ist der Code allerdings
unnötig. Die Ende-zu-Ende-Verschlüsselung müssen Sie in den Einstellungen der App aktivieren; bei Gruppenchats können Sie nur die Client-Ser-
ver-Verschlüsselung nutzen. Die Server des Dienstes finden sich weltweit:
In London arbeitet der Server für Europa, in Singapur der für Asien, in San
Francisco der für amerikanische User.
Teilweise quelloffen, teilweise intransparent
Teile von Telegram sind quelloffen. Die Entwickler stellen in ihren FAQ in
Aussicht, künftig weitere Codebrocken zu veröffentlichen. Telegram und
WhatsApp haben in Bezug auf den Datenschutz mehr gemeinsam als Telegram und Threema: Die App bedient sich an den Adressbucheinträgen
ohne Zustimmung des Nutzers oder der von betroffenen Personen, wenngleich die Datenschutzrichtlinien versprechen, den User erst zu fragen. In
unserem Test blieb eine solche Frage aus. Fraglich scheint auch, wie Telegram mit den Daten einer Person umgeht, die ihr Profil löschen will: Über
eine Deaktivierungsseite lassen sich Profile deaktivieren – in unseren Augen ein seltsamer Ausdruck; “löschen” wäre eindeutiger.
Was passiert mit den eigenen Daten nach der Deaktivierung
eines Profils? Telegram erklärt, Nachrichten, Gruppen und
Kontakte werden komplett gelöscht. Bei Nachrichten läuft
das übrigens so ab: Wenn Sie eine Nachricht löschen,
verbleibt diese noch auf den Telegram-Servern. Löscht
Ihr Gesprächspartner diese Nachricht auch, wird
sie vom Server gelöscht.
Sich selbstzerstörende
17
Telegram
Nachrichten werden gelöscht, sobald der Countdown, der mit dem Lesen
einer Nachricht durch beide Gesprächspartner aktiviert wird, abgelaufen
ist. Da solche Nachrichten nur in geheimen Chats mit Ende-zu-Ende-Verschlüsselung möglich sind, liegen diese Nachrichten auch nicht auf den
Servern. Geheime Nachrichten sind nicht in der Cloud verfügbar, sondern
ausschließlich auf dem Sender- und Empfängergerät. Sind solche Nachrichten gelöscht, sind sie also wirklich weg und nicht wiederherstellbar.
Auf der Website von Telegram ist kein Impressum einsehbar. Die Datenschutzrichtlinien und die FAQ sind in den Sprachen englisch, russisch und
spanisch verfügbar.
Sicherheitslücke bei Telegram wurde sofort gestopft
Telegram arbeitet insgesamt zuverlässig; als Telegram von einem Zuwachs von knapp 2 Mio. User twitterte, wurden neue Serverkapazitäten
angekündigt. Um die Sicherheit ihres eigenen Verschlüsselungsprotokolls unter Beweis zu stellen, hatten die Gebrüder Durov einen Ha200.000
ckerwettbewerb ausgelobt, bei
$
dem die oben schon erwähnten
200.000 US-Dollar für das Finden
von Schwachstellen gewinkt haben. Kaum geschehen, kritisierten
Experten, dass Angreifer nicht genügend Zugriff auf die Daten erhielten; das Protokoll könne man
so nicht ausreichend testen. Einem russischen Entwickler gelang es dennoch, eine Schwachstelle ausfindig zu machen, die Man-in-the-middle-Attacken zuließ. Er gewann das halbe Preisgeld und die Lücke wurde
umgehend von den Entwicklern geschlossen. Auf einen Jugendfilter verzichtet Telegram genauso wie auf XMPP.
In unserem Test schneidet Telegram schon mal besser ab als WhatsApp.
Das hauseigene Protokoll wirft allerdings einige Fragen auf, der Datenschutz ist unzureichend und die Verschlüsselungsparameter geben zudem keinen ausreichenden Schutz. Positiv hervorzuheben ist jedoch die
optionale Ende-zu-Ende-Verschlüsslung in den privaten Chats, die auch
selbstzerstörende Nachrichten ermöglichen. Dass theoretisch Dinge versprochen werden, die praktisch nicht eingehalten werden, ist kritisch zu
beurteilen, insbesondere was den ungefragten Zugriff auf das Adressbuch betrifft. Unsinnig erschienen uns der zugeschickte Validierungscode, den man nicht einmal benötigt, und der Verschlüsselungscode,
mit dem sich zwei Chatpartner gegenseitig ihre Schlüssel zeigen können, allerdings nur wenn sie sich gegenüberstehen. Das sind Features,
die Sicherheit vortäuschen, wo es keine gibt. Weiter erscheint uns auch
das Zukunftsmodell fragwürdig: Ausschließlich aus Liebe zum Messenger-User eine App zu finanzieren, wirkt unrealistisch, und ob Userspenden oder kostenpflichtige Features die App nach der Anfangsspende
einer der Entwickler tragen können, wirkt fraglich. Eine enorme Flexibilität, die kostenfreie Nutzung und die einfache Bedienung hingegen sind
Pluspunkte.
18
Telegram
Zusammenfassung Telegram
Verbreitung: offiziell: iOS & Android. Inoffiziell: Windows, Mac, Linux,
Windows Phone. Smartphone, Tablet, Rechner.
Einschränkungen: keine
Einrichtung: einfach, aber mit unnützem Validierungscode
Optik/ Bedienbarkeit: genau wie WhatsApp, umfangreicher Funktionsumfang
Flexibilität: Fotos & Videos mit bis zu 1 GB, Sprachnachrichten
Kosten: kostenlos
Orga/ Land hinter dem Service: Pavel & Nikolai Durov, Russland
Verschlüsselung: Ende-zu-Ende-Verschlüsselung einstellbar, aber eigens
entwickeltes Protokoll, das viele Kritiken einstecken muss.
Quellcode: teilweise offen, weitere Codes sollen künftig veröffentlicht
werden
Datenschutz: App greift ungefragt aufs Adressbuch zu. Gelöschte Nachrichten werden laut Telegram auch auf den Servern gelöscht.
AGB: intransparent, nicht in deutscher Sprache verfügbar, theoretische
Datenschutzrichtlinien widersprechen praktischen Tests
Sicherheitsprobleme: Schwachstelle, die für Man-in-the-middle-Attacken ausgenutzt werden konnte, wurde gestopft
Datenspeicherung: Daten auf weltweit verstreuten Servern (für Europa
in London) gespeichert. Beim Deaktivieren des Profils werden Daten ge-
löscht, bei geheimen Chats gar nicht erst gespeichert
XMPP: nein
Finanzierung: durch eine Spende einer der Entwickler. In Zukunft eventuell Spenden von Usern oder durchs Integrieren kostenpflichtiger Features
19
LINE
Funktionaler als die Konkurrenz, aber leider fast so
unsicher wie WhatsApp
LINE gehört zu den Messenger-Apps, die eine Alternative zu WhatsApp
darstellen wollen. Dabei geht LINE ziemlich plakativ vor: “Gratis” prangt
in der App-Store-Beschreibung in großen Lettern, Selbstverständlichkeiten wie die 24-Stunden-Funktionalität (also dass Anrufe
und Nachrichtenversand 24 Stunden am Tag möglich sind)
werden mit Ausrufezeichen betont. Es scheint zu wirken:
Weltweit sollen über 400 Millionen Nutzer in 231 Ländern
unterwegs sein und im 52 Länder-Vergleich, unter anderem
mit China, Spanien, Thailand, Singapur, der Schweiz oder
Saudi-Arabien, sei die App laut Eigenbeschreibung auf Platz
1 gewesen. Wir haben die App ausführlich getestet.
LINE gibt es für alle, überall und immer
LINE hat sich erfreulicher Weise eine
hohe Verbreitung auf die Fahnen geschrieben: Android, iOS, BlackBerry OS,
Windows Phone, Nokia Asha, Firefox OS
im Mobile- und Windows sowie Mac OS
im Desktop-Bereich können mit der App
arbeiten. Plattformübergreifend ist das
allemal, denn LINE ist die am besten verbreitete Messenger-App,
die wir bislang getestet haben. Auf Tablets, Smartphones und reinen WLAN-Geräten funktioniert LINE. In unseren Testanrufen war
es irrelevant, ob wir eine eher langsame WLAN-Verbindung, eine 3G-Verbindung oder schnelles WLAN hatten, LINE funktioniert tatsächlich reibungslos.
Die Installation ist denkbar einfach gestaltet: Auf seiner Website stellt
LINE Links zu den jeweiligen App Stores der verschiedenen Betriebssysteme bereit, sodass der Download nur einen Klick entfernt ist. Einfach und
praktisch – das gefällt uns. Folgen Sie den Anweisungen Ihres Webstores,
schon ist die App installiert. Direkt nach dem Start der App werden Sie
durch die Einrichtung geführt. Via SMS erhalten Sie einen vierstelligen
Code auf Ihr Gerät, den Sie – anders als bei Telegram – auch eingeben
müssen. Nun sind Sie unter Ihrer Mobilfunknummer registriert und können in den Einstellungen Ihre vierstellige Nummer in einen Namen ändern, der Ihren Freunden beim Chatten dann als Nutzername angezeigt
wird.
Das Hinzufügen von Kontakten erinnert bei LINE an Threema und Telegram: Die App durchwühlt Ihre Adressbuchkontakte und schlägt automatisch jene vor, die selbst LINE nutzen. Zusätzlich können Sie einen
Benutzernamen eingeben und wenn Sie eine Person im realen Leben
kennenlernen, die Sie gerne hinzufügen möchten, gelingt das mittels QRCode-Scan. In unserem Test haben wir uns für die Variante entschieden
und festgestellt, dass der Code zuverlässig erkannt wurde. Der Kontakt
war binnen weniger Sekunden hinzugefügt. Weiter ist es möglich, dass Sie
Freunde zu LINE per SMS oder E-Mail einladen.
20
LINE
Nutzerfreundlich und leicht zu bedienen
In der Anwendung zeigt sich LINE äußerst nutzerfreundlich und leicht bedienbar. Ein Menü zeigt die verschiedenen Optionen wie Chat, Timeline,
Anrufe und Video-Chats oder Audio Messages. Jeder Einsteiger kann LINE
schnell und intuitiv bedienen. Die Funktionalität ist für einen Messenger
äußerst umfangreich: In Videoanrufen sehen Sie Ihr Gegenüber, Sprachanrufe erinnern ans gängige Telefonieren, der Nachrichtenversand kann mit
Emoticons, Fotos und Standortinformationen
erfolgen, in der TimeLINE sehen Sie Beiträge
Ihrer Freunde und können selbst Statusmeldungen mit Text, Bildern, Filmen, Stickern und
Standortinformationen senden. Zur maximalen
Bild- und Videogröße konnten wir keine Informationen finden, haben uns an den Support
gewendet und warten auf Antworten. Auf der
Website von LINE können Sie unter iOS und
Android Zusatzfeatures installieren, darunter
LINE camera, LINE PLAY für personalisierte Avatars und (Multiplayer-)Spiele oder LINE BAND für
Gruppenchats. Die Zusatzfeatures sind, wie die
App selbst, kostenfrei, teilweise werden In-AppKäufe angeboten.
Die LINE Corporation aus Japan
Hinter LINE steckt die LINE Corporation aus Japan. Ausgehend von der
LINE-Website ist es gar nicht so einfach, zur dahinterstehenden Firma zu
kommen: Wir sind dem Blog gefolgt und konnten von da aus die Seite
der LINE Corporation besuchen, die in englischer oder japanischer Sprache gehalten ist. Auf der Website erfahren wir mehr über die Firma selbst,
darüber, was die Firma überhaupt macht – offenbar ist die LINE-App das
einzige Steckenpferd. Des Weiteren können wir die Stellenangebote und
News einsehen, zudem gibt es Kontaktmöglichkeiten für Business- und
Privatkunden.
LINE kam nicht erst nach der Facebook-Übernahme durch WhatsApp auf
den Markt, die App existiert bereits seit 2011. Entwickelt wurde sie durch
Naver, einer japanischen Tochter vom Koreaner NHN, einem börsennotierten Konzern, der
einen Jahresumsatz von etwa zwei Milliarden
Dollar verbucht. Damit ist davon auszugehen,
dass LINE nicht unter knappen Entwicklerressourcen leidet. LINE finanziert sich durch die
In-App-Käufe: Es gibt Sticker, die zuerst gekauft
werden müssen, ansonsten ist die App komplett
kostenfrei nutzbar, es sei denn, Sie nutzen keinen
entsprechenden Datentarif. Ursprünglich war es
möglich, Stickerpakete auch zu verschenken, allerdings hatte Apple ein
Problem damit: In seinem Blog informierte LINE darüber, dass Sticker-Geschenke gestrichen wurden und man nun nur noch für sich selbst Sticker
kaufen kann.
2 MRD.
21
LINE
Verschlüsselung & Datenschutz so desaströs wie bei
WhatsApp
Ähnlich wie bei WhatsApp stehen bei LINE Optik und Bedienbarkeit im Fokus – das geht auf Kosten der Sicherheit. Auf Ende-zu-Ende-Verschlüsselung verzichtet LINE, die Nachrichten von Gesprächspartnern können also
mitgelesen werden. Unter Android versendet die App sogar die IMEI des
Devices unverschlüsselt. Unter iOS wird Dritten die IDFA unverschlüsselt
mitgeteilt, allerdings lässt sich diese Freigabe in den Einstellungen untersagen. Bei iOS-Versionen unter 7 wird zudem die WLAN-Netzwerkadresse verschlüsselt an den App-Anbieter versendet. LINE verzichtet darauf,
seinen Quellcode offenzulegen, was die Überprüfung der Verschlüsselung
erschwert.
Etwas besser als WhatsApp regelt LINE das Durchwühlen
des Adressbuchs: Sie können dem widersprechen und die
App auch ohne Auslesen Ihrer Kontakte verwenden. In den
AGB ist festgehalten, dass LINE diese jederzeit ohne vorherige Mitteilung an den Nutzer ändern kann. Die AGB sind in
englischer, spanischer oder japanischer Sprache auf LINEs
Website einsehbar, wer diesen Sprachen nicht mächtig ist,
hat Pech. Genauso sieht es mit den Datenschutzbestimmungen aus.
LINE arbeitet zuverlässig
Weder Sicherheitslücken noch Serverproblematiken, die
zu Ausfällen führten, sind bislang über LINE bekannt. Die App arbeitet
zuverlässig unter allen gängigen Netzen und Betriebssystemen. Ein Jugendfilter existiert nicht, wenngleich in den AGB festgehalten ist, dass
Minderjährige die Zustimmung ihrer Eltern brauchen. Überprüft wird das
allerdings nirgends. LINE speichert die freigegebenen Daten auf seinen
japanischen Servern. Löschen Sie Ihren Account, werden alle Informationen inklusive Sticker, die registrierte Telefonnummer, Freunde und Gruppen, die Chat-Historie, verknüpfte Apps und die Anmelde-E-Mail-Adresse
gelöscht. Damit ist es nicht möglich, einen einmal gelöschten Account
wiederherzustellen. XMPP wird von LINE nicht unterstützt.
LINE ist leicht zu bedienen, hübsch anzusehen, plattformübergreifend
und glänzt durch Funktionalität, die andere Messenger nicht bieten. Solange Sie keinen Wert auf wirkungsvolle Sicherheitsaspekte legen, finden Sie in LINE die funktionalste App, die wir
bisher getestet haben. Ist Ihnen effektive Sicherheit aber
wichtig, zeigt sich LINE genauso unzureichend wie WhatsApp. AGB-Änderungen, ohne dass Sie davon in Kenntnis
gesetzt werden, fehlende Ende-zu-Ende-Verschlüsselung
und nur fremdsprachige AGB und Datenschutzbestimmungen sorgen für ein unzureichendes Ergebnis. Vorteilig
gegenüber WhatsApp ist allerdings, dass Sie für die App
nichts bezahlen brauchen, wenn Sie keine In-App-Käufe
abschließen, und dass Ihr Telefonbuch zur Nutzung des
Messengers nicht durchwühlt werden muss.
22
LINE
Zusammenfassung LINE
Verbreitung: alle gängigen Mobilsysteme, Mac & Windows
Einschränkungen: Linux
Optik/ Bedienbarkeit: ansprechend & einfach, sehr umfangreicher Funktionsumfang
Flexibilität: Fotos, Videos, Sprachnachrichten – zur maximalen Versandgröße bislang keine Aussagen
Kosten: kostenfrei, In-App-Käufe möglich
Orga/ Land hinter dem Service: LINE Corporation, Japan
Verschlüsselung: keine Ende-zu-Ende-Verschlüsselung, IMEI wird unter
Android unverschlüsselt an Dritte gesendet
Quellcode: nicht quelloffen
Datenschutz: intransparent, nicht in deutscher Sprache verfügbar
AGB: intransparent, nicht in deutscher Sprache verfügbar
Sicherheitsprobleme: keine
Datenspeicherung: auf japanischen Servern, nach dem Löschen des Accounts werden die Daten auch auf den Servern gelöscht
XMPP: nein
Finanzierung: durch In-App-Käufe (Stickerpakete)
23
WeChat
Höchster Komfort mit sehr fragwürdigen Richtlinien
Sie haben noch nie etwas von WeChat gehört? Das verwundert nicht:
Zwar nutzen 400 Millionen Menschen die Messenger-App, allerdings sitzen davon 300 Millionen Nutzer in China. Die Tencent Holding Ltd, welche die App entwickelt hat, freute sich im August 2013 über 100 Millionen
Nutzer außerhalb von China und holte den Fußball-Star Lionel Messi als Werbeikone ins Boot.
Mit 18 Sprachen ist die App für mehr als 200 Länder und Regionen erhältlich. Aber lohnt sich die
Installation in Hinblick auf
Sicherheit und Komfort?
Wir haben getestet.
Ein bisschen WhatsApp und LINE, ein
bisschen Facebook
300
Mio
Nutzer in China
Wie schon bei LINE und Telegram bekommt WeChat die Verbreitung besser hin als Threema und WhatsApp: Unter iOS, Android, Windows Phone,
der Nokia S40-Serie, Symbian und BlackBerry OS 5.0+ können Sie WeChat
nutzen. Für den Mac gibt es einen Client, für Windows-/ Linux-Rechner
einen Web-Client. Die Installation kann entweder über den jeweiligen
App-Store erfolgen oder über die Website von WeChat, auf der auch ein
QR-Code zur Installation angeboten wird.
Wie bei allen bisher getesteten Messengern ist die Installation auch bei
WeChat denkbar einfach. Folgen Sie den Installationshinweisen Ihres Ge-
räts, führen Sie die Registrierung unter Angabe Ihrer Mobilfunknummer
durch und schon können Sie die App in deutscher Sprache nutzen. Kontakte fügen Sie entweder hinzu, indem Sie Ihr Adressbuch durchstöbern
lassen, oder Sie verzichten auf diese bequeme Art und suchen datenschutzsicherer über die User-ID.
Als wir WeChat gestartet haben, warteten optisch keine Überraschungen
auf uns. Wenn Sie WhatsApp oder andere Messenger kennen, finden Sie
sich prima zurecht. Am unteren Rand können Sie zwischen Chats, Kontakten, einer Entdeckungsfunktion, die Ihnen Nutzer in Ihrer Nähe zeigt, und
Einstellungen auswählen. In der Chat-Übersicht sehen Sie neue Nachrichten. Eine kleine Besonderheit ist die Tatsache, dass Sie Fotos mit Ihren
Freunden liken, teilen und kommentieren können – das erinnert ein bisschen an Facebook und die App LINE.
WeChat ist noch vielseitiger als LINE
Begeistert waren wir von der Funktionalität, die WeChat bietet. LINE war
mit Video- und Sprachanrufen, der Messenger-Funktion selbst inklusive
Emoticons-, Foto- und Standortversand, Statusmeldungen, dem Versand
von käuflich zu erwerbenden Stickern und zusätzlichen Features bereits
gut ausgestattet. Darüber hinaus bietet WeChat mit
dem Feature “Games” Spiele an, Nachrichten können
im Entwurfsmodus gespeichert werden und die sogenannte “Look around”-Funktion erlaubt das Finden
von WeChat-Nutzern in Ihrer Nähe. Im Heimatland der
24
WeChat
App, China, ist diese Funktion der Hit. Hierzulande dürften
Datenschützer und Nutzer, denen Datenschutz wichtig ist,
eher kritisch auf diese Funktion schauen. Zudem gibt es
einen Zufallsmodus: Ihnen wird irgendein Chatpartner per
Zufall herausgesucht. Dafür schütteln Sie Ihr Telefon und
WeChat präsentiert Ihnen einen willkürlich ausgewählten
Nutzer, der am anderen Ende der Welt oder direkt in Ihrer Nachbarschaft sitzen könnte und der auch gerade sein
Smartphone geschüttelt hat.
Um Ihre Freunde und Kontakte zu einem Gruppenchat einzuladen, können
Sie einen QR-Code an bis zu 100 Teilnehmern versenden. Ihre Chat-History können Sie auf Ihrem Gerät für sieben Tage speichern. “Moments”
nennt sich die an Facebook erinnernde Funktion, bei der Sie Fotos öffentlich oder mit bestimmten Freunden teilen können. Wollen Sie Videos und
Sprachnachrichten versenden, gelten folgende Beschränkungen: Sprachnachrichten dürfen maximal 60 Sekunden lang und 1 MB groß, Videos
maximal 45 Sekunden lang und 20 MB groß sein. Informationen wie diese,
außerdem Tutorials, Freunde, Unterhaltung und Infos zu WeChat, finden
sich im englischsprachigen WeChat-Forum.
WeChat gehört Chinas größtem Internetunternehmen
Das Herunterladen und Nutzen von WeChat ist komplett kostenfrei, Stickerpakete kosten, wie schon bei LINE, Geld; hinzu kommt die Option, für
die Spiele Erweiterungen zu kaufen. Die App finanziert sich ausschließlich
über diese In-App-Käufe. In China können WeChatUser bei McDonalds und anderen großen Ketten über
einen gescannten Code bargeldlos bezahlen. Damit ist
der Entwickler Tencent im lukrativen Bezahlgeschäft
tätig. Aussagen darüber, dass Abomodelle oder andere
Bezahlsysteme für die App zukünftig anfallen könnten,
haben wir nicht gefunden, sodass davon auszugehen
ist, dass die App kostenfrei bleibt. Dafür spricht auch,
dass WeChat das Produkt der Tencent Holdings Ltd.
ist; dem größten Internetunternehmen der Volksrepublik China mit einer
Marktkapitalisierung von knapp 60 Milliarden US-Dollar (Stand: 04/2013).
Das an der Börse von Hong Kong notierte Unternehmen arbeitet in den
Bereichen Instant Messaging Service, soziale Netzwerke und Online-Medien, bietet darüber hinaus stationär und im Mobilfunk Online-Mehrwertdienste, Unterhaltung wie Multiplayer-Games, Online-Werbung und
E-Commerce. Seit 1998 existiert das Unternehmen und die Messenger-App
WeChat startete im Oktober 2010, kam also nicht erst nach der WhatsApp-Übernahme durch Facebook. Schon im Februar 1999 entwickelte
das Unternehmen mit OICQ einen Instant Messenger, der später Tencent
QQ genannt wurde, um Ähnlichkeiten zum Messenger ICQ zu vermeiden.
Aufgrund dieses Produkts stieg das Unternehmen enorm auf.
Verschlüsselung? Fehlanzeige …
Alte Nachrichten können Sie mit der integrierten Suchfunktion ausfindig
25
WeChat
Positiv zu erwähnen bleibt, dass Sie die Datenschutzeinstellungen selbst
in der Hand haben: In den Einstellungen haben Sie die Möglichkeit, Optionen für das Aufspüren durch Adressbücher, die Blockierliste und das
Feature “Moments” auszuwählen. Sie können das Durchstöbern Ihres
Adressbuchs unterbinden, können einstellen, dass andere Sie nicht mit
dieser Funktion finden, und Sie können Ihre “Moments” nur einem bestimmten Kreis mitteilen.
WeChat-Nutzer, die nicht unter Ihren Kontakten
sind, können Ihre Telefonnummer nicht sehen.
Ihre Identität können Sie auch vor Ihren Kontakten
verbergen und nur mit der WeChat-ID oder der QR
Name Card in Erscheinung treten.
Was ist dran an den Zensurvorwürfen?
Sicherheitsprobleme sind bei WeChat bislang nicht bekannt geworden.
Aber es gibt Zensurvorwürfe, die das Unternehmen zurückgewiesen hat:
Tencent sprach von technischen Problemen; man habe keine bestimmten Chatinhalte gefiltert, es hätte lediglich Probleme mit der Übertragung
gegeben. Diese Vorwürfe begannen Anfang 2013 und lebten Anfang 2014
erneut auf: Wieder berichtet der Spiegel über Zensurvorwürfe gegen die
Messenger-App. Wieder wehrte sich Tencent, diesmal mit der Begründung, Pornografie, Gerüchte und Gewaltdarstellungen wolle man unterbinden.
Einen Jugendfilter als solchen gibt es nicht,
wohl aber offenbar einen Wortfilter: Glaubt man
den oben verlinkten Spiegel-Online-Berichten,
landen Nachrichten mit bestimmten Wörtern
im Messenger-Nirwana und werden nicht zugestellt. Laut Spiegel sei es dafür aber nötig, chinesische Originalwörter zu verwenden, sodass
das Nutzer unserer Breitengrade eher nicht treffen dürfte. Die Server von WeChat stehen ausschließlich in China, was das Zensurproblem
verschärft. Auch die Nachvollziehbarkeit bezüglich des Datenschutzes wird dadurch nicht
leichter: Wenn Sie WeChat verlassen wollen,
müssen Sie erst die App deinstallieren. Anschlie-
Pornog
rafie
Gewalt
te
Gerüch
machen – Ihre Nachrichten sind verschlüsselt auf Ihrem Gerät gespeichert. Für diese lokale Datenverschlüsselung setzt WeChat auf SQLCipher.
Auf Ende-zu-Ende-Verschlüsselung verzichtet WeChat allerdings, genauso wie auf das Veröffentlichen des Quellcodes. Die AGB und Datenschutzrichtlinien sind nicht in deutscher Sprache verfügbar und sehen vor, dass
Tencent auf Aufforderung der chinesischen Regierung Informationen herausgeben darf bzw. muss. Welchen Umfang diese Informationen haben,
ist unklar. Weiter erlaubt sich Tencent, die AGB jederzeit ohne vorherige
Mitteilung an den Nutzer zu ändern. Anders bei den Datenschutzrichtlinien: WeChat weist ausdrücklich darauf hin, dass Änderungen dem Nutzer
vor dem Inkrafttreten auf wechat.com, in direkter Kommunikation oder
auf anderem Wege mitgeteilt werden.
?
26
WeChat
ßend wird eine E-Mail an den Support nötig, die die Bitte enthält, Ihren
Account zu löschen. Wenn Sie diese Option nutzen wollen, mailen Sie an
[email protected] und CC an [email protected]. Einerseits ist in
den AGB die Regelung enthalten, dass User-Content nicht an Dritte weitergegeben oder -verkauft wird. Andererseits erlauben Sie WeChat durch
die Nutzung, Ihre Inhalte durch Tencent und seinen Partnern zur Entwicklung und Optimierung eigener Services zu nutzen. Außerdem erlauben
Sie, dass Ihre Inhalte für Tencent und seine Partner kopiert, reproduziert,
gehostet, gespeichert, verarbeitet, angepasst, verändert, übersetzt, verbreitet und weltweit veröffentlicht werden dürfen – in sämtlichen bereits
existierenden Medien sowie in allen künftig entstehenden.
Die auf XMPP verzichtende App WeChat schneidet bei ihrer Funktionalität
und Bedienbarkeit außerordentlich gut ab! Aber wie unsere bisherigen
Tests schon zeigten, klafft durch ein Plus an Funktionalität eine riesige Lücke in Richtung Sicherheit: Verschlüsselt wird ausschließlich auf dem Device, wahrscheinlich werden Inhalte gefiltert und User-Content darf zwar
nicht verkauft, wohl aber verwendet werden. Anwender, denen Sicherheit
unwichtig ist, finden in WeChat eine außerordentlich umfangreiche, plattformübergreifende App – mit hoher Wahrscheinlichkeit werden solche Anwender allerdings nicht oft mit ihren Freunden chatten, denn noch ist die
App europaweit nicht stark verbreitet. Für sicherheitsbewusste Anwender
ist WeChat letztlich genauso desaströs wie WhatsApp, wenngleich man
noch mehr Datenschutzeinstellungen selbst vornehmen kann.
Zusammenfassung WeChat
Verbreitung: alle gängigen Mobilsysteme, Mac & Web-Client
Einschränkungen: keine
Flexibilität: Fotos keine Beschränkungen (werden ggf. herunterskaliert),
Sprachnachrichten max. 60 Sek./1 MB groß, Videos max. 45 Sek. /20 MB
Orga/ Land hinter dem Service: Tencent Holdings Ltd., China
Verschlüsselung: ausschließlich lokale Datenverschlüsselung mit SQLCipher
Datenschutz: nicht in deutscher Sprache verfügbar, intransparent, Anzeigen der eigenen Telefonnummer und Durchsuchen des Telefonbuchs
können unterbunden werden
AGB: nicht in deutscher Sprache verfügbar, intransparent
Zuverlässigkeit: unklar, ob Zensur oder technische Probleme
Datenspeicherung: auf chinesischen Servern, ob nach dem Löschen des
Accounts auch die Daten auf den Servern gelöscht werden, ist unklar
XMPP: nein
Finanzierung: durch In-App-Käufe (Stickerpakete, Zubehör in den Games)
27
Are you ready
for us?
schmoose
Messenger mit Potenzial
Am 27. Juni 2013 twitterte schmoose: “Are you ready for us?” – und niemand antwortete. Am 10. Juli 2013 wurde das dahinterstehende Unternehmen, Schmoose S. A., gegründet. Und schon am 16. Juli brachte ein
Twitter-User schmoose mit prismbreak in Verbindung – seither liest man
hier und da was von der App. Der Messenger soll anders sein. Sicherer. Wie
Threema, nur mit mehr Funktionen. Wir starteten voller Spannung in die
nächste Messenger-Testrunde!
schmoose muss erst noch für alle entwickelt werden
Noch ist schmoose nicht für alle Betriebssysteme erhältlich. Die Version
für Windows Phone 8 war die erste, die das Licht der Mobilwelt erblickte,
die Android-Version steht seit dem 10. April 2014 zum Download bereit.
Geplant sind Versionen für Windows 8 Desktop und für iOS; die Entwickler stellen das 2. Quartal als Erscheinungstermin in Aussicht. Während die
WP8-Version bereits in deutscher Sprache erschienen ist, soll die Android-Version in Kürze übersetzt werden. Die iOS-Version wird gleich in
Deutsch erscheinen. Auf unsere Anfrage bezüglich der aktuellen Nutzerzahlen sagt Sascha Kiefer, CTO von schmoose: “Ins Detail, was die Benutzerzahl angeht, wollen wir nicht gehen. Dafür, dass es uns erst seit knapp
5 Wochen gibt, und wir von opulentem Marketing abgesehen haben, sind
wir aber voll und ganz zufrieden.” Wir gehen davon aus, dass Herr Kiefer
mit dem Zeitraum von 5 Wochen die Android-Version meint, da die Gründung des Unternehmens wie eingangs erwähnt im Juli 2013 stattfand.
Für die bereits unterstützten Betriebssysteme arbeitet die Messenger-App
schmoose sowohl auf Smartphones als auch auf dem Tablet bzw. Desktop. Und hier gibt es eine Besonderheit, die schmoose von ihren Mitbewerbern unterscheidet: Haben Sie schmoose auf all Ihren Geräten installiert, können Sie morgens eine Konversation an Ihrem Smartphone
starten, sie mittags an Ihrem Desktop fortführen und abends auf dem
Tablet beenden. Auf all Ihren Endgeräten sind Unterhaltungen gleichzeitig möglich und deshalb ebenso auf allen Devices lückenlos verfügbar.
Bisher ist schmoose die einzige App in unserem Test, die diesen Komfort
ermöglicht.
Auch schmoose erlaubt eine einfache Installation: Gehen Sie in den Appstore Ihres Geräts und laden sich die App herunter. Sie können sich mit Ihrer
E-Mail-Adresse oder Ihrer Mobilfunknummer registrieren – übrigens auch
schon auf der Website von schmoose, um gleich zu erfahren, wann die
iOS-App startet. Nach der Installation werden Sie aufgefordert, ein Passwort einzugeben und selbiges zu bestätigen. Dieses Passwort geben Sie
bei jedem App-Start ein; arbeitet schmoose im Hintergrund, können Sie in
den Einstellungen festlegen, dass Sie Ihr Passwort dann nicht erneut eingeben müssen. Nun geben Sie Ihre Mobilfunknummer oder E-Mail-Adresse ein. Mit einem Klick auf “Register” bestätigen Sie, dass Sie mindestens
13 Jahre alt sind. Zur Validierung erhalten Sie per E-Mail einen Code, den
Sie nun eingeben. Sie können zu guter Letzt einen Nicknamen speichern,
um es Ihren Freunden leichter zu machen, Sie zu finden.
28
schmoose
Kontakte fügen Sie auf verschiedene Art hinzu: Sie können online nach
Kontakten suchen oder Kontakte über Ihr Telefonbuch importieren. Dafür
ist es nötig, die App “schmoose Contact Adress” zusätzlich zu installieren.
Erst hier geben Sie schmoose die Berechtigung, Ihre Adressbuchkontakte
auszulesen. Da schmoose so wenige Wochen nach dem Erscheinen noch
nicht so weit verbreitet ist wie teilweise die Konkurrenz, kann es sein, dass
das Auslesen des Adressbuchs vergeblich ist. Sie können Kontakte auch
über die schmoose-ID oder persönlich via QR-Code hinzufügen.
Ganz schön schmoosig
In der Nutzerfreundlichkeit unterscheidet sich schmoose überhaupt nicht
von seinen Konkurrenten. In angenehmen Blau gehalten, klappt die Bedienung intuitiv und bedarf keiner weiteren Erklärung. Etwas ärgerlich
mag für einige User sein, dass schmoose für Android (noch) nicht in deutscher Sprache erhältlich ist – die Übersetzung wurde allerdings schon angekündigt. Wir empfanden das beim Testen nicht als störend, da die App
keine Wörter enthält, die ein Wörterbuch voraussetzen, aber in den Appstores wird das durchaus als kritisch bewertet. Der Markenname “schmoose” stammt übrigens aus dem Jüdischen und
lässt sich mit “zwangloses Gespräch führen”
übersetzen – wir finden, das ist den Entwicklern gelungen. Das Wort erinnert auch an
“moose”, was “Elch” bedeutet, und so erklärt
sich das Logo des Messengers: Eine Sprechblase mit Elchgeweih.
schmoose wird es auch morgen noch geben
Kostenlose Apps sind schön und gut – aber sind sie auch tragfähig? Bei Telegram wunderten wir uns, dass die Entwickler von einem nichtkommerziellen Projekt sprachen und einer der Entwicklerbrüder mit einer Spende
daran beteiligt ist. Einen Plan für die Zukunft gibt es bei Telegram nicht
so recht. Bei schmoose schon: Sie können aus vier Versionen die wählen,
die für Sie Sinn macht. Der Download selbst ist kostenfrei. Sie starten mit
der Gratisversion, ab dem 2. Jahr müssen Sie dann Werbeeinblendungen
in Kauf nehmen. In dieser Gratisversion können Sie schmoose nur an einem Gerät verwenden und ausschließlich Bilder, keine Videos oder Dokumente versenden. Für die Basisversion zahlen Sie 1,99 € pro Jahr. Dafür
können Sie bis zu drei Geräte verwenden und auch Videos versenden. Die
Professional-Version kostet Sie 3,99 € pro Jahr. Nutzen Sie schmoose auf
bis zu fünf Geräten, versenden Sie zusätzlich Dokumente und bleiben Sie
inkognito bei dieser Version. Daneben können Sie Kontakte blockieren.
In einer Enterprise-Version, die sich an Unternehmen richtet, können Sie
schmoose unternehmensspezifisch personalisieren: Als Firma haben Sie
die Option, Ihren Server und eine eigene App zu lizenzieren und mit einem
eigenen Branding zu versehen. Auf Anfrage zu den maximalen Versandgrößen von Dateien schreibt uns schmoose: “Aktuell gibt es keine Textgrößenbeschränkung, Bilder werden jedoch reduziert (skaliert); an der
Video-, Dokument- & Audio-Übertragung arbeiten wir gerade.”
Schmoose S.A. hat sich eigens für die App gegründet. Das Unternehmen
sitzt in Luxemburg und die aus dem Saarland stammenden Geschäftsfüh29
schmoose
rer sind im Impressum der schmoose-Website einsehbar. Mitbegründer
und CEO Dr. Bernd H. Schmidt ist ebenfalls Gründer von DIaLOGIKa, einem Software-entwickelndem Unternehmen, das seit 1982 existiert. In
den FAQ finden sich unter der Frage “Wer seid ihr?” sämtliche Beteiligten.
schmoose kann, was Threema kann
Schmoose gehört zu den Messenger-Apps, die sich Sicherheit auf die Flaggen geschrieben haben. Die Ende-zu-Ende-Verschlüsselung erlaubt es,
dass die Nachrichten auf Ihrem Endgerät verschlüsselt und erst auf dem
Gerät des Empfängers entschlüsselt werden. Mit Details zur Verschlüsselung geht schmoose glücklicherweise offen um: AES-256, SHA-256 und
RSA mit 2048 Bit sind Standard. Schmoose setzt auf OpenPGP und realisiert Verbindungen via TLS 1.2-gesichertem HTTPS auf Port 15443. Den
eigenen Quellcode verrät schmoose nicht, setzt aber auf die quelloffene
BouncyCastle-Bibliothek. Auf ECC (Eliptic Curve Cryptography) verzichtet schmoose. Man habe versuchsweise ECC implementiert, allerdings
führte die symmetrische Verschlüsselung
in den Versuchen gelegentlich zu Performance-Problemen. Man arbeitet derzeit an
Alternativen mit der ebenfalls quelloffenen
Sodium-Bibliothek. Für die Kommunikation
zwischen Client und Server nutzt schmoose
das SignalR-Protokoll.
Den Quellcode will schmoose noch nicht
veröffentlichen. Schmoose begründet auf
seiner Website: Die Entwicklung und der Betrieb von schmoose sollten
sich mittelfristig selbst tragen. In Zukunft, so heißt es, könnten die Entwickler den Quellcode offenlegen - zumindest “vertrauenswürdigen Personen mit einem soliden Hintergrund im Bereich Sicherheit” wolle man
den Quellcode zur Verfügung stellen. Die Server von schmoose befinden
sich in Deutschland und anderen europäischen Ländern. Beim Nutzen
der Zusatzapp zum Auslesen des Telefonbuchs werden die Daten nicht
auf die firmeneigenen Server übertragen. Die Informationen werden in
Hashwerte gewandelt und so für die Suchanfragen verarbeitet.
Leider sind die Datenschutzrichtlinien nicht in deutscher Sprache verfügbar. Aus den Datenschutzbestimmungen geht hervor, dass schmoose die registrierten Telefonnummern und E-Mail-Adressen auf seinen
Servern verschlüsselt speichert. Weiter versichert schmoose, dass persönliche Daten nicht an Dritte weitergegeben werden. Daten werden
ausschließlich für interne statistische Zwecke, zum Reagieren auf Anfragen oder zum Bereitstellen eines angeforderten Services verwendet. Schmoose
behält sich vor, auf rechtliches Verlangen
hin, etwa bei Strafverfolgungen, mit dem
Herausgeben der Daten zu reagieren. Jeder User, der Daten bei schmoose hinterlegt hat, hat das Recht, Informationen
über die eigenen Daten einzuholen oder
die Löschung selbiger zu beantragen. Un30
schmoose
ter dem Punkt “Terms & Conditions” findet sich bislang nur der Hinweis
“Will be available soon …”. Damit sind die AGB leider absolut intransparent. Nach unserer Anfrage bei schmoose sind wir schlauer, was Übersetzungen angeht: “Wir sind gerade dabei, alles auf Deutsch zu übersetzen. Weitere Sprachen folgen. Dazu möchten wir den Benutzern ein
eigenes System zu crowd-basierten Übersetzungen präsentieren.”
Aus der Praxis: Ausfälle & Sicherheitsprobleme bei
schmoose
Aller Anfang ist schwer! Das musste auch schmoose feststellen: Probleme bei der Registrierung, mit der Nachrichtenübertragung, mit Profil-Updates, mit der Kontakt-Synchronisation und weitere Startschwierigkeiten
wurden jüngst in der WP8-Version behoben. Mitte April folgten Probleme
mit der Push-Notification,
die noch am selben Tag gelöst wurden. Ja, es gibt noch
diverse technische Probleme. Wir haben allerdings
den Eindruck, dass sich
schmoose schnell kümmert.
In unserem Test sind uns
keine Stolpersteine aufgefallen, wir konnten schmoose sinnvoll nutzen. Beim
Support haben wir erfragt,
wie es um die Verbreitung steht, also ob schmoose Aussagen zu den Nutzerzahlen machen kann, ob es eine deutschsprachige Version geben wird,
wie groß Bilder, Videos und Dokumente sein dürfen, ob die Datenschutzrichtlinien auch in deutscher Sprache online zu sehen sein werden und
wann die AGB einen Platz auf der Website finden. Unsere bisherigen Support-Anfragen bei Threema und LINE blieben unbeantwortet. schmoose
hingegen hat uns mit prompter Reaktion sehr positiv überrascht: Noch
am selben Tag bekamen wir ausführliche Antworten vom CTO Sascha Kiefer; auch an dieser Stelle noch mal herzlichen Dank für die sehr schnelle
Reaktion!
Schmoose hat in unseren Augen Potenzial. Die Finanzierung klingt tragfähig – zumal die App vom Gratisuser bis zum Unternehmen Lösungen
für alle anbietet. Die Ende-zu-Ende-Verschlüsselung ist ein dicker Pluspunkt, wenngleich schmoose derzeit auch von der Veröffentlichung des
Quellcodes absieht. Bedienen lässt sich der Messenger denkbar einfach
und die datenschutzrechtlichen Punkte haben uns überzeugt. Wenn die
Verbreitung der App funktioniert, die Startschwierigkeiten gelöst und die
Datenschutzrichtlinien übersetzt/ AGB ergänzt sind, können wir schmoose genauso empfehlen wie Threema. Die sehr schnelle Antwort von
Herrn Kiefer begeisterte uns sehr, wir sehen das als weiteren Pluspunkt
– schließlich ist es wertvoll, wenn die Entwickler von Messenger-Apps auf
die Anfragen ihrer User reagieren.
Zusammenfassung schmoose
Verbreitung: Windows Phone 8, Android
31
schmoose
Einschränkungen: Windows 8 Desktop & iOS (Versionen folgen bald),
Mac, BlackBerry OS
Optik/ Bedienbarkeit: ansprechend & einfach, Punktabzug durch englischsprachiges Interface (ändert sich bald)
Flexibilität: Keine Textgrößenbeschränkung, Bilder werden skaliert, an Video-/Dokument-/Audio-Übertragung wird aktuell gearbeitet
Kosten: Gratisversion, Basisversion (1,99 € p. a.), Professional-Version
(3,99 € p. a.), Enterprise-Version auf Anfrage
Orga/ Land hinter dem Service: Schmoose S.A., Luxemburg
Datenschutz: noch nicht in deutscher Sprache verfügbar, Telefonbuch
auslesen erfolgt optional und ohne Datenspeicherung auf Servern
AGB: intransparent, da nicht einsehbar
Zuverlässigkeit: einige Stolpersteine, die bei Windows Phone bereits gelöst wurden
Datenspeicherung: auf deutschen & europäischen Servern, verschlüsselt
XMPP: nein
Finanzierung: Abomodell
32
myENIGMA
Sicherer Messenger mit Schwachstellen
“Der sichere Messenger aus der Schweiz – Schütze deine Privatsphäre!”
– Das sind die ersten Worte, die einem ins Auge springen, wenn man die
Website von myENIGMA aufruft. Schnell wird uns klar: Auch diese Messenger-App möchte Sicherheit bieten und stellt selbige in den Vordergrund.
Wir machen uns gespannt an den 7. Teil unseres großen Messenger-Tests:
myENIGMA gibt es für die “üblichen Verdächtigen”
myENIGMA können Sie mit Smartphones und Tablets unter Android, iOS
und BlackBerry nutzen; sowohl über mobile Datenverbindungen als auch
rein unter WLAN. Eine Windows Phone-Version ist in Planung, allerdings
können die Macher der Messenger-App derzeit noch keinen Zeitpunkt
nennen. Eine Desktop-Version ist nicht geplant. Auch myENIGMA macht
die Installation einfach: Sie gehen in den Appstore Ihres Betriebssystems,
laden die App herunter und folgen den Anweisungen. Beim ersten Aufrufen der App haben wir einen Unterschied zu allen bereits getesteten Apps
festgestellt. Wir werden auf die Endbenutzer-Lizenzvereinbarung (EULA)
aufmerksam gemacht, können sie lesen, akzeptieren oder abbrechen.
Aktualisiert am 09. April 2014, sehen wir die Nutzungsbedingungen und
Datenschutzrichtlinien in deutscher Sprache und akzeptieren die Vereinbarungen.
Nun werden wir aufgefordert, unsere Telefonnummer einzugeben. Kaum
geschehen, geht eine SMS mit dem Aktivierungscode, der fünf Tage gültig
ist, an das Testgerät. In der App fragt uns myENIGMA, ob wir uns mit Fa-
cebook, Twitter, LinkedIn oder Xing verbinden oder diesen Schritt überspringen wollen – zweiteres wählen wir aus. Per SMS oder E-Mail könnten
wir nun Freunde einladen. Ähnlich wie schon bei Telegram bleibt uns der
Sinn des Aktivierungscodes verborgen: Auch nach dem Neustart der App
müssen wir ihn nicht eingeben. In den Einstellungen haben wir die Option, das Adressbuch auf Kontakte zu durchsuchen oder Kontakte über die
oben bereits erwähnten Wege hinzuzufügen. Das funktioniert also genauso einfach wie bei allen bisher getesteten Messengern.
Weniger funktional, aber alles Wichtige inklusive
Das Interface von myENIGMA wirkt aufgeräumt und übersichtlich. Die App
ist wesentlich dunkler gestaltet als ihre bisher getesteten Konkurrenten,
ansonsten gibt es keine nennenswerten Unterschiede. myENIGMA erlaubt
den Versand von Textnachrichten und Multimediadateien (Videos, Bilder,
Audionachrichten) mit einer maximalen Größe von 20 MB. Noch ist myENIGMA kostenfrei; in den FAQ ist bereits zu lesen, dass myENIGMA längerfristig seine laufenden Kosten mit einem Beitrag der User decken möchte.
Ob das einem Abomodell wie bei WhatsApp, einem Download-Kostenmodell wie bei Threema oder einem Modell
mit In-App-Käufen wie bei LINE entspricht,
scheint derzeit noch offen zu sein. Ab wann
User zahlen, wird in den FAQ nur mit “längerfristig” beantwortet, sodass in den kommenden Monaten noch nicht davon auszugehen ist.
20MB
33
myENIGMA
Die Schweizer Qnective AG ist Entwickler der
App. Sie kümmert sich um Softwarelösungen
und Kommunikationsplattformen für Regierungen und Unternehmen.
myENIGMA wird, solange der Messenger kostenfrei verfügbar ist, über die
Produkte der Qnective AG querfinanziert.
Sie können einzeln oder in Gruppen mit bis zu 30
Teilnehmern verschlüsselt chatten. Ein SMS-Modus erlaubt es, mit anderen myENIGMA-Usern
verschlüsselte SMS-Nachrichten auszutauschen
– praktisch vor allem dann, wenn Sie Konnektivitätsprobleme mit dem Internet haben oder aus
dem Ausland sicher kommunizieren wollen. Versenden oder empfangen Sie verschlüsselte SMS,
werden dieselben Gebühren fällig wie bei einer
normalen SMS, abgerechnet wird über Ihren Provider. Damit sind alle wichtigen Funktionalitäten gegeben – nicht ganz so
viele wie in eher spielerisch ausgelegten Messengern wie beispielsweise
LINE, der noch mit Video- und Sprachanrufe, Standortinformationen, eine
Timeline und weitere Zusatzfeatures ausgestattet ist, jedoch sind alle vorhanden, die definitiv nicht bei einem Messenger fehlen dürfen.
SMS
myENIGMA setzt auf Ende-zu-Ende-Verschlüsselung
Als unser Messenger-Test publik wurde, bekamen wir eine E-Mail von myENIGMA mit dem Hinweis auf das öffentlich einsehbare Whitepaper (PDF),
das die Qnective AG zur Verschlüsselung von myENIGMA zur Verfügung gestellt hat. Daraus gehen auch allgemeine Informationen hervor: myENIGMA entstand im Jahre 2012, im März 2013 folgte die Android-Version, im
April zog die BlackBerry- und im Juli die iOS-Version nach. Wir erfahren,
wie es zu myENIGMA kam; die Kurzform: Im Zuge der Software-Entwicklung Qtalk Secure, einer verschlüsselten Voice-Lösung für Regierungen
und Unternehmen, fiel den Entwicklern auf, dass diese Lösung nur einer
kleinen Gruppe von Menschen vorbehalten war. Für den Verbraucher war
Qtalk Secure nicht gedacht, sodass man für den Endnutzer eine sichere
App entwickeln wollte.
Anschließend geht es in dem Whitepaper ans Eingemachte: Die Sicherheitsfeatures werden erklärt. Chats werden mit AES-256 Ende-zu-Ende-verschlüsselt. Private Schlüssel bleiben auf dem angemeldeten Device,
sodass auch Qnective keine Nachrichten mitlesen kann. Die Nachrichten
werden über eine verschlüsselte Verbindung transportiert und alle 3,5
Tage werden die Schlüssel des Users erneuert, sodass ältere Nachrichten nicht mehr gelesen werden können, sollte der private Key in falsche
Hände geraten. Forward Secrecy (PFS) wird übrigens unterstützt: Nur
Cipher-Suites nach Diffie-Hellman können in myENIGMA arbeiten. Haben
Sie sich die Zeit genommen und zu Beginn der Installation den Endbenutzerlizenzvertrag durchgelesen, wissen Sie, dass Ihre Mobilfunknummer
und die Nummern Ihrer Kontakte (nicht die Namen) aus dem Telefonbuch
nicht im Klartext abgespeichert werden. Diese Informationen wandern
gehasht über eine verschlüsselte Verbindung an die in der Schweiz ste34
myENIGMA
henden Server. So wird es myENIGMA erlaubt, festzustellen, welcher Ihrer
Kontakte ebenfalls auf diesen Messenger setzt.
Ihre persönlichen Daten entfernt. Nicht-personenbezogene Daten bleiben maximal 30 Tage nach Ihrer Kündigung gespeichert.
myENIGMA zeigt transparent, was mit Daten geschieht
Auch die AGB lassen sich sowohl auf dem Mobilgerät als auch online in
deutscher Sprache einsehen. Das Übertragen gehashter Daten über eine
TLS-gesicherte Verbindung wird erklärt und die Entwickler weisen darauf
hin, dass ihre App “auf Kontaktnamen oder andere in Ihrem Adressbuch
vorhandenen Kontaktdaten” nicht zugreift. Einen Jugendfilter gibt es bei
myENIGMA nicht, in den AGB wird aber darauf hingewiesen, dass die App
erst ab 16 Lebensjahren genutzt werden darf.
Quelloffen ist myENIGMA nicht. Das begründet die Qnective AG im Whitepaper damit, dass sie Patente für einige der verwendeten Sicherheitsfeatures angemeldet habe, die geschützt bleiben sollen. Außerdem sei ein
veröffentlichter Quellcode keine Garantie dafür, dass dieser in der App
auch verwendet würde. Wie Qnective mit Ihren Daten umgeht, können Sie
in deutscher Sprache auf der Webseite von myENIGMA einsehen. In den
Datenschutzrichtlinien ist festgehalten, dass Ihre Mobilfunknummer und
die Hardware-ID Ihres Mobilgeräts zur Identifikation gesammelt werden,
außerdem teilt die App Ihren Online-Status (Sie können sich “offline” setzen), um ihn Ihren Kontakten mitzuteilen. Kontaktieren Sie den Support
per E-Mail, werden Ihre E-Mail-Adresse und weitere Infos, die Sie mitteilen,
von myENIGMA gespeichert. Auch nicht-personenbezogene Daten werden anonym gespeichert, sind Ihnen als Nutzer aber nicht zuzuordnen;
sie dienen statistischen Zwecken. Wie schon erwähnt, werden die Daten
gehasht über verschlüsselte Verbindungen übertragen.
Betont wird, dass persönliche Daten nicht verkauft oder an Dritte weitergegeben werden; Ausnahme bildet das Ersuchen von Justizbehörden.
Die Qnective AG behält sich vor, die bestehenden Daten “im Falle einer
Übernahme, Fusion oder eines Kontrollwechsels im Unternehmen einer
Drittpartei weiterzugeben”. Löschen Sie Ihren Account, werden auch all
Störungsmeldungen auf der Facebook-Page von myENIGMA
In unserem Test unter Android arbeitete myENIGMA zuverlässig. Wir haben uns auf der Facebook-Fanpage von myENIGMA umgesehen und sofort springen zahlreiche Störungsmeldungen ins Auge: “Schade, es gibt
viel zu oft Probleme. Das kennt man von WhatsApp nicht, von daher wird
es schwer für myENIGMA als ernstzunehmende Alternative …”, schreibt ein
frustrierter User, “Ausloggen!! Ich möchte übrigens selbst entscheiden ob
ich mich einlogge oder nicht! Hier bedarf es einer dringender Änderung!!”,
ein anderer als Reaktion auf ein Update, das die Logout-Funktion entfernt
hat. myENIGMA reagiert ziemlich zügig auf die Beschwerden der Nutzer
und schreibt beispielsweise zum Update: “Durch die vereinfachte Registrierung, welche mit der Version 1.31.x implementiert wurde, ist es nicht
mehr möglich, sich auszuloggen. Dies ermöglicht unseren Usern ständig
35
myENIGMA
über neue Nachrichten via myENIGMA informiert zu bleiben. Als zusätzliches Sicherheitsfeature arbeiten wir bereits an einer Pin Lock Funktion.”
Daneben wollen die Macher gerne wissen, wann sich die User ausloggen.
Es scheint also noch diverse Störungen zu geben. Auffallend ist, dass sich
schnell gekümmert wird: Oft lesen wir die Bitte, sich mit einer genauen
Schilderung des Problems an den Support zu wenden, es wird für das Verständnis gedankt, dass der Service gerade nicht erreichbar ist, und pünktlich darüber informiert, wenn das Problem behoben wurde. Das ist löblich,
aber ärgerlich, wenn es im täglichen App-Einsatz zu sich häufenden Problemen kommt. Sicherheitsprobleme hingegen sind nicht bekannt. Eines
könnte sich aber aus der nun fehlenden Logout-Funktion ergeben: Wird
das Gerät gestohlen, haben andere Zugriff auf die Nachrichten. Dem wird
allerdings durch das 3,5-tägige Austauschen der Schlüssel vorgebeugt.
Grundsätzlich haben wir einen positiven Eindruck von myENIGMA: Die
Sicherheitsfeatures sind stark, insbesondere die Tatsache, dass die
Schlüssel alle 3,5 Tage ausgetauscht werden, hat uns begeistert. So wird
vermieden, dass ein gestohlenes Gerät sämtliche Nachrichten offenbart.
Pluspunkte sammelt die Messenger-App auch bei der Transparenz der
Datenschutzrichtlinien und der AGB. Minuspunkte gibt es allerdings durch
die offenbar häufigen Störungen, auch wenn wir störungsfrei testen konnten. Der Funktionsumfang beschränkt sich aufs Wesentliche; für uns nicht
weiter störend, für User, die auch Videochats führen und Sticker versenden wollen, ist die App nicht die richtige.
Zusammenfassung myENIGMA
Verbreitung: Android, iOS und BlackBerry OS (Smartphones & Tablets)
Einschränkungen: Windows Phone (Version ist in Planung), Desktop-Version
Optik/ Bedienbarkeit: ansprechend & einfach, nicht ganz so funktional
wie diverse Konkurrenten, z. B. LINE
Flexibilität: Textnachrichten, Videos, Bilder, Audionachrichten max. 20 MB
Kosten: (noch) kostenfrei
Orga/ Land hinter dem Service: Qnective AG, Schweiz
Verschlüsselung: Ende-zu-Ende-Verschlüsselung, PFS wird unterstützt,
sehr gut
Datenschutz: transparent, in deutscher Sprache verfügbar, ausgelesene
Telefonnummern aus dem Adressbuch werden gehasht über verschlüsselte Verbindungen auf die Schweizer Server übertragen
AGB: transparent, in deutscher Sprache verfügbar
Zuverlässigkeit: viele Störungsmeldungen
Datenspeicherung: auf Schweizer Servern, verschlüsselt
XMPP: nein
Finanzierung: Querfinanzierung durch Produkte der Qnective AG; längerfristig ist ein Bezahlmodell geplant
36
TextSecure
TextSecure: die quelloffene, verschlüsselte Alternative
Eigenen Beschreibungen zufolge soll TextSecure zu den sichersten Messenger-Apps überhaupt gehören. Und es gleicht schon einem Ritterschlag,
dass Edward Snowden TextSecure neben RedPhone als Messenger empfiehlt. Auch dass der Entwickler und Hacker Moxie Marlinspike unter Sicherheitsexperten einen exzellenten Ruf genießt und von US-Behörden
regelmäßig drangsaliert wird, gilt
fast schon als Auszeichnung. Was
steckt hinter der App? Gelingt diesem Messenger der Spagat zwischen Benutzerfreundlichkeit und
Sicherheit? Wir haben getestet:
Kein Anschluss unter diesem Betriebssystem
“Die App ist mit keinem Ihrer Geräte kompatibel”, könnte es auch in Ihrem
App-Store heißen, wenn Sie versuchen, TextSecure herunterzuladen. Den
Messenger gibt es derzeit nur unter Android. Und zwar ausschließlich für
Smartphones. Das soll sich aber ändern: Die iOS- und Desktop-Versionen
sind bereits in Arbeit. Für den Spätsommer stellen die Entwickler die iOSApp in Aussicht; im Blog kann man sich bereits per E-Mail anmelden, um
dann vom Release informiert zu werden. Ob die App auch für Windows
Phone das Licht der Welt erblicken soll, ist bislang unklar – Aussagen darüber sind jedenfalls nicht zu finden. Damit ist der Kreis potenzieller Messengerkontakte auf Android-Smartphone-User begrenzt und Anwender,
deren Kontakte vorrangig mit iOS unterwegs sind, müssen sich in Geduld
üben. Rund 100.000 Installationen verzeichnet die App derzeit.
Nachdem Sie die App heruntergeladen haben, verläuft die Installation
bei TextSecure genauso einfach wie bei allen bisher getesteten Messengern. Starten Sie die App zum ersten Mal, können Sie ein lokales Sicherheitspasswort einrichten. Praktisch, da dieses Passwort für die lokale Verschlüsselung Ihrer Nachrichten sorgt. Geht Ihr Gerät verloren, können Ihre
Nachrichten aufgrund dieser Verschlüsselung nicht gelesen werden. Sie
werden gefragt, ob die App die Datenverbindung zum Versand von Nachrichten verwenden soll – entscheiden Sie sich für “ja”, müssen Sie Ihre
Handynummer eingeben. Verzichten Sie darauf, können Sie TextSecure
ausschließlich für den SMS-Versand nutzen, dann aber für verschlüsselte
und unverschlüsselte. Die Messaging-Funktion können Sie nur unter Angabe Ihrer Mobilfunknummer verwenden. Die App greift ausschließlich
nach Ihrem Einverständnis auf Ihre Handynummer zu.
Arbeitet Sie mit Android 4.4 KitKat, müssen Sie eventuell eine Einstellung korrigieren: TextSecure stellt sich nach dem erstmaligen Start als
Standard-Anwendung für den Nachrichtenversand ein, also auch für
herkömmliche SMS. Die Entwickler setzen ein Ende-zu-Ende-Verschlüsselungsprotokoll ein, was zur Folge hat, dass die Nachrichtenempfänger
ebenfalls mit TextSecure arbeiten müssen, um die Nachrichten dann entschlüsseln zu können. SMS-Gebühren fallen nicht an, da die Nachrichten
über die Datenverbindung gesendet werden. Nutzt der SMS-Empfänger
TextSecure nicht, wird die SMS unverschlüsselt zu gängigen Gebühren
37
TextSecure
versendet. Sie sehen an der Farbe der
Sprechblasen und an den Symbolen
(Schloss-Icon), ob Ihre Nachricht als
Standard-SMS oder WhisperPush (verschlüsselter SMS) gesendet wurde.
Ja, ziemlich einfach
15:50
Nach dem Einrichten: TextSecure in der Praxis
Während des Einrichtens wird nicht ganz klar, ob TextSecure das Adressbuch automatisiert ausliest. Lediglich die Information, dass Kontaktinformationen vorübergehend an den Server übertragen werden, bekommt
der Anwender aufs Smartphone-Display. Der Entwickler Marlinspike äußert sich in einem Blogbeitrag dazu: Damit Nutzer sehen, welcher ihrer
Kontakte TextSecure ebenfalls verwendet, überträgt der Messenger die
Telefonbuchkontakte an den Server, auf dem die Daten nicht dauerhaft
gespeichert werden. Versuche, auf das Übertragen der Adressbuchdaten
zu verzichten, erwiesen sich als unpraktikabel oder
unsicher. Und doch gibt es Alternativen zum Auslesen des Adressbuchs in der App: Ähnlich wie bei
Threema können Sie den QR-Code Ihres Gegenübers
einscannen oder Sie haben die Ruhe, einen 68-stelligen Zahlencode, die User-ID, manuell einzugeben.
Funktional lässt sich TextSecure nicht lumpen: Neben der Option, auch
verschlüsselte SMS zu übertragen, können Sie Gruppenchats mit einer
unbegrenzten Anzahl von Teilnehmern starten, Bilder, Audios und Videos
übertragen. Noch ist die Emoticon-Auswahl nicht inklusive, sie wurde aber
schon für die folgenden Updates angekündigt. Die Farb- und Symbolgebung in der App machen die Bedienung einfach und übersichtlich: Unverschlüsselte SMS sind grün unterlegt und ihnen fehlt das Schloss-Symbol, verschlüsselte Nachrichten sind blau und inklusive Schloss-Symbol.
Wenn Sie verhindern wollen, dass verschlüsselt angedachte SMS unverschlüsselt versendet werden, da Ihr Kontakt TextSecure nicht nutzt, können Sie diese Fallback-Option in den Einstellungen ausschalten. Dann
wird die SMS allerdings auch nicht zugestellt. Sinnvoll ist diese Option
auch, wenn Sie keine SMS-Flatrate nutzen und in einer Situation sind, in
der Sie keine Internetverbindung haben. Damit bietet TextSecure mehr
Funktionalität als sein Konkurrent myENIGMA, aber deutlich weniger als
LINE. Für Anwender, denen es um den Austausch von Nachrichten geht,
die auf Zusatzfeatures und eine größere Emoticon-Auswahl verzichten
können, reicht die Funktionalität allemal.
In der Dokumentation auf github.com ist zwar zu sehen, dass es eine maximale Versandgröße gibt, allerdings ist nirgends festgehalten, was das
in Zahlen bedeutet. Wir haben angefragt
und schon wenige Stunden später Antwort
erhalten: Aktuell liegt das Versandlimit für
sämtliche Anhänge bei 1 MB. Nicht sehr viel
– und daran will TextSecure arbeiten, ohne
uns schon einen Zeitplan oder eine geplante Maximalgröße nennen zu können.
38
TextSecure
Open Source: Eine ganze Gemeinde steckt hinter TextSecure
de-Verschlüsselung ist also nachvollziehbar. In ihrer 2. Version setzt die
App auf die OTR-Weiterentwicklung Axolotl, und das gibt ein immenses
Sicherheitsplus! Denn: OTR findet vorrangig bei XMPP-Chatprogrammen
Einsatz. OTR und das Axolotl-Protokoll verstehen Forward Secrecy, Axolotl geht aber noch einen Schritt weiter: Nachrichten können selbst dann
mittels Forward Secrecy verschlüsselt werden, wenn der Gesprächspartner offline ist. Aufs Wesentliche heruntergebrochen bedeutet das: Sie und
Ihr Chatpartner verfügen über einen Sitzungsschlüssel, der das nachträgliche Entschlüsseln Ihrer Kommunikation unmöglich macht, da er nur für
diese eine Session erstellt wurde und anschließend vernichtet wird. Das
funktioniert auch dann, wenn Ihr Gesprächspartner nicht online ist.
Aus der Information, wie sich Open WhisperSystems und damit auch TextSecure finanziert, ist frei einsehbar: TextSecure wird durch Zuschüsse aus
dem Open Technology Fonds finanziert. Weitere Infos zur Finanzierung und
der Quellcode von TextSecure sind auf GitHub einzusehen. Damit ist das
Verschlüsselungsverfahren der Messenger-App frei einsehbar und vielfach
geprüft. Zweimal durchlief der Code einer Überprüfung durch Gutachter.
Neben dem asynchronen Schlüsseltausch, Forward Secrecy und der Abstreitbarkeit (Deniability; kein Gesprächspartner kann beweisen, dass ein
anderer etwas geschrieben hat) gibt es die Verschlüsselung für die lokal
gespeicherten Nachrichten. Damit können wir uns bei TextSecure tatsächlich über viele effektive Sicherheitsparameter
freuen. Zwar liest TextSecure die Telefonnummern
aus dem Adressbuch, diese werden allerdings gehasht an die Server übertragen. TextSecure steht
unter der GNU GPL Version 3.
TextSecure wurde, wie eingangs erwähnt, vom Hacker Moxie Marlinspike erdacht. Marlinspike ist Mitbegründer des
Unternehmens WhisperSystems, das hinter TextSecure und
RedPhone, Snowdens zweiter Empfehlung, steht. WhisperSystems wurde im Jahre 2011 von Twitter gekauft, allerdings wurden die
beiden Produkte TextSecure und RedPhone, fern von Twitters Händen,
als Open Source-Projekte unter dem Projektnamen Open WhisperSystems von der Gemeinde (weiter-)entwickelt. Die ganze Story inklusive einer Einladung auf die Mailingliste bloggte Open WhisperSystems.
Sicherheit wie bei Threema, myENIGMA & schmoose,
nur offener
TextSecure ist die erste Messenger-App in unserer nun acht Wochen andauernden Testreihe, die ihren Quellcode offenlegt. Darauf verzichten
Threema, myENIGMA und schmoose – die Messenger, die ebenfalls Sicherheit und Privatsphäre in den Fokus ihrer Apps rücken. Die Ende-zu-En-
Zuverlässigkeit von TextSecure
In unserem Test arbeitete TextSecure zuverlässig, allerdings berichten
andere, etwa die t3n, von diversen Problemen: Die App war “nicht in
39
TextSecure
der Lage, nach dem Deaktivieren der Datenverbindung eine per App begonnene Konversation als SMS fortzusetzen, obwohl die entsprechende
Funktion aktiviert war” und: “In unserem kleinen Test hatte die App leider
auch kleinere Probleme mit dem Gruppenchat-Feature. Mindestens ein
Teilnehmer bekam die Nachrichten der Gruppe erst mit massiver Verspätung auf sein Smartphone ausgeliefert”, schreibt die Redaktion. Sicherheitsprobleme sind bislang nicht aufgetreten.
Kontaktinformationen werden nicht auf den Servern, die unter der AGPLv3-Lizenz stehen, gespeichert. Auch Telefonnummern werden nicht
gespeichert; die Kontaktnummern aus dem Telefonbuch wandern in gehashter Form an die Server, um einen Abgleich der bereits vorhandenen
Kontakte zu ermitteln und zu nutzen. Hosting-Gebühren werden aus Spenden finanziert. Gehostet werden die Server von den Entwicklern von CyanogenMod; einem Open Source-Betriebssystem für Smartphones und Tablets,
das auf Android basiert. Moxie Marlinspike antwortet auf die Frage einiger
User, wie die Hosting- und Client-Kosten gedeckt werden, mit der Hoffnung,
dass sich weitere Sponsoren zum Decken der Kosten finden werden.
Insgesamt hinterlässt TextSecure einen sehr guten Eindruck bei uns: Von
der Installation über die Nutzerfreundlichkeit bis hin zur Sicherheit gibt
es keinen Grund, auf den Messenger zu verzichten. Einige “Aber” bleiben
dennoch: Aber die App existiert derzeit nur für Android-Smartphones.
Deshalb das nächste Aber: Es kann sein, dass Ihre Kontakte noch nicht zu
den rund 100.000 Nutzern gehören. Das allerdings kann sich im Spätsom-
mer ändern. Ein weiteres Aber sind die Funktionsstörungen, die in diversen Tests aufgefallen sind. Anwender, die Sicherheit über eine schier unglaubliche Funktionsvielfalt stellen, sind mit TextSecure gut beraten.
Zusammenfassung TextSecure
Verbreitung: Android-Smartphones
Einschränkungen: Desktop & iOS (beide in Arbeit), Tablets, Windows Phone, BlackBerry
Flexibilität: Textnachrichten, Videos, Bilder, Audionachrichten max. 1 MB
Kosten: kostenfrei
Orga/ Land hinter dem Service: WhisperSystems/ Twitter, USA. Open
WhisperSystems ist das Open Source-Projekt hinter TextSecure.
Verschlüsselung: Ende-zu-Ende-Verschlüsselung, PFS, sehr gut
Quellcode: offen
Datenschutz: GNU GPL Version 3
AGB: GNU GPL Version 3
Zuverlässigkeit: kleinere Störungsmeldungen
Datenspeicherung: auf Servern unter AGPLv3-Lizenz, verschlüsselt & gehasht
XMPP: nein
Finanzierung: Zuschüsse aus dem Open Technology Fonds, Spenden
40
Cryptocat
Chat-Applikation mit bewegter Vergangenheit
“Have encrypted, private conversations. Cryptocat is an open source encrypted instant messaging platform.” – So wenig spektakulär haben sich
bislang die wenigsten Messenger vorgestellt. Wir erkennen sofort, worum
es den Entwicklern bei Cryptocat geht: Sicherheit. Privatsphäre. Kryptografie. Offenheit. Gespannt treten wir die neunte Runde unseres großen
Messenger-Tests an:
Privatsphäre bislang nur für iOS & Browser
Wenn wir einen Test starten, machen wir das ganz gerne in einer Runde
mit mehreren Betriebssystemen und unterschiedlichen Endgeräten. Das
ist bei Cryptocat nur bedingt möglich: Ausschließlich iPhone-Nutzer kommen in den Genuss, Cryptocat als App zu nutzen. Die anderen Tester müssen den Weg über den Browser (Chrome, Firefox, Safari, Opera) oder Mac
OS X wählen. Für Android soll die App bald erscheinen. Darüber, dass es
Versionen auch für Windows und Windows Phone geben soll, stellen die
Entwickler nichts in Aussicht.
Die App steht kostenfrei zum
Download zur Verfügung; unter
crypto.cat finden Sie einen Direktlink zum Herunterladen für ihren
Browser oder Ihr Betriebssystem.
Folgen Sie den Installationsanweisungen und Sie sehen, dass Cryp-
tocat leicht zu installieren ist. Die ersten Schritte werden Ihnen in einem
sich neu öffnenden Tab angezeigt, falls Sie den Weg über den Browser gewählt haben. Dann geht alles recht zügig: Wir sollen der Konversation und
uns selbst einen Namen geben. Alternativ geben wir den Namen einer
Konversation ein, der wir beiwohnen möchten. Cryptocat gibt bei dieser
Gelegenheit noch Tipps: “Cryptocat ist kein Wundermittel. Sie sollten nie
einer Software Ihr Leben anvertrauen.” Und: “Cryptocat kann Sie nicht vor
unzuverlässigen Menschen oder Key-Loggern schützen, außerdem wird
Ihre Verbindung nicht anonymisiert.” Wir fühlen uns im Bilde und testen.
Nach einem Klick auf “connect” werden die Verschlüsselungsschlüssel generiert.
Cryptocat informiert, dass wir uns gerade in einer Gruppenunterhaltung
befinden. Der Online-Status kann auf “verfügbar” oder “abwesend” gestellt werden, auf “Info” gibt es einen Fingerabdruck der Gruppenunterhaltung und einen OTR-Fingerabdruck für private Unterhaltungen. Wir
können Desktop- sowie Audio-Benachrichtigungen an- und ausschalten
oder uns ausloggen. Besonderheiten, die uns soweit aufgefallen sind:
Weder unter iOS noch im Browser mussten wir einen Account anlegen
oder uns registrieren. Cryptocat verbindet sich optional mit dem Cryptocat- oder einem selbstverwalteten Server. Unmittelbar nach dem AppStart können Sie Gespräche führen. Sie können also nicht auf klassischem
Wege Kontakte hinzufügen, sondern teilen vor einer Unterhaltung Ihren
Gesprächspartnern den Namen des Chatrooms, den Fingerabdruck Ihrer
Unterhaltung oder den OTR-Fingerabdruck für Privatchats mit.
41
Cryptocat
Verschlüsselt chatten – nur darum geht es Cryptocat
Optisch möchte Cryptocat nichts reißen. Ursprünglich als Webanwendung entwickelt, hat Cryptocat nicht den Anspruch, tolle Emoticons zu
bieten oder mit Funktionalität zu glänzen. Sie können chatten. Zu zweit
oder in Gruppen. Jeweils verschlüsselt. Nicht mehr – aber eben auch
nicht weniger. Anwender, die die hohe Funktionalität und die zahlreichen
Specials bei LINE oder WhatsApp schätzen, werden mit Cryptocat sicher
nicht allzu glücklich. Jedoch zählen diese Menschen auch nicht zur Zielgruppe von Cryptocat: In einem Blogbeitrag äußern die Entwickler klar,
dass dem Projekt mehrere Bürgerrechtsorganisationen, darunter die
Electronic Frontier Foundation, die auch wir
als Sponsor unterstützen, zur Seite stehen
und dass die werbefreie App vor allem Aktivisten, Journalisten und politisch Verfolgten
nutzen soll, aber natürlich auch jedem, der
Privatsphäre unter iOS (und bald auch Android) schätzt.
Erwarten Sie bei Cryptocat nicht, dass Ihnen Pushnachrichten zugestellt
werden und Sie Dateien versenden können. Cryptocat ist die App, die bei
unseren bisherigen Tests die geringste Funktionalität und Flexibilität bietet. Aber wie schon erwähnt: Diesen Anspruch hat Cryptocat auch nicht.
Mit der eigentlichen Webanwendung wollten die Entwickler ausschließlich einen verschlüsselten Chatroom bereitstellen – und das haben sie getan. Oder? Blicken wir hinter die Kulissen von Cryptocat:
Open Source-Gemeinde steht hinter Cryptocat
Als quelloffenes Community-Projekt ist die Open Source-Gemeinde an
der Entwicklung von Cryptocat beteiligt. Auf Github werden unter “Contributors” die einzelnen Zuständigkeiten genannt. Weiter erfahren Sie auf
Github, wie Sie selbst Server für Cryptocat aufsetzen (empfohlen werden
ejabberd für XMPP-Server oder nginx für HTTPS Proxy-Server).
Bei Cryptocat ist jeder Chat einmalig. Sie können morgen keinen Chat von
heute fortsetzen. Der Chatverlauf wird nicht gespeichert, eine Freundesliste gibt es auch nicht. Um sich zu einem Chat zu verabreden, müssen
Sie also einen anderen Kanal – persönlich oder elektronisch und idealerweise verschlüsselt – wählen. Nicht jedermanns Sache, sich vor dem Chat
erst mal verabreden zu müssen, aber der Sicherheit sehr dienlich.
Mit der Verschlüsselung müssen Sie sich als Anwender bei Cryptocat nicht
auseinandersetzen, sie geschieht im Hintergrund. Um Kontakte zu verifizieren, vergleichen Sie den digitalen Fingerabdruck. Ihren eigenen Fingerabdruck finden Sie im Menüpunkt “Me”. Einen
fremden Fingerabdruck sehen Sie, wenn Sie auf
Ihren Gesprächspartner klicken. Die Verschlüsselung bei Cryptocat basiert auf Off-the-Record-Messaging (OTR): Für jeden Chat werden
neue Schlüsselpaare generiert. Sie kennen dieses Verfahren auch als Perfect Forward Secrecy
(PFS).
42
Cryptocat
Problematische Verschlüsselungsparameter
Cryptocat existiert nicht erst seit der WhatsApp-Übernahme durch Facebook, sondern bereits seit Mitte Mai 2011. Bezüglich ihrer Sicherheit hat
die Anwendung bereits zu starker Verwirrung geführt: In einem Beitrag
aus dem Jahre 2012 kritisiert Patrick Ball die Sicherheit der App. Der Entwickler Nadim Kobeissi reagierte postwendend und baute die komplette Anwendung um. Um sicherzugehen, ließ Kobeissi für die Desktop-App
zwei Gutachten ausstellen, die Sicherheit bescheinigen sollten.
So weit, so gut – bis Steve Thomas im Jahre 2013 ein Tool schrieb, das
die privaten Schlüssel von Cryptocat berechnen konnte. Was war passiert – gilt doch das seit 2011 von Dan Bernstein entwickelte Verschlüsselungsverfahren als sehr sicher? Um Zufallszahlen zu erzeugen, setzte Cryptocat auf einen String von Zahlenwerten. Normalerweise kann
jedes der im Zufallsstring verwendeten Zeichen 256 unterschiedliche
Werte annehmen. Bei Cryptocat waren nur die Ziffern 0 bis 9 zulässig.
Bedeutet: Schlüssel mit einer Länge von 54 Bit gaben nur eine Sicherheit von 27 Bit, in der späteren Version gab es Schlüssel mit 106 Bit, die
allerdings nur eine Sicherheit von 53 Bit boten. Gruppenchats, die in der
Zeit zwischen Oktober 2011 und April 2013 gestartet wurden, lassen sich
also als kompromittiert betrachten, wie Steve Thomas auf seiner Website feststellte.
Was ist seither passiert? Es gab ein Schuldeingeständnis seitens Kobeissi
– und das Versprechen, die Verschlüsselungsparameter zu optimieren. So war es
nur eine logische Folge, zur Code-Review
aufzurufen, bevor die iOS-Version das
Licht der mobilen Welt erblickte. Neben
der Möglichkeit, den Quellcode von Cryptocat einzusehen und daran mitzuwirken,
hat Kobeissi eine Liste von Fehlern nebst
Optimierungsvorschlägen auf Github veröffentlicht. Weiter gibt es ein Belohnungsprogramm für jene, die neue Bugs im Code
ausfindig machen.
Insgesamt dürfte Cryptocat polarisieren: All jene, die von ihrem Messenger mehr erwarten als Chats, fallen aus der Zielgruppe. Bleiben noch die,
denen Sicherheit das wichtigste Anliegen ist, und diejenigen, die es nicht
stört, sich vor einem Chat extra dafür zu verabreden. Die theoretischen
Sicherheitsversprechen von Cryptocat entwickelten sich im vergangenen
Jahr zu desaströsen Sicherheitsfehlern, die das eigentliche Ziel der Verschlüsselung, Chats auch im Nachhinein nicht entschlüsseln zu können,
gänzlich verfehlten. Was bleibt, ist eine aufs Wesentliche reduzierte Applikation, die derzeit mobil nur unter iOS oder im Browser genutzt werden
kann, und eine Open Source-Community, die den Entwicklern über die
Schulter schauen und auf Fehler hinweisen kann.
43
Cryptocat
Zusammenfassung Cryptocat
Verbreitung: iPhone, Mac, Browser (Chrome, Firefox, Safari, Opera), reine
WLAN-Geräte via Browser
Einschränkungen: Android (erscheint bald), Windows, Windows Phone,
iPad (via Browser möglich)
Kontakte rüberziehen: nicht möglich/ nötig, nur Eingabe von Raum- und
Nicknamen
Optik/ Bedienbarkeit: einfach, setzt nicht auf verschiedene Funktionen,
ausschließlich Chat
Flexibilität: nur Textnachrichten, keine Dateianhänge
Kosten: kostenfrei
Orga/ Land hinter dem Service: Open Source-Gemeinde
sehr gut
Quellcode: offen
Datenschutz: GNU GPL Version 3
Zuverlässigkeit: kleinere Störungsmeldungen
Sicherheitsprobleme: eklatante Sicherheitsmängel in früherer Verschlüsselung
Datenspeicherung: weder lokal, noch auf Servern
XMPP: ja
Finanzierung: durch Spenden
44
ChatSecure
Sicherheit steht vor Komfort
Öffnet man die Website von ChatSecure, fällt sofort das Logo ins Auge:
Ein schwarzes Schloss. Hier geht es um Sicherheit. In unserem zehnten
Test unserer Messenger-Testserie möchten wir prüfen, was an dem Sicherheitsversprechen der Open Source-App ChatSecure dran ist:
ChatSecure bietet immense Verbreitung
iOS, Android, Windows, Mac und Linux: Mit ChatSecure kann jeder mit
jedem kommunizieren; die App lässt sich wirklich als plattformübergreifend bezeichnen. Auf Smartphones und Tablets funktioniert der Messenger genauso wie auf Desktops – XMPP
sei dank, denn Nutzer mit verschiedenen
XMPP-Clients wie Pidgin oder Adium können verschlüsselt mit ChatSecure-Nutzern
kommunizieren. Die Installation funktioniert denkbar einfach: Gehen Sie in Ihren
App-Store, laden Sie sich die App herunter
und folgen Sie den Installationshinweisen.
Wir sind kurz irritiert: Unsere iOS-Tester sehen ein anderes Interface als
die, die mit Android arbeiten. Diese Unterschiede sind bereits in den
Screenshots der App-Stores (Android / iOS) ersichtlich. Beide Versionen
sind recht holprig übersetzt – für Anwender mit spärlichen Englischkenntnissen dürfte es schwer werden, die englischsprachigen Informationen zu
den Einstellungen der Verschlüsselung zu verstehen.
Wir starten die App und werden aufgefordert, eine neue Passphrase einzugeben. Alternativ kann der User darauf auch verzichten. Hat sich der
Nutzer für eine neue Passphrase entschieden, folgt nach der Eingabe die
Bestätigung und die Konfigurierung des Accounts. Wir haben die Wahl:
Google, Jabber oder Bonjour. Wir wählen Google und die App möchte
auf Google Mail zugreifen. Wir willigen ein. Anschließend wird uns die Option gegeben, uns übers Tor-Netzwerk anzumelden, was die Orbot-App
notwendig macht. Für den Test verzichten wir darauf. Schön: Unseren
Online-Status können wir als online, abwesend, untätig, offline und beschäftigt anzeigen lassen. In den Einstellungen finden wir weitere datenschutzrelevante Optionen, etwa die automatische Anmeldung unseres
Accounts, die wir leicht ausstellen können.
Ein Klick in “Contacts” erlaubt uns, neue Kontakte per E-Mail einzuladen. Theoretisch. Denn unsere Einladung kam nie im Posteingang oder
Spam-Ordner des Nutzers an. Etwas gewohnheitsbedürftig wirkt auch die
Tatsache, dass ein Messenger, der Wert auf Privatsphäre legt, Kontaktlisten von Google Mail abgleicht: Wir sehen all unsere G+-Kontakte und deren Online-Status. Sowohl unter iOS als auch unter Android ist die App
ansonsten aber intuitiv und leicht bedienbar.
ChatSecure finanziert sich aus Spenden
In unserem Test wollten wir Anhänge versenden, wurden allerdings darauf
hingewiesen, dass wir erst die Verschlüsselung in den Einstellungen aktivieren sollen. Gesagt, getan – und wieder dieser Hinweis. Dasselbe beim
45
ChatSecure
Versuch, ein Foto und eine Audiodatei zu versenden oder ein Foto aufzunehmen. Wir haben es mit sämtlichen Einstellungen probiert: Chat-Verschlüsselung voraussetzen, automatisch, manuell oder nie – die Aufforderung blieb gleich, der Dateiversand ist uns im Test nicht gelungen. Wie
groß die Dateien sein dürfen, konnten wir nicht recherchieren und haben
beim Support angefragt.
Der kostenfreie Messenger ChatSecure setzt auf Spenden: Ein InApp-Link
führt zu PayPal, Spenden werden auch online via PayPal oder in Bitcoins
angenommen. Hinter dem Messenger ChatSecure steht The Guardian
Project; ein Entwickler von Open Source-Apps. Neben ChatSecure wäre
das beispielsweise Orbot; eine App, die dank Tor-Verbindung anonymes
Browsen unter Android erlaubt. Auch TextSecure steht auf der Seite des
Guardian Projects, allerdings unter den Apps, die von Dritten entwickelt
wurden, die aber von dem Entwicklerteam unterstützt und weiterentwickelt werden. Wer für welche Entwicklungen
verantwortlich ist, zeigt die Teamseite von
The Guardian Project.
Sicherheit: ChatSecure erinnert an TextSecure
In Bezug auf die Verschlüsselung und die Transparenz erinnert ChatSecure sehr an TextSecure. Während TextSecure mit der OTR-Weiterentwicklung Axolotl arbeitet, setzt ChatSecure auf Off-the-Record-Verschlüsselung (OTR). Deshalb sind verschlüsselte Nachrichten nur dann möglich,
wenn das Gegenüber einen kompatiblen OTR-Client nutzt. Eine Liste von
Clients, die OTR unterstützen, finden Sie im Ubuntuusers-Wiki. OTR unterstützt Perfect Forward Secrecy (PFS), was dafür sorgt, dass das nachträgliche Entschlüsseln von Nachrichten nicht möglich ist (ausführliche Informationen in unserem Artikel “Knowledge Base: Perfect Forward Secrecy“).
Im Systemspeicher werden ausgetauschte Konversationen nicht abgelegt,
sodass neugierige Apps an keine Informationen kommen. ChatSecure
verzichtet auch darauf, Adressbücher oder Nachrichten auf die Server zu
laden. Wird ChatSecure zusammen mit dem Datenschutz-Plugin Orbot
verwendet, können Firewalls, Netzwerkeinschränkungen und Blacklists
umgangen werden, weiter ist eine Rückverfolgung ausgeschlossen. Die Datenschutzrichtlinien wurden nach den Creative Commons Privacy Policy
erstellt. Demzufolge werden keinerlei persönliche Informationen auf den
Servern gespeichert und an Dritte weitergegeben, Nutzer werden nur nach
persönlichen Daten gefragt, die zur Anwendung der App nötig sind. Melden
sich Nutzer, wie wir in unserem Test, über Google an, verweist ChatSecure
ergänzend zu den eigenen Richtlinien auf Googles Privatsphärerichtlinien.
Auch die AGB sind frei einsehbar: Unter iOS entsprechen sie der GNU GPL
in Version 3, unter Android der Apache 2.0-Lizenz. Ein Jugendfilter ist auch
in diesem Messenger nicht vorhanden. Der Quellcode von ChatSecure ist
über GitHub einsehbar (iOS / Android).
Keine Sicherheitsprobleme mit ChatSecure
ChatSecure hat bislang keine Negativ-Schlagzeilen bezüglich etwaiger Si46
ChatSecure
cherheitsprobleme gemacht – die Verschlüsselungsparameter sind zum einen öffentlich einsehbar, zum anderen gilt OTR als sicher. Einschränkungen
gibt es jedoch in der Zuverlässigkeit und generellen Bedienung: In unserem
Test konnten wir weder Dateien versenden noch kam unsere E-Mail-Einladung an. Bei unseren Recherchen sind uns genau diese Probleme öfter aufgefallen, sodass dies ein generelles Problem zu sein scheint. Für iOS-User
ergibt sich noch ein weiteres Problem: Die Verbindung zum XMPP-Server
wird automatisch vom Betriebssystem nach zehn Minuten unterbrochen.
Wenn Sie also elf Minuten lang auf eine Antwort Ihres Chatpartners warten,
haben Sie Pech und müssen eine neue Konversation starten.
ChatSecure ist ein Messenger, der auf Live-Kommunikation setzt – Sie und
Ihr Gesprächspartner sollten online sein. Diesen Punkt realisiert WhatsApp attraktiver: Sie können dort auch Offline-Nachrichten für den späteren Empfang versenden. Auf Gruppenchats müssen Sie mit ChatSecure
verzichten. Positiv zu erwähnen ist die Tatsache, dass XMPP für eine immense Verbreitung sorgt: Sie können mit jedem Betriebssystem mobil
und stationär kommunizieren. Auch die Sicherheitsparameter stimmen.
Via OTR kommunizieren Sie Ende-zu-Ende-verschlüsselt und PFS schützt
Sie vor nachträglichen Entschlüsselungen. Dieses Sicherheitsdenken geht
auf den Komfort: Ein OTR-Schlüssel muss erzeugt und ein Jabber-Account
hinzugefügt werden. Die schnelle Alternative via Google-Login sorgt dafür,
dass sämtliche Kontakte aus Google Talk automatisch importiert werden.
Insgesamt ist ChatSecure als sichere App einzustufen, die sich für Anwender eignet, die bereit sind, beim Komfort dezente Abstriche zu machen.
Zusammenfassung ChatSecure
Verbreitung: iOS, Android, Windows, Mac und Linux, reine WLAN-Geräte
Einschränkungen: keine App für Windows Phone, via Browser nutzbar
Kontakte rüberziehen: Kontaktlistenabgleich via Google Mail bei Anmeldung über Google, Einladung per E-Mail
Optik/ Bedienbarkeit: unterschiedliche Optik in iOS & Android, teilweise nicht übersetzt, Einladungen per E-Mail kamen nicht an, Dateiversand
war im Test nicht möglich, Interface aber intuitiv bedienbar
Flexibilität: Anhänge, Fotos & Audios, Größe wurden beim Support erfragt
Kosten: kostenfrei
Orga/ Land hinter dem Service: The Guardian Project
sehr gut
Quellcode: offen
Datenschutz: Creative Commons Privacy Policy
AGB: iOS: GNU GPL Version 3, Android: Apache 2.0
Zuverlässigkeit: Dateiversand und E-Mail-Einladungen funktionieren
nicht zuverlässig
XMPP: ja
Finanzierung: durch Spenden
47
surespot
surespot will die Messenger-Welt privater machen
Beim Open Source-Messenger surespot steht die
Privatsphäre des Anwenders im Fokus: Auf die Ende-zu-Ende-Verschlüsselung wird der Besucher der
surespot-Website genauso hingewiesen wie auf die
Anonymität, die surespot bewahren will. In unserem
großen Messenger-Test haben wir uns genauer angeschaut, wie sicher, komfortabel und zukunftsfähig die
App surespot ist:
surespot: Von amüsanten Wortfetzen begrüßt
Noch vor der Installation bringt surespot uns zum Schmunzeln: Die
App-Beschreibung ist katastrophal übersetzt. Etwa die Beschreibung
der Voice Messaging-Funktion: “Wenn Ihre Augen oder Hände beschäftigt sind, Ihre Tastatur zu umständlich, oder Sie wollen einfach nur, es
zu sagen, anstatt es Typ-Sprachnachrichten werden mit der gleichen
Ausnahme Ende-Verschlüsselung, wie der Rest des surespot Nachrichten enden gesendet.” Schauen wir mal, ob die App-Übersetzung besser wird. Die Installation von surespot ist dafür genauso einfach wie die
der anderer Messenger: Wenn Sie mit iOS oder Android arbeiten, gehen Sie in Ihren App-Store, laden sich die App herunter und folgen den
Installationshinweisen. Sie können surespot auf Tablets und Smartphones sowohl mit mobiler Datenverbindung als auch nur über WLAN
verwenden. Eine Browser-, Windows Phone- oder BlackBerry-Version
gibt es nicht.
Wir öffnen die App und können durchatmen: Erste Texte sind gut übersetzt worden. Zu Beginn werden wir aufgefordert, ein Profil zu erstellen,
alternativ können wir ein vorhandenes wiederherstellen. Mit dem wichtigen Hinweis, dass Passwörter nie zurückgesetzt werden können, melden
wir uns an. Das Profil wird erstellt, Schlüssel generiert – all das passiert
im Hintergrund, wir haben nichts damit zu tun. Schön: In einem Hilfetext
erfahren wir wichtige Informationen zu der App, etwa wie die Verschlüsselung arbeitet, wie wir Kontakte hinzufügen können, was passiert, wenn
das Gerät verloren geht oder die App deinstalliert wird, wie wir unser Profil sichern können und wir erfahren die wichtigsten Funktionen. Weiter
werden wir darauf hingewiesen, dass wir mit einem Klick auf Ok die AGB
bestätigen, die genauso verlinkt sind wie die Verschlüsselungsparameter. Mit einem Klick auf die verlinkten Verschlüsselungsinfos gelangen wir
auf Wikipedia und können gleich nachschauen, was beispielsweise Ende-zu-Ende-Verschlüsselung bedeutet.
Wieder zurück in der App, ist die Hilfeseite verschwunden, aber wieder
aufrufbar, und wir können Freunde einladen. Wir entscheiden uns, gegen
SMS, Twitter, Tumblr, Google Plus und Facebook und für den E-Mail-Weg.
Ob die Einladung auch ankommt? Bei ChatSecure war das nicht der Fall.
Die Option, unseren QR-Code scannen zu lassen und sich so face-2-face
zu kontakten, wird ebenfalls angeboten. Alternativ können wir den Benutzernamen von surespot-Usern eingeben und uns so mit ihnen kontakten. Das Hinzufügen von Kontakten ist mit surespot angenehm vielfältig
und in der Anwendung simpel gelöst, aber nicht so simpel wie etwa bei
48
surespot
WhatsApp, wo einfach auf das Telefonbuch zugegriffen wird. Der Sicherheit kommt es allemal zugute, und so verkomplizieren wir gerne den Weg,
Kontakte hinzuzufügen.
Unsere Einladungsmail ist mittlerweile beim Testempfänger angekommen; Einladungen funktionieren also. Wir schauen uns bei surespot um:
Das Interface wirkt aufgeräumt, vielleicht sogar etwas spartanisch, und
selbsterklärend, die Übersetzungen bleiben gut. In der Profilverwaltung
können wir unser Profil auf dem lokalen Datenträger oder mit Google
Drive sichern. “Für extremen Sicherheitsbedarf”, wie es in der App heißt,
können wir ein neues Schlüsselpaar erzeugen. In den Profileinstellungen
können wir das Hintergrundbild ändern und diverse andere Einstellungen
vornehmen, in den allgemeinen Optionen ist es möglich, den Zwischenspeicher nach jedem Beenden der App zu löschen. Ein weiterer sinnvoller
Punkt für die Sicherheit.
Kann surespot mehr als andere sichere Messenger?
Welche Funktionen die Messenger-App surespot bietet, geht aus dem “getting started”-Bereich der Website hervor: Voice Messages sind seit dem
letzten Update möglich und werden mit 1,79 Euro berechnet. Eine stetig
wachsende Emoticons-Bibliothek gibt es für Android-User, für iOS-Nutzer
bleibt es beim Emoticons-Angebot der iOS-Tastatur. Der Bildversand bietet ein Special: Empfangene Bilder sind erst mal gesperrt. Um die Bilder
in die Galerie des Empfängers zu speichern, können Bilder durch einen
langen Klick auf das gesendete Bild entsperrt werden. Wie groß Bilder und
Voice Messages sein dürfen, haben wir einmal mehr erfragt und ergänzen,
sobald wir Antwort haben.
Als Besonderheit empfinden wir die Tatsache, dass Nachrichten, die Sie
auf Ihrem Device löschen, auch beim Empfänger und auf dem surespot-Server gelöscht werden. Bedeutet einerseits, dass Sie im Falle wichtiger Nachrichten, etwa dem Versand einer Telefonnummer oder eines
Termins, schnell sichern oder sich die Information aufschreiben sollten.
Bedeutet aber andererseits, dass Sie volle Kontrolle über Ihre Nachrichten und Daten behalten. Auf dem Server werden maximal 1.000 Meldungen gespeichert, anschließend werden die älteren Nachrichten gelöscht,
um Platz für neue zu machen. Eine weitere Besonderheit, die leider nicht
jeder Messenger bietet, ist die Blockier-Funktion: Wollen Sie den Kontakt
mit einem anderen User nicht mehr, können Sie ihn blockieren. Und die
dritte Besonderheit: Sie können verschiedene Identitäten annehmen.
Klarnamen-Diskussionen wird es bei surespot dank dieser Funktion wohl
nie geben. Wenn Sie eine Ihrer Identitäten nur vorübergehend gebraucht
haben, können Sie diese unter den Profileinstellungen löschen und damit
werden auch all Ihre Nachrichten bei Ihnen, dem Empfänger und auf dem
Server gelöscht.
Auch das Nutzen verschiedener Geräte ist möglich – geht aber leider nicht
ganz so unkompliziert wie bei schmoose: Wenn Sie Ihre Konversationen
am Tablet beginnen und am Smartphone fortführen wollen, müssen Sie
alles sichern und auf dem anderen Gerät importieren. Eine Lösung, die
49
surespot
zwar etwas umständlicher, aber immerhin vorhanden ist. Mit der Schlüsselbund-Funktion haben die surespot-Entwickler den Komfort erhöht: Um
sich schnell einloggen zu können oder zwischen verschiedenen Identitäten hin und her zu switchen, speichert diese Funktion Ihr Profilpasswort.
Praktisch ist das vor allem mit dem Wissen, dass Passwörter nicht zurückgesetzt werden können. Unter Android muss eine PIN oder ein Passwort
zum Aktivieren der Schlüsselbundfunktion gesetzt werden; deaktiviert
werden kann sie jederzeit in den allgemeinen Einstellungen.
surespot finanziert sich durch In-App-Käufe & Spenden
Hinter der App steht 2fours und dahinter stehen der CEO Cherie Berdovich und der CTO Adam Patacchiola. Im Jahre 2013 riefen sie surespot
für Android ins Leben, 2014 folgte die App für iOS. Mit Büros in Boulder,
Colorado, USA, wird surespot auf zwei Wegen finanziert: Über Spenden,
die in Bitcoins, via Flattr oder PayPal angenommen werden, und über
In-App-Verkäufe von Audionachrichten. Die Spenden nutzt 2four nicht nur
für Weiterentwicklungen der App surespot, sondern sie werden teilweise
an die Electronic Frontier Foundation (EFF) weitergeleitet. Eine erste Finanzspritze gab es bereits im Firmengründungsjahr 2012: 10.000 US-Dollar sind als außerbörsliches Eigenkapital eingeflossen.
Einen Gruppenchat gibt es leider noch
nicht, die Funktion ist allerdings in Planung.
Dass die Übersetzungen innerhalb der App
gut sind, ist vielen freiwilligen Helfern zu
verdanken, die bereits unter anderem in Deutsch, Türkisch, Spanisch und
Italienisch übersetzt haben. Serverseitig setzt 2four auf node.js, redis und
seit neuestem auch auf Apache Cassandra.
Daumen hoch für das Sicherheitskonzept von surespot
Der Fokus der Entwickler von surespot liegt auf Sicherheit
und Privatsphäre. Das beginnt damit, dass surespot nicht
das Adressbuch abgleicht, geht über die Möglichkeiten, Kontakte zu blockieren und ohne Klarnamen mehrere Identitäten haben zu
können, und endet mit den Verschlüsselungsparametern. Der Messenger setzt auf eine AES256-GCM-Verschlüsselung, die auf dem Diffie-Hellmann-Schlüsseltausch mit 521 Bit basiert. In der Praxis verläuft die Verschlüsselung bei surespot so:
Die Chatteilnehmer vereinbaren über das Public-Key-Verfahren einen
symmetrischen Schlüssel, mit dem die Nachrichten ver- und entschlüsselt werden. Den öffentlichen Schlüssel verteilt der von 2fours betriebene Server. Leider ist es nicht möglich, den Schlüssel via QR-Code wie bei
Threema zu prüfen. surespot setzt für den kryptographischen Teil auf die
Bibliotheken Cryptopp (iOS), Spongy Castle (Android), node.bcrypt.js und
dcrypt (Server).
Beim Datenschutz und den AGB macht es surespot genauso wie ChatSecure und setzt auf die Creative Commons Privacy Policy, bei den AGB auf
GNU GPL Version 3. Schwachstellen hat es gegeben; auf Reddit.com stel50
surespot
len sich die Macher einer Diskussion darüber. Außerdem veröffentlichten
die Macher ein ziemlich ausführliches Bedrohungsmodell, das mögliche
Angriffspunkte aufzeigt. So könnten Angreifer beispielsweise neue öffentliche Schlüssel und Signaturen für Nutzer generieren, wenn ein Angriff auf
die surespot-Server gelingen würde. Kontakte würden nicht bemerken,
dass der Account des Freundes kompromittiert ist. Die Schwachstellen
sind behoben und bislang fiel surespot nicht durch mangelnde Zuverlässigkeit auf. Leider fehlt auch diesem Messenger der Jugendfilter. Über die
quelloffene App wurde bislang noch kein komplettes Gutachten erstellt.
Alles in allem sind wir zufrieden mit surespot: Die App zeigt sich funktionaler als ihre ebenfalls sicheren Mitbewerber (vor allem, wenn der Gruppenchat eingeführt wird), aber weniger funktional als die Messenger, die
nicht auf Sicherheit setzen. Otto Normalverbraucher kommen mit surespot sicherlich prima zurecht, wenn sie bereit sind, einige Einschränkungen im Komfort hinzunehmen und dafür Ende-zu-Ende-verschlüsselt zu kommunizieren. Privatsphäre und Sicherheit sind die Themen,
mit denen sich die Entwickler von surespot
auseinandergesetzt haben – herausgekommen ist ein leicht zu bedienender und sicher
wirkender Messenger. Datenschützer dürften
entzückt sein über die Tatsache, dass sich surespot zu keinem Zeitpunkt mit der Telefonnummer oder E-Mail-Adresse des Anwenders
verbindet.
Zusammenfassung surespot
Verbreitung: iOS, Android, Tablets, Smartphones, reine WLAN-Geräte
Einschränkungen: Windows Phone, BlackBerry OS
Kontakte rüberziehen: Einladung per E-Mail, soziale Netzwerke (es wird die
Website von surespot geteilt), QR-Code oder Eingabe des Benutzernamens
Optik/ Bedienbarkeit: Übersetzungen gut, Interface intuitiv bedienbar
Flexibilität: Bilder & Voice Messages, Größe wurden beim Support erfragt
Orga/ Land hinter dem Service: 2four in Boulder, Colorado, USA
Quellcode: offen
Datenschutz: Creative Commons Privacy Policy
Sicherheitsprobleme: Schwachstellen wurden behoben
XMPP: nein
Finanzierung: durch Spenden und In-App-Käufe
51
Chadder
Verschlüsselter Messenger von John McAfee
Chadder heißt der neueste Streich aus dem Hause McAfee, bekannt durch
sein gleichnamiges Antivirenprogramm. John McAfee springt damit auf
den Zug der sicheren Messenger mit auf – ob das gelingt? In unserem letzten Messenger-Test widmen wir uns dem Nachzügler Chadder, der erst
kürzlich das Licht der mobilen Welt erblickte.
Chadder bisher nur für Android und Windows Phone
Chadder wurde für Android- und Windows Phone-Smartphones konzipiert, eine iOS-Version ist bereits angekündigt. Tablet-User können die
Messenger-App dennoch herunterladen und nutzen. Wir testen unter
Android die Version, die gerade am 27.05. aktualisiert wurde. Überarbeitet
wurden diverse Probleme, wie etwa die vorher nicht immer funktionierende Login-Funktion oder die regelmäßigen Abstürze. Chadder ist noch
in der Public-Beta-Phase, wie wir der App-Beschreibung entnehmen. Noch muss also nicht
alles reibungslos funktionieren. Die Installation von Chadder verläuft genauso einfach wie
bei allen bereits getesteten Apps: App-Store
besuchen, herunterladen und den Installationshinweisen folgen.
Jetzt wird es spannend: Kurz nach dem Start bekommen wir die Option,
uns einzuloggen oder zu registrieren, wir entscheiden uns für Letzteres.
Nach Eingabe eines Nicknamens, eines Usernamens und eines Pass-
worts können wir an einer erklärenden Führung teilnehmen, die leider in
englischer Sprache gehalten ist, was sicher nicht jeden User anspricht.
Das Tutorial ist dennoch sinnvoll aufgebaut und erklärt angenehm die
Funktionen des Messengers. In unserem Test läuft jedoch etwas schief:
Wir möchten vom Tutorial in die Einstellungen wechseln. Dies gelingt
uns leider nicht und somit bleiben wir im Tutorial stecken. In der Ansicht
“Chats” bekommen wir die Möglichkeit, über das Stiftsymbol zu unseren
Profileinstellungen zu gelangen. Die fallen spärlich aus: Das Geschlecht,
den Nicknamen, die Telefonnummer und die E-Mail-Adresse lassen sich
einstellen, zudem auch die Option, ob diese Daten öffentlich angezeigt
werden. Weitere individuelle Einstellungen sind nicht möglich.
Kontakte lassen sich über ihren Namen, ihre Telefonnummer, ihre
E-Mail-Adresse oder über einen vierstelligen Code hinzufügen. Vorausgesetzt, sie sind bereits bei Chadder angemeldet, denn eine Möglichkeit,
Kontakte einzuladen, findet sich nicht. Überhaupt ist der Funktionsumfang sehr übersichtlich: Sie können Textnachrichten versenden. Keine
Bilder, keine Videos, keine Standortinformationen, es gibt keine Sprachnachrichten und auch Gruppenchats sind nicht vorhanden. Allerdings
sind Funktionen wie Stickers, Spaßbilder etc. geplant.
Spendenfinanzierung funktioniert nur bedingt
Die App kann kostenfrei heruntergeladen werden; In-App-Käufe oder Abos
gibt es nicht. Wie also finanziert sich Chadder? Das weiß auch Etransfr, die
Firma hinter Chadder, noch nicht so richtig. Die Pläne gehen da hin, Geld52
Chadder
geber zu finden, wie Lexi Sprague, CEO von Etransfr, in einem Blogbeitrag
offenbart. Dafür sind alle, die von Chadder begeistert sind, angehalten,
die Augen und Ohren nach interessanten Investoren offenzuhalten. Der
Hashtag #Chadderforall und die Spendenseite Qikfunder sollen helfen,
bislang sieht es aber mager aus: 580 US-Dollar von 50.000 US-Dollar
(Stand: 05.06.2014) wurden von 13 Geldgebern investiert; das entspricht
einem Prozent. Es bleiben nicht mal mehr 30 Tage, bis das Spendenprojekt auf Qikfunder abläuft.
Etransfr ist eine Firma, die sich auf die Fahnen geschrieben hat, das Internet wieder
privater zu machen. Bislang mit genau einem Produkt: Chadder. Etransfr
besteht aus Master- und Bachelor-Studenten des Rochester Institute of
Technology. Was John McAfee damit zu tun hat, wird mit einem Klick auf
eine Statusmeldung bei Facebook deutlich: “Wir freuen uns, bekanntzugeben, dass das Etransfr-Team von John McAfee entdeckt wurde!”. Partnerfirma und Vertriebskanal ist Future Tense Central (FTC); ein Unternehmen, das sich selbst mit den Worten “We’re in the business of privacy”
beschreibt. Neben Chadder gehört DCentral1 zu den Steckenpferden von
FTC; eine Android-App, die andere installierte Apps auf ihre Berechtigungen hin untersucht und diese auch entziehen kann. Zudem wurde die Sicherheitsfirma von John McAfee gegründet.
John McAfee zählt zu den Urgesteinen des Antivirenbereichs; er war einer
der ersten, die Antivirensoftware angeboten haben. 1987 gründete er das
nach ihm benannte Unternehmen, 1994 verließ er es als Multimillionär.
Seither versucht John McAfee, Startups zu unterstützen. Bislang konnte
sich keines dieser Unternehmen am Markt etablieren – bleibt abzuwarten,
wie das bei Chadder ausgehen wird.
Trifft das Sicherheitsversprechen von Chadder zu?
Chadder wirbt damit, die Privatsphäre zu achten und verschlüsselte
Nachrichten auszutauschen. Damit richtet sich der Messenger an sicherheitsbewusste Anwender, die gut und gerne auf einen immensen Funktionsumfang verzichten können. Quelloffen ist Chadder nicht, sodass
die Verschlüsselungsparameter nicht von außen nachvollzogen werden
können. Chadder arbeitet mit einer 256 Bit starken AES-Verschlüsselung,
die dem SSL-/TLS-Standard entspricht. Ein Drittanbieter verwaltet die
Schlüssel, sodass die Chadder-Entwickler damit werben können, selbst
keine Möglichkeit zu haben, die Kommunikation der Nutzer nachzuvollziehen. Dass Schlüsselverwaltung und Nachrichtenversand über verschiedene Server laufen, macht Sinn, um die versprochene Sicherheit zu
gewährleisten.
Chadder verzichtet auf den Zugriff auf das Adressbuch der Nutzer. Sie selbst können auswählen,
welche Informationen öffentlich gemacht werden
dürfen und welche Sie für sich behalten möchten.
Sie können, müssen aber zu keinem Zeitpunkt Ihre
E-Mail-Adresse und Telefonnummer hinterlegen –
53
Chadder
zur Anwendung der App reicht es völlig aus, sich einen Nick- und Usernamen sowie ein Passwort auszudenken. Das gefällt uns: Als Datenkrake
kann man Chadder wahrlich nicht bezeichnen! Die Kommunikation läuft
über die Server von FTC, die in den USA stehen.
Die Privatsphärenrichtlinien fallen bei Chadder überraschend kurz aus:
Wir werden noch mal auf die Trennung der Schlüsselverwaltung von den
Nachrichten hingewiesen, darauf gestoßen, dass eine Gruppe von Studenten hinter Chadder steckt, die auch mal Fehler machen kann, aber bemüht ist, selbige schnellstmöglich auszuräumen. Auch das Ziel, eine App
zu schaffen, die Sicherheit und Privatsphäre bringt, wird erneut benannt.
Es folgt ein Hinweis,
dass sich die Entwickler das Recht vorbehalten, Accounts, die
gewaltverherrlichende, rassistische oder
sexuelle Inhalte verbreiten, zu löschen,
und der, dass diese
Richtlinien jederzeit
geändert werden können. AGB oder einen
Jugendfilter
finden
wir nirgends.
Noch ist Chadder kein alltagstauglicher Messenger
Chadder befindet sich aktuell noch in der Beta-Phase. Da ist es natürlich normal, dass noch nicht alles klappen möchte, was funktionieren
soll. Bisherige Stimmen in den App-Stores untermauern dies: Probleme
bei dem Login, Abstürze, auch das Hinzufügen von Kontakten war für
einige Anwender schwer bis unmöglich. Die Zuverlässigkeit wird sich
hoffentlich einstellen, wenn Chadder die Beta-Phase hinter sich lässt.
Wenn es soweit kommt, denn die Finanzierungswünsche sind hoch,
die bisherigen Spenden dagegen leider gering. Mit John McAfee haben sich die Studenten, die Chadder entwickelt haben, einen prominenten Antiviren-Pionier ins Boot geholt. Aber reicht dieser Name aus,
um der Verschlüsselung von Chadder ohne Quellcode zu vertrauen?
Der Weg, den Chadder einschlägt (Schlüsselverwaltung und Umgang
mit persönlichen Daten), ist unserer Meinung nach großartig! Zweifler
werden dennoch keiner App vertrauen, deren Quellcode sie nicht einsehen können. Und Nutzer, die
die Funktionsvielfalt von Messenger wie WhatsApp oder
LINE gewohnt sind, werden mit
Chadder (noch) nicht glücklich
werden. Ob sich Chadder durchsetzt, ist in unseren Augen sehr
fragwürdig – noch scheint vieles
bei dem Messenger in den Sternen zu stehen.
BETA
54
Chadder
Zusammenfassung Chadder
Verbreitung: Android, Windows Phone, Tablet & für WLAN-Geräte nutzbar
Einschränkungen: iOS, BlackBerry OS
Kontakte rüberziehen: Suche über Namen, Code, E-Mail-Adresse oder
Telefonnummer. Keine Einladungsfunktion.
Optik/ Bedienbarkeit: optisch ansprechend, Bedienung intuitiv, keine
deutschsprachige Übersetzung, ausschließlich Textnachrichten
Flexibilität: keine, ausschließlich Textnachrichten
Kosten: kostenfrei
Orga/ Land hinter dem Service: Etransfr & FTC, Rochester, USA
Quellcode: nicht offen
Datenschutz: sehr gut; persönliche Daten können, müssen aber nicht
angegeben werden, Schlüsselverwaltung und Nachrichtentransfer laufen
über verschiedene Server
AGB: nicht vorhanden
Zuverlässigkeit: verbesserungswürdig, da in Beta-Phase befindlich
Datenspeicherung: verschlüsselte Nachrichten auf den Servern, private
Schlüssel zum Dechiffrieren auf anderen Servern
XMPP: nein
Finanzierung: durch Spenden, zudem werden Investoren gesucht
55
Die Ergebnisse unseres großen Messenger-Tests
Sicherheit versus Komfort
Sehr auffällig in unserer Testreihe war die Tatsache, dass die Messenger
entweder als sicher eingestuft werden konnten oder als funktional. Die
“Mutter aller Messenger”, WhatsApp, punktet beispielsweise extrem in der
Usability, kann jedoch in Bezug auf die Informationssicherheit keinen Blumentopf gewinnen. Dem gegenüber stehen Messenger wie Threema, deren Verfügbarkeit und Usability zwar eingeschränkt sind,
die jedoch bei sicherheitsrelevanten Aspekten punkten
konnten.
Open Source: Die Universallösung?
Die Reaktionen auf unseren großen Messengertest haben immer wieder
eines gezeigt: Es gibt eine Open Source-vertretende Front und eine, die
geschlossene Systeme bevorzugen. Wir möchten kurz noch einmal auf die
Vor- und Nachteile beider Optionen eingehen:
Open Source findet eine extrem weite Verbreitung. Selbst
namhafte Hersteller, etwa IBM, setzen auf Open Source-Lösungen, womit die Verbreitung und die Weiterentwicklung
gefördert werden. Die Man-Power, die hinter Open Source-Systemen
steckt, ist aufgrund der riesigen Community sicher stärker als die jedes
proprietären Softwareherstellers. Schauen wir auf Systeme wie Apache,
ist Open Source in einigen Bereichen Marktführer. Durch das Offenlegen
des Quellcodes ist die Qualität nicht nur nachweisbar, sondern sie wird
jederzeit optimiert. In Open Source-Projekten finden sich in aller Regel
hochqualifizierte Entwickler. Durch das Verwenden fremdentwickelter
Codes gibt es überdurchschnittlich viele Reviews. Mithilfe der guten Dokumentation werden etwaige Fehler schneller gefunden und eliminiert.
Zudem ist Open Source der Grund für diverse innovative Entwicklungen.
Die Nachteile sind allerdings auch nicht von der Hand zu
weisen: Es gibt keinerlei Anspruch auf Garantie und Support.
Viele Open Source-Lösungen bedingen einen hohen Schulungsaufwand; im Vergleich dazu ist proprietäre Software oft leichter zu
verstehen und anzuwenden. Für die Weiterentwicklung von quelloffener
Software gibt es keine Garantien – sie ist abhängig vom Engagement der
Community und der Nachfrage. Ein aktuelles Beispiel für das jähe und rätselhafte Ende einer Open Source-Entwicklung bildet TrueCrypt: Wie aus
dem Nichts haben die Entwickler das Ende verkündet, aber postwendend
wollen Organisationen Alternativen entwickeln. Die Integration der Anwendungen kann ein weiterer Nachteil sein: Oft kann es im Zusammenspiel mit anderen Anwendungen, insbesondere mit kommerzieller Software, zu immensen Problemen kommen.
</>
Aus Entwicklersicht bietet kommerzielle Software eine höhere Planungssicherheit: Weiterentwicklungen von proprietärer Software sind in aller Regel für einen gewissen Zeitraum
vertraglich abgesichert. Stabilität und Performance werden
56
Die Ergebnisse unseres großen Messenger-Tests
bei kommerzieller Software durch hochqualifizierte Entwickler sichergestellt. Bei Open Source-Lösungen kann dies der Fall sein, es kann allerdings auch ein Entwicklerfehler unabsichtlich mit eingebracht sein. Aus
Anwendersicht liefern kommerzielle Lösungen meist auch Hilfestellungen
durch einen eigenen Support. Bei Open Source hingegen sind die Anwender auf sich allein gestellt.
Die Nachteile der proprietären Software beginnen oft schon mit den Anschaffungskosten. Etwaige Wartungsgebühren und Update-Käufe müssen einkalkuliert werden. Da der Quellcode nicht einsehbar ist, können
sicherheitsspezifische Aspekte wie etwa Sicherheitslücken nicht vorab
eingesehen und eventuell selbst korrigiert werden. Oft fehlt es bei kommerzieller Software an Austauschmöglichkeiten mit anderen Usern, während die Open Source-Gemeinde Mailinglisten oder Foren für Fragen anbietet. Wird der Support für ein Produkt eingestellt, wird der Anwender
dazu gezwungen, das komplette System zu aktualisieren. Software, die
nicht darauf ausgelegt ist, wird somit eventuell nutzlos.
Ob Sie also zu Open Source-Lösungen oder zu kommerzieller Software
greifen, hängt davon ab, was Ihnen wichtig ist: Wollen Sie professionellen
Support und sind Sie dafür auch bereit, tiefer in die Tasche zu greifen, setzen Sie auf proprietäre Software. Sind Ihnen nachweisbare Qualität und
Sicherheit wichtiger als ein ständiger Ansprechpartner und sind Sie bereit
sich einzuarbeiten, dann ist quelloffene Software für Sie die Lösung.
Ranking: Das sind die sichersten Messenger
Als Experte im Bereich Security geht unser Messenger-Ranking von der
Sicherheit aus. Je sicherer ein Messenger, umso besser sein Ranking. Die
Usability lassen wir in unserem Ranking nicht aus, werten sie aber nicht
ganz so hoch. Auch die Vergangenheit eines jeden Messengers spielte eine
Rolle in unserem Ranking: Fielen Messenger durch mangelnde Zuverlässigkeit oder bekannte Sicherheitslücken auf, sind sie in unserer Wertung
abgestiegen. Konkret sieht unser Messenger-Ranking wie folgt aus:
R
E
IEG
TS
S
E
T
2
1
3
57
Alle getesteten Messenger in der Übersicht
WhatsApp
Threema
Telegram
Line
WeChat
schmoose
myENIGMA
TextSecure
Cryptocat
ChatSecure
n/a
n/a
Kostenlos
Kostenlos
surespot
Chadder
Kostenlos
Kostenlos
Verbreitung/Einschränkungen
iOS
BlackBerry
Windows Phone
Android
Tablet
Computer/Browser
WLAN-Geräte
Usability
Installation
Kontakte
Optik
Bedienbarkeit
Informationssicherheit
Verschlüsselung
Quellcode
Datenschutz
AGB
Jugendfilter
XMPP
Sonstige Informationen
Land
Zuverlässigkeit
Kosten
ab € 0,89
ab € 1,60
Kostenlos
Kostenlos
Kostenlos
Kostenlos*
Kostenlos
Kostenlos
* Basis € 1,99 p.a. / Professional € 3,99 p.a
58
Platz 1: Threema, Cryptocat und surespot
Den ersten Platz teilen sich Threema, Cryptocat und surespot. Diese drei Messenger unterscheiden sich nur marginal:
In ihrer Verbreitung sind die Messenger okay. Bei Threema
gab es in der Usability für die Installation Punktabzug, bei
Cryptocat fürs Hinzufügen der Kontakte, bei surespot war
die Usability durch und durch stimmig. Diese drei Messenger
arbeiten mit Ende-zu-Ende-Verschlüsselung. Während Threema seinen Quellcode unter Verschluss hält, ist er bei Cryptocat und surespot offen. Cryptocat setzt auf XMPP, Threema
und surespot verzichten darauf. Threemas Server stehen in der Schweiz,
die anderen im nicht-europäischen Ausland. Leider fiel Cryptocat in der
Vergangenheit durch mangelnde Zuverlässigkeit auf.
Platz 2: ChatSecure und TextSecure
Den zweiten Platz nehmen ChatSecure und TextSecure für
sich ein: Die Verbreitung von ChatSecure ist großartig, die Installation kinderleicht, aber die restliche Usability sorgte für
Punktabzug. Außer der Tatsache, dass – wie bei allen Messengern – ein Jugendfilter fehlt, stimmen alle Punkte im Bereich
Informationssicherheit. Für weiteren Punktabzug sorgte die
mangelnde Zuverlässigkeit. TextSecure hingegen ist ausschließlich unter
Android nutzbar. Alle Punkte unter Usability sind hervorragend, auch die
Informationssicherheit stimmt bei TextSecure. Einzig der fehlende Jugendfilter und keine XMPP-Unterstützung sorgen für Punktabzug. In der
Vergangenheit gab es bei TextSecure keine auffälligen Zuverlässigkeitsoder Sicherheitseinschränkungen.
Platz 3: myENIGMA und Chadder
Obwohl sich Chadder bislang noch in der Betaphase befindet, hat der Messenger es neben myENIGMA auf Platz 3 geschafft. Die Verbreitung beider Messenger ist optimierungswürdig, die Usability bei myENIGMA tadellos, bei Chadder
gab es leichte Punktabzüge. Die AGB muss Chadder noch
nachbessern, Verschlüsselung und Datenschutz sind bei beiden gut – nur
muss den Informationen der Entwickler vertraut werden, da der Quellcode nicht offenliegt. In der Zuverlässigkeit gab es bei beiden Messengern
in der Vergangenheit diverse Probleme. Die Server von myENIGMA befinden sich in der Schweiz.
Platz 4: schmoose
schmoose gehört zu den Messengern, die beobachtet werden sollten. Die in Deutschland stehenden Server klingen genauso gut wie die Ende-zu-Ende-Verschlüsselung und auch
die Tatsache, dass der Support umgehend auf unsere Fragen antwortete,
spricht für den Messenger. In der Verbreitung, der Bedienbarkeit und an
der Zuverlässigkeit sollte jedoch noch gearbeitet werden. Der Quellcode
liegt nicht offen und Datenschutz sowie AGB sind derzeit noch intransparent. Sind diese Kritikpunkte behoben, würde schmoose direkt auf Platz
1 – 2 steigen.
59
Platz 5: Telegram
Telegrams Verbreitung ist ziemlich gut; bei der Usability
konnte der Messenger punkten. Aber die Sicherheitsaspekte
warfen extrem viele Fragen auf. Um Sicherheitslücken haben
sich die Entwickler immer sofort gekümmert. Sollte Telegram noch in Bezug auf den Datenschutz und die AGB optimiert werden, hat de Messenger eine Chance, weiter aufzusteigen.
Platz 6: WhatsApp, LINE und WeChat
Die Schlusslichter unseres großen Messenger-Tests bilden
WhatsApp, LINE und WeChat. LINE und WeChat bieten zwar
die beste Verbreitung aller Messenger und die Usability
stimmt bei allen dreien, jedoch sind die Sicherheitsaspekte
sehr kritisch. Keiner der Messenger verschlüsselt Nachrichten, die Server befinden sich im nicht-europäischen Ausland,
Datenschutz und AGB sind sehr kritikwürdig. Einzig mit der
Funktionalität können diese Messenger punkten, wobei LINE
als besonders funktionaler Messenger aufgefallen ist.
PSW GROUP
PSW GROUP GmbH & Co. KG
Flemingstraße 20-22
36041 Fulda
Hessen, Deutschland
Fazit unseres großen Messenger-Tests
Wenn Sie auf Sicherheit bedacht sind, wählen Sie aus den dreien: Threema, Cryptocat oder surespot Ihren Messenger aus. Geht es Ihnen ausschließlich um das Versenden von Textnachrichten, ist Cryptocat der Messenger Ihrer Wahl. Dürfen es ein paar Extras sein, kommen Threema und
surespot in Frage. Threema hat auf der einen Seite den Nachteil, dass der
Quellcode nicht offenliegt, jedoch auf der anderen Seite den eindeutigen
Vorteil, dass die Server in der Schweiz stehen. Surespots Server befinden
sich zwar in den USA, jedoch ist der Quellcode offengelegt.
Ihr Messenger in wenigen Klicks
Die PSW GROUP hat einen Konfigurator entwickelt, der Ihnen schnell den
Weg zum richtigen Messenger ebnet. Mit nur wenigen Klicks finden Sie
den für Sie passenden Messenger. Zur Auswahl stehen alle von uns getesteten Messenger.
Zum Konfigurator
Zertifizierte Informationssicherheit
Phone:
Fax
E-Mail
Internet
+49 661 480 276 10
+49 661 480 276 19
[email protected]
www.psw-group.de
Die PSW GROUP hat nur ein Ziel: Ihre Sicherheit im Webeinsatz und bei der E-Mail-Kommunikation mit
sinnvollen Lösungen auf Ihren Bedarf hin zu optimieren. Setzen Sie auf die Signatur-, Verschlüsselungsund Authentifizierungslösungen der namhaften Zertifizierungsstellen aus unserem Portfolio und nutzen
Sie unsere Beratungsexpertise zu Ihrem Vorteil. Ob es um komplexe Fragestellungen geht wie die ISO
27001-Zertifizierung oder um das Einrichten eines SSL-Zertifikats für einen kleinen Online-Shop.
60

PSW GROUP eBook Messenger 300dpi

Transcription

Similar documents

Winterkatalog - COMPUTEC MEDIA GmbH

sau(g)- stark!

PC-Gruppe-CSCB: News → Archiv

Referenzhandbuch für den 54 MBit/s Wireless Router

Hintergrundpapier PDF - Büro für Technikfolgen

Anleitung – Sichere Kommunikation mit Pidgin, Jabber und OTR

2/2014 - Macwelt

Pro7 startet Offensive im Web - Heftarchiv

- Heftarchiv - Internet World Business

Bedienungsanleitung Fräsmaschine ZX 7045

Inhalt Hilde Gruber - Comment

Facebook Messenger