Facebook
Es gibt kaum jemanden, der nicht Internet-Messaging nutzt. Alleine WhatsApp ist auf vielen Zig-Millionen Geräten weltweit installiert und verarbeitet täglich Milliarden von Nachrichten. Und vergessen Sie nicht Skype, Viber, ICQ und das Dutzend anderer nicht ganz so verbreiteter Messenger, inklusive der eingebauten Messenger-Funktionen von Facebook, LinkedIn und anderen Netzwerken. Doch mit der großen Beliebtheit von Messaging-Diensten tauchen auch Probleme beim Schutz der Privatsphäre auf. Große Vorsicht mag hier absurd erscheinen, wenn man bedenkt, wie viele Informationen wir ganz offen täglich im Internet teilen, doch es gibt Fälle, in denen man seine Kommunikation gerne komplett privat halten möchte, ohne dass ein Dritter mitlesen kann. Können wir online so kommunizieren, dass niemand einen Snowden wittert? Mal sehen…
Prolog
Um das Problem zu betrachten, müssen wir uns die Arten ansehen, wie eine Nachrichtenkette oder eine Sprechverbindung von Dritten abgehört werden kann. Dabei gibt es nicht viele Möglichkeiten. Jede Nachricht, egal ob Text, Video, Foto oder Stimme, wird zunächst auf einem lokalen Speicher auf den Systemen des Absenders und des Empfängers aufgenommen; dann wird sie über verkabelte oder drahtlose Netzwerke übertragen; und schließlich vom Server des Kommunikationsanbieters verarbeitet (das ist aber kein Muss). Und wenn es jemand schafft, bis zu einem gewissen Maß Zugriff auf den Nachrichtenverlauf zu erlangen, werden die weiteren Wege, die die Nachrichten nehmen, unkontrollierbar. Natürlich kann Verschlüsselung helfen, doch auch sie ist nicht komplett narrensicher: Wer kann schon garantieren, dass das Verschlüsselungsprotokoll ohne Sicherheitslücken ist – vor allem, wenn es sich um einen üblichen Verschlüsselungsalgorithmus handelt?
Nehmen Sie zum Beispiel Skype. Vor einiger Zeit wurde der Dienst noch für eine sehr gute Möglichkeit zur privaten Kommunikation gehalten, eine unangreifbare Festung, die weder von einzelnen Hackern, noch von mächtigen Regierungsorganisationen einnehmbar war. Doch seit Skype Ltd. nach der Übernahme durch Microsoft seine Unabhängigkeit verloren hat, können wir nicht mehr sicher sein, dass das Skype-Messaging 100 Prozent sicher ist.
Auch der WhatsApp-Service, der täglich Zig-Milliarden Nachrichten verarbeitet, kann kaum als sicher bezeichnet werden. Nachrichten über Sicherheitslücken (wenn auch nur in der Android-Version, nicht in den Versionen für andere Plattformen) erscheinen monatlich, inklusive grauenhafter Details. So bewies eine aktuelle Studie zu der App, dass eine verschlüsselte Datei auf Ihrem Mobilgerät, in der der Nachrichtenverlauf gespeichert ist, mit einem einfachen Skript innerhalb weniger Sekunden gehackt werden kann. Und auch die kürzlich erfolgte Übernahme von WhatsApp durch Facebook spricht nicht unbedingt für sicheres Messaging: Es hieß ja nicht, dass Mark Zuckerberg Milliarden von Dollar für das Entwicklerteam und die Technologie ausgegeben hat, aber nicht für die Nutzerdaten.
Man muss aber sagen, dass auch andere Dienste – von Viber bis iMessage – ebenfalls die gleichen Probleme haben. Alle bieten relativ einfache Möglichkeiten, auf private Kommunikationen zuzugreifen. In gewissem Maße könnte es also sogar besser sein, wenn solche Dienste großen Konzernen gehören, die sich vor staatlichen Organisationen und – viel wichtiger – vor Strafverfolgungsbehörden erklären müssen. Glücklicherweise gibt es für jede Aktion eine Gegen-Aktion: Mit so vielen unsicheren Messengern, sind einige mutmaßlich sichere Lösungen aufgetaucht. Doch können diese das Problem der Privatsphäre lösen? Lassen Sie es uns herausfinden. Doch zunächst müssen Sie sich entscheiden, wie viel Sicherheit Sie haben möchten.
Es gibt den Begriff des „Sicherheits-Theaters“. Er beschreibt vordergründige Sicherheitsmaßnahmen, die eine Illusion des Handelns bieten sollen, ohne dass man sich um die Effektivität Gedanken macht. Man könnte als Vergleich die Anti-Terrorismus-Maßnahmen in öffentlichen Verkehrsmitteln heranziehen: Verdächtige Objekte und Individuen werden nur an bestimmten Bahnstationen geprüft. Ein weiteres Beispiel für das „Sicherheits-Theater“ sind Sprechanlagen, die man in vielen Wohnhäusern findet. Diese Charakteristiken kann man auch in der Software-Welt anwenden, vor allem beim Instant Messaging. Das bedeutet nicht unbedingt, dass manche Messenger komplett nutzlos sind: Sie können eine schöne Alternative für Anwender sein, denen ihre Privatsphäre oder die Sicherheit nicht so wichtig sind. Denn auch die Anti-Terror-Wachen an manchen Bahnhöfen konnten einen gewissen Schutz bieten. Also müssen wir auch anerkennen, dass man eine einst erfolglose Messaging-App nutzen kann, vorausgesetzt man weiß, wovor man sich schützen will – vor einem eifersüchtigen Partner, der die privaten Nachrichten mitlesen möchte, oder vor Kriminellen, die den Datenverkehr auf dem Weg vom Sender zum Empfänger abgreifen wollen. Und ja, wir lassen den Fall außen vor, in dem der Gesprächspartner derjenige ist, der ihre Privatsphäre missachtet. Denn wenn Sie Ihrem Gegenüber nicht trauen können, sollten Sie ihm auch keine Nachrichten senden!
Lassen Sie uns nun einen Blick auf beliebte Möglichkeiten in zwei Kategorien werfen:
Die Illusion der Sicherheit
In dieser Liste fassen wir Messenger zusammen, die nicht das erwartete Maß an Sicherheit und keinen garantierten Schutz des Mithörens bei der Datenübertragung (Man-In-The-Middle-Angriff) bieten.
Auf seine Art ist dieser Messenger einzigartig: Alle Nachrichten werden in Confide als Rechtecke dargestellt und der Text wird nur sichtbar, wenn man sie aufzieht. Darüberhinaus bietet die App keinen Langzeitspeicher für den Nachrichtenverlauf, so dass auch ein Handy-Dieb es nicht schafft, Ihre ganzen Nachrichten zu lesen. Wird versucht, von einer Nachricht einen Screenshot anzufertigen, wird der Anwender sofort auf die Kontaktliste zurückgeleitet und der Gesprächspartner wird über den Screenshot-Versuch informiert. Dies Funktionen werden von den App-Entwicklern groß herausgestellt: Sie können lesen, aber nicht speichern. Doch es gibt einen Nachteil. Wenn der Anwender eine Nachricht speichern möchte, kann er zwar keinen Screenshot machen, aber stattdessen die Kamera zum Aufnehmen der Kommunikation verwenden. In diesem Fall muss die App als Programm kategorisiert werden, das ein „Sicherheits-Theater“ bietet: Der moderne Nachrichtenschutz und das Blockieren von Screenshots bieten nur die Illusion von Sicherheit. Das könnte denen in die Hände spielen, die gerne Agent spielen möchten.
Noch nicht mit so elegantem Design, aber dennoch ehrgeizig, bietet sich diese App als Lösung an, die keine Spuren der Konversationen auf dem Gerät hinterlässt: Sie löscht (in manchen Fällen sogar unwiderruflich) den Nachrichtenverlauf sowohl aus dem Speicher als auch vom Server, schützt die Nachrichten mit Sicherheitsalgorithmen, wie sie auch Regierungsorganisationen verwenden, bietet Möglichkeiten zur Kontrolle der Speicherdauer beim Empfänger, und blockiert das Kopieren von Nachrichten. Wie bei der vorherigen App, hängt auch hier die letzte Funktion vom Smartphone ab – denn mit einer eingebauten Kamera ist diese Funktion auf jedem Gerät nutzlos.
Wenn man über die Sicherheit von Instant Messengern spricht, kann man Telegram nicht ignorieren – wahrscheinlich der am weitesten verbreitete Messenger mit „sicherem“ Ansatz. Aber warum ist er in der Liste des „Sicherheits-Theaters“? Nun, vor allem, da die „nie dagewesene“ Sicherheit beim Messaging, wie sie in von den Entwicklern versprochen wird, nie objektiv bewiesen wurde, aber schon das Thema fairer Kritiken war.
Und vielleicht erinnern sich einige an die 200.000-Dollar-Belohnung, die die Entwickler für das Hacken des MTProto-Protokolls von Telegram ausgelobt hatten. Diese Selbstsicherheit mag für viele ein starkes Argument für die Zuverlässigkeit des Programms sein. Allerdings müssen wir Ihre Aufmerksamkeit darauf lenken, dass uns dieser Wettbewerb, der im Grunde der Versuch ist, eine übertragene Nachricht zu entschlüsseln, vorkommt, wie der Test, einen Panzer mit einer Pistole anzugreifen, statt mit einer kraftvolleren Waffe. Mit anderen Worten: Die Möglichkeiten des Hackings sind hier von anfang an nutzlos und können das Protokoll nicht entsprechend testen. Neben dieser Tatsache hat ein Autor von cryptofails.com angemerkt, dass MTProto ein äußerst unsicherer und unzuverlässiger Algorithmus ist, „der alle bedeutsamen Verschlüsselungsstudien der letzten 20 Jahre ignoriert „, und vorgeschlagen, dass die Entwickler einen echten Verschlüsselungs-Experten engagieren, um Telegram zu überprüfen.
Noch ein kurioses Detail: Unabhängig des komplexen Protokolls, das die Basis für Telegram bildet, ist die App für direkte Angriffe anfällig. Und wir sprechen hier nicht über das Abhören der Kommunikation, sondern etwas viel einfacheres. Denn bei der Registrierung erhält ein Anwender eine SMS auf seinem Handy und muss den damit erhaltenen Sicherheitscode zur Aktivierung der App eingeben. Wenn aber ein Hacker Zugriff auf die SMS-Nachrichten des Opfers erhält, kann er seine Telegram-App ebenfalls mit dem Code aktivieren und erhält dann natürlich alle Nachrichten, die eigentlich an das Opfer geschickt werden. Wenn man noch bedenkt, dass die Funktion „Secure Chat“ standardmäßig nicht eingeschaltet ist, ist die Privatsphäre der Kommunikation sehr leicht kompromittierbar.
Wirklich gut ist Telegram aber bei der Geschwindigkeit: Die Nachrichten werden wirklich sofort versandt und an den Empfänger geliefert, und das merklich schneller als bei anderen Messengern. Ist Telegram also ein schneller Messenger? Ja! Ist Telegram sicher? Nun, nur relativ.
Ehrliche Sicherheit
In dieser Kategorie finden Sie Apps und Services, die genau die Sicherheit bieten, die beworben wird, und den Zugriff Dritter auf die Kommunikation effektiv blockieren.
Dieses schweizerische Projekt ist nach der Übernahme von WhatsApp enorm populär geworden. Die Entwicklern garantieren die Sicherheit der Korrespondenz: Zum einen verschlüsselt das Programm die übertragenen Daten zuverlässig; zum anderen schützt es die Privatsphäre, indem es eine Angesicht-zu-Angesicht-Bestätigung verlangt, wenn ein neuer Kontakt hinzugefügt wird. Die letztgenannte Funktion setzt voraus, dass sich die beiden Anwender persönlich treffen und die QR-Codes vom Handy des jeweils anderen scannen. Vom Sicherheitsstandpunkt gesehen, scheint das sinnvoll zu sein, doch in vielen Fällen ist das kompliziert. Natürlich können Sie einen Kontakt auch auf die alte Art hinzufügen, indem Sie die entsprechende Nutzer-ID manuell eintippen, doch ist in diesem Fall die Sicherheit etwas geringer. Man sollte noch anmerken, dass die Entwickler sich nicht total aus dem Fenster lehnen, um zu beweisen, dass ihr Messenger „nie dagewesene“ Sicherheit bietet, und auch keine falschen Versprechen machen. Und noch etwas: Die App ist die zwei Dollar wert, die man einmal dafür zahlt.
Diese App ist eine der wenigen, die von renommierten Verschlüsselungsgurus entwickelt wurden. In diesem Fall gehört auch Phil Zimmerman, Autor der PGP-Verschlüsselung, dem Entwicklerteam an. Ähnlich wie Telegram, basiert auch der Silent-Circle-Service auf einem speziellen Algorithmus, der in diesem Fall SCIMP heißt. Der Vorteil liegt in der Möglichkeit, gesendete Nachrichten komplett und ohne Spuren zu löschen: Weder der Absender, noch der Empfänger können die Nachricht oder Teile davon auf ihren Geräten wiederherstellen. Diese Funktion kann manuell oder automatisch eingeschaltet werden: Innerhalb einer bestimmten Zeit nach dem Versand, löschen sich die Nachrichten selbst. Doch der größte Verdienst des Messengers ist, dass die Software den Datenverkehr gut verschlüsselt, so dass es nichts bringt, die Daten abzugreifen. Übrigens kann die Lösung neben Text auch Videos und Audionachrichten verschlüsselt übertragen. Bei allem anderen hat der Messenger aber leider ein paar Mängel. Das fängt an beim unklaren Registrierungsprozess und hört auf beim Preis: Das Abonnement von Silent Circle für ein Jahr kostet 100 Dollar.
Die kostenlose App TextSecure wurde vom Publikum gut angenommen und der Entwickler WhisperSystems von Edward Snowden sehr gelobt. Die Software ist im Grunde ein ganz einfacher Messenger ohne Schnickschnack oder komplexe Einstellungen, und bietet kraftvolle Verschlüsselung für ausgehende und lokal gespeicherte Nachrichten. Kleinere Nachteile sind, dass die App nicht gerade für ihren Funktionsumfang gelobt werden kann und nur unter Android funktioniert. Übrigens gehört die Entwicklerfirma zu Twitter und einer der Gründer ist Moxy Marlinspike, ein bekannter Verschlüsselungs-Experte.
50 Dollar – das ist der Preis für einen der wahrscheinlich teuersten, aber auch zuverlässigsten Messanger unter iOS: SJ. Der Hauptvorteil liegt in der Möglichkeit, individuell ausgewählte, einander ergänzende Schlüssel beim Schicken von Nachrichten zu nutzen. Je nach technischem Wissen des Anwenders, kann das aber auch der Hauptnachteil sein. Für alle, die sich an die normalen Skypes und WhatsApps gewöhnt haben, kann SJ kompliziert wirken. Es geht mal wieder um die Wahl: Entweder beispiellose Sicherheit oder einfache Bedienung.
Dies ist ein beliebter Open-Standard-Messenger mit umfangreichen Sicherheitsprotokollen. Das Programm ist kostenlos und mit Windows, Linux sowie Mac kompatibel – allerdings empfehlen die Entwickler Apple-Nutzern, die Vorteile von Adium zu nutzen, das Verschlüsselung bis zu beeindruckenden 4.096 Bit bietet, was mehr als genug ist. Die Software unterstützt nahtlos das OTR-Protokoll (Off-The-Record-Messaging), mit dem die Privatsphäre der Kommunikation sichergestellt wird, und bietet zudem viele verschiedene Plugins. Ein wichtiger Vorteil der Lösung, vor allem im Licht dieses Artikels, ist die Unterstützung von XMPP/Jabber, einem dezentralisierten, flexiblen und sicheren Instant-Messaging-System.
Ähnlich wie die anderen Lösungen dieser Liste, ist auch Cryptocat ein Messenger mit Verschlüsselung, allerdings funktioniert es als Browser-Plugin für Chrome, Firefox, Safari und Opera. Für Anwender von Mac OS X und iPhone gibt es die Lösung allerdings auch als eigene App. Vor einiger Zeit wurden ein- und ausgehende Daten bei dem Service erfolgreich kompromittiert und das Entwicklerteam hat enorm viel Arbeit in die verbesserte Sicherheit gesteckt. Sehr löblich ist, dass Cryptocat laufend aktualisiert wird: Die aktuellste Version wurde gerade Anfang April veröffentlicht. Nett ist, dass der Gründer des Projekts auf der Webseite folgendes schreibt: „Cryptocat ist keine magische Kugel. Selbst wenn Cryptocat nützliche Verschlüsselung bietet, sollten Sie niemals einer Software Ihr Leben anvertrauen, und Cryptocat ist da keine Ausnahme“.
Demnächst
Unter dieser Kategorie stellen wir einige Lösungen vor, die noch nicht final veröffentlicht wurden, deren Funktionen aber bereits zum Teil bekannt sind. Mal sehen, ob sie den Erwartungen gerecht werden können, die von den Entwicklern geschürt werden.
Unabhängig von der Tatsache, dass Heml.is noch entwickelt wird, hat der Service bereits einige Aufmerksamkeit auf sich gezogen. Das ist nicht überraschend, da Peter Sunde, einer der Väter von The Pirate Bay, daran mitarbeitet. Zu den Funktionen zählen ein XMPP-basiertes Protokoll und die PGO-Library als Basis für die Verschlüsselung. Vorteile sind ein schönes Design (zumindest, wenn man die verfügbaren Präsentationen betrachtet) und Cross-Plattform-Kompatibilität.
Unter dem Strich: ein vielversprechender, sicherer Messenger, der allerdings noch nicht verfügbar ist.
Tor Instant Messaging Bundle (TIMB)
Seit Ende Februar ist bekannt, dass das Tor-Entwicklerteam an einem Messenger arbeitet. Ursprünglich sollte das Produkt auf der bereits erwähnten Pidgin-App basieren, doch später entschied man sich für Instantbird. TIMB soll auch das OTR-Protokoll unterstützen, über das wir bereits gesprochen haben, und das Entwicklerteam besteht wohl ebenfalls aus einigen unabhängigen Sicherheits-Experten. Die App wird wahrscheinlich als Teil des Tor-Launcher-Bundles erhältlich sein, allerdings gibt es über die Verfügbarkeit der Lösung noch keine Informationen. Auf jeden Fall ist es wert, auf TIMB zu warten: Welcher andere Messenger verschlüsselt schon Nachrichten und schützt hält gleichzeitig Ihre Anonymität?
Epilog
Es ist klar, dass kein Messenger mit Verschlüsselung absolut perfekt ist. Sie müssen immer Kompromisse beim Budget, der Nutzerfreundlichkeit oder der Sicherheit machen. Zudem wird der Schutz sicherer Online-Kommunikation nicht von einem einzigen Programm ermöglicht – sondern von einer Kombination mehrerer Sicherheitsmaßnahmen. Und keine Software kann die Privatsphäre garantieren, wenn Sie Ihren Gesprächspartnern nicht vertrauen, wenn Ihr Netzwerk von außen kontrolliert wird oder wenn Ihr Gerät von spionierenden Schadprogrammen infiziert worden ist, etwa von Keyloggern. Wenn man bedenkt, dass das erste Problem nicht ohne weiteres gelöst werden kann, so können die anderen doch ganz einfach gelöst werden: Ein kostenpflichtiger VPN-Zugang für Ihren Computer kostet nur etwa 5 Euro pro Monat, könnte Sie aber vor Bedrohungen in öffentlichen WLAN-Netzwerken bewahren. Für Keylogger und andere Schadprogramme gibt es zuverlässige Sicherheitsprogramme. Mit all diesen Sicherheitsmaßnahmen, muss nur noch ein XMPP/Jabber-basierter Messenger hinzukommen, und Sie können sicher sein, dass Ihre Online-Kommunikation sicher ist.
Welchen Messenger können Sie unseren Lesern empfehlen?
Tipps