WhatsApp, Telegram & Co.: Wie sicher sind Messenger-Dienste?

Vierzig Milliarden. Das ist die Zahl aller weltweit verschickten WhatsApp-Nachrichten – am Tag! Sie müssten täglich rund 490 Nachrichten versenden, um auf diese Zahl zu kommen. Und alle anderen 82 Millionen Mitbürger ebenfalls. Damit ist WhatsApp mit Abstand der meist genutzte Messenger-Dienst der Welt. Über seine Server fließt ein enormer Datenstrom. Seit 2016 soll dieser zwischen den Chatpartnern verschlüsselt sein. Doch wie steht es wirklich um die Sicherheit und den Datenschutz des Dienstes? Zu welchen Alternativen kann man guten Gewissens greifen? Und wo liegen die Schwachstellen von Messengern? Wir klären Sie auf.​

Was heißt Verschlüsselung? 

„Als Grundvoraussetzung sicherer Kommunikation gilt eine durchgängige Ende-zu-Ende-Verschlüsselung und ein Schutz der Daten auf dem Smartphone selbst.“ So Julian Schütte vom Fraunhofer-Institut für Angewandte und Integrierte Sicherheit.​

Bei der Ende-zu-Ende-Verschlüsselung wird die Nachricht auf dem Sendegerät verschlüsselt und kann erst wieder beim Empfänger entschlüsselt werden. Niemand anderes kann die Daten im Klartext lesen. Sei es nun der Messenger-Dienst oder ein Hacker. Im Gegensatz dazu steht die SMS. Sie ist für jeden mit etwas Können offen lesbar wie eine Postkarte.​

Bei der Ende-zu-Ende-Verschlüsselung wird im Prinzip diese Postkarte in einen Umschlag gesteckt, auf dem nur noch der Adressat sichtbar ist. Dann wird dieser Umschlag wiederum von einem Umschlag umgeben, der an den Server des Messenger-Dienstes adressiert ist. Dieser dient als Verteiler. Der Server kann nur den äußeren Umschlag öffnen, die Adresse auslesen, sie mit einem neuen Umschlag verhüllen und diesen weiterschicken. Somit wird verschleiert, von wem der Umschlag ursprünglich geschickt wurde. Der innere Umschlag, der die Postkarte mit dem Nachrichtentext enthält, bleibt unterwegs zu jeder Zeit ungeöffnet.​​

Julian Schütte bestätigt: „Verschlüsselung funktioniert. Verfahren, die dem Stand der Technik entsprechen und die fehlerfrei implementiert sind, können selbst staatliche Organisationen schwer aufbrechen.“ Doch die Gefahren der verschlüsselten Kommunikation lauern woanders. Erst im März fanden Forscher des Fraunhofer-Instituts heraus, dass Whats- App trotz Verschlüsselung unter Android Sicherheitslücken aufweist. Textnachrichten​ werden zwar verschlüsselt im Speicher des Gerätes abgelegt, für Mediendateien gilt dies aber nicht. So können andere Apps auf dem System Zugriff auf die Dokumente bekommen, diese auslesen oder verändern. „In der von uns untersuchten Version gibt es für Benutzer keine Möglichkeit, dieses Verhalten zu umgehen“, stellt Schütte klar.​

Apple-Kunden haben es etwas besser: Sie können der Anwendung den Zugriff auf die Foto-Galerie entziehen. Wichtig ist, Apps aus unsicheren Quellen besser nicht zu nutzen. Schütte sieht sogar schon Angriffsszenarien, bei denen Apps aus Daten des Beschleunigungssensors das Tippverhalten des Benutzers erkennen und geschriebene Texte extrahieren können.​

In ihrem neuen Überwachungsgesetz für Messenger-Dienste könnte die Bundesregierung genau auf solche Spionage-Software zurückgreifen. Damit würden Daten bereits vor der Verschlüsselung abgegriffen. So, als ob einem jemand beim Schreiben einer Postkarte über die Schulter schaut.​​

Umgang mit Metadaten 

Schädliche Apps sind nicht die einzige Schwachstelle verschlüsselter Kommunikation. Um zu unserem Beispiel mit den Umschlägen zurückzukommen: Der Server des Messenger-Dienstes kennt zwar nicht die Nachricht, weiß aber trotzdem, wer wann mit wem kommuniziert hat. Durch die IP-Adressen kann er sogar den Standort der Kommunikationspartner herausfinden. Diese Metadaten sind mindestens genau so wertvoll wie die Nachricht selbst. Mit ihnen ist es möglich, Bewegungs- und Kommunikationsprofile anzulegen. Diese können dann wiederum für Werbemaßnahmen genutzt werden.​

Seitdem WhatsApp zu Facebook gehört, ist ein Austausch solcher Daten zwischen den Unternehmen möglich. Die Telefonnummer wird im Übrigen bereits mit Facebook geteilt, sofern man dem nicht in den Einstellungen widerspricht.​

Im Prinzip stellt sich also nicht unbedingt die Frage, welcher Dienst die Inhalte gut verschlüsselt, sondern wer darüber hinaus guten Datenschutz liefert. Dienste, die wenig Metadaten speichern und vorhandene Daten regelmäßig löschen, sollten die erste Wahl sein. WhatsApp lädt bei der Anmeldung​ beispielsweise das gesamte Adressbuch auf seine Server. Ein Abgleich der Daten zeigt einem an, welcher Freund ebenfalls bei WhatsApp ist. Doch zu welchem Preis?​

Andere Dienste lassen Nutzern hier mehr Hoheit in Sachen​ Datenschutz. Meistens ist man jedoch auf das Wort der Anbieter angewiesen. Deswegen gilt: Je transparenter ein Dienst ist, desto besser. Wer seinen Quellcode offenlegt, gibt der Gemeinschaft ein Zeichen und die Möglichkeit unabhängiger Prüfung.​​​

Die Zukunft der Messenger

Mit der Wahl eines Dienstes entscheidet man sich häufig für eine zentralisierte Verwaltung seiner Daten. Alle Informationen laufen über die Server der Anbieter. Der nächste Schritt ist demnach, die Zentralisierung aufzubrechen. Das geht beispielsweise mit einem dezentralisierten Protokoll wie XMPP und der App Conversations. Hier kann man sich nicht nur selbstständig einen Server suchen, sondern bei Bedarf auch einen eigenen verwenden. Julian Schütte sieht in Zukunft Peer-to-Peer-Technologien und Verfahren zur Minimierung von Metadaten immer wichtiger werden. Nachrichteninhalte zwischen den Kommunikationspartnern direkt zu vermitteln, könnte also eine Möglichkeit sein, wenigstens auf dem Übertragungsweg Herr seiner Daten zu bleiben.​​

Fazit

​Die Auswahl an sicheren Messengern ist mittlerweile recht groß. Positiv hervorzuheben sind Signal und Threema. Sie bieten einen ähnlichen Funktionsumfang wie WhatsApp, jedoch mit deutlich mehr Datenschutz. Signal glänzt mit einem komplett einsehbaren Quellcode, Threema mit Servern in der Schweiz und der Möglichkeit einer anonymen Nutzung. Telegram ist nur eingeschränkt empfehlenswert und hinterlässt einen leicht dubiosen Nachgeschmack. Der 1&1-Dienst FreeMessage stellt die schwächste App im Vergleich. Sie bietet zwar einen verschlüsselten Nachrichtenaustausch, aber wenig Privatsphäre-Einstellungen in der App selbst. Am meisten Mitbestimmung hat man bei Conversations. Allerdings bedarf es ein bisschen mehr Aufwand bei der Anmeldung und beim Führen der Kontakte. Wer auf Datenschutz Wert legt, ist hier dennoch am besten bedient.​

Auf den folgenden Seiten stellen wir die einzelnen Messenger-Dienste genauer vor.