Der Schweizer Messenger Threema legt viel Wert auf eine sichere und verschlüsselte Kommunikation. Daher ist der Messenger einen detailliertern Blick wert, ob die Sicherheit auch hält was sie verspricht und ob Threema als WhatsApp-Alternative in Frage kommt.
Denn niemand möchte überwacht werden, egal ob es sich um sensible Informationen oder lustige Bilder handelt. Und dennoch machen sich viele Leute keine Gedanken ob der Kanal, über den sie kommunizieren, eigentlich sicher ist. So nutzen derzeit mittlerweile über 30 Millionen Deutsche den marktführenden Messenger WhatsApp. Das ist mehr als ein Fünftel der deutschen Bevölkerung. In Sachen Verschlüsselung hält sich WhatsApp jedoch eher bedeckt und glänzte in den Medien häufig eher mit Sicherheitslücken. Daher habe ich mich im Zuge einer studentischen Arbeit während meines Masterstudiums mit Messenger-Alternativen und deren aktuellem Sicherheitsstand beschäftigt. Diese möchte ich nach und nach vorstellen.
Der erste Kandidat in der Reihe ist der Schweizer Messenger Threema. Die App ist derzeit für Android und iOS verfügbar und kostet einmalig 1,79€. Vor etwa einem halben Jahr noch eher unbekannt, ist Threema heute mit einer Verbreitung von 10.000 bis 50.000 Downloads aus Googles Play Store langsam gewachsen, hat aber immer noch keine allzu großen Massen erreicht. Laut Entwickler nutzen derzeit aber bereits 120.000 Deutsche den Dienst.
Allgemeiner Funktionsumfang
Threema bietet den Funktionsumfang gängiger Messenger an und ermöglicht nun seit Anfang Februar auch Gruppenchats für Android-Geräte. Zuvor war dies nur für iOS möglich. Diese Entwicklung ist eine positives Indiz dafür, dass die App fortlaufend optimiert wird.
Aktueller Funktionsumfang (Stand 02/2014):
- Nachrichten verschlüsselt versenden
- Bilder verschlüsselt versenden
- Videos verschlüsselt versenden
- Standort verschlüsselt versenden
- Gruppenchats / Gruppennachrichten
- Kontakte synchronisieren
Sicherheit
Mit einer Ende-zu-Ende-Verschlüsselung werden alle durch Threema übertragenen Nachrichten geschützt, so dass auch die Betreiber und Serverinhaber keine Möglichkeit besitzen auf jene Nachrichten zuzugreifen. Weitere Details wie ein Offline-Schlüsselaustausch oder eine spezielle Hilfe für die Schlüsselgenerierung bieten zusätzliche Sicherheit. Eine detaillierte Untersuchung ist nach folgendem Überblick zu finden.
Überblick
Details zur Sicherheit
[color-box]Exkurs 1: Bei einer symmetrischen Verschlüsselung verwendet man zum ver- und entschlüsseln denselben (geheimen!) Schlüssel.[/color-box]
[color-box]Exkurs 2: Bei einer asymmetrischen Verschlüsselung hingegen verschlüsselt man mit einem öffentlichen Schlüssel seines Kommunikationspartners. Dieser entschlüsselt den Geheimtext im Anschluss mit seinem geheimen privaten Schlüssel. Der öffentliche Schlüssel ist also grundsätzlich für jedermann zugänglich.[/color-box]
[color-box]Exkurs 3: In gängigen Verschlüsselungsprotokollen werden beide Verfahren verwendet. Meist wird der Klartext symmetrisch verschlüsselt. Der zugehörige Schlüssel wird anschließend asymmetrisch verschlüsselt und dem Gegenüber zugeschickt, so dass auch er den symmetrisch verschlüsselten Klartext wieder entschlüsseln und lesen kann. Genauere Informationen hierzu findet man unter dem Stichwort Hybride Verschlüsselung.[/color-box]
Infrastruktur
Das Unternehmen hinter Threema hört auf den Namen „Kasper Systems GmbH“ und besteht im Grunde aus einer Person. Dies ist der Gründer selbst, welcher sich bei Bedarf einige freie Entwickler zur Hilfe holt.
Auf den Servern des Unternehmens liegen alle IDs der Nutzer und deren öffentliche Schlüssel. Außerdem kann man seine Rufnummer oder Email-Adresse dort (als Hashwert) ablegen, um von anderen Nutzern gefunden werden zu können. Während einer Kommunikation werden zudem die verschlüsselten Nachrichten solange auf den Servern behalten, bis sie dem Empfänger zugestellt werden können. Danach wird die Nachricht vom Server entfernt.
Als zusätzliches Feature wird der private Schlüssel eines Nutzers bei der ersten Anmeldung generiert, indem er mit dem Finger über das Display seines Smartphones wischt. Somit ist die Generierung nicht auf einen Zufallsgenerator angewiesen. Dieser private Schlüssel verlässt das Smartphone eines Nutzers niemals und kann auf dem Endgerät zudem über eine weitere Passphrase geschützt werden. Wer außerdem den öffentlichen Schlüsseln auf den Servern von Threema nicht vertrauen möchte, der kann seinen öffentlichen Schlüssel auch offline (also im realen Leben 😉 ) austauschen, indem er zum Beispiel den QR-Code seines Kommunikationspartners von dessen Smartphone abscannt.
Authentizität
Wie erwähnt ist man also entweder nur über seine ID oder auch über die Rufnummer bzw. Email-Adresse auffindbar. Um sicherzugehen, dass ein Nutzer auch mit dem richtigen Empfänger kommuniziert, ist eine Authentifizierung notwendig. Dazu muss sich die App über einen fest in die Anwendung einprogrammierten öffentlichen Schlüssel der legitimen Server bei diesen authentisieren. Um die Authentizität zudem während einer Kommunikation zu gewährleisten, wird ein 128 Bit langer MAC (Message-Authentication-Code) genutzt.
Verschlüsselung
Zur Verschlüsselung der Kommunikation nutzt Threema eine 255 Bit starke asymmetrische Elliptic Curve Cryptography (ECC) Verschüsselung, welche mit Hilfe der offenen Bibliothek NaCl Cryptography Library umgesetzt wurde. Jede Nachricht erhält somit über Elliptic Curve Diffie-Hellman (ECDH) einen einmaligen Schlüssel, welcher für deren symmetrische Verschlüsselung per XSalsa20 verwendet wird.
Durch das Anhängen einer zufälligen Menge an Füllbytes soll zudem das Erraten von Inhalten anhand einer Analyse der Datengröße verhindert werden.
Transparenz
Der eigene Quellcode von Threema kann nicht eingesehen werden, die eingesetzte Bibiliothek NaCl hingegen schon. Zusätzlich bietet das Unternehmen einen Validierungs-Log an, über welchen geprüft werden kann, ob Threema auch wirklich NaCl nutzt. Eine offizielle Prüfung von Experten kann sich das Unternehmen nach eigenen Angaben aber nicht leisten.
Fazit
Der Messenger macht insgesamt einen seriösen und sicheren Eindruck. Er setzt auf aktuelle Sicherheitsverfahren und eine Ende-zu-Ende-Verschlüsselung, wodurch das Unternehmen beispielsweise nicht gezwungen werden kann irgendwelche Schlüssel preiszugeben, da es sie ja selbst nicht hat. Dass die App hauptsächlich nur von einer Person entwickelt wird, kann man als Vorteil (Unabhängigkeit) oder Nachteil (kein großes Team an Erfahrungen) sehen. Ich persönlich nutze Threema nun schon einige Monate und finde vor allem den Offline-Schlüsselaustausch eine super Idee. Auf WhatsApp kann ich aber trotzdem noch nicht verzichten, da Threema noch so gut wie niemand aus meinem Bekanntenkreis nutzt 😉 .
