Threema und Whatsapp verschlüsselung

Hallo snoopy100,

ja, das stimmt. Wenn man alleine auf die Verschlüsselung schaut ist sowohl Threema als auch WhatsApp sicher und die beiden Apps nehmen sich eigentlich nicht viel bei der Verschlüsselung von Nachrichten. Wenn man es genau nimmt bietet WhatsApp sogar Forward Secrecy auf der Ebene der Ende-zu-Ende-Verschlüsselung, was bei Threema so nicht der Fall ist.

Die Gründe für Threema liegen also bei ganz anderen Punkten und das ist vor allem bessere Anonymität, besserer Datenschutz und weniger Metadaten. Bei Threema hast du sozusagen die Kontrolle über deinen Daten, wenn du z. B. Threema-Gruppen verwendest sind diese auf deinem Gerät gespeichert und nicht auf den Servern von Threema. Auf den ersten Blick weiß Threema also nicht wer in der Gruppe ist, bei WhatsApp ist das beispielsweise anders. Des Weiteren unterliegt Threema europäischen Datenschutz-Standard, die i. d. R. weit strenger sind als in den Vereinigten Staaten.

WhatsApp hat in den letzten Jahren mit der Einführung der Ende-zu-Ende-Verschlüsselung einen großen Schritt nach vorne gemacht. Bei Threema ist Sicherheit & Datenschutz im Vergleich allerdings konsequenter umgesetzt.
Letztlich ist die Verwendung von Threema in der Praxis eher ein politisches und gesellschaftliches Statement. Man ist sozusagen nicht das Produkt, sondern zahlt einen einmaligen Betrag für die Nutzung von Threema und das ganze ist nachhaltig finanziert.

Nichtsdestotrotz hat natürlich auch Threema seine Schwächen. Die App ist, im Vergleich zu Signal, zum Beispiel nicht quelloffen. Außerdem ist Threema - wie die meisten Apps - ein zentralisiertes System. Fallen die Server aus, kann niemand mehr miteinander kommunizieren.

Die Verschlüsselung der Nachrichten ist bei WhatsApp genauso sicher wie bei Threema, ja.

Metadaten fallen bei Threema weniger an, siehe hier:
https://threema.ch/de/faq/data

Zitat von snoopy100

Also, sind die Nachrichten wie man Schreibt, genau so sicher wie bei Threema?. An sonsten gehts um die Metadaten, und die sind
dann wohl bei Whatsapp nicht so sicher ok.

Die Goldgrube bei WhatsApp sind die Meta-Daten, sowie die übertragenen Kontaktbücher.
Wenn Facebook weiß mit wem du viel im Kontakt stehst und sie diese Personen relativ gut kennen, also die likes und die Seiten die sie besuchen (cookies ect.) dann kann Facebook darüber auch viele Rückschlüsse über dich ziehen. Wenn Facebook den kompletten Freundeskreis kennt, kann das Unternehmen anhand dieser Daten festellen wie Geld zu hast, was deine Interessen sind und wie du tickst. Natürlich alles nur nach gewissen Wahrscheinlichkeiten, aber so arbeiten sie halt die Diskriminierungsalgorithmen. Je mehr man von sich Preisgibt (also den Preis der Herausgabe der Daten bezahlt), desto berechenbarer wird man für Algorithmen die dich Kategorisieren und bewerten.

"Zeige mir deine Freunde und ich sage dir wer du bist".

Die Sache ist die:
Vertraust du Threema, dann passt alles. Vertraust du Threema nicht, dann hat man ein Problem. Denn der Quellcode ist nicht offen und selbst wenn er das wäre, weiß man ja nicht, ob evtl. veränderter Code über den Google Play Store etc. vertrieben wird. Außerdem könnte Threema ja genau aufzeichnen wer mit wem kommuniziert, also welche Threema-ID.

Was mich an solchen Systemen wie u. a. auch Threema immer etwas stört ist die Zentralisierung. Wenn beispielsweise eine Regierung gezielt die Threema-Server angreift, kann niemand mehr kommunizieren. Niemand. Aber die Zentralisierung bietet natürlich auch Vorteile, u. a. sind solche Systeme meist deutlich bequemer zu nutzen und deshalb im Moment wohl die beste Lösung um WhatsApp & Co. etwas Konkurrenz zu machen. Langfristig sollte man allerdings versuchen diese absolut zentralisierten Systeme etwas aufzuweichen.

Bei dezentralisierten Systemen verteilt man natürlich auch mehr Metadaten. Man kriegt zwar pro Node weniger Daten, aber dafür gibt es mehr Angriffsziele.

Bei XMPP gibt es plötzlich mindestens 2 Server, denen man betreffend Metadaten vertrauen muss.

Nun, bevor ein falscher Eindruck entsteht: XMPP halte ich weder für massentauglich noch für ein gutes System.

Die komplette Kontaktliste eines XMPP-Users ist z. B. auf dem jeweiligen Server gespeichert etc. Nein, XMPP ist definitv nicht die Lösung, zumindest meiner Meinung nach.

Nochmal zurück zu Threema. Es wurde ja schon viel gesagt und Metadaten sind in der Tat ein Problem, aber nicht das einzige. Es sind sehr viel mehr Dinge wie Standort, Rechtslage, Abschaltbarkeit von bestimmten Funktionen und viele, viele kleine Details… Aber die Details machen den Unterschied.

Wie immer, sei hier auf auf die gute Zusammenstellung seitens Threema hingewiesen: https://threema.ch/press-files/co…vantage_de.html

Solange man nicht die aktuellste Android- oder iOS-Version verwendet, ist es eh egal. Und insbesondere bei Android ist das ein richtiges Problem.

Würde mir eine dritte Alternative wünschen:
Ein quelloffenes, sehr schlankes Betriebssystem fürs Smartphone mit Fokus auf Langlebigkeit.

Crixus Sicher, das du hier nicht den Thread verwechselt hast? Hier geht es nicht um einen Vergleich von Betriebssystemen o.ä., sondern um Threema vs WhatsApp.

Zitat von rugk

Crixus Sicher, das du hier nicht den Thread verwechselt hast? Hier geht es nicht um einen Vergleich von Betriebssystemen o.ä., sondern um Threema vs WhatsApp.

Er setzt die Diskussion ja in den grösseren Kontext....

Zitat von Buddabread

Die Goldgrube bei WhatsApp sind die Meta-Daten, sowie die übertragenen Kontaktbücher.

Und genau diese Weitergabe der Kontakte ist nach dem BDSG bzw.der DSGVO nicht zulässig!
Zumindest nicht ohne schriftliche Einverständniserklärung der Betroffenen.
Irgendwo im Forum gibt es auch einen Hinweis auf aktuelle Gerichtsurteile.

Wer sich mit dem Patriot Act auseinandersetzt der weiß doch, dass personenbezogene Daten in den USA einsehbar sein müssen.
Das sagt doch schon alles. Die Verschlüsselung kann nicht so gut sein, wie man es den Whatsapp Usern verkauft!
Da liest mit Sicherheit jemand mit.

Zitat von DrWho

Da liest mit Sicherheit jemand mit.

Aber 100%-ig! Automatisierte Auswertungstools auf jeden Fall. Die Verschlüsselung, so gut sie auch sei, ist auch kein echtes Hindernis. Im konkreten Einzelfall sondiert man die zu überwachenden Ziele und infiziert einfach die Hardware der entsprechenden Nutzer (Beispiel: Bundes-Trojaner). Und schon kann man in aller Ruhe in Echtzeit mitlesen, überwachen, auswerten, und, und, und ... .

Zitat von "Crixus" pid='32644' dateline='1502976762'

Nun, bevor ein falscher Eindruck entsteht: XMPP halte ich weder für massentauglich noch für ein gutes System.

Die komplette Kontaktliste eines XMPP-Users ist z. B. auf dem jeweiligen Server gespeichert etc. Nein, XMPP ist definitv nicht die Lösung, zumindest meiner Meinung nach.

XMPP in Verbindung mit OMEMO ist momentan nicht massentauglich, da stimme ich dir zu. Schlecht würde ich das System aber auf keinen Fall nennen, vielleicht ist es sogar das Beste was wir gerade zur Verfügung haben (Matrix/Riot kommt jetzt auch langsam in Schwung, mal abwarten...).
Deswegen möchte ich dir da dieser Stelle widersprechen:
Ich habe lieber ein völlig freies System, bei dem meine pseudonyme JID und mein Roster, das ebenfalls aus pseudonymen JIDs besteht auf dem Jabber-Server liegt, als meine Handynummer als UID im zentralisierten und geschlossenen WA System. JIDs sind der Threema ID gleichzusetzen, solange sie pseudonym sind, problematisch wirds dann nur weil Threema closed-source ist. Bei dem Thema waren wir vor kurzem einer Meinung, deswegen brauchen wir das Eisen jetzt nicht anzufassen.

Was WhatsApp betrifft, gibt es gerade eine schöne Zusammenfassung bei datenschutzhelden.org
https://datenschutzhelden.org/2017/08/16/wha…standsaufnahme/

Was die Verschlüsselung betrifft darf man folgendes nicht vergessen:

Der Schutz vor Man-In-The-Middle-Angriffen, der bei asymmetrischer Verschlüsselung durch das überprüfen von kryptografischen Fingerabdrücken erreicht wird, ist in der Standard-Einstellung [bei WhatsApp] einfach deaktiviert.

Zitat von killathe

Was WhatsApp betrifft, gibt es gerade eine schöne Zusammenfassung bei datenschutzhelden.org
https://datenschutzhelden.org/2017/08/16/wha…standsaufnahme/

Danke für den Link, ein sehr guter Bericht finde ich.
Was mir allerdings nicht gefällt ist folgender Satz:

Zitat

Dem wird das Unternehmen schon lange nicht mehr gerecht.

Da müsste m.E. eigentlich stehen:

"Dem wurde das Unternehmen noch nie gerecht."

Dann wäre es korrekt!