{"id":789,"date":"2014-02-21T20:11:20","date_gmt":"2014-02-21T19:11:20","guid":{"rendered":"http:\/\/www.svenscholz.de\/?p=789"},"modified":"2014-03-06T00:10:35","modified_gmt":"2014-03-05T23:10:35","slug":"shooting-messengers","status":"publish","type":"post","link":"https:\/\/svenscholz.de\/index.php\/shooting-messengers\/","title":{"rendered":"Shooting Messengers"},"content":{"rendered":"<p>Seit der Meldung, dass Facebook WhatsApp gekauft hat, schie\u00dfen die Anmeldezahlen bei alternativen Messengern in die H\u00f6he, das scheint also zumindest bei einigen Leuten irgendwas getroffen zu haben. Und all\u00fcberall werden jetzt Alternativen diskutiert, und Gr\u00fcnde, warum man wechseln sollte oder warum das doch egal sei &#8211; und vieles, was eigentlich gar nichts miteinander zu tun hat, in einen Topf geworfen. Ich versuche das deshalb hier mal von einer anderen Seite her aufzudr\u00f6seln. <\/p>\n<p>Vornweg: Ich gebe zu, ein bisschen am\u00fcsiere ich mich ja auch dar\u00fcber, dass WhatsApp-Nutzer jetzt wechseln, weil sie facebook misstrauen, als ob WhatsApp vorher nicht auch schon alle ihre Daten mitgeschn\u00fcffelt h\u00e4tte, teils deutlich dreister und mehr als Facebook oder Google das tun &#8211; in den letzten Jahren gab es ja nun wirklich zur Gen\u00fcge Berichte \u00fcber scheunentorgro\u00dfe Sicherheitsl\u00fccken und \u00fcber die immense Neugierde der WhatsApp-Betreiber und dennoch wurde das Teil installiert und sogar zum Versenden wirklich privater Fotos und \u00e4hnlichem genutzt.  <\/p>\n<p>Nichtsdestotrotz wird dieser Einkauf nat\u00fcrlich tats\u00e4chlich Folgen haben bez\u00fcglich der pers\u00f6nlichen Privacy. Wie immer aber kommt es halt auch drauf an. <!--more--><\/p>\n<p>Zum einen ist da ja einfach die Frage: <em>&#8222;Wenn mir als Facebook- und Googledienste-Nutzer bewusst ist, dass ich dort mehr oder weniger Privacy-frei kommuniziere und das mit WhatsApp eh auch nicht anders war und ich das deshalb auch eh nie f\u00fcr wirklich Privates nutzen w\u00fcrde, warum sollte ich da jetzt denn trotzdem wechseln?&#8220;<\/em><\/p>\n<p>Also f\u00fcr mich, h\u00e4tte ich WhatsApp bislang genutzt (Ich habe das Teil \u00e4rgerlicherweise tats\u00e4chlich genau f\u00fcr zwei Tage lang installieren m\u00fcssen, weil ich damit auf einer Messe in Barcelona die Messedruckerei am besten erreichen konnte &#8211; weshalb man mich wahrscheinlich noch f\u00fcr Jahre dort angezeigt bekommt, obwohl ichs nicht nutze), h\u00e4tte das was mit der Streuung meiner Daten zu tun. Ich nutze recht bewusst verschiedene von einander unabh\u00e4ngige Dienste, damit nicht ein gro\u00dfer Dienstleister quasi alles von mir mitbekommt. Genau das w\u00e4re theoretisch ein Grund f\u00fcr mich gewesen, u.U. tats\u00e4chlich WhatsApp zu nutzen (wobei mir das Teil wahrscheinlich doch einen Tick zu neugierig gewesen w\u00e4re und ichs selbst dann gelassen h\u00e4tte, wahrscheinlich), h\u00e4tte ich jemals Bedarf an so einem Dienst gehabt, obwohl ich das selbe auch per Facebook-Messenger machen k\u00f6nnte (den ich ja auch nicht nutze). <\/p>\n<p>Klar, die NSA und andere staatlichen Beh\u00f6rden f\u00fchren diese Daten dann am Ende, angereichert durch Telefon- und anderen Daten und Metadaten ja eh wieder zusammen, aber eben: diese tun das, facebook, Google und Co. k\u00f6nnen das nicht. Ich hab zum Thema informationelle Selbstbestimmung und auch zu diesem Unterschied ja <a href=\"http:\/\/www.svenscholz.de\/index.php\/ueberlegungen-zum-ueberwachungsstaat\/\">schon einmal was geschrieben<\/a>, drum geh ich da jetzt nicht nochmal n\u00e4her drauf ein. Nur ein Punkt dazu: \u00dcberwachung wird durch Verschl\u00fcsselung immens teuer. <\/p>\n<p>Nur eins dazu: Klar ist &#8222;Essen ist fertig!&#8220; per Messenger keine Information, die \u00dcberwacher interessiert. Aber wenn sie&#8217;s erst mal f\u00fcr 1000$ entschl\u00fcsseln m\u00fcssen (oder besser noch, f\u00fcr eine zuk\u00fcnftige Entschl\u00fcsselung teuer einlagern, weil sie&#8217;s derzeit noch nicht hinbekommen) anstatt es f\u00fcr 5 Cent als profan rausfiltern zu k\u00f6nnen, sehe ich das durchaus auch als eine Form von subversivem Widerstand \ud83d\ude09<\/p>\n<p>Zum anderen stellt sich auch die Frage: <em>Open Source oder Closed Source? <\/em><\/p>\n<p>Ich bin in dieser Frage recht ideologiefrei, ich finde, beides hat sowohl Vorteile als auch Nachteile. Da ich eh nicht programmieren kann und mir der Source-Code nichts sagt, muss ich hier wie da auf Leute vertrauen, also den Herstellern als auch Leuten, die sich die jeweiligen Programme genauer anschauen. <\/p>\n<p>Inwieweit ein Programm f\u00fcr mich dann vertrauensw\u00fcrdig ist kommt auf die Politik der Herstellerfirma an, also wie transparent die, bei Closed Source abgesehen vom Quellcode ihrer Programme, arbeiten und inwieweit deren Angaben auch korrekt und nachvollziehbar bzw. auch hinreichend -pr\u00fcfbar sind. Sowie auf die Leute, die sich das dann anschauen, also sich tats\u00e4chlich den Code ansehen oder eben z.B. Datenstr\u00f6me analysieren und z.B. nachschauen, ob da nach Hause telefoniert wird und wenn, welche Daten denn da rein und raus gehen.<\/p>\n<p>Ich habe mit vielen Open Source L\u00f6sungen das Problem, dass ich da nicht Nerd genug bin. Will sagen: oft kapiere ich nicht, wie das funktioniert, die Anleitungen sind leider nicht selten v\u00f6llig kompliziert geschrieben bis teilweise sogar komplett unverst\u00e4ndlich f\u00fcr Menschen, die nicht tief in der fraglichen Materie drinstecken. Und der &#8222;Normaluser&#8220; ist das eben nun mal selten. Wenn Leute wie ich, die immerhin schon seit den Achtzigern mit Computern rumspielen und auch hin und wieder tiefergehende Basteleien machen, aber auf Programmiererebene eben doch nur normale &#8222;Nutzer&#8220; sind, mit manchen Dingen so richtig Probleme haben, wie sollen Leute damit zurecht kommen, die viel weniger Erfahrung haben als ich? <\/p>\n<p>Viele Closed Source Programme sind da deutlich nutzerfreundlicher, immerhin wollen Hersteller solcher Software im Normalfall ihre Produkte ja verkaufen, w\u00e4hrend die gewerbliche Open Source-Szene eher von Consulting, Anpassung, Betreuung und Personalisierung lebt. Und deren Vertreter neben dem kaum zu vermeidenden Tunnelblick des Experten manchmal auch verst\u00e4ndlicherweise nicht wirklich daran interessiert sind, dass Nutzer da zuviel Durchblick haben, weil man ja sonst ihre Dienste gar nicht mehr ben\u00f6tigen w\u00fcrde. <\/p>\n<p>Da unter Nerds Closed Source aber gerade auch aus ideologischen Gr\u00fcnden misstrauischer betrachtet wird als Open Source, vertraue ich auch darauf, dass dieses Misstrauen dazu f\u00fchrt, dass sich Leute, die Ahnung haben, solche Programme ganz genau ansehen. Und das tun sie ja auch, das haben einige Vertreter dieses Gesch\u00e4ftsmodells ja schon des \u00f6fteren erfahren m\u00fcssen. Es ist ja nicht nur der Quellcode, anhand dessen geschickte Hacker feststellen k\u00f6nnen &#8211; und es oft genug auch taten &#8211; dass eine App oder ein Programm dubiose Dinge tut. Und selbst &#8211; oder gerade &#8211; wenn (noch) keiner hat rausfinden k\u00f6nnen, was genau hinter einem Misstrauen erweckenden, dubiosen Verhalten einer App oder eines Programms steckt, ist auch gerade das ein Gespr\u00e4chsthema. <\/p>\n<p>Eine App oder ein Programm, dessen einziger Kritikpunkt in der Szene am Ende ausschlie\u00dflich der Umstand ist, Closed Source zu sein, aber dar\u00fcber hinaus keinerlei konkrete Beanstandung findet und deren Hersteller auch ansonsten keinen Grund liefert, seinen Aussagen zu misstrauen, indem er z.B. v\u00f6llig intransparent agiert oder mit zweifelhaften Gesch\u00e4ftspraktiken auff\u00e4llt, sehe ich deshalb als nicht weniger vertrauensw\u00fcrdig an als jede Open Source-L\u00f6sung. <\/p>\n<p>Denn f\u00fcr mich, der ich nicht selber in den Code schauen kann, ist da kein Unterschied mehr. Denn auch den Open Source Programmieren sowie den Menschen, die z.B. dezentral eigene Server aufziehen und betreiben muss ich ja ebenso irgendwie vertrauen. Und kann auch dort das nur anhand dessen, was sie sagen, wie sie sich verhalten und wie sie von anderen beleumdet werden.<\/p>\n<p>Es sind eben einfach nur verschiedene Gesch\u00e4ftsmodelle. Wie gesagt, ich sehe das ideologiefrei. Und nutze deshalb, je nachdem wo ich meine Priorit\u00e4t sehe, mal das eine und mal das andere.<\/p>\n<p>Letztlich kommts aber auch ganz praktisch darauf, <em>wof\u00fcr man einen mobilen Messenger \u00fcberhaupt nutzen m\u00f6chte.<\/em> Also z.B. wie privat. <\/p>\n<p>Facebook nutze ich ja z.B. \u00f6ffentlich, ich hatte meinen Umgang mit Privacy und Internet ja <a href=\"http:\/\/www.svenscholz.de\/index.php\/ueberlegungen-zum-ueberwachungsstaat\/\">hier erl\u00e4utert<\/a>. Eben, weil das Internet genau das immer schon war und Facebook genau das ist: \u00f6ffentlich. Privacy ist kein &#8222;default&#8220;-Wert dieser Technik und war es nie, wer Privacy will musste diese schon immer selbst implementieren oder Dienste nutzen, die sie dazu bauen. Problematisch hier sind dann Dienste wie facebook, die &#8222;Private Messages&#8220; anbieten, aber offenbar unter &#8222;Private&#8220; was anderes verstehen als ich.<\/p>\n<p>Deshalb ist auch in der Frage der \u00dcberwachung nicht &#8222;das Internet&#8220; kaputt, sondern der politische Wille, der sich von demokratischen und menschenrechtlichen Werten verabschiedet hat. (Nachtrag: Ich empfehle dazu auch das <a href=\"http:\/\/jensscholz.com\/index.php\/2014\/02\/22\/oppas-erzaehlen-vom-krieg\" target=\"_blank\">Gespr\u00e4ch von Jens und Oliver<\/a> \u00fcber dieses &#8222;fr\u00fcher&#8220;TM, von dem immer alle reden aber offenbar viele vergessen haben, wie es wirklich war)<\/p>\n<p>Die Daten liegen fern von meinem Zugriff auf einem Server, und weil in Amiland, mit mehr oder weniger direktem Zugriff amerikanischer Geheimdienste, die auch die sogenannten &#8222;privaten&#8220; Messages mitlesen k\u00f6nnen und das auch bei ganz normalen Privatleuten tun, wie man ja diversen Berichten von Leuten, die in die USA einreisen wollten und sich an der dortigen Grenze mit Mails und Facebook-PMs konfrontiert sahen, wenn es um Zweifel an v\u00f6llig harmlosen (also nicht terroristischen) Zwecken der Reise ging, entnehmen konnte. Da gingen in den letzten Monaten ja gen\u00fcgend entsprechende Meldungen rum.<\/p>\n<p>Nicht weniger \u00f6ffentlich w\u00fcrde ich da auch WhatsApp einzusch\u00e4tzen. Weshalb ich das nie genutzt habe, schlicht, weil ich lange Zeit keinen zus\u00e4tzlichen Messenger brauchte, dessen Kommunikation ich als \u00f6ffentlich klassifizieren w\u00fcrde. Und f\u00fcr tats\u00e4chlich private Kommunikation nutze ich nat\u00fcrlich keinen Dienst, den ich als \u00f6ffentlich einstufe.<\/p>\n<p>F\u00fcr reine kleine nicht-private Text-Direktchats reichte mir bislang Google Talk und f\u00fcr etwas privatere ein Jabber-Client auf dem Smartphone, einfach weil ich auch auf dem heimischen Desktop-PC einen Jabberclient habe und Google Talk damit auch bedient werden kann. Da brauche ich <em>daf\u00fcr<\/em> keinen rein f\u00fcr mobil funktionierenden Client mit der Voraussetzung, dass mein Gegen\u00fcber genau den selben nutzt. Au\u00dferdem chatte ich auf einem Smartphone eh nicht so gerne rum. Ich hab auch in den mindestens 20 Jahren, die ich ein Handy nutze, wahrscheinlich noch keine 500 SMSe geschrieben. <\/p>\n<p>Dar\u00fcber hinaus hab ich auf meinem Smartphone eh eine App laufen, die die Internetverbindung ausschaltet, sobald der Bildschirm ausgeht, und ich deshalb unterwegs sowieso nur online bin, wenn ich auch tats\u00e4chlich ins Ger\u00e4t gucke. Auch, weil ich mobil ungern chatte und es deshalb ganz praktisch finde, &#8222;offline&#8220; zu sein, solange ich grade nicht bewusst und aktiv ins Netz gehe.<\/p>\n<p>Das ist eben auch ein Faktor: <em>wie schaut meine pers\u00f6nliche Kommunikationsmittelnutzung eigentlich aus?<\/em><\/p>\n<p>Mit den Smartphones ging allerdings dann irgendwann auch bei mir irgendwann der Wunsch einher &#8211; oder auch teilweise die Notwendigkeit, die auch aus einem gewissen &#8222;das kann man damit jetzt machen&#8220; einhergeht &#8211; auch &#8222;wirklich private&#8220; Kommunikation damit zu realisieren, so mal eben unterwegs. Wirklich privat hei\u00dft: Bilder, Dokumente oder Gespr\u00e4che, die wirklich nur der Empf\u00e4nger sehen soll.<\/p>\n<p>Wirklich privat hei\u00dft in diesem Fall: verschl\u00fcsselt. Eben: nicht \u00f6ffentlich. Womit \u00f6ffentliche L\u00f6sungen wie WhatsApp, Google und Facebook eben schon per Default rausgefallen sind.<\/p>\n<p>Das Problem: ziemlich alle L\u00f6sungen setzen im Prinzip voraus, dass die Gegenstelle mit der selben Technik, hei\u00dft, demselbem &#8222;Programm&#8220; arbeitet. Was aber freilich bei WhatsApp auch nicht anders ist, insoweit ist das nur eine Frage, wie interessiert meine privaten Kontakte an privater Konversation mit mir sind, was diese jeweils schon nutzen oder inwieweit sie bereit sind, das zu nutzen, was ich bevorzugen w\u00fcrde. <\/p>\n<p>Im Bereich Chat theoretisch kein Problem, das bekannte und weit verbreitete Jabber-Protokoll bietet mit &#8222;Off the record&#8220; ja schon l\u00e4nger ein entsprechendes Plugin an. Auch f\u00fcr mobile Clients. Problem hier: man muss die Verschl\u00fcsselung dazu schalten, und sie funktioniert nur per Handshake, also nur dann, wenn die Gegenseite auch OTR installiert hat sowie online ist. F\u00fcr offline-Gespr\u00e4che also ungeeignet. Und, wie ja erw\u00e4hnt: ich bin mobil offline, sobald der Bildschirm aus ist.<\/p>\n<p>F\u00fcr Off the record-Jabber gibt es f\u00fcr Android (leider kann ich f\u00fcr andere Plattformen nix sagen, weil ich die nicht kenne &#8211; kann ja eventuell jemand in den Kommentaren die Infos dazu erg\u00e4nzen, die mir fehlen) einige Clients, durch den offenen Standard ist es hier m\u00f6glich, mit verschiedenen Clients untereinander kommunizieren zu k\u00f6nnen. Ob man auf dem Androiden also <a href=\"https:\/\/play.google.com\/store\/apps\/details?id=com.xabber.android\" target=\"_blank\">Xabber<\/a>, <a href=\"<a href=\"https:\/\/play.google.com\/store\/apps\/details?id=info.guardianproject.otr.app.im\" target=\"_blank\">ChatSecure<\/a>, <a href=\"https:\/\/play.google.com\/store\/apps\/details?id=de.shapeservices.impluslite\" target=\"_blank\">IM+<\/a>, <a href=\"https:\/\/play.google.com\/store\/apps\/details?id=com.beem.project.beem\" target=\"_blank\">Beem<\/a> oder sonstwas nutzt ist f\u00fcr die jeweilige Gegenstelle egal, solange diese auch irgendeinen dieser Jabberclients mit OTR nutzt. Ein weiterer Vorteil: man kann damit eben auch jegliche Desktopclients, die OTR unterst\u00fctzen, erreichen.<\/p>\n<p>Der Nachteil, wie erw\u00e4hnt: Verschl\u00fcsselung geht nur online, nicht offline. Datenversand geht auch nicht \u00fcberall. Und inwieweit allerdings das ein oder andere Clientprogramme selbst wiederum Daten neben der verschl\u00fcsselten Kommunikation vorbei ziehen, speichern oder sonstwie sammeln ist mir ebenfalls nicht immer ganz klar. Viele dieser Multi-Protokoll-Clients bieten auch Facebook- und Google-Logins, weil sie auch deren Protokolle unterst\u00fctzen, und wie weit da dann Verschl\u00fcsselung und Privacy gew\u00e4hrleistet bleibt wei\u00df ich nicht. Deshalb nutze ich diese auch ausschlie\u00dflich f\u00fcr Jabber, ohne Google und FB-Login. <\/p>\n<p>In meinem Fall ist das eben ChatSecure. Womit ich aus genannten Gr\u00fcnden wirklich Privates nur im direkten Chat bei erfolgtem OTR-Handshake mache. Aber dennoch nicht, selbst wenn es ginge (viele Clients k\u00f6nnen das bei OTR sowieso nicht) Bilder oder Dokumente verschicke, weil ich hier nicht sicher bin, ob das im Chatprotokoll oder Log auch f\u00fcr Anh\u00e4nge verschl\u00fcsselt bleibt. Wie gesagt: ich kenn mich da nicht tief genug aus, und die Beschreibungen sind mir nicht so verst\u00e4ndlich, als dass ich das 100% sicher draus ersehen k\u00f6nnte. <\/p>\n<p>Und wie oben ja schon erw\u00e4hnt, viele Open Source-Clients, auch die auf Android, bestechen leider durch mehr oder weniger schlechte Usability und mangelnde Hilfestellungen innerhalb der App. Und gern auch durch wirklich unterirdische H\u00e4sslichkeit. Es macht mir schlicht keinen Spa\u00df, mit denen was zu machen. ChatSecure ist in dem Punkt zwar auch nicht sch\u00f6n, und auch in Punkto Usability durchaus verbesserungsf\u00e4hig, aber es ist in diesen Punkten noch der Client, bei dem das am wenigsten schlimm ausgefallen ist.<\/p>\n<p>F\u00fcr tats\u00e4chlich private Konversationen nutze ich deshalb seit einiger Zeit schon <a href=\"https:\/\/play.google.com\/store\/apps\/details?id=ch.threema.app\" target=\"_blank\">Threema<\/a>, das derzeit schwer durch alle Medien gehypet wird, als ob es nichts anderes g\u00e4be. <\/p>\n<p>Es gibt aber durchaus auch einige andere, die einen Blick wert sein k\u00f6nnen, z.B. <a href=\"https:\/\/play.google.com\/store\/apps\/details?id=org.telegram.messenger\" target=\"_blank\">Telegram<\/a> (Open Source) oder <a href=\"https:\/\/play.google.com\/store\/apps\/details?id=im.whistle\" target=\"_blank\">whistle.im<\/a> (noch sehr buggy), um nur zwei zu nennen. <\/p>\n<p>F\u00fcr mich allerdings hat sich Threema recht schnell als Favorit rauskristallisiert, da es tats\u00e4chlich das Thema Sicherheit sehr konsequent durchzieht &#8211; wer seine ID, also auch den Schl\u00fcssel, den wirklich niemand anderer zu Gesicht bekommen soll, z.B. f\u00fcr einen Ger\u00e4tewechsel exportiert <a href=\"http:\/\/www.spreeblick.com\/2014\/02\/21\/kurztests-whatsapp-alternativen\/\" target=\"_blank\">und das Passwort vergisst<\/a>, mit dem er diesen Export gesichert hat, hat keine M\u00f6glichkeit mehr, an diesen Schl\u00fcssel nochmal dran zu kommen und muss einen neuen Account mit neuem Schl\u00fcssel anlegen. <\/p>\n<p>Die Kommunikation wird auf dem eigenen Ger\u00e4t verschl\u00fcsselt und auf dem Ger\u00e4t des Gegen\u00fcbers erst wieder entschl\u00fcsselt, so dass auch offline gesendete Messages und Dateien, die auf dem Threema-Server zwischengelagert werden, um ausgeliefert zu werden, sobald der Gegen\u00fcber mal wieder online ist, nicht gelesen werden k\u00f6nnen. Threema selbst hat sich da sowohl was Inhalte als auch was Useraccounts betrifft sehr konsequent selbst ausgesperrt. <\/p>\n<p>Was mich ansonsten \u00fcberzeugt hat: trotz der sehr konsequent durchgezogenen Verschl\u00fcsselung ist Threema das Userfreundlichste Produkt, das ich ausprobiert hatte. Und zwar bei Weitem. Schl\u00fcsselerstellung, Kontakterstellung, sogar der Umzug auf ein neues Ger\u00e4t, den ich letztens machte, gingen wunderbar intuitiv, indem ich auf dem einen Ger\u00e4t einen QR-Code generieren lie\u00df, den ich mit dem anderen nur abscannen musste, ich wurde durch alle m\u00f6glichen Schritte bei Einrichtung oder eben auch beim Export und Import der ID durchgef\u00fchrt ohne dass ich je das Gef\u00fchl h\u00e4tte, nicht zu wissen, was ich da jetzt tu oder tun soll. <\/p>\n<p>Was wirklich ob der technischen Komplexit\u00e4t von Verschl\u00fcsselung eine nicht zu untersch\u00e4tzende Leistung ist! Dass es f\u00fcr Vollaien so sauschwer ist, eine Verschl\u00fcsselung einzurichten liegt ja nicht nur daran, dass da manche Nerds kein Gesp\u00fcr daf\u00fcr haben, dass das auch ein Anf\u00e4nger hinkriegen k\u00f6nnen sollte. Sondern eben auch daran, dass das nun mal wirklich keine ganz profane Prozedur ist und diese eben nun mal bestimmte Arbeitsschritte ben\u00f6tigt. Und weit mehr als nur einfach irgendwo ein &#8222;Ich habe die Nutzungsbedingungen gelesen&#8220;-Button zu dr\u00fccken und danach dreimal auf &#8222;Ja&#8220;. Ein Programm, das es schafft, seinen Nutzer durch diese Prozedur so gut durchzuf\u00fchren zeigt, dass sich da jemand richtig Gedanken gemacht hat.<\/p>\n<p>Dar\u00fcber hinaus gef\u00e4llt mir das Ding auch optisch am besten, man merkt, dass sich dort wer Gedanken gemacht hat beim Design. Und in Punkto Ausgereiftheit, also Abst\u00fcrze oder Bugs, ist es auch vielen anderen schon ein gutes St\u00fcck davon gelaufen. Klar, ein paar Kleinigkeiten dran auszusetzen hab ich auch noch, aber im Vergleich zu anderen, die ich ausprobiert habe, sind das wirklich Kleinigkeiten, von denen ich ausgehe, dass die demn\u00e4chst eh nach und nach behoben oder erg\u00e4nzt werden.<\/p>\n<p>Trotz Closed Source habe ich noch keine einzige ernstzunehmende Kritik gefunden, keine Zweifel oder Beschreibung eines Verhaltens, das Grund zu Misstrauen rechtfertigt. Solange die einzige Kritik aus der Szene die ist, dass es Closed Source Software ist, und Leute ausschlie\u00dflich deshalb lieber was anderes nutzen &#8222;aus Prinzip, weil man jeder Closed Source grunds\u00e4tzlich niemals trauen darf&#8220;, sehe ich keinen Grund, nicht davon auszugehen, dass Threema h\u00e4lt was es verspricht.<\/p>\n<p>Somit hat Threema meine uneingeschr\u00e4nkte Empfehlung als App f\u00fcr private Kommunikation auf dem Smartphone.<\/p>\n<p><strong>NACHTRAG:<\/strong> Sehr sch\u00f6n, wenn sich mit Thomas ein &#8222;Nur Open Source ist \u00fcberpr\u00fcfbar sicher&#8220;-Vertreter (wie gesagt: no pun, das ist ein legitimer und nachvollziehbarer Ansatz, speziell f\u00fcr Leute, die auch wirklich selbst in Codes reinschauen und damit was anfangen k\u00f6nnen) ohne Scheuklappen Threema anschaut und sich zu seiner eigenen \u00dcberraschung <a href=\"http:\/\/thomas-leister.de\/internet\/kann-man-threema-vertrauen-ein-paar-fakten-zur-sicheren-messaging-alternative\/\" target=\"_blank\">zu einer Empfehlung durchringen kann<\/a>. Er beschreibt das Sicherheitskonzept, das auch mich \u00fcberzeugt hat, wie folgt (und so sch\u00f6n kurz und knapp h\u00e4tt ich das nie hinbekommen, drum raubmordkopiere ich den relevanten Part einfach): <\/p>\n<blockquote><p>[&#8230;]Im Interview erkl\u00e4rt Manuel Kasper sehr deutlich, wie wenig Daten der Dienst \u00fcber seine Nutzer haben will. Die Rechnung ist folgende: In der Schweiz ist Threema kein Telekommunikationsdienstleister, ist also nicht in der Pflicht, irgendwelche Master Keys zu implementieren oder an den Staat herauszugeben. Die Verschl\u00fcsselung kann also ganz ohne Backdoors implementiert werden. Threema kann allerdings dazu gezwungen werden, die Daten, die in Datenbanken und auf Servern liegen, herauszugeben. Um die Privatsph\u00e4re der Nutzer in diesem Fall zu erhalten, ist es Ziel von Threema, ganz einfach m\u00f6glichst wenig \u00fcber den Nutzer zu wissen. Jede Art von Information wird deshalb nur so lange im Speicher auf den Servern gehalten, wie es unbedingt n\u00f6tig ist: Beim optionalen Adressbuchabgleich wird (au\u00dfer einem Hash der E-Mail Adresse und der Telefonnummer des Abfragenden) nichts f\u00fcr l\u00e4ngeren Zeitraum auf dem Server gespeichert. [&#8230;] Die Nachrichten selbst sind nat\u00fcrlich niemals \u00fcber die Server auslesbar \u2013 das liegt in der Natur der End-To-End Verschl\u00fcsselung. S\u00e4mtliche Daten, die die App f\u00fcr den Betrieb ben\u00f6tigt, werden in verschl\u00fcsselter Form auf dem Smartphone abgelegt. Zus\u00e4tzlich zur End-to-End Verschl\u00fcsselung wird selbstverst\u00e4ndlich auch eine starke Transportverschl\u00fcsselung zum Server genutzt, sodass niemand Metadaten zum Kommunikationsverhalten abgreifen kann. Nat\u00fcrlich m\u00fcssen die Server wissen, wer mit wem kommuniziert \u2013 diese Infos werden aber nicht in Logfiles geschrieben und bleiben daher ebenfalls geheim. Auch zum Thema Open Source gibt es schon \u00dcberlegungen des Unternehmens, einzelne Codeteile \u00f6ffentlich zu machen, um noch mehr Vertrauen herzustellen [&#8230;]<\/p><\/blockquote>\n<p>Den Punkt &#8222;Threema will Teile seines Codes offenlegen&#8220; wusste ich selbst noch nicht, ich denke, dass das tats\u00e4chlich eine gute Idee ist. Und dass die eigentliche Kryptografie bereits mit Opensource-Standards realisiert wird glaubte ich zwar schon mal irgendwo geh\u00f6rt zu haben, konnte es aber nicht verifizieren, weil ich den Link nicht mehr wieder gefunden hatte, weshalb ich das nicht dazu geschrieben habe, eben weil ohne Beleg &#8211; somit Danke auch f\u00fcr diese Info.<\/p>\n<p>(Und was er \u00fcber die Usability und die \u00dcberforderung von Normalusern, die bei vielen anderen L\u00f6sungen schlicht nicht durchblicken, sagt: meine Rede \ud83d\ude42<\/p>\n<p>Ach ja, und hier noch der <a href=\"http:\/\/blog.richter.fm\/podcast\/diewahrheit\/20130118\/die-wahrheit-017-threema-smartphone-messenger-mit-verschlusselung\" target=\"_blank\">Link zum hochinteressanten Podcast von Marcus Richter<\/a> mit den G\u00e4sten Manuel Kasper von Threema und Thorsten Schr\u00f6der als Auskenner zum Thema Verschl\u00fcsselung und Sicherheit.<\/p>\n<p>&nbsp;<\/p>\n<p><a style=\"border: 0;\" href=\"http:\/\/flattr.com\/thing\/1694\/sagichdoch\" target=\"_blank\"><br \/>\n<img decoding=\"async\" title=\"Flattr this\" alt=\"\" src=\"http:\/\/api.flattr.com\/button\/flattr-badge-large.png\" border=\"0\" \/><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Seit der Meldung, dass Facebook WhatsApp gekauft hat, schie\u00dfen die Anmeldezahlen bei alternativen Messengern in die H\u00f6he, das scheint also zumindest bei einigen Leuten irgendwas getroffen zu haben. Und all\u00fcberall werden jetzt Alternativen diskutiert, und Gr\u00fcnde, warum man wechseln sollte oder warum das doch egal sei &#8211; und vieles, was eigentlich gar nichts miteinander zu &hellip; <a href=\"https:\/\/svenscholz.de\/index.php\/shooting-messengers\/\" class=\"more-link\"><span class=\"screen-reader-text\">Shooting Messengers<\/span> weiterlesen <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":27,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"activitypub_content_warning":"","activitypub_content_visibility":"","activitypub_max_image_attachments":3,"activitypub_interaction_policy_quote":"anyone","activitypub_status":"","footnotes":""},"categories":[9,5],"tags":[85,23,96,91,114,116,24,115,117],"class_list":["post-789","post","type-post","status-publish","format-standard","hentry","category-netz","category-persoenlich","tag-datenschutz","tag-facebook","tag-informationelle-selbstbestimmung","tag-mobil","tag-technik","tag-threema","tag-uberwachung","tag-verschluesselung","tag-whatsapp"],"_links":{"self":[{"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/posts\/789","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/users\/27"}],"replies":[{"embeddable":true,"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/comments?post=789"}],"version-history":[{"count":23,"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/posts\/789\/revisions"}],"predecessor-version":[{"id":813,"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/posts\/789\/revisions\/813"}],"wp:attachment":[{"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/media?parent=789"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/categories?post=789"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/svenscholz.de\/index.php\/wp-json\/wp\/v2\/tags?post=789"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}