Messenger Sicherheit Smartphone

[RickAbao]

Hallo zusammen,

auch wenn das auch hier mit Sicherheit (höhö...) schon in diversen Threads bis zum Erbrechen verhandelt wurde, wäre es schön, wenn ihr mich kurz auf einen aktuellen Stand bringen könntet.
Ich möchte auf meinem Android-Smartphone gerne einen Messenger nutzen, um nicht allein auf SMS/MMS (ja, unverschlüsselt beim Anbieter, weiß ich!) angewiesen zu sein. Dass es keine absolut sichere Alternative gibt, ist mir schon bewusst, allerding hätte ich gerne irgendetwas, dass mir keine Bauchschmerzen á la WhatsApp/Facebook/Google verursacht.

- Gibt es einen Messanger, der standardmäßig alle Daten auf dem Gerät so verschlüsselt, dass weder andere Apps noch Betriebssystem Zugriff auf die -entschlüsselten- Daten habe? (Idealerweise Metadaten und Inhalte)
Ist das technisch überhaupt möglich oder kann das Betriebssystem der App immer "dazwischenfunken"? Denn dann könnte ich mir auf Google-Android auch gleich alles Privatsphärengetue sparen, oder..?

- Welche Messenger verschlüsseln Daten so, dass weder Anbieter noch Behörden o.ä. Zugriff auf Unverschlüsseltes haben?

Ich weiß, dass immer irgendwelche Möglichkeiten der Datenweitergabe bleiben, gerade bei Direktzugriff aufs Gerät. Vielleicht gibt es allerdings einen Messenger, der zumindest nicht sofort standardisiert mein Datenprofil im Silicon Valley und anderswo füllt..?
Sind ja keine Hochsicherheitsdaten, aber eben Privates.

Danke für euer Feedback!

 

[cartridge_case]

www.threema.ch

 

[Toms]

Für die größte Sicherheit würde ich immer Apple iOS empfehlen, da dort durch das Sandboxing die Apps sehr sehr gut abgekapselt sind und auch nicht per manueller Bestätigung auf die Daten anderer Apps zugreifen können. Das geht bei iOS immer nur über den "Teilen"-Dialog.

Ich würde dir Telegram ans Herz legen, da es mMn. die beste Kombination an Sicherheit und Verbreitung. Du kannst in Telegram "Geheime Chats" führen, welche Ende-zu-Ende verschlüsselt sind und dementsprechend selbst wenn Behörden Zugriff auf die Server Telegrams haben, nicht mitgelesen werden können. Alle normalen wie auch Gruppenchats sind via TLS verschlüsselt, also der Weg zum und vom Server sind gesichert. Theoretisch könnten Behörden, sofern sie Zugriff auf die Server haben, mitlesen, aber in Russland beißen sie sich gerade an Telegram die Zähne aus (inkl. Websperren), da Telegram keinen Zugang einrichten möchte.

Ansonsten wäre noch Threema zu nennen, welche ihren Firmensitz in der Schweiz haben und auch sehr sehr sicher sind. Allerdings nicht so verbreitet wie Telegram.

 

[RickAbao]

www.threema.ch

Ok, wie verschlüsselt der denn? Meine Sorge sind nur zum Teil die Daten auf meinem Handy- da die Chatpartner zu 99% Datenkraken wie WhatsApp auf dem Handy haben, die sich Rechte für Telefonbuch u.ä. einräumen, würde mich interessieren, ob andere Apps/Betriebssystem die Daten entschlüsseln können.

 

[ChristianSL]

Never ever Telegram. Das Ding hat keine vernünftige Crypto, und selbst das BKA, die sonst nix hinbekommen, schaffen es da rein.

Wenn du deinem Gerät nicht vertraust, dann solltest du das mit der Crypto auch gleich lassen. Sicherheit ist kein An-/Ausschalter, sondern ein Konzept. Wenn du dir also allerlei fragwürdige Apps installierst, dann hilft auch Crypto nicht.
Das einzig brauchbare Verschlüsselungsprotokoll hat aktuell Signal, und die kranken an den Nachteilen, die alle graoßen Messenger haben: zentrale Infra, teilweise closed Source, kein eigenes Adressbuch bzw. automatisches Hochladen aller Kontakte, usw.

Das Privacy Handbuch hat da viel Hintergrundwissen zum Thema.

Persönlich finde ich zur Zeit das Matrix-Protokoll mit den Riot-Clients am besten, wenn man Privatsphäre und Datenschtuz im Hinterkopf hat.

 

[grill]

Never ever Telegram. Das Ding hat keine vernünftige Crypto, und selbst das BKA, die sonst nix hinbekommen, schaffen es da rein.

Nur die Russen, die selbst amerikanische Wahlen beeinflussen können, kommen nicht rein und sperren aufgrund dessen 18 Millionen IP Adressen.

 

[RickAbao]

Ich vertraue meinem Gerät durchaus, dem Google Betriebssystem in all seinen Einstellungen allerdings nicht 100%ig. Gibt es keine Möglichkeiten Messenger Daten so zu verschlüsseln (standardmäßig und (normal)nutzer-freundlich), dass sie nur durch den Messengerdienst ausgelesen werden können? Ja, den lokalen Client steuert das Betriebssystem, nichtsdestotrotz würde das zumindest die Datensammlung erschweren.
Oder habe ich da einen Denkfehler drin..?

Noch einmal, keine Hochsicherheitsdaten, aber Pseudo-Privatsphärenschutz brauche ich auch nicht, vor allem nicht gegen $$$. WhatsApp verschlüsselt auch End-to-End...

 

[cartridge_case]

Imho sind doch die Daten auf Smartphones bereits verschlüsselt.

 

[Hägar Horrible]

Ich finde es lobenswert, dass du dir um die Sicherheit Gedanken machst. Aber wenn 99% deiner Chatpartner WhatsApp nutzen stehen die Chancen schlecht, die zu einem Wechsel zu bewegen, da die ja auch wieder Chatpartner haben, die Whatsapp nutzen etc....

Ist also gar nicht so einfach

 

[Toms]

ever ever Telegram. Das Ding hat keine vernünftige Crypto, und selbst das BKA, die sonst nix hinbekommen, schaffen es da rein.

Hast du denn Belege dafür?

Telegram ist mit der ausgewachsenste Messenger von den WhatsApp Alternativen und mit Sicherheit auch der beste. Es gibt ne Community darum, es gibt alternative Messenger, eine offene Plattform und API und moderne Features wie Sticker, GIFs, Bots etc.

 

[ChristianSL]

WhatsApp sagt, sie würden das tun. Aber da niemand in Server schauen darf, naja... *hust*
Nochmal, was auf deinem Phone passiert, ist im Zweifel für alle Apps ausschnüffelbar. Wenn man hier von Crypto redet, dann geht es um Ende-zu-Ende-Verschlüsselung, aber die Keys dafür sind immer auf deinem Phone. Selbst wenn du sie bei jedem Gebrauch erst entsperrst sind sie immernoch auf dem Phone mit der fragwürdigen App.

@Toms, zB:
https://netzpolitik.org/2016/bundeskriminalamt-knackt-telegram-accounts/
https://motherboard.vice.com/de/article/435gbd/telegram-ueberwachung-bka-chat-app-verschluesslung

 

[KurzGedacht]

Unter "normalem" android ist es nicht möglich Messenger so sicher zu betreiben wie du es gerne hättest. Das hat mit verschlüsselung nicht Mal was zu tun. Im Zweifelsfall kann das OS die Daten z.b. einfach über die grafik Ausgabe abgreifen.
Das kannst du wenn überhaupt nur über Open source android ROMs ausschließen.

Bei Apple ist die Situation insgesamt wenn man das OS vom Hersteller nicht verändern etwas besser, aber da musst du dann halt Apple vertrauen.

Keine App der Welt kann irgendwas ausrichten, wenn du dem Gerät und dem Betriebssystem nicht vertrauen kannst.

 

[grill]

@ChristianSL: Wow, das hat aber nichts mit der eigentlichen Sicherheit von Telegram zu tun...

Die Ermittler konnten durch eine Telekommunikationsüberwachung (TKÜ) an die Accounts der Mitglieder gelangen.

Da muss definitiv einiges Geschehen sein, denn Telegram hat eine Zwei-Faktor-Authentifizierung. Wer weiß wie blöd die Nutzer waren. Oder ob die Geschichte nicht doch nur erfunden ist...

 

[ChristianSL]

Doch hat es. Wenn der Messenger nicht schnallt, dass da ein neuer Key in der Unterhaltung ist, und eine SMS (kaputter als die Telefonnetze geht nicht mehr) die einzige Hürde ist, dann ist die Crypto halt einfach nicht brauchbar.
In anderen Systemen klingelt und alarmiert jederClient, wenn da ein neuer Key rumschwirrt, der nicht von jedem Endpunkt verifiziert wurde. Und QuellenTKÜ ist in jedem Fall ein valider Angriffvektro dem jede modern Crypto standhalten sollte.

P.S.: ich denke, das ist genau die Debatte, die der TE vermeiden wollte. Bringt nur leider nichts, wenn so viel fragwürdiges Zeug im Umlauf ist und für den heiligen Gral gehalten wird.

 

[RickAbao]

Imho sind doch die Daten auf Smartphones bereits verschlüsselt.

Ja, aber über das Android Betriebssystem, dessen Google Apps man als normaler Nutzer ja schon schwer genug ruhig bekommt. Wenn also mein Messenger die Daten verschlüsselt/entschlüsselt, können die verschlüsselten Daten meinethalben sonstwo landen, wo sie nur zu unverhältnismäßig hohem Aufwand (vermutlich dürften NSA & Co. die Rechenpower für meine belanglose Kommunikation aufbringen zu meiner Gläsernkeit beitragen.
Wichtig wäre mir halt, dass beispielsweise Metadaten nicht einfach für Google/Android und sonstige Datenhamster zugänglich sind- auf meinem Smartphone und dem meines Chatpartners. Das bezweifele ich bei WhatsApp irgendwie...

Grafikausgabe mittels OS aufzeichnen u.ä. lasse ich mal Außen vor, bei solchem und ähnlichem ist das mMn wider die Frage von Verhältnismäßigkeit (und irgendwann auch die des Straftatbestandes seitens des OS-Betreibers). Ich möchte bloß vermeiden, dass meine Kommunikation im Klartext an Google und sonstige Apps gehen kann, Android vertraue ich gezwungenermaßen (soweit ich es werfen kann .

 

[Toms]

Da wurde aber nicht die Verschlüsselung geknackt, sondern eine SMS abgefangen. Selbst wenn, an die Geheimen Chats kommt man dadurch immer noch nicht ran, also ist Telegram was das angeht sicher

neuer Key in der Unterhaltung ist, und eine SMS (kaputter als die Telefonnetze geht nicht mehr) die einzige Hürde ist, dann ist die Crypto halt einfach nicht brauchbar.
In anderen Systemen klingelt und alarmiert jederClient, wenn da ein neuer Key rumschwirrt, der nicht von jedem Endpunkt verifiziert wurde. Und QuellenTKÜ ist in jedem Fall ein valider Angriffvektro dem jede modern Crypto standhalten sollte.

Das betrifft aber nur die normalen Chats, welche per TLS gesichert sind. TLS ist nur eine Transportverschlüsselung und das ermöglicht zB das Chatten von mehreren Geräte aus. Geheime Chats kann man aber immer nur auf dem Gerät lesen, von dem dieser initiiert wurde, da Ende-zu-Ende verschlüsselt.

 

[Dr. McCoy]

Ok, wie verschlüsselt der denn? Meine Sorge sind nur zum Teil die Daten auf meinem Handy- da die Chatpartner zu 99% Datenkraken wie WhatsApp auf dem Handy haben, die sich Rechte für Telefonbuch u.ä. einräumen, würde mich interessieren, ob andere Apps/Betriebssystem die Daten entschlüsseln können.

Auf dem Gerät:
-> https://threema.ch/de/faq/crypto_local

Beim Versand/Empfang:
-> https://threema.ch/de/faq/why_secure

Allgemein:
-> https://threema.ch/de/faq/crypto_differences

Threema erlaubt die Kommunikation anhand einer ID, ohne Bezug auf die jeweilige Telefonnummer.

 

[eigs]

Telegram ist mit der ausgewachsenste Messenger von den WhatsApp Alternativen und mit Sicherheit auch der beste.

Telegram ist aufgrund der nicht standardmäßigen Ende zu Ende Verschlüsselung schlechter als WhatsApp.
Als sichere Alternative würde ich Signal oder Threema empfehlen. Bei Threema kann ich mir allerdings vorstellen dass den Leuten nur schwer zu vermitteln ist dafür zu bezahlen wenn andere Messenger kostenlos sind.

 

[ChristianSL]

Keine Metadaten zu versenden ist nun aber eine neue Anforderung, die wenig mit Crypto zu tun hat, sondern mit Anonymisierung.

 

[grill]

In anderen Systemen klingelt und alarmiert jederClient

Da merkt man dass du keine Ahnung hast, denn genau das tut Telegram. Und das schon seit Jahren. Zudem kann man ja auch problemlos "Geheime Chats" aufmachen und diese sind dann Ende-zu-Ende verschlüsselt.