Messenger sind heute auf nahezu jedem Handy installiert. Platzhirsch ist seit längerem WhatsApp, das inzwischen zu Facebook gehört. Dies obschon WhatsApp in der Vergangenheit immer wieder durch Sicherheitslücken und Datenschutzrisiken aufgefallen ist. Nun werden die AGB’s erneut geändert und viele Nutzer fragen sich, ob man WhatsApp trotzdem noch weiterhin nutzen soll. Als Internet-Nutzer, der die Privatsphäre nicht einfach so aufgibt, finde ich definitiv „Nein“. Facebook nutzt  Daten, die wir freiwillig zur Verfügung stellen, konsequent. Durch die Zustimmung der Nutzer ist es Facebook erlaubt, Telefonnummern, beispielsweise zum Finden von Freunden oder für Werbezwecke, zu verwenden. Was oft vergessen wird: Der Benutzer selber begeht eine Datenschutzverletzung, wenn er Kontaktdaten aus seinem Adressbuch ohne Einwilligung an Facebook weiter gibt. Eigentlich müsste vorher die Einwilligung jeder einzelnen Person in den Kontakten eingeholt werden! Dies steht auch so in den AGBs von WhatsApp: „Adressbuch. Du stellst uns regelmäßig die Telefonnummern von WhatsApp-Nutzern und deinen sonstigen Kontakten in deinem Mobiltelefon-Adressbuch zur Verfügung. Du bestätigst, dass du autorisiert bist, uns solche Telefonnummern zur Verfügung zu stellen, damit wir unsere Dienste anbieten können.“

„Wenn man sagt, die Privatsphäre ist mir egal, ich habe nichts zu verbergen – dann ist das wie wenn man sagt, die Redefreiheit ist mir egal, ich habe nichts zu sagen“.
Edward Snowden / Re:publica Konferenz, Berlin

Da ich in letzter Zeit öfters gefragt werde, wo denn das Problem dabei sei WhatsApp oder andere Facebook-Apps zu verwenden, möchte ich hier kurz ein paar Zeilen zu diesem Thema schreiben. Vorweg: Es gibt natürlich auch andere Messenger, die unsere Privatsphäre schützen. Dazu gehört zum Beispiel auch der Messenger „Signal“ (ehemals TextSecure), der scheinbar sogar von Edward Snowden verwendet wird und komplett als OpenSource Software veröffentlicht wurde. Ich konzentriere mich hier jedoch auf Threema, da ich in der Schweiz lebe und Threema eine Schweizer Firma ist, die der Schweizer Gesetzgebung unterliegt. Es ist im Übrigen auch kein Problem mehrere Messenger auf einem Smartphone zu installieren, um so möglichst viele Freunde zu erreichen. Hauptsache dabei ist, dass von allen installierten Apps die Privatsphäre geschützt wird.

„Die Gratisphase bei Whatsapp – keine Jahresgebühr, keine Datenweitergabe – war, man muss es so sagen, nur ein Lockmittel, um Platzhirsch in diesem Geschäft zu werden.“
Andreas Noll, DRadio Wissen

Viele haben sich inzwischen mit WhatsApp angefreundet und sind nicht gewillt, oder vielleicht auch einfach zu bequem, den Messenger jetzt noch zu wechseln und zusätzlich auch ihre Freunde/Kontakte zu einem Wechsel zu bewegen. Also bleibt man beim Alten und sucht Gründe, warum alles doch gar nicht so schlimm sei. Leider, soviel vorweg, gibt es solche Gründe nicht. Hier besteht, in einer Zeit in der politisch immer wieder Weichen in Sachen Privatsphäre gestellt werden, bei vielen Leuten immer noch Aufklärungsbedarf.
Zur Erinnerung: Bei der Übernahme von WhatsApp durch Facebook im Jahre 2014 versicherte der WhatsApp-Gründer Jan Koum auf diversen Konferenzen und in diversen Interviews, dass WhatsApp unabhängig bleibt und die Nutzerdaten nicht mit Facebook geteilt werden. Dies scheint damals ein wichtiger Punkt gewesen zu sein. Damals.

„Es gibt im Internet nichts gratis“

Diesen Spruch hört man immer wieder – und er stimmt leider auch meistens. WhatsApp will die privaten Kontaktdaten nun weiterleiten an Facebook. Hier sollen die Daten (vorläufig) nur zu Werbezwecken und zum Finden von Freunden verwendet werden. Wer bis jetzt weder Facebook, noch die Facebook-Messenger App installiert hatte, gab Facebook keinen Zugriff auf diese persönlichen Kontaktdaten. Nun reicht also auch das Installieren von WhatsApp, damit Facebook an diese Daten kommt. Nicht zu vergessen: Auch Instagram gehört zu Facebook und teilt Daten. Welche Kontaktdaten Facebook bereits synchronisiert hat, kann man über diesen Link einsehen (Facebook-Login vorausgesetzt).
In Zukunft werden WhatsApp Benutzer voraussichtlich persönliche Werbung und konkrete, auf sie zugeschnittene Angebote erhalten. Jeder „Like“ bei Facebook lässt schliesslich auf persönliche Vorlieben schliessen und kann für Werbezwecke optimal verwendet werden. Ist doch super, werden einige denken. Doch in der heutigen Zeit sollte man vielleicht noch etwas weiter denken…

„Schutz der eigenen Daten und Privatsphäre online geht uns alle an, denn jeder hat etwas zu verstecken, wenn nicht vor der derzeitigen Regierung, dann vor Werbeunternehmen, Online-Händlern oder Hackern.“
E. Snowden

Wer garantiert uns, dass Facebook oder WhatsApp die AGBs nicht bald wieder zu unseren Ungunsten ändert? Viele persönliche Daten der Nutzer sind dann ja bereits vorhanden und können verarbeitet werden. Und wer sagt uns, dass die Regierungen sich nicht gegen das Volk wenden wie das in einigen Ländern auch heute schon passiert? Für was werden dann unsere Daten verwendet? Unsere Bewegungsprofile, das soziale Umfeld (mit wem Kommuniziere ich wie oft), die persönlichen Vorlieben und Interessen? Eine Möglichkeit: Gegen uns! Auch darf man nicht vergessen, dass in der Vergangenheit immer wieder grosse Firmen von Hackern ausspioniert wurden. Dabei gab es immer wieder Fälle, bei denen persönliche Daten der Benutzer erbeutet wurden. Viele haben bei diesem Gedanken zu Recht ein ungutes Gefühl.

Aber was macht Threema anders?

Jetzt wird’s ein wenig technisch… aber nur kurz.

WhatsApp verwendet die Kontaktdaten zum Finden und Anzeigen von anderen Nutzern, die im Adressbuch eingetragen sind. Dazu werden (soweit bekannt) die Telefonnummern verwendet. Ob weitere Daten aus dem Adressbuch übermittelt werden (Geburtsdatum, Notizen, Adressen usw.), kann man nicht genau sagen – die Möglichkeit besteht zumindest. Da Facebook vor allem über E-Mail Adressen neue Freunde sucht, ist es wohl naheliegend, dass WhatsApp diese in Zukunft auch übermittelt. Threema übermittelt hingegen generell nie persönliche Daten an den Threema-Server oder gar Dritte. Damit dies funktioniert, werden aus den Telefonnummern im Adressbuch sogenannte Hashes generiert. Dies ist eine Zeichenfolge, die für jede Telefonnummer eindeutig ist, jedoch nicht wieder zurück gerechnet werden kann. Das heisst, dass dieselbe Telefonnummer immer denselben Hash ergibt, aus diesem jedoch nicht wieder die Telefonnummer generiert werden kann. So kann Threema Kontaktdaten abgleichen, ohne persönliche Daten im Klartext zu verwenden. Wer genaueres zu kryptologischen Hashes wissen möchte, kann sich auch bei Wikipedia schlau machen.

Damit man sich etwas darunter vorstellen kann, ein einfaches Beispiel mit einer fiktiven Telefonnummer. Threema verwendet den Algorithmus „HMAC-SHA256“.  Dabei wird zusätzlich ein Key (Schlüssel) als sogenanntes „Salt“ (Briese Salz) verwendet, um die Daten zu verschlüsseln. Dieses Beispiel kann jeder, der mit einem GNU/Linux System arbeitet, auf seiner Konsole ausprobieren. Das Resultat (Fett gedruckt) muss dabei immer dasselbe sein, vorausgesetzt man verwendet denselben Key und dieselbe Nummer. Auch Threema muss für alle Benutzer denselben Key verwenden, damit beim Abgleich der Kontakte Übereinstimmungen gefunden werden.

echo -n "004131123456" | openssl sha1 -hmac "DasIstDerKey"
(stdin)= 28944466d07a91ebf9e787d43b32e4ec5ec85506

Wenn das doch so einfach ist, kann man sich fragen, wieso WhatsApp dies nicht auch so macht. Man könnte annehmen, dass WhatsApp bewusst Klartext-Daten erhalten will, um diese überhaupt für eigene Zwecke nutzen zu können. Wenn man in den AGBs liest, wird auch klar warum. WhatsApp will mit den Daten Geld generieren, was nur möglich ist wenn die Nutzer eindeutig identifiziert werden können. Wer die AGBs in Deutsch lesen möchte, findet immer die aktuelle Version hier. Der Datenschutzbeauftragte in Deutschland hat die AGBs etwas entschlüsselt und zusammengefasst: https://www.datenschutzbeauftragter-info.de/whatsapp-nutzungsbedingungen-und-datenschutzerklaerung/. Übrigens sind die WhatsApp-AGBs erst seit diesem Jahr (2016) auch in deutscher Sprache verfügbar. Dies erst nach einem Urteil eines deutschen Gerichts.

Threema ist nicht an die persönliche Telefonnummer gebunden. Dies macht das Handling bei einem Telefonwechsel etwas komplizierter (man muss dazu die Threema-ID sichern und auf dem neuen Handy wieder herstellen, wenn man dieselbe Threema-ID weiter verwenden möchte). Dafür brauchen neue Threema-Kontakte nicht unbedingt die persönliche Telefonnummer zu kennen, sondern nur die Threema-ID (z.B. als QR-Code). Entsprechend kann man also auch Kontakte zu den persönlichen Threema-Kontakten hinzufügen, dessen Telefonnummer man nicht kennt. Dies ist sicher praktisch, wenn man jemandem nicht  die persönliche Telefonnummer weitergeben, ihn aber trotzdem kontaktieren möchte. Übrigens: Einfach den persönlichen QR-Code in Threema öffnen und dem Gegenüber zum Scannen zeigen. Schon erscheint man in den Kontakten von Threema – jedoch nicht mit dem realen Namen, denn auch diesen kennt Threema nicht. Nur Kontakte im lokalen Adressbuch erscheinen auch in Threema mit dem entsprechenden Namen. Alle anderen kann man aber natürlich in den Threema-Kontakten mit Namen ergänzen.

Dass man über Threema auch Fotos in Originalgrösse und andere Dokumente senden kann, ist ein schönes Feature, hat aber nichts mit der Sicherheit zu tun. Die Daten und Nachrichten sollten inzwischen bei allen wichtigen Messengern verschlüsselt übertragen werden. Jedoch kann man Funktionen wie das Verschicken von Sprachnachrichten separat installieren. Entsprechend braucht Threema bei der Installation keine Rechte für das Einschalten des Mikrofons. Erst wenn man die Funktion der Sprachnachrichten ausdrücklich wünscht und installiert, müssten diese Rechte erteilt werden. Das Aktivieren des Mikrofons gehört meiner Meinung nach immer noch zu den heikelsten Rechten, die man einer App erteilen kann. Niemand hat dann nämlich die Kontrolle darüber, wann und von wem das Mikrofon aktiviert wird. WhatsApp geriet in dieser Hinsicht immer wieder unter Verdacht, solche Möglichkeiten auszunutzen. Dasselbe gilt auch beim Scannen von QR-Codes in Threema. Ohne das zusätzliche Scan-Programm benötigt Threema kein Zugriff auf die Kamera im Smartphone.

Threema ist in weiten Teilen OpenSource

OpenSource Software ist ein Thema für sich. Generell muss man dazu wissen, dass man den sogenannten SourceCode (der lesbare Programmcode) einsehen kann. Dies ermöglicht fachkundigen Personen zu beurteilen, was die Software genau macht. Man würde also herausfinden, wenn ein Messenger eine Hintertüre eingebaut hat oder heimlich Daten z.B. an Regierungen übermitteln möchte. Bei Threema übernimmt das Code-Audit cnlab in Zürich, da nicht alle Teile von Threema öffentlich einsehbar sind. Den Bericht kann man hier finden, die OpenSource-Teile von Threema, die für alle einsehbar sind, findet man hier.

Ich hoffe mit diesem Blog einigen Lesern zu helfen, sich selber eine Meinung zu WhatsApp und den Alternativen bilden zu können.

Achtet auf Eure Daten und gebt sie nie unüberlegt weiter!