Darum sind Briefe und E-Mails noch immer besser als WhatsApp, iMessage und Co.
Mit dem neuen Nachrichtendienstgesetz (NDG) und der drohenden Weitergabe der Nutzerdaten von WhatsApp an Facebook ist die Wahl des «richtigen» Kommunikationsmittels wichtiger als je zuvor. Nicht nur Geheimdienste, auch Kriminelle haben ein Interesse mitzulauschen – und tun dies auch.
Während bei Alltagsgesprächen jeder selbst wissen muss, wie viel ihm abhörsichere Kommunikation wert ist, sind bei vertraulichen Informationen (in Unternehmen) sichere Kommunikationsmittel Pflicht.
Auch Schweizer Unternehmen dämmert's langsam, dass Interna oder gar Firmengeheimnisse in Zeiten der (staatlich unterstützten) Online-Spionage nicht über unverschlüsselte E-Mails oder Chat-Apps diskutiert werden sollten.
Die Digitale Gesellschaft Schweiz hat in einem umfassenden Vergleichstest gängige und weniger bekannte Chat-Apps und E-Mail-Programme auf Sicherheit und Nachhaltigkeit geprüft und mit herkömmlichen Diensten wie SMS, Briefpost oder Fax verglichen. Nebst WhatsApp, Snapchat oder Apples iMessage wurden auch Schweizer Chat-Apps wie Threema oder Swisscoms iO-Messenger unter die Lupe genommen.
Die Resultate im Überblick
Alle getesteten Apps, Programme und Verschlüsselungs-Methoden wurden in zehn Kategorien bewertet (siehe Übersicht am Ende des Artikels).
- Apps wie WhatsApp oder Apples iMessage, die Nachrichten vollständig verschlüsseln, können daher trotzdem eine schlechte Gesamtbewertung erhalten, da sie in bestimmten Kategorien wie «Zugriff auf das Adressbuch», «Speicherung von Metadaten» (wer, wann, wo mit wem telefoniert oder chattet) oder der «Benutzerfreundlichkeit» mangelhaft abschneiden.
- Bei vielen kommerziellen Chat-Apps wie Skype und Facebook Messenger wird zudem bemängelt, dass der Programmcode bzw. die Verschlüsselung nicht von unabhängigen, externen Experten überprüft werden kann.
Sicherheit und Privatsphäre von WhatsApp, E-Mail, SMS und Co.
Sehr gut schneiden ab:
- E-Mail mit GnuPG oder pEp verschlüsselt
- Jabber/XMPP mit OTR (Instant-Messaging)
- Tox (Instant-Messaging und Videotelefonie)
- Retroshare (Instant-Messaging, E-Mail-Client, IP-Telefonie, Videokonferenz)
Hinweis: Die pEp-Foundation ist Mitglied der Digitalen Gesellschaft.
Gut schneiden ab:
- Briefpost
- E-Mail mit S/MIME, per ProtonMail oder Privasphere
- Wire
- Signal
- Threema
- Mumble
Nicht empfehlenswert sind:
- SMS
- WhatsApp von Facebook
- Apple iMessage
- Swisscom iO
- Microsoft Skype
- Fax
- Festnetztelefonie
- Mobilfunktelefonie
- Post IncaMail
- Snapchat
- Facebook Messenger
- Viber
- Google Hangouts
- CryptoPhone
- Blackphone
Wer Vertrauliches mitteilt, sollte einen Kommunikations-Dienst aus der ersten, sichersten Kategorie wählen. Dazu zählen mit GnuPG oder pEp verschlüsselte E-Mails. Bei den Chat-Programmen überzeugt Jabber/XMPP mit OTR. Leider sei hier die Benutzerfreundlichkeit noch vergleichsweise schlecht.
Die Digitale Gesellschaft empfiehlt für die Kommunikation im Alltag die mittlere Kategorie «Gute Sicherheit». Dazu gehören die Schweizer Messenger-App Threema sowie die altbekannte Briefpost und E-Mail. Diese Kommunikationsmittel gewährten eine gute Balance zwischen Sicherheit, Privatsphäre und Benutzerfreundlichkeit. Bei der Briefpost etwa wird in der Regel nicht gespeichert, wer, wann mit wem kommuniziert und natürlich erfolgt anders als bei WhatsApp auch kein Zugriff auf das Adressbuch bzw. die Kontakte.
Für vertrauliche Nachrichten nicht zu empfehlen sind Festnetz- und Mobilfunktelefonie sowie SMS-Nachrichten. Schlechte Verschlüsselung und die Vorratsdatenspeicherung (Swisscom, Sunrise und Co. speichern wer, wann, wo mit wem telefoniert oder chattet) führen zu einem ungenügenden Resultat.
Die bekannten Chat-Apps sind verschlüsselt, aber ...
Durchs Band schlecht beurteilt werden die Chat-Apps bekannter Anbieter wie Apple, Microsoft, Facebook, Google oder Swisscom. Deren Apps verschlüsseln zwar die Nachrichten, sind aber laut Digitaler Gesellschaft nicht nachhaltig. Das heisst, sie nutzen keine offenen Standards oder Open Source Software. Apps wie iMessage, WhatsApp, Facebook Messenger und Swissoms iO können daher von unabhängigen Sicherheitsexperten nicht vollständig eingesehen und geprüft werden.
WhatsApp und iMessage fallen trotz Ende-zu-Ende-Verschlüsselung (die Nachrichten können nur von den beteiligten Kommunikationspartnern gelesen werden, nicht aber von WhatsApp oder Apple selbst) in der Schlussbewertung durch.
Dies liegt vor allem daran, dass iMessage und der zu Facebook gehörende Messenger Metadaten speichern (wer, wann mit wem kommuniziert). WhatsApp greift zudem auf das Adressbuch zu, während die Verschlüsselung von iMessage von unabhängigen Experten nicht geprüft werden kann.
Auch Skype und Google Hangouts überzeugen nicht: «Für Video-Telefonie können Skype und Hangouts nicht empfohlen werden», schreiben die Schweizer IT-Sicherheitsexperten der Digitalen Gesellschaft. «Hingegen stellen die beiden Open-Source-Projekte Retroshare und Tox sehr gute wenngleich noch wenig verbreitete Alternativen dar.»
Darum schneidet E-Mail besser ab als WhatsApp, iMessage und Co.
E-Mail galt lange als unsicher, da unverschlüsselte E-Mails einfach mitgelesen werden können. Inzwischen wird die elektronische Post von den Mail-Anbietern immer öfter verschlüsselt übertragen, was das verpönte Kommunikationsmittel auch für sensible Inhalte attraktiver macht.
«Mit zusätzlichen Erweiterungen, wie GnuPG oder pEp, kann die Sicherheit der E-Mail weiter verbessert werden», schreibt die Digitale Gesellschaft. Dies gehe im Fall von GnuPG aber auf Kosten einer weniger benutzerfreundlichen Bedienung.
Wichtig: Durch die sorgfältige Wahl des Mail-Anbieters lässt sich auch die Speicherung verräterischer Metadaten verhindern. Empfohlen werden zum Beispiel posteo.de oder mailbox.org. Schweizer Provider hingegen sind gesetzlich verpflichtet, von allen Nutzern auf Vorrat zu speichern, wann sie mit wem kommuniziert haben (siehe unten stehende Infobox).
Mit solchen Metadaten können Bewegungs-, Beziehungs- und Persönlichkeitsprofile aller Handy-Nutzer erstellt werden, wie in diesem interaktiven Beispiel erklärt wird.
- Mit wem er wann und von wo aus kommuniziert hat
- Wer sich wann und für welche Dauer ins Internet eingeloggt hat
- Wer wann wem ein E-Mail oder SMS geschickt hat
- Wo sich der Handynutzer gerade befindet
So wurde getestet
Fünf Mitglieder der Digitalen Gesellschaft Schweiz, alle mit einem Hintergrund in der Informatik oder der Informationssicherheit, haben die zehn getesteten Kategorien ausgearbeitet.
Für den Vergleich wurden folgende Kriterien herangezogen.
Sicherheit und Privatsphäre:
- Keine Metadatenspeicherung: Es findet keine (bekannte) Speicherung von Metadaten durch den Anbieter für eigene Zwecke oder für Strafuntersuchungsbehörden respektive Geheimdienste statt (Vorratsdatenspeicherung). Achtung: Bei der Verwendung der vorgestellten Programme auf dem Handy per Mobilfunknetz fallen zusätzlich Vorratsdaten an.
- Transportverschlüsselung: Die Nachrichten sind während des Transports wirkungsvoll verschlüsselt; können vom Dienstanbieter aber eingesehen werden. Die Metadaten sind bei der Übertragung geschützt.
- Ende-zu-Ende-Verschlüsselung: Die Nachrichten können nur von den beteiligten Kommunikationspartnern gelesen werden. Diese können sich gegenseitig verifizieren (authentisieren).
- Security-/Code-Audits: Es gibt aktuelle und unabhängige Untersuchungen des Source Codes zu den verwendeten Verschlüsselungsmethoden. Open Source Software ohne aktuelle Untersuchung erfüllt die Anforderung zur Hälfte.
- Wählbare Identifikation: Die Benutzeridentifikation ist nicht an eine Telefonnummer, den Personennamen und/oder die physische Adresse gebunden.
- Kein Adressbuchupload/-Zugriff: Es findet keine Synchronisation (Abgleich) des Adressbuchs zum Anbieter statt.
Nachhaltigkeit:
- Offener Standard: Es wird ein offener Standard verwendet, der frei implementiert werden kann.
- Open Source Software: Die Software steht im Quellcode zur Verfügung und kann von Dritten eingesehen, geändert und weiterverwendet werden.
- Dezentrale Architektur: Die Software ist nicht von einem einzigen, zentralen Anbieter abhängig.
Sonstiges:
- Benutzerfreundlich: Die Anwendung ist einfach verständlich und mit wenigen Klicks einsatzbereit. Sie steht für die gängigsten Plattformen (Desktop PCs, Handy, Web) zur Verfügung.
Eine detailliertere Beschreibung des Testverfahrens und der gewählten Kriterien findet sich am Ende dieses Artikels.
Weiterführende Informationen zum Thema sowie eine Übersicht mit sicheren E-Mail-Anbietern findest du auf der Webseite privacytutor.de.
WhatsApp – das musst du wissen
