WhatsApp, Threema und Konsorten

Spätestens seit der Übernahme von WhatsApp kann man sich dem Thema Threema ja momentan nicht so richtig entziehen (insbesondere dann nicht, wenn seit Monaten bestimmte Leute in meiner Timeline von nichts anderem reden), also gebe ich auch mal meinen nicht übermäßig fundierten Senf dazu. (Dieser Artikel ist vermutlich ziemlich wirr, ziel- und planlos geworden, aber wenn man schon jenseits von 10k ist, will man das auch nicht einfach so wegwerfen. Also: raus damit in die Welt, so mache ich das mit meinem Code auf github ja auch.)

WhatsApp

WhatsApp ist cool und praktisch. Fast jeder hat es, die Bedienung ist absolut unkompliziert (letztendlich war WhatsApp z.B. der Grund für meine Mutter, ein Smartphone haben zu wollen) und es tut, was es soll, und das sogar nicht mal schlecht. Auch die Kosten halten sich im Rahmen (dass es überhaupt was kostet, sehe ich als Vorteil: Wenn die Firma regelmäßige Einnahmen hat, ist sie nicht ganz so dringend darauf angewiesen, meine persönlichen Daten zu verkaufen. Daumenregel: "Wenn es nichts kostet, bist Du selbst die Ware.").

Im direkten Vergleich mit anderen Messengern ist für mich insbesondere die umfangreiche Smilieliste von WhatsApp ein dickes Plus. Klingt doof, schäme ich mich ein wenig für, aber ist nun mal so.

WhatsApp hat und hatte schon immer auch einen Haufen negativer Punkte, die aber außer einigen Nerds so richtig niemanden gestört haben:

• es lädt standardmäßig (und ungefragt?) das gesamte Adressbuch hoch


• Nachrichten sind unverschlüsselt übers Netzwerk gelaufen


• Sessions ließen sich kapern; Accounts übernehmen (hoffentlich schmeiße ich das jetzt nicht mit Dropbox durcheinander: das ist auch toll und praktisch und hat die gleichen Probleme, siehe z.B. diesen interessanten Artikel)


• im Umgang mit entdeckten und gemeldeten Fehlern hat sich WhatsApp nicht mit Ruhm bekleckert (keine offene, umfangreiche Kommunikation und schnelle Fehlerbehebung etc.)

Im Rahmen der ganzen NSA-Geschehnisse wurden die vorhandenen Unmuts-Stimmen lauter und zahlreicher, gleichzeitig sprossen in der letzten Zeit neue, ähnliche Messenger-Projekte mit Fokus auf Verschlüsselung aus dem Boden. Vielfach blieb es aber bei einem "Na und? Was ich da schreibe, ist sowieso total belanglos." (natürlich ist das nur eine Umformulierung des wenig löblichen löblichen Ansatzes "Ich habe ja nichts zu verbergen". Schönes Gegenargument für Leute, die "aber ich habe ja nichts zu verbergen" sagen und damit Krypto-Bemühungen pauschal abkanzeln: "Aber zu Hause hast Du trotzdem Gardinen vor dem Fenster, auch wenn Du nichts zu verbergen hast, oder?" Aber ich schweife ab. (Um noch mehr abzuschweifen: Ich habe keine Gardinen vorm Fenster, aber ich wohne auch weit genug oben)) Ich sage für mich übrigens auch "was ich da schreibe, ist total belanglos", möchte das aber als einen problembewussten Umgang der Sorte "wenn ich darüber etwas nicht belangloses schriebe, hätte ich was falsch gemacht" verstanden wissen :-)

Umso überraschender für mich, dass die aktuelle Übernahme von WhatsApp durch Facebook es – anders als die ganzen NSA-Geschehnisse – plötzlich schafft, dass eine breite Öffentlichkeit (zu meiner Überraschung einschließlich meiner Mutter!) WhatsApp in Frage stellt und nach Alternativen sucht. Im Android-AppStore ist die Tage Threema auf Platz 1 der kostenpflichtigen Apps (die Facebook-Übernahme von WhatsApp war die beste kostenlose Werbung, die die sich nur wünschen konnten). Lustigerweise ist WhatsApp parallel Platz 1 bei den kostenlosen Apps (was zeigt, wie blöd die Kategorisierung ist, da WhatsApp nach einiger Zeit äußerst quengelig wird, dass man es doch bezahlt – kostenlos ist für mich anders).

Threema

(Gleich vorab: Diese Meldung ist nur Satire. Aber die Tatsache, dass das in der Threema-FAQ gleich ganz oben thematisiert wird, zeigt, wie viral sich die Meldung verbreitet hat. Und gute Satire zeichnet sich dadurch aus, dass sie sich nicht allzuweit von einer möglichen Realität entfernt…)

Eine der aktuell meistgenannten Alternativen ist Threema (WhatsApp ist ein Wortspiel, aber wofür steht Threema?). Das hat schon einen gewissen "Vorsprung", weil das Projekt nicht mehr ganz so jung ist. Die meiner Meinung nach wichtigsten Vorteile von Threema sind die folgenden:

• Ende-zu-Ende-Verschlüsselung, die privaten Keys verbleiben auf dem Handy – anders als z.B. bei der viel gelobten "sicheren" De-Mail kann (wenn es fehlerfrei programmiert ist und keiner das Handy klaut) keine zentrale Stelle die Nachrichten entschlüsseln.


• kein Zwang, sich mit einer Mailadresse oder einer Telefonnummer anzumelden, eine Threema-ID auszuwürfeln reicht aus


• Telefonbuch-Hochladen ist optional (Nebenbei-Rant-Exkurs: erstaunlich viele Leute in meinem Umfeld sind plötzlich bei Threema und sagen dann "da kommen immer mehr aus meinem Adressbuch dazu" - da ist das schon optional, und trotzdem tappt jeder in die Hochladefalle. Selbst, wenn die Telefonnummern beim Hochladen gehashed sind: Was taugt das? Nehmen wir mal bei einer durchschnittlichen deutschen Mobilfunknummer 8 Ziffern an, dazu kommt die Vorwahl - das sind aber nicht nochmal 4 Stellen, sondern eher 10, 20 oder meinetwegen 50 mögliche Kombinationen. Sagen wir also mal über den groben Daumen, dass da ca. 10¹⁰ Kombinationen herauskommen. 10¹⁰ ist ca. 2³³. Wenn man das z.B. durch MD5 als Hashfunktion jagt, werden 2³³ Kombinationen in der Eingabe auf 2¹²⁸ Kombinationen in der Ausgabe gemappt – das dürfte also ziemlich eindeutig bleiben. Die popeligen 10¹⁰ Kombinationen kann man "mal eben" komplett durchrechnen, damit käme Threema trotz gehashter Telefonnummern vermutlich recht einfach auf die Ursprungsnummer. Also macht den Telefonbuch-Sync aus :-) Zweite Meinung dazu? Mein Rechenweg erscheint mir erstmal schlüssig.)

Das sind alles ganz klare Vorteile gegenüber WhatsApp und – je nach persönlicher Einstellung - reicht das vermutlich schon für einen Umstieg. Stellt sich natürlich immer die Frage "Was nutzen meine Kommunikationspartner? Wechseln die auch?" Threema alleine zu nutzen ist ziemlich langweilig (kann ich bestätigen: zu Beginn des Artikelschreibens hatte ich es bezahlt und installiert, aber noch keine Gegenstelle - dementsprechend hatte ich noch keine einzige Nachricht geschrieben und konnte nicht mal sagen, wie das Killerfeature "Smiliesammlung" in Threema aussieht (psst, ich verrate es jetzt: EXAKT die WhatsApp-Smilies. GEIL!)).

Threema ist allerdings auch nicht der Weisheit letzter Schluss:

• Es läuft anders als WhatsApp nicht unter Android 2.3.6 und somit nicht auf dem Handy meiner Freundin, was direkt dafür verantwortlich ist, dass ich wie beschrieben initial mangels Gesprächspartner keine Nachrichten verschicken konnte (hab ich natürlich erst gemerkt, nachdem ich die App gekauft hatte…). Laut FAQ ist die minimale Version Android 4.0 (Ice Cream Sandwich) und das wird sich auch nicht ändern.


• Threema ist nicht OpenSource - wer extra damit wirbt "wir sind toll, wir machen Krypto, wir machen nichts böses", der sollte sich auch in die Karten gucken lassen.


• Threema kostet nur einmalig Kohle, nicht laufend, und das soll auch so bleiben (so zumindest wurde es von einem Entwickler in diesem Podcast erklärt) - damit stellt sich, nachdem der erste große Ansturm vorbei ist, wieder die Frage: "Wie finanzieren die sich dauerhaft? Doch mit meinen Daten?"


• Threema läuft (genau wie z.B. auch WhatsApp) über eine zentrale Infrastruktur. Alle Nachrichten müssen über die Threema-Server. Eine Firma/Behörde/Uni hat nicht die Möglichkeit wie z.B. bei E-Mail, Kalender, News, Webservern, Wikis, … (sogar Telefonanlagen ;-) zu sagen: "Wir stellen uns hier was eigenes hin, da kommt man nur intern drauf, da kann niemand reingucken". Alle Nachrichten weltweit müssen über die gleichen Threema-Server. Da weiß man doch gleich, wo man mitlauschen muss, wenn man die Metadaten abgreifen will.


• Threema holt sich auf Android mehr Rechte, als es minimal braucht (z.B. Zugriff aufs Adressbuch) – das ist leider eine technische Restriktion von Android, weil das Rechtesystem da so doof ist. Man ist gezwungen, zuzustimmen, dass "Adressbuch auslesen" OK ist und muss dann darauf vertrauen (nachprüfen ist schwierig), dass Threema bei Klick auf "Adressbuch nicht hochladen" das auch wirklich nicht macht. Eine Möglichkeit zu sagen "ich erlaube der App keinen Adressbuchzugriff, meinetwegen funktioniert dann halt irgendeine Funktion nicht richtig" gibt es unter Android ja nicht (oder kommt sowas jetzt nicht langsam mit den neuesten, hypermodernen aktuellen Android-Versionen endlich?). Warum gibt es keine zweite Version im AppStore, bei der die Optionen "Telefonbuch abschnorcheln" und "Zugriff auf meine SMS" komplett deaktiviert sind und diese Rechte nicht benötigt werden? Marketingtechnisch könnte man das entweder als Threema Light (leider ohne Telefonbuchabgleich) für den halben Preis oder Threema NerdPremium für den doppelten Preis verkaufen (wenn sie geschickt sind, sogar beides gleichzeitig).


• Die (gefühlt) beworbene Eigenschaft "Wir sind aus der Schweiz, das ist toll und sicher!" ist vielleicht nicht so toll, wie man sich das vorstellt. Im internationalen Vergleich nicht unbedingt abgrundtief schlecht, aber halt auch nichts, um Werbung damit zu machen.

Jetzt muss man sich natürlich die Frage stellen: Sind diese Nachteile für mich schlimm? Reichen mir die Vorteile bereits schon für einen Wechsel? In ger.ct wurde das so zusammengefasst: Ist nicht NSA-sicher, aber wenigstens Zuckerberg-sicher. Halt bloß nicht Facebook. Eine valide und nachvollziehbare Einstellung.

Ich sehe das so: Ganz bestimmt ist Threema in vielen Dingen (insbesondere Datenschutz, Datensparsamkeit, Verschlüsselung und Umgang mit Fehlern) besser als WhatsApp. Genauso ganz bestimmt ist Threema aber auch nicht der finale Heilsbringer und Antwort auf alle weiteren Fragen zum Thema Messenger. Also auch nur ein aktueller Trend - ob er sich durchsetzt, sehen wir in der Zukunft. Abfällig könnte man sagen, dass es die Sau ist, die gerade durchs Dorf getrieben wird. Aber lieber eine Sau durchs Dorf treiben, als einen toten Gaul zu reiten :-)

generelle Probleme

Um da mal den Finger in die Wunde zu legen: Mobile Kommunikation läuft auf einem Mobiltelefon. Da reicht Verschlüsselung sowieso nicht:

• Selbst, wenn die Nachrichten verschlüsselt sind, fallen Metadaten an und es ist für einen Netzbetreiber und/oder Geheimdienste bestimmt nicht schwer nachvollziehbar, wer mit wem kommuniziert. Normalerweise ist das "wer mit wem" viel wichtiger als das "was sagen die".


• Selbst, wenn Threema OpenSource wäre: Wie kann man einfach prüfen, ob das, was man über den AppStore runterlädt, ohne Veränderungen aus dem irgendwo liegenden Quellcode übersetzt ist? Das ist auf einem PC einfacher: Zur Not kompiliere ich es mir halt schnell selbst (und bei Bedarf mit --disable-adressbuch-zugang oder so, damit die dafür nötigen Rechte komplett entfallen können). Oder ich vertraue auf ein großes Projekt wie z.B. Debian, die ihr Repository mit Keys und Fingerprints absichern – trotzdem kann da jedermann mal schnell was nachkompilieren und gucken, ob das gleiche Binary rauskommt. AppStore dagegen ist eher "friss oder stirb".

alternative Alternativen

Und was gibt es sonst so? Ab hier steige ich komplett in Halbwissen, Gehörtes und wilde Vermutungen ab, so doll habe ich mich damit noch nicht auseinandergesetzt. Vielleicht sollte ich diesen Artikel mal inhalieren.

In ger.ct wurde OTR als toll und gut empfohlen. Das Verfahren hat interessante Ansätze, insbesondere ist trotz Authentifizierung während der Kommunikation (ich weiß genau, mit wem ich gerade rede) im Nachhinein ein Abstreiten möglich. Infrastuktur hinter dem ganzen sind meist Jabber-Server, da ist eine dezentrale oder lokale Infrastuktur kein Problem (vermutlich hat man sogar eine größere Auswahl an verschiedenen Servern, auch OpenSource). Problem dabei: Das OTR-Jabber-Zeugs ist nur direkte Kommunikation, also wie ein Telefonat ohne Anrufbeantworter. "Store and Forward" wie bei SMS, WhatsApp, Threema usw. (wenn mein Gegenüber gerade das Telefon ausgeschaltet hat oder im Funkloch sitzt, kriegt er die Nachricht halt später) geht bei OTR nicht, so wie ich das verstanden habe.(falsch, siehe Nachtrag unten) Außerdem dürfte auch OTR das Problem "Metadaten" nicht lösen, solange man über größere, öffentliche Server geht – wenn jemand "von oben" draufguckt und sieht, dass Person X und Y regelmäßig Daten austauschen, ist wie gesagt egal, ob sie verschlüsseln oder nicht – wer Tor-Netzwerke überwachen kann, kann auch einen Jabber-Server beobachten. (Und wer Jabber über Tor tunneln will: hnnnng, da kursieren so Ansagen, dass die meisten Tor-Server von den Geheimdiensten betrieben werden ;-) Und bloß nicht nen eigenen Tor-Node betreiben!)

Immerhin hat man alternativ die Möglichkeit von lokalen, privaten Servern – aber braucht man in einer kontrollierten Umgebung wirklich OTR oder tut's da auch ein einfacher IRC-Server? Oder nackiges Jabber ohne OTR? Auch "aus dem Appstore, nicht selbstkompiliert" wird architekturbedingt mit den OTR-Clients auf einem Mobiltelefon schwierig.

Aktuell angesagt ist wohl ChatSecure und neuer Herausforderer wird surespot - aber bei letzterem kommt mir schon wieder die Frage "und wie finanzieren die die Server?".

Mein Fazit

Alles in allem eine monströse Gemengelage.

Ich für meinen Teil gucke mal, ob ich wen für Threema finde und probiere das mal aus. (Haken dran: die ersten WhatsApp-Kontakte sind erfolgreich nach Threema migriert) Ansonsten kann ich, trotz der Detailschwächen von WhatsApp, erstmal weiter damit leben. Global betrachtet sieht die Gesamtsituation bei Datenkommunikation nämlich irgendwie so schlimm aus, dass die paar WhatsApp-Nachteile auch nicht mehr ins Gewicht fallen :-(

Hilfe!

Und um das mal praktisch auszunutzen hier: Ich hab in Threema Kontakte 'the good old PGP way' per Fingerprint-Vergleich verifiziert. Kriege ich dem Ding irgendwie gesagt "die ID ist sicher, mach drei grüne Punkte dran" oder geht das wirklich ausschließlich über die QR-Scanner-App? (Macht auch schon wieder nachdenklich, oder? Man ist auf genau diese eine QR-Code-App festgelegt, durch die Anwendung laufen alle Keys, insbesondere die, die man (absichtlich) nicht per Telefonbuchabgleich in das große Threema-Verzeichnis geschmissen hat…)

Nachtrag!elf

Jetzt les ich doch glatt gerade, dass Jabber-Server auch Store+Forward bzw. Offline Messages unterstützen. Primast! Dann setz ich mir doch
auch mal schnell nen Server auf oder such mir einen und schau mir das an. Bleibt dann nur das Problem der Smiliesammlung, ob ich da nen passenden Client finde? Aber halt, gehen denn Anhänge/Bilder/Videos auch Store+Forward durch oder muss man dafür dann gleichzeitig online sein?
Ich beantrage einen Lightning-Talk zu Jabber!