Signal stellt klar: Cellebrite kann die Messenger-Verschlüsselung nicht knacken

Im hauseigenen Blog stellt Signal ein Missverständnis der letzten Tage klar: Cellebrite, Anbieter von digitalen Ermittlungslösungen für beispielsweise die Strafverfolgung, geriet nämlich in die Schlagzeilen. Einige Medien berichteten, dass Cellebrite es geschafft habe die Verschlüsselung von Signal zu knacken. Doch dem ist nicht so. Und Cellebrite hatte das auch nie behauptet.

Laut den Signal-Sprechern habe Cellebrite vielmehr einen sehr peinlichen Blog-Artikel veröffentlicht. In dem beschrieb man lang und breit, wie man aus Signal Daten abgreifen könnte – allerdings im Besitz des jeweiligen Android-Geräts mit einem entsperrten Bildschirm. Wer nun denke: „Ja, nun, wenn ich das Gerät in der Hand halte und es entsperrt ist – dann komme ich doch sowieso kinderleicht an die meisten Daten“, der sei auf der richtigen Spur, so Signal. Demnach sei der Blog-Artikel konfus und eher neben der Spur gewesen.

Das habe man auch bei Cellebrite wohl kurz nach Veröffentlichung begriffen und den Artikel daher rasch gelöscht. Daher kam es zeitweise zu einer 404-Meldung. Auch das machte sich für Cellebrite nicht so gut. So ersetzte man den ursprünglichen Artikel letzten Endes durch eine knappe und sehr vage Zusammenfassung. Signal wirft Cellebrite nun Unprofessionalität vor, denn der ursprüngliche Artikel sprach von „Herausforderungen“ und „intensiver Recherche“, um es möglich zu machen, Daten aus Signal zu extrahieren. Dabei sei es in der beschriebenen Ausgangssituation leicht an Daten zu kommen: einfach Screenshots in der App anfertigen oder per Copy & Paste Inhalte kopieren. Und im Wesentlichen habe der Blog-Post auch genau das beschrieben, nur durch ein automatisiertes Verfahren. Das sei allerdings alles andere als eine rühmliche Leistung, sondern müsse in so einer Situation ein Kinderspiel sein. Wenn Cellebrite dafür intensiv habe recherchieren müssen, spreche das arg gegen die vermeintlichen Kompetenzen des Anbieters.

Im Klartext: Damit die Tools von Cellebrite laut Signal überhaupt etwas hergeben, muss das jeweilige Gerät physisch und entsperrt bereits im Besitz der jeweiligen Person sein, die zugreifen möchte. Cellebrite kann also sonst keinerlei Inhalte abgreifen und schon gar nicht die Verschlüsselung aushebeln. Was Cellebrite letzten Endes laut Signal anbiete, sei mittelmäßige Enterprise-Software. Man habe sich nun aber bei Signal die Zeit genommen, die Falschmeldungen klarzustellen, in der Hoffnung, dass zumindest einige Menschen auch auf die Korrektur aufmerksam werden.