Threema: Perfect Forward Secrecy für Nachrichten nun auch in iOS
von caschy | 24 Kommentare
Seit Anfang des Monats kann man mit Threema unter iOS die Multi-Device-Unterstützung testen. Nun gibt es auch die Version 4.9 von Threema für iOS im App Store, die einige Neuerungen mitbringt. Nachrichten lassen sich jetzt neu mit «Perfect Forward Secrecy» versenden und empfangen (Threema hat Perfect Forward Secrecy seit jeher standardmäßig auf der Transportschicht unterstützt. Auf der Ende-zu-Ende-Schicht kann es optional aktiviert werden).
Perfect Forward Secrecy (PFS) ist in einem kryptographischen System gegeben, wenn es einem Angreifer, welcher den privaten Schlüssel eines Benutzers erlangt, nicht möglich ist, mit diesem Schlüssel Nachrichten zu entschlüsseln, die der Benutzer in der Vergangenheit gesendet oder empfangen hat. Dies wird erreicht, indem für jede Kommunikation ein neuer, zufällig generierter Schlüssel verwendet wird, der nach Abschluss der Kommunikation verworfen wird. Auf diese Weise gibt es keine Möglichkeit, frühere Kommunikationen zu entschlüsseln, selbst wenn ein Angreifer in der Lage ist, spätere Schlüssel zu stehlen oder zu erraten.
Sofern es beide Seiten unterstützen, könnt ihr auf der Kontaktkarte des Nutzers einstellen:
- Navigieren Sie in Threema zur Kontaktliste, und tippen Sie auf das Profilbild des gewünschten Kontakts
- Aktivieren Sie «Nachrichten mit Perfect Forward Secrecy senden» (Android) bzw. «Perfect Forward Secrecy» (iOS). Falls die Option ausgegraut ist und nicht aktiviert werden kann, unterstützt die App-Version Ihres Gegenübers diese Einstellung nicht
- Damit auch empfangene Nachrichten mit Perfect Forward Secrecy geschützt sind, bitten Sie den Gesprächspartner, auf seinem Gerät dieselbe Einstellung in Ihren Kontaktdetails vorzunehmen
Kurzzeitig war Perfect Forward Secrecy nur in Threemas Android-App für Einzelchats verfügbar, nun zieht man eben auch bei iOS nach. Die standardmäßige Aktivierung von PFS wird zu einem späteren Zeitpunkt eingeführt.
Neu ist in diesem Update auch die Unterstützung des neuen Kommunikationsprotokolls «Ibex», es gibt eine neue Chat-Übersicht, unbekannte Gruppenmitglieder werden nicht mehr automatisch zur Kontaktliste hinzugefügt, das Speichermanagement lässt sich neu pro Chat verwalten und Videos lassen sich neu auch in Originalqualität versenden.
Transparenz: In diesem Artikel sind Partnerlinks enthalten. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
Wird geladen ...
Viel wichtiger:
Mit „Ibex“ (spanisch für Steinbock) können Android & IOS User jetzt auch Gruppentelefonate und GruppenVideoChats durchführen.
Und bevor jetzt wieder die Amateure kommen, mit „Mein Messenger xy kann das schon lange!“ beachtet bitte die Details des echten Datenschutzes von Threema: Dein xy-Messenger braucht dafür nen Cloudspeicher und Threema eben nicht.
Bei Threema Telefonaten werden zB. immer die gleichen Paketgrößen ausgetauscht – d.h. wenn jemand den Datentraffic eines Threema-Telefonats mitschneiden sollte, kann er anhand der Datenmenge nicht feststellen, wer viel und wer wenig gesprochen hat.
Das gibts nur bei Threema = echter Datenschutz.
Und so ganz nebenbei, führt es auch noch zu der besten Sprachqualität aller Messenger
Super. Hat nur niemand meiner Kontakte genutzt. Kein Bock auf 5 Messenger Apps. Also weg damit.
Danke für die Ergänzung (und den Artikel natürlich).
Würde mich freuen, wenn dieses „Für mich ist die App/das Produkt nichts = Die App/Das Produkt ist nichts“-Schreiben hier in den Kommentaren mal weniger wird (nicht nur beim Thema „Threema“).
Ich mag die Themenauswahl hier, auch nach Jahren immernoch.
Threema hat über 10 Millionen aktive User in Deutschland.
Wer den Schutz seiner Privatsphäre davon abhängig macht, ob andere das auch machen, der hat leider von Privatsphäre & Datenschutz nichts verstanden.
„Wer anderen immer hinterher dackelt, hat nur Ärsche vor sich!“
Na aber mit Beleidigungen wirst du sicher nicht ernst genommen. Ich mag Threema, ich nutze Threema und bin seit 2016 weg von WhatsApp. Threema hat die Chance verpasst sich weitläufig zu etablieren als 2014 2016 2018 2021 und 2022 Datenskandale bei WA da waren (bzw. noch da sind). Threema hätte die Nutzung kostenlos für 1 Jahr jederzeit anbieten können. Wurde nicht gemacht und so ist die Downloadzahl nur ca. 1Mio gegenüber 100Mio bei Signal gegenüber 5000Mio bei WA. Threema wird es nicht schaffen sich in der Masse durchzusetzen. Der Fokus wurde seitens der Entwickler wohl auf den perfekt sicheren Messenger gesetzt ohne die breite Masse zu betrachten. Die will eben kostenlos und große Reichweite. Signal hat da schon mehr Potential und könnte faktisch ein möglicher WA Nachfolger werden.
Man sollte immer bedenken. Niemand bietet auf Dauer großflächig irgendwas „kostenlos“ an. Wer das glaubt, der ist entweder ziemlich naiv oder hat den Kapitalismus nicht verstanden.
Deswegen Threema 1 Jahr mal kostenlos – Chance verpasst. Wie es mit Signal aussieht … Warte mal ab wenn der meta Kurs noch weiter nach unten geht und meta die Aktionäre beglücken muss. Die Pandemie ist vorbei, virtuelle Kontakte sind weniger notwendig. In der EU wird nur über personalisierte Werbeverbot seitens meta gesprochen – allgemeine geht dann immer noch.
Mit Unwissen kommst Du noch weniger weiter….
1. Threema hat auf viele WhatsApp-Skandale reagiert und kurzfrtistig den Preis gesenkt.
2. Threema kann – technisch bedingt – keine befistete Vollversion anbieten. Jeder kann aber Apps in seinem Store zurückgeben, wenn sie ihm nicht gefallen: Bei Google innerhalb von 48 Stunden und bei Apple sogar innerhalb von 14 Tagen.
3. Der Downloadzähler im Playstore springt bei 1 Mio., um und das nächste mal erst bei 10 Mio. = heißt die Zahl sagt überhaupt nichts aus. Denn sehr viele kaufen Ihre Lizenz auch direkt bei Threema.
4. Wer von WhatsApp weg geht und zur SignalApp wechselt hat keinerlei Sicherheitsgewinn.
Da bei Signal der gesamte Traffic über die Clouds von Amazon, Google, Microsoft & Cloudflare läuft.
Können sich US-Dienst Deine MetaDaten, dank des CloudACT dort selber direkt abholen:
https://de.wikipedia.org/wiki/CLOUD_Act
Denen ist das völlig egal, ob sie Deine Daten bei Facebook oder den anderen IT-Giganten abholen.
Das ist wie linke Tasche – rechte Tasche, aber beide Taschen sind in den USA.
Threema hingegen speichert Nachrichten nur so lange bis sie erfolgreich zugestellt sind – also meist nur 1-2 Sekunden – und dann werden die dauerhaft gelöscht. Threema speichert keine IPs und keine MetaDaten= und genau das gibt es NUR bei Threema.
Und genau um die MetaDaten geht es den Amis – wer mit wem, wann, wie häufig, ect. Wenn Deine Chats in deren Cloud liegen hast Du schon verloren und wenn Du jahrelang Signal mit Deinen Chats gefüttert hast, liegt dort ein unschätzbarer (Daten-)Wert für die Amis.
Noch mal kurz zur Erinnerung:
„Metadaten verraten Ihnen absolut alles über das Leben einer Person. Wenn Sie genug Metadaten haben, brauchen Sie den Inhalt nicht wirklich.“
NSA General Counsel
Stewart Baker
Siehe:
„We kill people based on metadata“
https://www.nybooks.com/daily/2014/05/10/we-kill-people-based-metadata/
5. Wer die paar Euro für Threema nicht investiert
hat von den heutigen Datendiebstählen nichts kappiert!
6. Alle scheinbar „kostenlosen“ Messenger sammeln Daten!
Ohje bist du der gleiche Typ wie bei mydealz? Sorry Threema hatte das Potential und das Momentum und hat es verpasst an die Fehler von WA zu partizipiere. Keine Preissenkung sondern begrenzt kostenlos, die Play Variante ist doch nicht die gleiche aus dem Shop. Da wäre sicherlich etwas möglich gewesen.
Es geht nicht um die paar Euros sondern das viele einfach keine Apps kaufen können. Kein PayPal keine Kreditkarte kein Google Guthaben (verrottet sowieso) und Zahlung per Mobilfunkanbieter nicht möglich.
Außerdem nutze ich auch Threema mit all seinen Vorzügen. Aber ehrlich – kann ich mir sicher sein dass die getätigten 1,29€ anno 2016 mich vor Datenskandalen bewahren? Es geht genau um dein kostenlos Prinzip. WA hat zB auch WA Business — ist damit die Querfinazierung nicht auch gesichert?
Das muss jeder selbst wissen und liberal entscheiden. Für mich war nur die Andeutungen der „Datenbankfusion“ seitens FB & WA der Schlussstrich um WA zu entfernen.
Threema hat heute so viele aktive User wie noch nie und alleine in DE kommen jährlich über 1 Mio. Neue User dazu.
Wenn Du da das „Momentum“ nicht erkennst, dann solltest Du einfach mal Deinen Handstand beenden….
Jaja … weil ja ca. 30%-40% aller Kontakte Threema nicht mit der Telefonnummer verknüpft haben (Quelle mydealz User NB333 wahrscheinlich hier PFS-Info aka Capricorn) steckt da noch ein RIESEN Potential drin.
Der Drop ist gelutscht, Threema hatte wirklich die besten Vorraussetzungen den Markt aufzurollen, wurde aber von Signal locker überholt und das obwohl Signal 2 Jahre später auf den Markt kam.
Ergo: Die User bevorzugen eine App die sich aus dem Playstore laden lässt und es erstmal keine Initialkosten gibt. Wie es in 3 Jahre aussieht? Ich denke WA wird ein paar Federn lassen müssen, Signal geht hoch auf die 500 Mio downloads, Threema gewinnt (lt. Expertise im Diskussionsthread 3 Mio deutsche Nutzer)
Handstand beendet, das Blut sackt wieder zurück in die Beine – jo 😉
Signal war in Form von TextSecure bereits seit 2010 verfügbar.
„4. Wer von WhatsApp weg geht und zur SignalApp wechselt hat keinerlei Sicherheitsgewinn.“
Stimmt nicht.
Nur ein einziges Beispiel: Jetzt, viele, viele Jahre nach Signal, führt Threema Perfect Forward Secrecy ein. Aktuell muss man das auch noch manuell pro Kontakt aktivieren.
Bei Signal war das jeher Standard.
Was heißt das? Wenn ein Angreifer in den letzten Jahren Deinen Threema-Schlüssel erbeutet oder geknackt hat, kann er ALLE Nachrichten der letzten Jahre, die er mitgeschnitten hat, lesen.
Bei Signal kann immer nur eine einzige Nachricht entschlüsselt werden und die nächste ist neu verschlüsselt, ohne das aus dem alten Schlüssel Rückschlüsse auf den neuen gezogen werden könnten (=PFS)
„Da bei Signal der gesamte Traffic über die Clouds von Amazon, Google, Microsoft & Cloudflare läuft.“
Der TRAFFIC läuft bei Threema, da diese ebenso Push-Services von Google und Apple für ihre Apps nutzen, auch über amerikanische BigTech. Wer von welcher IP eine Nachricht geschickt hat und an wen die gepushed wurde, ist bei Threema genauso nachvollziehbar.
Was Du meinst, ist das der SERVER von Signal in der AWS als vServer aufgesetzt ist (damit er besser skaliert). Das ist nur ziemlich egal, da Signal so gut wie keine Metadaten produziert, die verwertbar sind. Kann man auch im Netz nachlesen, auf Anfrage des FBI konnte Signal zu einem Account übermitteln, wann dieser angelegt worden war und wann er zuletzt am Server angemeldet war. That’s it.
„Threema speichert keine IPs und keine MetaDaten= und genau das gibt es NUR bei Threema.“
Stimmt nicht, tut Signal auch nicht.
„Alle scheinbar „kostenlosen“ Messenger sammeln Daten!“
Stimmt nicht, tut Signal nicht.
Signal ist unter der GPL, auch der Server-Code wird regelmäßig veröffentlicht. Man kann prüfen, was da drin steht.
Threema hat zwar den Quellcode der Apps veröffentlicht (viele Jahre nach Signal), aber der Servercode ist proprietär.
Und das der Server in der Schweiz steht, heißt gar nix. Die Schweiz ist KEIN Datenschutzparadies, auch sie haben Sicherheitsgesetze und Abkommen mit den großen Spionen dieser Welt.
Bei Bedarf einfach mal bei Mike Kuketz z.B. nachlesen.
Und nur als Disclaimer: Ich will Threema nicht schlecht machen.
Ich verwende Threema selbst! Habe die Lizenz sowohl für iOS als auch für Android gekauft.
Allerdings verwende ich auch Signal und wenn man die beiden vergleicht, sollte man bitte Fanboi-Attitüden unterlassen und realistisch bleiben.
Beide kochen nur mit Wasser und haben leicht unterschiedliche Ansätze. Signal ist aber bezüglich Sicherheit der Verschlüsselung und Metadaten-Minimierung seit Jahren der Goldstandard, was auch von entsprechenden Experten bestätigt wird. Auch hier gerne mal bei Mike Kuketz die Einschätzung lesen. (Und bitte, bitte jetzt nicht mit „Signal braucht aber die Telefonnummer“ kommen – das ist ein Feature und war DAS Killer-Feature für den Siegeszug von WhatsApp)
Zu meinem Disclaimer: Ja ich nutze sowohl Threema als auch Signal parallel und decke damit 2/3 meiner Kontakte ab.
Aber es gibt eben auch die militante Spezies, seitens App-Empfehlungen. Am meisten freue ich mich immer auf die „Alle doof, außer mich!“-Argumentation. Das geht schon weit über das Fanboy-Niveau hinaus und ist ja schon eine Unterstellung die seinesgleichen sucht.
„3. Der Downloadzähler im Playstore springt bei 1 Mio., um und das nächste mal erst bei 10 Mio. = heißt die Zahl sagt überhaupt nichts aus. Denn sehr viele kaufen Ihre Lizenz auch direkt bei Threema.“
Nein es sind 5Mio Downloads bei dem Google Play eine neue Zahl anzeigt.
Threema, das sind doch die wo mir jede Menge doppelt dreifach Kontakte beschert haben. Selbst von IT Fachleuten hab ich bei Threema Kontakte bis zu siebenfach. Bilder mal eben an die Familie schicken, Moment das dauert und dauert, ein kleines Geburtstagsvideo, Moment, wird konvertiert verschlüsselt was weiss ich, es dauert und dauert. Datenschutz hin oder her, meine Verabredungen, Witze Videos und was für ein Sch… alles verschickt wird benötigt keinen Datenschutz, das kann lesen wer will. Verschickt man wirklich hoch sensible Daten über einen Messenger? Das Ding ist viel zu kompliziert, ich will nicht irgendwelche Schlüssel mit Mega Kennwort irgendwo sichern und schon gar nicht die Datenbank. Der Zug für Threema ist abgefahren, andere machens besser und wenn man mal seine Kontakte fragt, kaum einer nutzt es wirklich noch , bis auf die Hardcore Fans, ok die wollen auch mal einen Geburtstagsgruß
Vielleicht solltest Du mal die Fähigkeiten der „IT-Fachleute“ in deiner Kontaktliste hinterfragen…
In 10 Jahren Threema Nutzung habe ich immer noch meine erste ID und ich würde mich nicht als „IT irgendwas“ bezeichnen.
Nein, das liegt ganz einfach daran das Threema meint sie seien die Besten und sichersten überhaupt. Mag sein weiss ich nicht, ich kann jedenfalls meiner Mutter nicht zumuten bei einem Handywechsel Threema umzuziehen von alt nach neu. Whatsapp hingegen bekommt sie alleine hin mit 85 und wer behauptet das er in den Threema Kontakten keine doppelt und mehrfach Kontakte hat macht sich selbst die Taschen voll.
Das hast Du falsch verstanden, ich schrieb dass ich immer noch meinen erste Threema ID habe und nicht zu einer Gruppe von IT Fachleuten gehöre.
Der Umzug auf ein neues Handy ist kein Problem. Zur Sicherung der Threema ID reicht der Threema Safe.
Ich nicht, was aber daran liegt, dass Threema ab und zu kaputte Backups erzeugt, die sich nicht wieder einspielen lassen. Wenn man das weiß, kann man sich darauf einstellen, wenn man sich auf das Backup verlässt und es sich nicht einspielen lässt ist die ID eben weg.
Bei „die wo“ habe ich aufgehört zu lesen.
Doppelt und dreifach Kontakte und dann IT Experten? Threema hat eine (nein sogar zwei) vorbildliche Import und Exportoption. In der Tat interessiert sich meta nicht für deine Nachrichten oder Bildchen. Es ist dein Adressbuch und das „wann mit wem und wieviel“. Schade dass du dich mit dem Thema nicht auseinandergesetzt hast.
Ich nutze alle relevanten Messenger seit Jahren. Threema ist funktionell aber am schlechtesten. WA am besten. Scrollt einfach Mal einen längeren Chat schnell durch. Nur WA bekommt das flüssig hin. Der Erfolg von WA hat auch was mit dem besseren Code zu tun, auf wenn das manchem unbequem ist.
Na funktionell ist Telegram am besten 😉
Aber wenn WA bei dir am flüssigsten durchscrollt, dann kann das natürlich darin liegen, dass du den Messenger im Hintergrund bereits geöffnet hast und wahrscheinlich 2GB Daten im Arbeitsspeicher liegen.
Aber das Argument muss ich mir echt mal merken.
Warum nutzt du noch WA?
Ach scheiß‘ auf die Erreichbarkeit der Nutzer und dass es kostenlos ist.
Sondern? Emojis, Avatare, beschleunigtes abhören von Sprachnachrichten oder das Statusfeature?
Das scrollt bei langen Chats einfach am schnellsten durch!
mmd