Abo
  • Services:
Anzeige
Threema - Sicherheitsversprechen, die mangels Quellcode schwer zu prüfen sind
Threema - Sicherheitsversprechen, die mangels Quellcode schwer zu prüfen sind (Bild: Andreas Donath/Golem.de)

Nur Quellcode schafft Vertrauen

Anzeige

Eine der beliebtesten Whatsapp-Alternativen ist zurzeit Threema. Das Unternehmen wirbt damit, in der Schweiz beheimatet zu sein, fernab vom Zugriff durch die NSA. Doch das ist ein trügerisches Versprechen - und das nicht nur, weil die Schweiz selbst gerade kräftig daran arbeitet, Datenschutz und Bürgerrechte zu schwächen.

Es ist im Grunde völlig egal, wo sich ein Unternehmen befindet, das eine Verschlüsselungssoftware entwickelt. Vertrauen in eine Software kann nur dann entstehen, wenn deren Funktionsweise unabhängig überprüft werden kann. Bei Threema ist das schwierig: Der Quellcode steht nicht zur Verfügung.

Für den Anwender am besten ist es natürlich, wenn ein Produkt als freie Software zur Verfügung steht. Doch selbst wenn ein Unternehmen wie Threema sich entscheidet, sein Produkt als Kaufware anzubieten, spricht grundsätzlich nichts gegen eine Veröffentlichung des Quellcodes. Threema könnte etwa den Quellcode nur zur Einsicht bereitstellen und Veränderungen nicht erlauben. Doch im Moment erhält der Nutzer nur ein Binärpaket.

Im Klartext heißt das: Wer ein Produkt wie Threema benutzt, vertraut den Programmierern blind, dass sie keine Hintertüren einbauen und keine Fehler machen.

Ein sicherer Messenger muss die Funktionsweise seines Protokolls und den Quellcode offenlegen. Klar ist aber auch: Der Quellcode alleine reicht nicht. Es muss auch gewährleistet sein, dass dieser von erfahrenen Kryptographen untersucht wurde und es muss nachvollziehbar sein, wie aus dem Quellcode das spätere Binärpaket erstellt wurde.

Nicht das Rad neu erfinden

Verschlüsselte Messenger sind zwar aktuell im Trend, aber neu sind sie nicht. Viel Lob hat sich über die Jahre die OTR-Verschlüsselung verdient. Das OTR-Protokoll kann zusammen mit Jabber/XMPP genutzt werden und bot als eines der ersten Protokolle Forward Secrecy beim Chatten. OTR hat allerdings - das sollte man nicht verschweigen - für mobile Messenger einen Nachteil: Es benötigt Kommunikation in beide Richtungen und funktionieren somit nur, wenn beide Nutzer online sind.

Wo immer möglich, sollte man bei der Entwicklung von Kryptographie-Software auf Bewährtes setzen. Auch wenn TLS seine Tücken hat, gravierende Fehler wird man darin bei Verwendung der aktuellen Version wahrscheinlich nicht finden, Selbiges gilt für PGP und OTR. Wer neue Protokolle entwickeln will, sollte trotz allem nicht versuchen, Verschlüsselungsalgorithmen wie AES selber zu programmieren, es gibt genügend frei verwendbaren Code.

 IMHO: Vorsicht vor falschen Krypto-VersprechenSicherheit des Gesamtsystems oft fragwürdig 

eye home zur Startseite
DerGoldeneReiter 09. Mär 2014

Ehm nö, so einfach ist es wohl nicht, wenn du an einen Direktvergleich Bit für Bit oder...

TheUnichi 04. Mär 2014

Aus der Dezentralisierung wird aber mit relativ wenig Geld ziemlich schnell eine...

Nerd_vom_Dienst 02. Mär 2014

Dass ist genau der Punkt, die Datenkanäle an sich können nicht 100% gesichert werden...

Anonymer Nutzer 02. Mär 2014

Und ich finde der TE hat mit seinem Beitrag und dessen Quintessenz nicht ganz unrecht...

AIM-9 Sidewinder 01. Mär 2014

Hm, vielleicht in Form einer imaginären IPv6-Adresse? Das dürfte lang genug sein, oder?



Anzeige

Stellenmarkt
  1. adesso AG, Dortmund, Frankfurt am Main, Stuttgart, Köln, München
  2. AMEFA GmbH, Limburg
  3. ESG Elektroniksystem- und Logistik-GmbH, München
  4. ACP IT Solutions AG, Hannover


Anzeige
Top-Angebote
  1. (mehr als 2.500 reduzierte Titel)
  2. (u. a. The Hateful 8, Der Marsianer, London Has Fallen, Kingsman, Avatar)
  3. (Rabattcode: MB10)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Raumfahrt

    Chang'e 5 fliegt zum Mond und wieder zurück

  2. Android 7.0

    Sony stoppt Nougat-Update für bestimmte Xperia-Geräte

  3. Dark Souls 3 The Ringed City

    Mit gigantischem Drachenschild ans Ende der Welt

  4. HTTPS

    Weiterhin rund 200.000 Systeme für Heartbleed anfällig

  5. Verkehrsexperten

    Smartphone-Nutzung am Steuer soll strenger geahndet werden

  6. Oracle

    Java entzieht MD5 und SHA-1 das Vertrauen

  7. Internetzensur

    China macht VPN genehmigungspflichtig

  8. Hawkeye

    ZTE will bei mediokrem Community-Smartphone nachbessern

  9. Valve

    Steam erhält Funktion, um Spiele zu verschieben

  10. Anet A6 im Test

    Wenn ein 3D-Drucker so viel wie seine Teile kostet



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Halo Wars 2 angespielt: Mit dem Warthog an die Strategiespielfront
Halo Wars 2 angespielt
Mit dem Warthog an die Strategiespielfront

Reverse Engineering: Mehr Spaß mit Amazons Dash-Button
Reverse Engineering
Mehr Spaß mit Amazons Dash-Button
  1. Online-Einkauf Amazon startet virtuelle Dash-Buttons

Glasfaser: Nun hängt die Kabel doch endlich auf!
Glasfaser
Nun hängt die Kabel doch endlich auf!
  1. US-Präsident Zuck it, Trump!
  2. Fake News Für Facebook wird es hässlich
  3. Nach Angriff auf Telekom Mit dem Strafrecht Router ins Terrorcamp schicken oder so

  1. Re: Selten so einen schlechten Artikel bei Golem...

    blaub4r | 01:26

  2. Re: Zu schwer? Kontrollierte Beschleunigung würde...

    nachgefragt | 01:18

  3. Gilt wohl nur für offizielles LOS

    Wortschütze | 01:15

  4. Re: Bildzeitungsnivea

    Pjörn | 00:59

  5. Re: Wie soll man dann geschäftlich nach China reisen?

    Ipa | 00:34


  1. 18:19

  2. 17:28

  3. 17:07

  4. 16:55

  5. 16:49

  6. 16:15

  7. 15:52

  8. 15:29


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel