Signal: Ein sicherer Messenger aus NSA-Land?

Neben der Nutzung von Servern bei Amazon, Cloudflare, Google und Microsoft wird häufig die Jurisdiktion des Messengers kritisiert: die Vereinigten Staaten. Auf den ersten Blick ist das durchaus logisch, sind die USA doch für ihre laschen Datenschutzgesetze und ihre umfangreichen Überwachungsmaßnahmen bekannt - Stichwort NSA-Skandal.

Insbesondere wird auf die National Security Letter (NSL) verwiesen: Mit dieser kann das FBI Informationen von Firmen verlangen und ihnen gleichzeitig verbieten, über die Anfrage zu sprechen.

Doch bei den staatlichen Anfragen gilt letztlich das Gleiche wie bei den Servern von Amazon, Microsoft und Google: Daten, die man nicht hat, kann man auch schlecht herausrücken. Bestandsdaten jenseits der Telefonnummern erhebt Signal nicht, die Inhalte sind Ende-zu-Ende-verschlüsselt und können nur auf den jeweiligen Endgeräten entschlüsselt werden, die Metadaten werden stark reduziert.

Keine Daten, keine Antwort

Entsprechend karg fiel die Antwort auf eine Anfrage von US-Behörden aus, die 2016 alles wissen wollten, was der Dienst im Zusammenhang mit zwei Telefonnummern gespeichert hatte, darunter die Bestandsdaten, IP-Adressen und Kommunikationspartner.

Eine der beiden Nummern sei gar nicht bei Signal registriert gewesen, zur anderen seien die einzigen Informationen, die Signal übermitteln konnte, der Zeitpunkt, zu dem der Account mit der fraglichen Telefonnummer erstellt worden war, und der Zeitpunkt des letzten Logins gewesen, erklärte Projektgründer Moxie Marlinspike. Alle anderen Informationen seien entweder nicht erhoben worden oder aufgrund der eingesetzten Ende-zu-Ende-Verschlüsselung für das Unternehmen nicht einsehbar gewesen.

Allerdings musste Signal erst gegen eine sogenannte Gag Order klagen, um die entsprechende Anfrage öffentlich machen zu dürfen. Die betroffenen Personen durfte Signal jedoch weiterhin nicht informieren.

Nicht nur mit Blick auf die NSA und die National Security Letter werden Deutschland oder die EU oft als die perfekte Alternative für das Betreiben von Kommunikationsdiensten angepriesen. Immer wieder wird mit Datenschutz "Made in Germany" geworben. Doch ganz so einfach ist die Gesetzeslage nicht.