Messaging-Apps: Auf der Suche nach der perfekten Messaging-App

Im zweiten Teil des Vergleichs der WhatsApp-Alternativen stellen wir TextSecure, die deutsche App Hoccer XO, myENIGMA und Cryptocat gegenüber. Sie alle haben ihre Haken.

14. März 2014  10:29 Uhr 

Die Suche nach der perfekten Messaging-App, nach der gelungenen Mischung aus Sicherheit und Bequemlichkeit geht weiter. Im ersten Teil unseres Vergleichs der WhatsApp-Alternativen haben wir Threema, surespot, Telegram und ChatSecure getestet. 

Das Ergebnis: ChatSecure ist eher nichts für Einsteiger und aufgrund des verwendeten XMPP-Protokolls generell nur bedingt für mobile Plattformen geeignet. Die russischen Entwickler von Telegram melden seit der angekündigten Übernahme von WhatsApp durch Facebook enorm gestiegene Nutzerzahlen, stehen aber wegen der von ihnen eingesetzten Verschlüsselungstechnik und ihrer Außendarstellung nach wie vor in der Kritik. Threema bleibt Vertrauenssache, weil der Schweizer Entwickler Manuel Kasper nicht vorhat, den gesamten Quellcode der App zu veröffentlichen. Und surespot ist im Vergleich zu Threema und Telegram ein wenig zu spartanisch.

Nun stellen wir TextSecure, myENIGMA, Hoccer XO und Cryptocat gegenüber. Keine davon kann bei den Nutzerzahlen auch nur ansatzweise mit WhatsApp oder Line mithalten. Aber darum geht es hier nicht. Unsere Kriterien lauten auch dieses Mal:

1. Funktioniert die App plattformübergreifend, also mindestens auf iOS und Android (zusammen 94 Prozent Marktanteil) ? und im allerbesten Fall auch noch auf anderen mobilen Betriebssystemen und auf dem Desktop?

2. Ist sie so einfach zu bedienen wie WhatsApp?

3. Ist der eingesetzte Verschlüsselungsstandard anerkannt sicher?

4. Handelt es sich um Open-Source-Software, die von Dritten überprüft werden kann, oder wurde sie zumindest in Audits überprüft?

TextSecure

Hinter TextSecure steht ein Team um den Hacker Moxie Marlinspike. Der hat unter Sicherheitsexperten einen exzellenten Ruf, und dass die US-Behörden ihn bei Flugreisen regelmäßig drangsalieren, ist durchaus als Auszeichnung verstehen. Sein Unternehmen WhisperSystems, das TextSecure und die App RedPhone für verschlüsseltes Telefonieren entwickelte, wurde Ende 2011 von Twitter gekauft. Die beiden kostenlosen Apps werden aber im Projekt Open WhisperSystems als Open-Source-Software weiterentwickelt, ohne dass Twitter darauf Einfluss nimmt. Zu den Testkriterien:

1. Bislang gibt es TextSecure nur für Android und den Android-Abkömmling CyanogenMod. Eine iOS- und eine Desktop-Version sind aber in Arbeit. TextSecure für Android wurde gerade erst runderneuert. Bislang war es eine App für verschlüsselte SMS, nun ist es auch eine echte Instant-Messaging-Anwendung.

2. Die Einrichtung von TextSecure ist nicht ganz trivial, weil sie so viele Schritte voraussetzt. Bei der ersten Anmeldung werden Nutzer gebeten, eine Passphrase auszuwählen. Damit werden später alle TextSecure-Nachrichten im Smartphone-Speicher verschlüsselt, damit sie auch dann geschützt sind, wenn das Gerät gestohlen wird.

Außerdem fragt die App, ob sie die Datenverbindung zum Nachrichtenversand benutzen soll ? was für eine Messaging-App ja selbstverständlich sein sollte. An dieser Stelle müssen Nutzer ihre Handynummer eingeben. Wer das nicht tut, kann über TextSecure nur  SMS versenden, und zwar verschlüsselte wie auch unverschlüsselte. Die Messaging-Funktion mit Internetverbindung aber benötigt die Handynummer.

Bei der anschließenden Überprüfung der eingegebenen Handynummer erscheint der wenig hilfreiche Hinweis, dass „einige Kontaktinformationen vorübergehend an den Server“ übertragen werden. Und schließlich fragt die App noch, ob sie die neue Standard-SMS-App auf dem Smartphone sein soll.

Nicht klar wird, ob TextSecure das Adressbuch automatisch ausliest. Es erscheint nur der Hinweis zur vorübergehenden Übertragung von Kontaktinformationen. Marlinspike hat einen Blogeintrag zu dem Thema veröffentlicht, der zusammengefasst besagt: Adressbuchdaten werden an TextSecure übertragen, damit Nutzer sehen können, welche ihrer Kontakte die App ebenfalls benutzen. Der Server speichert die Daten aber nicht dauerhaft. Alle Möglichkeiten, die Übertragung der Telefonnummern zu umgehen, seien entweder nicht praktikabel oder schlicht nicht sicher genug. Die Opt-out-Option, um die Übertragung der Daten zu verhindern, die er im Blogeintrag erwähnt, gibt es in der App allerdings nicht. Hier sollte TextSecure noch deutlicher machen, was wann passiert und ob man es als Nutzer verhindern kann.

Eine Alternative zum Adressbuchabgleich ist nämlich durchaus vorgesehen: Wenn sich Nutzer persönlich begegnen, können sie ihre TextSecure-Schlüssel gegenseitig einscannen und damit verifizieren ? ähnlich wie bei Threema. Die Telefonnummer ihres Gegenübers brauchen sie dazu nicht. Aber es gibt eben keine Möglichkeit, den ? wenn auch vorübergehenden ? Upload des eigenen Adressbuchs zu verhindern.

Nach der Ersteinrichtung wird es übersichtlicher. Über das Plus-Zeichen in der oberen Leiste gelangt man zu den eigenen Kontakten. Wer von denen TextSecure ebenfalls installiert hat, ist grün markiert. Zwischen TextSecure-Nutzern findet der Austausch von Nachrichten automatisch verschlüsselt statt, erkennbar an der blauen Hintergrundfarbe und am kleinen Schloss im Textfeld.

Wenn man gerade keine Internetverbindung hat, lassen sich über TextSeure auch SMS verschicken. An Kontakte, die TextSecure nicht installiert haben, kann man natürlich nur unverschlüsselte SMS senden. Die sind grün unterlegt und das Schloss-Symbol fehlt. Haben Sender und Empfänger die App jedoch installiert und ihre Schlüssel ausgetauscht, können sie auch verschlüsselte SMS verschicken. 

Die SMS-Fallback-Option lässt sich in den Einstellungen auch deaktivieren. Das ist sinnvoll, wenn man vermeiden möchte, in einer Situation ohne Internetverbindung versehentlich SMS zu versenden, die Geld kosten, wenn man keine SMS-Flatrate hat.

Über TextSecure versendete Anhänge wie Bilder, Videos und Audiodateien werden ebenfalls verschlüsselt. Und wer’s braucht: Es gibt eine große Auswahl an Smileys und Symbolen. In unserem Test hat die App problemlos funktioniert. Andere Tester berichten aber von leichten Problemen in Gruppenchats.

3. TextSecure verwendet eine eigene Verschlüsselungstechnik auf Basis von OTR (Off-the-record-Messaging), die unter anderem Ende-zu-Ende-Verschlüsselung und Forward Secrecy ermöglicht. Das bedeutet, nur Sender und Empfänger können eine Nachricht lesen, niemand sonst, auch wenn er die Nachricht abfängt. Und jeder Chat wird mit einem neuen Schlüssel verschlüsselt, weshalb Angreifer alte Chats auch dann nicht lesen könnten, wenn sie in den Besitz des aktuellen Schlüssels kämen.

Ist TextSecure in Sachen Sicherheit also state of the art, wie Moxie Marlinspike behauptet? Er selbst teilt auf Anfrage mit, TextSecure habe zwei Gutachten bezahlt, der Code sei sehr genau überprüft worden und die Zahl der aktiven Entwickler und Zuträger sei auch nach Veröffentlichung der App noch „ziemlich groß“. Weil Marlinspike ein angesehener Experte ist, darf man wohl annehmen, dass er nicht übertreibt und dass die Verschlüsselung von TextSecure sehr gut ist. Das Gegenteil wäre zu beweisen.

4. TextSecure ist ein Open-Source-Projekt. Der Quellcode wurde bei github.com veröffentlicht.

click Link: