Im Winter hatte WhatsApp Ende-zu-Ende-Verschlüsselung (E2E) eingeführt, ein elementares Sicherheits-Feature, wodurch im Idealfall nur Empfänger und Sender eine Nachricht im Klartext sehen können. Nun hat sich Heise die Transportwege einer WhatsApp-Nachricht mal genauer angesehen und kommt zu einem eher mittelerfreulichen Ergebnis.
Die gute Nachricht zuerst: Die versprochene Verschlüsselung, die auf dem zugekauften TextSecure basiert, funktioniert tatsächlich so wie beabsichtigt — zumindest, wenn die via Android verschickte Nachricht auf ein E2E-fähiges Gegenüber stößt.
Die schlechte: Im Verbund mit iOS scheint WhatsApp dies jedoch nicht zu tun. Darüber hinaus lässt sich nicht feststellen, ob z.B. Schlüssel nicht doch mal das Gerät verlassen. Und dass WhatsApp — vom Nutzer unbemerkt — jedem Client jederzeit signalisieren kann, auf Verschlüsselung zu verzichten, ist auch nicht unbedingt eine vertrauensbildende Maßnahme.
Heise kommentiert dazu:
Letzteres ist vielleicht sogar das größte Problem der Ende-zu-Ende-Verschlüsselung. Man weiß eigentlich nie wirklich sicher, ob sie tatsächlich zum Einsatz kommt. Denn weder beim Verschicken noch beim Empfang zeigt ein regulärer WhatsApp-Client an, ob die Nachricht E2E-verschlüsselt wurde. Auch unsere Labor-Tests belegen lediglich, dass das prinzipiell schon geschieht. Genug, um sich drauf zu verlassen, ist das leider nicht.