Facebook kann die verschlüsselten Inhalte auf WhatsApp mitlesen (Updates)

Die Kommunikation mit WhatsApp ist nicht sicher. Das Unternehmen selbst und Ermittlungsbehörden können die Nachrichten der Nutzer mitlesen. Die Lücke besteht mindestens seit April 2016.

- - in Überwachung - 171 Ergänzungen
Das Verbraucherschutzprojekt „Markwächter Digitale Welt“ mahnt WhatsApp wegen Datenschutzverstäßen und Täuschung seiner Nutzer ab. Foto: CC-BY 2-0 Sam Azgor

Eine Sicherheitslücke in WhatsApp erlaubt es Facebook und anderen, die verschlüsselten Nachrichten der Nutzer nachzulesen, berichtet der Guardian. Facebook hatte bislang immer behauptet, dass niemand außer den Nutzern selbst WhatsApp-Nachrichten entschlüsseln könne. Die Verschlüsselung bei WhatsApp basiert auf einer Technologie von Open Whisper Systems, bei denen die Nutzer gegenseitig Schlüssel austauschen, Nachrichten Ende-zu-Ende-verschlüsseln und so sicher gehen, dass nur sie selbst die Inhalte entschlüsseln können.

Die jetzt entdeckte Lücke ist nicht Teil des von Oper Whisper Systems implementierten Signal-Protokolls. Sie erlaubt es Facebook jedoch, neue Schlüssel zu erzeugen, ohne dass der Nutzer dies merkt – und so die Kommunikation mitzulesen.

Diese Sicherheitslücke hat Tobias Boelter, ein Kryptografie- und Securityforscher der Berkeley-Universität in Kalifornien herausgefunden.  Gegenüber dem Guardian sagt er: „Wenn WhatsApp von einer Regierungsbehörde nach Inhalten der Chats gefragt wird, kann es durch einen Schlüsseltausch den Behörden Zugang dazu geben.“

WhatsApp war schon zuletzt durch die Weitergabe der Telefonnummern an den Mutterkonzern Facebook aufgefallen. Die jetzt entdeckte Sicherheitslücke, die laut Informationen des Guardian auch weiterhin noch besteht, zeigt, dass der Messagingdienst nicht vertrauenswürdig ist. Tobias Boelter hatte Facebook schon im April 2016 auf die Sicherheitslücke hingewiesen und bekam als Antwort, dass dies „gewolltes Verhalten“ der App sei.

Es gibt Alternativen zu WhatsApp

Wir möchten hier zwei von vielen Alternativen zu WhatsApp vorstellen: Der kostenpflichtige schweizerische Messenger Threema bietet ähnliche Funktionen. Der Dienst ist nicht Open Source, dafür muss man ihn nicht mit einer Telefonnummer verknüpfen. Eine weitere Alternative zu WhatsApp ist Signal. Dieser Messenger ist Open Source, wird von einem Team rund um den Erfinder der WhatsApp-Verschlüsselung entwickelt und nutzt das gleiche Verschlüsselungsverfahren wie WhatsApp. Mit dem kostenlosen Messenger Signal kann man auch verschlüsselt telefonieren. Nachteile: Signal muss mit der Telefonnummer verknüpft werden und benötigt bei Android die Google Play Services, um zu funktionieren, sowie den Play Store zur Installation.

Update:

WhatsApp hat uns geschrieben:

WhatsApp gibt Regierungen keine „Hintertür“ in seine Systeme und würde gegen jede Regierungsanfrage, eine Hintertür zu schaffen, vorgehen. Die Designentscheidung, auf die in der Guardian-Geschichte verwiesen wird, verhindert, dass Millionen von Nachrichten verloren gehen, und WhatsApp bietet Menschen Sicherheitsbenachrichtigungen an, um sie auf potenzielle Sicherheitsrisiken aufmerksam zu machen. WhatsApp veröffentlichte ein technisches White Paper über sein Verschlüsselungsdesign und ist transparent in Sachen Regierungsanforderungen, die es empfängt; und veröffentlicht Daten über diese Anfragen im Facebook Government Requests Report. [Übersetzung von netzpolitik.org]

Das Statement stellt sich nicht gegen die Aussage des Artikels, dass mit der so genannten „Designentscheidung“ Nachrichten von WhatsApp entschlüsselt werden können. Es ist vielmehr ein „Wir können es, aber wir tun es nicht. Versprochen.“

Der Entdecker der Sicherheitslücke schreibt dazu in seinem Blog:

WhatsApp sagt, dass es kein Fehler, sondern ein Feature sei. Ein Feature, weil der Versender einer Nachricht im seltenen Fall, dass der Empfänger erst offline ist und dann mit einem neuen Telefon online geht, nicht noch einmal auf die OK-Taste drücken muss. Das ist kein wirklich gutes Argument. Wenn Datenschutz und Sicherheit in WhatsApps DNA eingeschrieben wäre, dann hätten sie diesen Fehler sofort nach meiner Meldung im April 2016 korrigieren müssen.

Wie uns die PR-Abteilung von WhatsApp mitteilt, hat der WhatsApp-Mitgründer Brian Acton ein Statement auf Reddit gepostet.

Inzwischen gibt es noch einen weiteren Artikel im Guardian von Tobias Boelter, der die Lücke entdeckt hat. Hier erklärt er noch einmal ausführlich, warum er die Sicherheitslücke für gefährlich hält.

Im Video zeigt er, wie das Ganze funktioniert:

In diesem Fenster soll ein YouTube-Video wiedergegeben werden. Hierbei fließen personenbezogene Daten von Dir an YouTube. Wir verhindern mit dem WordPress-Plugin „Embed Privacy“ einen Datenabfluss an YouTube solange, bis ein aktiver Klick auf diesen Hinweis erfolgt. Technisch gesehen wird das Video von YouTube erst nach dem Klick eingebunden. YouTube betrachtet Deinen Klick als Einwilligung, dass das Unternehmen auf dem von Dir verwendeten Endgerät Cookies setzt und andere Tracking-Technologien anwendet, die auch einer Analyse des Nutzungsverhaltens zu Marktforschungs- und Marketing-Zwecken dienen.

Zur Datenschutzerklärung von YouTube/Google

Zur Datenschutzerklärung von netzpolitik.org

„WhatsApp Backdoor / Vulnerability demonstration“ direkt öffnen

Bruce Schneier kommt zu folgender Einschätzung:

How serious this is depends on your threat model. If you are worried about the US government — or any other government that can pressure Facebook — snooping on your messages, then this is a small vulnerability. If not, then it’s nothing to worry about.

Auch die EFF hat sich geäußert und nennt die Sicherheitslücke keine Backdoor.

Zeynep Tufekci hat einen offenen Brief von Security- und Verschlüsselungsexperten veröffentlicht, in dem der Guardian aufgefordert wird, seine Berichterstattung zu korrigieren. Es geht vor allem darum, dass es sich nicht um eine „Backdoor“, sondern nur um eine „Vulnerability“ handele.

Am 28. Juni veröffentlichte der Guardian unter dem Titel „Flawed reporting about WhatsApp“ eine Entschuldigung, dass er die Sicherheitslücke überbewertet habe. Ähnlich ging es netzpolitik.org, weswegen ich schon im Januar das Wort „Hintertüre“ oder „Backdoor“ aus diesem Artikel entfernt habe.

Deine Spende für digitale Freiheitsrechte

Wir berichten über aktuelle netzpolitische Entwicklungen, decken Skandale auf und stoßen Debatten an. Dabei sind wir vollkommen unabhängig. Denn unser Kampf für digitale Freiheitsrechte finanziert sich zu fast 100 Prozent aus den Spenden unserer Leser:innen.

Über die Autor:in

Markus Reuter recherchiert und schreibt zu Digitalpolitik, Desinformation, Zensur und Moderation sowie Überwachungstechnologien. Darüber hinaus beschäftigt er sich mit der Polizei, Grund- und Bürgerrechten sowie Protesten und sozialen Bewegungen. Für eine Recherchereihe zur Polizei auf Twitter erhielt er 2018 den Preis des Bayerischen Journalistenverbandes, für eine TikTok-Recherche 2020 den Journalismuspreis Informatik. Bei netzpolitik.org seit März 2016 als Redakteur dabei. Er ist erreichbar unter markus.reuter | ett | netzpolitik.org, sowie auf Mastodon und Bluesky.

Kontakt: E-Mail (OpenPGP)

Veröffentlicht 13.01.2017 um 12:47
Kategorie
Schlagworte
Weitere Artikel
Nutzerrechte

Unzulässige Zusammenführung von Daten: Meta beugt sich dem Bundeskartellamt

Jahrelang hatte sich der Werbekonzern Meta erbittert gegen eine Entscheidung des Bundeskartellamts gewehrt. Die Behörde hatte dem Unternehmen Missbrauch von Marktmacht vorgeworfen und die unzulässige Zusammenführung von Daten untersagt. Heute hat das Verfahren sein Ende gefunden, während das nächste in den Startlöchern steht.

Lesen Sie diesen Artikel: Meta beugt sich dem Bundeskartellamt

171 Ergänzungen

      1. Die arbeiten auch gerade an einer websockets version bei OWS. Wann die kommt steht noch nicht fest, aber bald würde ich sagen

        2. Moxie ist daran nicht interessiert :(
          aber mit LibreSignal gibts ein f-droid repo das die websocket verbindung nutzt – sehr zum Ärger von Moxie… :D

    3. Die Google Play Services werden aber nur für Push-Nachrichten verwendet, d.h. es geht nur die Info „neue Nachricht“ ein, nicht aber von wem/was etc.

        1. Wie „R“ aber ja schrieb, werden die Play Services nur für die Notification genutzt und enthalten eben nicht die Wer- oder Was-Informationen. Ja, auch eine reine Notification ist schon ein Metadatum, aber es ist schon eine sehr sparsame Information

          1. Google wird ja aber wohl wissen von wo nach wo die nachricht geht oder nicht? Und da es meistens nur um Beziehungsnetzwerke geht, reicht das ja völlig aus

    4. Wer heute noch Facebook und Whatsapp nutzt und sich dann fragt, warum Daten mitgelesen werden können, der braucht sich beim besten Willen nicht mehr wundern.

      Meine Frage an den Support zu Threema ergab z.b. folgendes:

      Sehr geehrte Damen und Herren, das neue Nachrichtendienstgesetz soll alle nachrichtendienstlichen Tätigkeiten umfassend regeln und dabei die alten Gesetze ablösen. Im Parlament wurde das Gesetz im September 2015 mit grosser Mehrheit verabschiedet. Was
      wird aus Threema? Eure Server stehen in der Schweiz und Ihr unterliegt auch diesem Gesetz, oder etwa nicht? Es wäre schön wenn Ihr das auf eure Webseite kommunizieren könntet. Vielen Dank.

      Mit freundlichen Grüßen
      …

      Dann die Antwort vom Threema-Support:

      Guten Tag

      Danke für Ihre Anfrage. Dass Datenströme im Internet von staatlichen Organisationen systematisch abgegriffen werden, ist leider schon heute in vielen westlichen Ländern Realität. Bei der Konzeption der Sicherheitsarchitektur von Threema wurde diese Bedrohungssituation deshalb von Anfang an mit einkalkuliert.

      Die sogenannte Kabelaufklärung im Schweizer Nachrichtendienstgesetz (NDG), das
      voraussichtlich im Sommer 2017 in Kraft treten soll, hat grundsätzlich keine Auswirkungen auf die Vertraulichkeit der Nachrichteninhalte, da das Gesetz Anbieter nur verpflichten kann «von ihnen angebrachte Verschlüsselungen» zu entfernen (Art. 43 Ziff. 2).

      Da die starke Ende-zu-Ende-Verschlüsselung bei Threema aber vom Nutzer angebracht wird und die Threema GmbH nicht im Besitz der vom Nutzer erstellten privaten Schlüssel ist, greift der entsprechende Artikel nicht. Daten, die nicht vorhanden sind, können nicht herausgegeben werden.

      Zudem bietet Threema mit den Vertrauensstufen und der out-of-band-Verifizierung von Kontakten eine Möglichkeit, allfällige Manipulationen bzw. Man-in-the-Middle-Attacken zu erkennen. Durch die möglichst dezentrale Struktur (z.B. Gruppen- und Kontaktlisten werden ausschliesslich auf den Handys verwaltet), der Möglichkeit zur anonymen Nutzung ohne Verknüpfung mit der Handynummer und eine metadatensparsame Ausführung bietet hier Threema gegenüber anderen Messengern bereits erhebliche Vorteile.

      Wir haben aber weitere Massnahmen geplant, um die Abhängigkeit von einer zentralen Infrastruktur künftig noch mehr zu reduzieren und werden zu gegebener Zeit über die Neuerungen informieren.

      Das Nachrichtengesetz zeigt wieder einmal, wie wichtig die Nutzung einer konsequent und wirksam Ende-zu-Ende verschlüsselten Kommunikation und die Vermeidung unnötiger Metadaten ist. Threema ist deshalb ein wichtiges Werkzeug, um der staatliche Massenüberwachung Paroli zu bieten.

      Weiterhin viel Spass und sicheres Chatten mit Threema!

      Mit freundlichen Grüssen,
      Threema Support

      Natürlich muss man die Aussagen von Threema vetrauen. Ein gewisses gefahren Potenzial ist immer gegeben. Egeal welche elektronische Medien man nutzt. Das sollte auch dem letzten klar sein. Zumindest erweckt Threema ein etwas sicheres.

      Gruß
      Mario.

    5. Es gibt einen Websockets-Fork von Signal und es gibt das microG-Projekt, das die Play-Services am Gerät komplett ersetzen kann …

      1. „Es gibt einen Websockets-Fork von Signal und es gibt das microG-Projekt, das die Play-Services am Gerät komplett ersetzen kann …“

        LibreSignal? Entwicklung wegen Attacken von Moxie Marlinspike eingestellt. Und es geht nicht nur um den Einsatz von Google Cloud Messaging für die Push-Funktion. Signal von OWS ist nur über den Google Play Store zu haben – und setzt damit Googles Spyware auf dem Endgerät voraus. (Alternativ kann man tatsächlich auf microG zurückgreifen und den Quellcode von Signal bei Github runterladen und selbst kompilieren – und zwar bei jeder neuen Version.)

        2. »LibreSignal? Entwicklung wegen Attacken von Moxie Marlinspike eingestellt.«
          Eigentlich schon, aber irgendwie doch nicht. Bis jetzt hat es weiterhin Updates gegeben.

  2. schaut euch mal riot.app an. ist wie signal und kann mit eigenen servern dezentral aufgebaut werden. erste server gibt es bereits auch in deiner nachbarschaft ;-)

    1. die domain für riot ist natürlich riot.im – clients gibts mittlerweile für viele systeme inkl. android und IOs

        1. Wie oft denn noch? Selfmade crypto, diverse sicherheitslücken, nicht per default e2e. Ansonsten plain text aufm server, der dann nachrichten verteilt, etc. man findet mittlerweile recht viel im Netz dazu

    5. Telegram schickt wenigstens keine Daten an Google oder Facebook. Wenn man die Möglichkeit hat das Adressbuch zu sperren, dann hat Telegram wenigstens keinen Zugriff auf alle Telefonnummern, aber seine eigene Telefonnummer muss man leider trotzdem angeben. Trotzdem vertraue ich Telegram noch mehr als denen die mit Google kooperieren (also alle die oben genannten Alternativen).

      1. Ist ja dein privates Vergnügen. Und es gibt ja bald Signal ohne Google, also viel viel besser als Telegram vermutlich je sein wird

      2. Wir halten das Firmenkonstrukt hinter Telegram für so dubios, dass wir keine Empfehlung dazu abgeben können, weil vollkommen unklar ist, ob man denen trauen kann. Ich tue das zumindest nicht mit meinen Daten.

      3. Dem kann ich nur zu stimm. Telegram LLP hat auch ein viel größeren Funktionsumfang. Ich schrieb schon viel mit dem Support von Telegram und das ich den vertraue. Ich nutze nur Telegram seit über 2 Jahren. Finde es Top. Hab mich auch beschäftigt damit.

    6. War Telegram nicht ein Produkt der Entwickler
      des russischen Facebook Pendants?
      Ist also das gleiche, nur auf der anderen Hälfte der
      Kugel… XD

    7. Sehe ich auch so.

      Telegram schützt vor amerikanischen Geheimdiensten und hat einen guten Desktopclient für Linux.

      Der Punkt ist ja der, dass 90% der Leute keine sichere verschüsselung brauchen, sondern einfach einen Schutz für dem Datamining der US Firmen und da ist Telegram optimal und ausreichend. Wer eine sichere verschlüsselte Kommunikation braucht, wird wohl Threema oder Signal bevorzugen. Mit den Nachteilen.

        2. Wer garantiert eigentlich, dass hinter Telegram nicht ein russischer Geheimdienst steckt bzw. der Zugriff darauf hat?

          „Wer garantiert eigentlich …“ Verzeihung, aber das ist eine Buzz-Einleitung, mit der man aber auch alles rhetorisch in Zweifel ziehen kann. Garantien gibt es bekanntlich keine.

          Man könnte damit auch diesen Unsinn formulieren: Wer garantiert eigentlich, dass netzpolitik.org nicht vom GHCQ unterwandert ist?

          Auffällig ist, dass die zunehmende russophobe Attribuierung, ohne Fakten für Vermutungen zu liefern. Mainstream? Postfaktisch? Ideosynkratisch?

          Hast du Belege dafür, dann leg sie auf den Tisch.

          1. Auffällig ist, dass die zunehmende russophobe Attribuierung, ohne Fakten für Vermutungen zu liefern. Mainstream? Postfaktisch? Ideosynkratisch?

            Hast du Belege dafür, dann leg sie auf den Tisch.

            Es ging um die Vertrauensfrage. Wir können keinen Messenger empfehlen, dessen Betreiber dubios im Sinne von „nicht vertrauenswürdig“ agiert. Wir kritisieren auch an Whatsapp und Co, dass diese in den USA vom PRISM-Programm betroffen sind und mit NSA & Co koopieren müssen. Ist das jetzt in Deinen Augen US-phob?

    8. Definitiv NEIN!
      Verstehe auch nicht warum Netzpolitik immernoch Threema anpreist, über Signal kann man streiten ist aus meiner Sicht aber auch keine gute Lösung wegen der Verknüpfung mit der Handynummer, der Abhängigkeit von Google(auf Android), Desktop Anwendung setzt Smartphone voraus, im gleichen Netzwerk und das schlimmste: ein zentraler Dienst.

      Ein Messenger sollte
      * einen freien, dezentralen Standard nutzen
      * Open Source sein
      * sicher Ende-zu-Ende verschlüsseln
      * Privacy by Design
      aus meiner Sicht ist XMPP alias Jabber aktuell der beste Kandidat dafür.

      1. Wie sieht’s denn bei Jabber mit Offline-Nachrichten, Dateiversand und Verbindungsabbrüchen aus? Über mehrere Server hinweg? – Erfahrungsgemäß ganz düster.

        1. Ich nehme an deine Erfahrungen liegen mehrere Jahre zurück. Die genannten Punkte funktionieren bei mir tadellos mit OMEMO. Such dir einen Server unter https://gultsch.de/compliance_ranked.html aus und du solltest keine Probleme haben.
          Für Android nimmste Conversations und für iOS ChatSecure. Bei letzterem ist OMEMO noch im beta Status.

    1. Noch ist der server code nicht open source und es gibt hier und da noch ein paar Kleinigkeiten. Gab letztens nen Audit, such ich gleich mal raus. Ist wohl hauptsächlich die Frage wie sehr du dem Unternehmen vertraust, ich hab kein gutes Bauchgefühl, aber das heißt ja nichts

    2. Ist hübsch gemacht, für Video und Telefonie sicher besser und empfehlenswerter als Skype, aber es mangelt noch an einer unabhängigen Überprüfung der Technik und des Codes. Das Unternehmen hat das versprochen, aber noch nicht geliefert.

  6. Sie haben die wichtigste Zeile aus dem Guardian Artikel nicht in ihrer Zusammenfassung erwaehnt: „However, WhatsApp has the ability to force the generation of new encryption keys for offline users, unbeknown to the sender and recipient of the messages, and to make the sender re-encrypt messages with new keys and send them again for any messages that have not been marked as delivered“

    d.h. nur „undelivered“ messages koennen so mitgelesen werden. Da die meisten User staendig ihr Handy anlassen wird es wohl nicht sehr viele „undelivered“ messages geben

    2. Im Guardian-Artikel steht aber auch:

      Boelter said: “[Some] might say that this vulnerability could only be abused to snoop on ‘single’ targeted messages, not entire conversations. This is not true if you consider that the WhatsApp server can just forward messages without sending the ‘message was received by recipient’ notification (or the double tick), which users might not notice. Using the retransmission vulnerability, the WhatsApp server can then later get a transcript of the whole conversation, not just a single message.”

      1. Genau den Absatz verstehe ich nicht. Ein Protokoll der ganzen Unterhaltung kann ja schon mal nur erhalten werden, wenn Absender und Empfänger angegriffen werden, denn der Angriff erlaubt es doch bloß, nicht abgesendete Nachrichten auszuleiten. Und was mir dann völlig schleierhaft bleibt, ist wie die Kommunikationspartner das nicht merken sollen, denn die Nachrichten dürften daraufhin ja nur noch an den Angreifer gehen und nicht mehr an den Kommunikationspartner. Oder kann Whatsapp jede Nachricht mehrfach mit verschiedenen Keys signieren?

  7. Noch eine kleine Ergänzung zum Artikel: Ich wollte mir auf meinem googlefreien Handy Threema installieren, aber auch das benötigt die Google Play Services um zu funktionieren.

    Somit sind Threema und Signal mit Google verknüpft und beides eher schwierige Alternativen.

    Hat jemand Erfahrung mit Kontalk? Ist das sicher?

    1. Es gibt Noise in den Copperhead OS fdroid repo. Google freie websocket version von signal, leider mit dem damit verbundenem deutlich höheren Akkuverbrauch noch. Aber mal sehen was die offizielle Websocket Version macht bald.

        2. Du kannst auch nicht Firefox nehmen, verändern und als Firefox veröffentlichen oder mit Firefox im Namen. Oder Linux, etc. Das ist schon im Sinne der Nutzer.

          Und wie gesagt, die Abhängigkeit von Google wird bald auch in der offiziellen Version wegfallen.

    2. Threema bekommt man auch direkt von Threema, und es braucht kein GCM. Ohne GCM hat es eben kein Push, sondern Polling.

    1. Jap, mit all den Problemen die man mit XMPP leider immer hatte. Ich weiß nicht wie der conversations server so ist, aber bilder verschicken war und ist immer ein Graus zwischen verschiedenen Servern. Hat bei mir noch nie richtig funktioniert. Und schon gar nicht ohne „Nerdwissen“

      1. Komisch – ich hatte, seitdem ich alle Verwandten Conversations in die Hand gedrückt habe, keinerlei Probleme mehr damit.
        Egal ob über meinen Server, jabber.ccc.de, den Firmenserver meines Brötchengebers oder den Default von Conversations.

      2. Dann solltest du dir Conversations mit dem conversations.im Server mal angucken. Da brauch man absolut kein Nerdwissen. Das einzige was man dann noch wissen muss ist wie Usernames bzw Identifier auf username@domain basis funktionieren und das würde ich jetzt wirklich nicht als ‚Nerdwissen‘ bezeichnen.

        Also du sagst ja selber. Die Probleme die man immer *hatte*. Die Probleme sind gelöst.

        1. Naja, nicht mit meinem ejabberd server und hin zu mailbox.org. Aber das mag an meiner Konfiguration liegen. Aber solange nicht alle Jabber Server auf dem Stand wie deinem sind, wird es wohl weiter Probleme geben.

          2. „Aber solange nicht alle Jabber Server auf dem Stand wie deinem sind, wird es wohl weiter Probleme geben.“

            Das ist der Preis der Freiheit. Bzw. der freien Wahl – so, wie man es ja auch von E-Mail-Servern kennt, die auch nicht allesamt auf dem gleichen Niveau sind.

            Bei Jabber/XMPP ist es allerdings denkbar einfach, eine informierte Wahl zu treffen: https://gultsch.de/compliance.html

            Diesen Preis der Freiheit hat allerdings nicht zu zahlen, wer sich in einen walled garden begibt, ob der nun WhatsApp, Threema oder Signal heißt…

          3. Ich betreibe ja meinen eigenen Server und benutze XMPP mit meiner Frau, aber XMPP und „denkbar einfach“ in einem Satz, selten so gelacht. Wir kommen da vielleicht hin, irgendwann (vermutlich wenn PGP dann auch seinen großen Durchburch hat ;)) aber momentan sehe ich das noch nicht in naher Zukunft.

          4. „Ich betreibe ja meinen eigenen Server und benutze XMPP mit meiner Frau, aber XMPP und „denkbar einfach“ in einem Satz, selten so gelacht.“

            Augenblick mal – wenn die Rede von „einfach“ ist, geht es um die Nutzerperspektive und nicht um die von jemand, der einen eigenen Jabber-Server aufsetzt. E-Mail zu nutzen ist auch trivial, einen eigenen Mail-Server zu betreiben nicht unbedingt.

  9. Großartig

    Ein weiterer Artikel der gerne zu Opensource-Messengern raten will, aber nicht ein einziges mal XMPP/Jabber erwähnt und versehentlich übersieht dass es heute mit z.B. Conversations sogar brauchbare Clients gibt die auch mit der Konkurrenz problemlos mithalten können.

    Wie? Verschlüsselung? Nimmste halt OMEMO, GPG oder OTR – ist wohl zu viel Auswahl.
    Server macht komische Sachen? ES IST EIN VERFICKTES, OFFENES PROTOKOLL! Stell‘ dir deinen eigenen Server hin! Mit Blackjack, und Nutten!

    Jaja… kommt bestimmt gleich wieder das „zu technisch“-Totschlagargument. Weil einfach Conversations installieren und Default-Server verwenden auch viel schwieriger ist als die ganze Signal-Scheiße zu verwenden. Und nein, Signal ist weder frei noch offen. Da könnt‘ ich eh schon stundenlang drüber ranten. Darf man gerne die Leute bei FDroid fragen was die für Spaß mit dem Mist hatten.

    1. Ne, wenn dann schon omemo, alles anderes ist sinnlos im multidevice und mobilen kontext.

      Und moxie hatte gute Gründe, ist aber halt einfach zu bashen, wenn das andere Projekt erfolgreicher ist, was? Würde mir auch Signal auf fdroid wünschen, vielleicht passiert das ja jetzt mit der baldigen websockets Unterstützung.

      2. Wird nicht passieren, weil Signal der Meinung ist dass ein FDroid-Build von Signal ja ein fork wäre und keinesfalls Signals Server oder Namen verwenden soll.

        Name wär‘ jetzt nicht schlimm (auch wenn „LibreSignal ist zu nahe, nutzt was anderes!“ schon ziemlich albern war), aber da man die Server nicht verwenden soll, und die Software für die Server nicht offen ist, gibt es praktisch keine Möglichkeit einen Signal-Fork IRGENDWIE zu verwenden (zumindest ohne die Wünsche von Moxie zu missachten).

        Und selbst wenn man sich selbst einen Signal-Server schreiben würde… Signal macht keine Föderation, man könnte also nicht mit den anderen Signal-Nutzern Nachrichten austauschen.

      1. ist das so`?

        Komisch, ich hab‘ schon tausendmal durchgekaut dass die „Alternativen“ nicht taugen und man freie Software will, weil man sonst halt genau da landet wo wir jetzt sind.
        Und die Gegenargumente zu XMPP sind über die Jahre fast alle weggefallen… oder welche verbleiben denn deiner Meinung nach noch?

    3. Den größten Nachteil an Conversations/XMPP sehe ich in der Verbindung mit Apple Produkten.
      OTR würde ich nicht mehr freiwillig benutzen. Das ist absoluter Mist und nicht standardisiert. OMEMO ist definitiv die Zukunft. Wird aber aktuell von Apple über die Lizenzbedinungen von iTunes verhindert. Die Helden von ChatSecure versuchen gerade Axolotl, die OMEMO Bibliothek, neu zu schreiben um eine Apple-kompatible OpenSource Lizenz benutzen zu können. Bis das fertig ist, sind Apple Fanboys und -girls außen vor.

      Dennoch hat Dr. Tod absolut recht _WAS SOLL DAS?_ _WARUM IGNORIERT IHR XMPP?_

      1. zugegeben, iOS‘ seltsame Einschränkungen (i.E. keine Hintergrund-Datenverbindungen offen halten) verhindern sinnvolle XMPP-Clients für diese Platform (zumindest ohne Erweiterung zum Protokoll und zusätzlichen Server der Daten über die Apple-Dienste schickt)

        aber bei 87,5 Prozent Marktanteil von Android (Tendenz steigend), würd‘ ich auch sagen dass man evtl. mal einsehen kann dass das ein schlechteres Argument ist als „aber es hat doch eh jeder Whatsapp“

      2. Alle Probleme mit Apple sind gelöst. ChatSecure benutzt einfach Axolotl (es gibt eine Ausnahmeregel für den iTunes store). Es gibt eine geschlossene Beta für ChatSecure iOS mit OMEMO support. Das Release wird für die nächsten Tage erwartet.

  10. Conversations, ein Android XMPP/Client hat übrigens seit neustem ein Konzept um genau dieses Verificationsproblem was WhatsApp hier zum Verhängnis wird möglichst benutzerfreundlich zu lösen. Das ganze nennt sich ‚Blind Trust Before Verification‘ und ist hier beschrieben: https://gultsch.de/trust.html.

    Was die ganzen Kommentare hier nämlich vergessen ist, dass das Problem nicht ist, dass WhatsApp nicht Open Source ist, oder einer US Firma gehört, oder nicht dezentral ist; Das Problem ist das WhatsApp hier wichtige Security features auf Grund von Bequemlichkeit weg optimiert hat. Diese Diskussion ist vollkommen orthogonal zu einer Open Source vs closed Source und zentral vs dezentral Diskussion.

    Das in einem anderen Kommentar empfohlene Riot hat übrigens zur Zeit noch überhaupt keine brauchbare Verifikationsmöglichkeit.

    Conversations geht da mit Blind Trust Before Verification echt einen schönen weg.

    1. Ich stimme Daniel Gultsch voll zu. Mit Prosody ist es außerdem relativ einfach, einen eigenen XMPP-Server zu betreiben, Conversations ist sehr angenehm in der Bedienung auf dem Android-Gerät und ich möchte die Funktionalität nicht mehr missen, über OMEMO und Message Carboning (einer XMPP-Erweiterung, die quasi Kopien der Nachrichten an mehrere Geräte schickt) auch verschlüsselte Nachrichten sowohl vom Desktop/Notebook (mit Gajim als Client) und Smartphone zu empfangen und verschicken. ;)

    2. Magst du vielleicht deine Verbindungen zu Conversations offen legen, wenn du dich so lobend äußerst? Ich fände das angebracht. (Sofern du tatsächlich der Daniel Gultsch bist.)
      Und Formulieren wie „Wir gehen mit Conversations…“ empfände ich dann auch ehrlicher als so ein ein passiv distanziertes „Conversations geht…“

    3. Beeindruckend die Dicknasigkeit, die netzpolitik.org bei dem Thema Messenger an den Tag legt (und die glücklicherweise so gar nicht typisch ist). Der Redaktion wird sicherlich aufgefallen sein, dass jedesmal, wenn es ums Messaging geht, Kommentare zuhauf abgegeben werden – das lässt auf massives Interesse der Leser schließen. Wie wird darauf regiert? Indem die immergleiche, wenig fundierte Boilerplate-Empfehlung für Threema und Signal abgegeben wird. Und zwischendurch dann mal einen Beitrag über ein dermaßen esoterisches (und, zugegeben, technisch sehr interessantes) Projekt wie Vuvuzela, dass irgendwann mal so „einfach“ wie PGP bei E-Mail einzusetzen sein soll (herzlichen Dank, diese Einfachheit hat ja schon PGP zum großen Durchbruch verholfen).

      Bei einem Thema von so zentralem Interesse wäre statt Stückwerk mal wirklich ein Beitrag fällig, der sich gründlich mit der Sache auseinandersetzt. Der aufrastert, welche Anforderungen ans Messaging zu stellen sind und warum – und davon ausgehend eine Bewertung der Lösungen vornimmt, die es schon einsatzfähig gibt. Anreichern ließe sich das Ganz natürlich noch mit Kurzvorstellungen von vielversprechenden neuen Projekten wie Briar, muss aber nicht sein.

      Ich bin mir sicher: Bei den Lesern würde so ein Beitrag auf große Resonanz stoßen.

  11. Habe ich das falsch verstanden, oder ist die Backdoor nur, dass die Einstellung „Sicherheits-Benachrichtigungen anzeigen“ in Einstellungen -> Account -> Sicherheit per Default ausgeschaltet ist.

    Wenn dem nämlich so ist (darauf weist auch der Guardian-Artikel hin), dann finde ich diese Berichterstattung extrem reißerisch. Und vor allem nichts neues. Dass WhatsApp die Schlüssel still und heimlich austauschen kann, wenn diese Einstellung deaktiviert ist, war mir schon im ersten Moment klar als WhatsApp das erste Mal Ende-Zu-Ende-Verschlüsselung ausgeliefert hat.

    Das wäre dann tatsächlich kein Bug sondern komplett gewollt.

    Nichtsdestotrotz ist das natürlich ein Problem, weil der normale Nutzer sich diese Einstellungen nie anschaut, geschweige denn ändert. Und es ist auch nicht die beste Lösung, dass im Messenger nur eine kleine Benachrichtigung angezeigt wird, wenn sich der Schlüssel ändert, und nicht etwa wie bei Signal eine Nutzerinteraktion erzwungen wird, um die Nachrichten wieder lesen oder senden zu können.

    Auch ein Ampelsystem, dass den Verifizierungsstatus des Kontaktes anzeigt, wie bei Threema würde sowohl WhatsApp als auch Signal nicht schaden.

    1. Ok, wenn tatsächlich alle nicht angekommenen Nachrichten ohne Möglichkeit es zu verhindern, an den geänderten Schlüssel erneut geschickt werden können, dann ist das tatsächlich ein Problem.

    2. Ich nehme das zurück, was ich oben geschrieben habe. Das ist wirklich ein ziemlich großes Problem. Und es gibt auch nichts, was man als Nutzer wirklich machen kann um es zu verhindern. Höchstens um zu erkennen, dass es passiert ist.

      Das einzige, was man machen kann, ist immer nur eine Nachricht zu verschicken, und zu warten, bis die zwei Häkchen angezeigt werden, bevor man die nächste Nachricht schickt. Damit kann dann nur maximal eine Nachricht abgefangen werden, bevor man bemerkt, dass etwas nicht stimmt.

  12. Man muss es echt nicht mehr verstehen, weshalb immer wieder für Threema Werbung gemacht wird, wenn es um sichere Messenger geht. Allein wegen der Closed-Source Thematik scheidet das Ding schon aus – oder wollt ihr ein zweites WhatsApp?

    Und Signal von diesem Neurotiker Moxie wird auch ständig erwähnt, obwohl Zentralisierung der falsche Weg ist.

    Macht euch zumindest mal die Mühe und lest folgenden Beitrag: https://www.kuketz-blog.de/conversations-sicherer-android-messenger/

    -1 Netzpolitik!

    1. Zumal Threema noch nicht einmal Forward Secrecy bietet. Nur in der Transportverschlüsselung, nicht Ende-Zu-Ende.

      Ich finde es besonders krank, dass Open Whisper Systems rigoros den Zugriff auf ihre Infrastruktur verhindert, wenn man nicht den „Original“ Signal Client verwendet.

    2. Ich warte weiter auf ein dezentrales Projekt dass erstens so viele Anwender wie Signal hat und zweitens dann auch für alle so einfach funktioniert und so wenig Probleme macht wie Signal. Muss sich erst noch zeigen, welcher Ansatz der Richtige ist.

      1. Wird sicher nicht passieren, wenn selbst hier immer nur Werbung (zahlen die wenigstens ordentlich?) für geschlossene, zentralisierte Dienste gemacht wird.

  13. Man muss wohl realisieren das eine sichere Kommunikation mit dem Smartphone nicht möglich ist. Man muss ja rechnen das die Geräte ohnehin verbackdoored sind, wer weiß schon was in den vorinstallierten android binaries so alles mit drin steckt ?

  15. Ernstgemeinte Frage: Wenn sowohl Signal als auch Facebook das selbe Verschlüsselungsverfahren nutzt, kann diese Lücke dann nicht auch in Signal vorhanden sein?

      1. Schnell mal überprüfen?
        Möchte wissen, wer das mal eben „schnell überprüfen“ kann. Bist du dazu in der Lage?

      2. Hat das schon jemand gemacht? Ich bin zwar in dem Thema durch Studium und persönliches Interesse drin, aber hätte jetzt keine Ahnung, wie ich das jetzt prüfen könnte.

        1. Das Signal Protokoll wurde schon recht oft auditiert. Das letzte Mal hat es das FBI gemacht und hats nicht geschafft ;)

          1. @Ben
            „Das Signal Protokoll wurde schon recht oft auditiert. Das letzte Mal hat es das FBI gemacht und hats nicht geschafft ;)“
            Ob die Info stimmt,lassen wir mal im Raume stehen,
            Unterschätze niemals die Möglichkeiten und Fähigkeiten staatlicher Stellen,die Ressourcen ohne Ende zu haben scheinen,das „sich Dumm stellen“ ist eine Handlungsoption,die binden einem nicht alles auf die Nase was sie können.

    1. Tox ist totaler Unsinn. Um mal einen der Entwickler zu zitieren: „We have a largely undocumented, untested, and not well-understood code base of about 19 ksloc (C).“ und „Tox provides some strong security guarantees. We haven’t got to the point where we can enumerate them properly, given the general lack of understanding of the code and specification.“

      source: https://github.com/TokTok/c-toxcore/issues/426

  17. Also habe ich jetzt richtig verstanden, dass folgende Angriff folgendermaßen abläuft:

    1. Das Gerät des Empfängers ist offline
    2. Absender versucht jetzt Nachrichten zu schicken, diese kommen nicht beim Empfänger an (kann er anhand des zweiten fehlenden Hakens erkennen)
    3. Angreifer startet Schlüsselaustausch für ungesendete Nachrichten, Absender wird danach darüber informiert, sofern er entsprechende Benachrichtigung aktiviert hat (sollte bei jeden halbwegs sicherheitsbewussten Nutzer der Fall sein)
    4. Angreifer erhält die ungesendeten Nachrichten (mit fehlendem zweiten Haken)?

    Was ich mich jetzt frage:

    1. Erhält der Empfänger noch die abgesaugten Nachrichten? Sollte er ja eigentlich nicht können, da die Nachrichten doch nur mit einem Schlüssel signiert werden dürften. Entsprechend sollte der Empfänger doch früher oder später merken, dass Nachrichten fehlen?
    2. Was passiert mit Nachrichten, die nach dem Schlüsseltausch vom Absender abgeschickt werden? Die dürften doch, der obigen Annahme nach, nur noch an den Angreifer gehen. Entsprechend dürfte nach dem Angriff doch NIE wieder eine Nachricht des Absenders den Empfänger erreichen? Oder ist WA so unsicher, dass es Nachrichten mit mehreren Keys gleichzeitig signieren kann? Mir ist jedenfalls nicht klar, wie man damit (längerfristig extrem auffällig) mehr als einzelne Nachrichten abgreifen können soll, ohne dass noch weitere Lücken vorlägen.

  18. Warum immer wieder Threema und Signal? Hallo Netzpolitik?

    Auszug aus dem Kukegz-Blog:

    „Ein weiterer Blick in meine Kristallkugel sagt mir: Jetzt wird unter anderem wieder der Closed-Source Messenger Threema empfohlen, obwohl WhatsApp immer wieder auf’s Neue demonstriert, wie gefährlich Closed-Source ist. Oder doch lieber Signal? Der Messenger, der proprietäre Google-Services bzw. die GCM-Funktion (Google Cloud Messaging) benötigt? Es ist wahrlich zum verzweifeln.“

    https://www.kuketz-blog.de/whatsapp-backdoor-erlaubt-mitlesen-von-nachrichten/

    1. Abgesehen davon, dass Signal, zumindest unter iOS, mehr oder weniger unbenutzbar ist. Absolut instabil, Nachrichten kommen mal sofort, mal erst nach Stunden, manchmal nie beim Empfänger an. Der Aufkauf von WA durch FB ist jetzt fast drei Jahre her und es gibt immer noch keinen einzigen wirklich sicheren Messenger, der Sicherheit mit guter Usability und Zuverlässigkeit vereint und auf allen großen Plattformen verfügbar ist. Entsprechend ist wohl langsam der Zeitpunkt gekommen, an dem man die Hoffnung aufgeben kann…

        1. Mir nicht, kannst ja auf Twitter mal bei Stefan Esser vorbeischauen, der beschwert sich da auch regelmäßig drüber. Auch alle (ehemaligen) Nutzer, die ich persönlich kenne, hatten diese Probleme.

      3. Kann mich hier dem anschließen, dass Signal unter iOS (und in Teilen auch unter Android) aktuell unbenutzbar ist:

        1) Kontakt in Gruppe hat schlechten Empfang, verschickt Nachricht mehrmals -> die Nachricht kommt jedes Mal bei allen an -> Chat zugespamt
        2) Signal unter iOS ermöglicht es nicht wie Whatsapp, Gruppen einzeln stumm zu schalten – ein absolutes Muss wenn man in vielen Gruppen ist

      4. „es gibt immer noch keinen einzigen wirklich sicheren Messenger, der Sicherheit mit guter Usability und Zuverlässigkeit vereint und auf allen großen Plattformen verfügbar ist.“
        Tox.

  19. Die dummen „Empfehlungen“ am Ende nerven ganz enorm – sowas ist inakzeptabel!
    Einfach mal die Fresse halten – oder besser informieren!

  20. Verzichten Sie ganz auf WhatsApp !!!

    Ich empfehle folgende abhörsichere verschlüsselte Schweizer APPs:
    OpusTel zum telefonieren
    Threema zum Textnachrichten oder Files zu übertragen
    ProtonMail zum mailen
    So bleibt Ihre „Fiche“ klein und Ihre Privatsphäre geschützt.
    „Big Data“ ist eine ernst zu nehmende und echte Gefahr!

      1. „Zwei-Faktor-Authentifizierung: Bei beiden Anbietern ist dies nicht möglich. Die Sicherheit hängt wie bereits genannt nur von einem Passwort (Tutanota) oder zwei Passwörtern (ProtonMail) ab, die sogar in schlechter Qualität als ausreichend bewertet bzw. akzeptiert werden.“
        Das stimmt mittlerweile nicht mehr. ProtonMail bietet eine ZFA an und auch einmal Passwörter.
        https://protonmail.com/blog/encrypted_email_authentication/

        „Auch insgesamt verfügt ProtonMail über bessere Sicherheitsmaßnahmen. Allerdings haben sich die Schweizer Bürger vor Kurzem für mehr Überwachung ausgesprochen, womit das Märchen vom Schweizer Datenschutzparadies ein Ende findet.“
        Zunächst tritt dieses Gesetzt erst Sommer 2017 ein und ProtonMail kann keine Daten herausgeben einfach aus dem, weil sie selbst keinen Zugriff darauf haben.

        Aber ja es ist richtig, dass JavaScript und Sicherheit sich ein wenig widersprechen. Jedoch muss man bedenken, dass ProtonMail auch für den normalen Nutzer gedacht ist und es somit möglichst einfach sein sollte.

        Ansonsten bietet, wie in dem Artikel geschrieben, https://mailbox.org/ eine gute Alternative an. Dort kann man sich jedoch nicht den Quellcode anschauen, bei ProtonMail ist beispielsweise ein Großteil Open-Source.

  21. „WhatsApp gibt Regierungen keine „Hintertür“ in seine Systeme und würde gegen jede Regierungsanfrage, eine Hintertür zu schaffen, vorgehen.“
    Wer soll denen eigentlich noch glauben? Im Zuge von Prism rückt Facebook schon seit 2009 Daten an Geheimdienste heraus. Und da WhatsApp mittlerweile zu Facebook, kann man sich den Rest ja wohl denken. Ich sag’s euch: Die machen Kindergarten mit uns.

    1. Sorry, aber Moxie Marlinspike kann Crypto, aber keine Privatsphäre.

      Der Artikel endet mit:
      „We believe that WhatsApp remains a great choice for users concerned with the privacy of their message content.“

      Selten so gelacht.

          1. Der, der im Gegensatz zu dir nicht nur mehrmals oben in diesem Thread, sondern generell seit Monaten diesen Nickname auf netzpolitik.org benutzt.

  24. Ich bin schwer enttäuscht von der Berichterstattung von Netzpolitik. Ich hätte mehr von euch erwartet als ein dem Guardian abgeschriebenen Artikel mit einer reißerischen Überschrift. Ein Versuch, Moxie oder WhatsApp zu kontaktieren, wurde offensichtlich nicht unternommen, sonst wäre dieser Artikel nie publiziert worden.

    WhatsApp ist hier einen – aus meiner Sicht – vollkommen akzeptablen Trade Off eingegangen. Ohne diese Funktion wären Nachrichten.

    Von Anfang an war klar, dass WhatsApp nur dann Sicherheitsgarantien bietet, wenn die Schlüsseländerungsbenachrichtigungen aktiviert sind. Falls die nun hier beschriebene „gravierende Sicherheitslücke“ ausgenutzt wird, bedeutet dies, dass nach jedem derartigen Angriff eine Benachrichtigung erscheint. Dieser wichtiger Aspekt, der einen derartigen Angriff in der Praxis erkennbar macht, fehlt im Artikel vollständig.

    Mir ist letzte Woche mein Smartphone gestorben und damit natürlich auch der kryptographische Schlüssel für WhatsApp. Bei Signal bedeutet dies, dass alle Nachrichten, die ich in der Zwischenzeit erhalten habe, verloren gehen. Bei WhatsApp gehen die Nachrichten nicht verloren, da die Nachrichten für meinen neuen Key verschlüsselt werden.

    Ich betrachte dies als sinnvolles Feature.

    1. Wer das als Feature betrachtet, der braucht keine keine Verschlüsselung, oder hat nicht kapiert worum es geht.

      1. Die Nutzung als Überwachungsschnittstelle setzt voraus, dass…

        … Facebook entweder mitspielt oder kompromittiert wird – beides ist sehr unwahrscheinlich, da Facebook damit sehr viel Vertrauen verspielen würde und sehr viele Nutzer an Telegram & Co verlieren würde.

        … die Kommunikationspartner ihre Schlüssel nicht prüfen und die Key Change Notification ignorieren.

        Wie Moxie in seinem Artikel ausführt (https://whispersystems.org/blog/there-is-no-whatsapp-backdoor/), weiß Facebook nicht, ob ein Nutzer die Benachrichtigungen aktiviert und ein einziger würde ausreichen, um die Aktion auffliegen zu lassen.

        An diesem Punkt wäre es ebenso (un)wahrscheinlich, dass Google ein Update mit Backdoor verteilt oder Facebook/WhatsApp eine neue Version mit Backdoor veröffentlichen. Oder einfach das Android-Endgerät des Nutzers gehackt wird.

        Selbst die Signal-App hat in ihrer neuesten Version ein (per Default deaktiviertes) Feature, welches die automatische (non-blocking) Regeneration der Keys unterstützt. Dies unterstreicht, dass es sich hier um einen nicht zu vernachlässigendes Usability-Problem handelt.

        Ich verstehe auch nicht, was diese neue Entdeckung an der Situation ändert. Ein derartiger Angriff (transparentes MitM) konnte auch vorher schon stattfinden, etwa, wenn sich der Schlüssel durch einen Telefonl- oder SIM-Wechsel ändert.

        IMHO rechtfertigt das die Aussagen „Facebook kann die verschlüsselten Inhalte auf WhatsApp mitlesen / Die Kommunikation mit WhatsApp ist nicht sicher. Das Unternehmen selbst und Ermittlungsbehörden können die Nachrichten der Nutzer mitlesen.“ nicht.

        Oder ich habe Unrecht, ich lasse mich gerne vom Gegenteil überzeugen!

        1. „Facebook entweder mitspielt oder kompromittiert wird – beides ist sehr unwahrscheinlich, da Facebook damit sehr viel Vertrauen verspielen würde“

          Hoffentlich sollte das sarkastisch gemeint sein.

          1. Nein. Facebook wird alles tun, um nicht bei einem MitM-Angriff erwischt zu werden (auch dank der kritischen Medien). Selbst Facebook hat einen Ruf zu verlieren.

            Facebook hat gar nicht nötig. Das, was sie wirklich interessiert, haben sie ja – die Metadaten. Sie wissen trotzdem, wer wann wie viel mit wem kommuniziert und werten es mit Sicherheit aus. DAS sollte Grund genug sein, WhatsApp zu meiden.

            Die Ende-zu-Ende-Verschlüsselung aber tut, was sie soll – sie verhindert Massenüberwachung der Kommunikationsinhalte. Das automatische Key Renewal macht hier keinen Unterschied.

    3. Das alte Problem: Entweder Hardcore-Krypto und keine Bequemlichkeit oder viel Bequemlichkeit mit geschwächter Krypto. Man kann sich das wie ein Schieberegler vorstellen. Dieser Schieberegler ist übrigens auch bei Signal ein ganzes Stück in Richtung Bequemlichkeit geschoben worden – besonders durch das Übertragen von gehashten Telefonnummern.

  25. Ich möchte erwähnen, dass es noch andere Möglichkeiten geben kann, Nutzereingaben mitzulesen, nämlich die Tastaturen. Es gibt im Play Store verschiedene Tastatur-Apps, z. B. Swiftkey und Gboard. Die übertragen zum Teil Inhalte zur Analyse, um bessere Ergebnisse zu liefern.

  26. Das war doch schon immer klar!
    Warum nutzt denn jeder den Käse aus USA?
    Weil alle dem nachrennen , was in ARD und ZDF als „hype“ angeworben wird !
    ….mit angeblichen Nutzerzahlen die niemals belegt wurden….
    ( Auch die vnN Facebook nicht….! Fakeaccounts / Bots etc…. )
    Und wer verdient / liest da mit ? Na klar die Medienunternehmen ,die längst zu Schnüffelunternehmen umgebaut wurden !
    Und leider schimpfen die Linken auf Trump,aber er ist ein gegner von der Lügenpresse!
    Das sollten man sich merken und aber auch nachprüfen !

  27. @marcel : richtig !
    @all und noch mehr :
    Smartphones werden zB von Vodafone nicht nach EU Recht ausgeliefert!
    Das fordert längst ein „opt-in “ für OS oder Apps!
    Das ist auch bei Android 6.0.1 und andere nicht sauber umgesetzt !
    Weiterhin verweigert Vodafone Datenauskunft,was sie über ihre Apps alles speichern !
    Die haben gute Preise aber eben falsches Recht !

  28. Eigentlich lese ich die Artikel hier recht gerne, aber ab und an werden diese doch recht reißerisch und fernab neutraler und „offener“ Berichterstattung.

    Aus anderen Artikeln geht detailierter vor, was passieren muss, damit welche Nachrichten abgegriffen werden können.

    Ich möchte damit nicht widersprechen, dass es ein Sicherheitsproblem gibt, jedoch anmerken, dass dadurch die Verschlüsselung für mich weiterhin von nutzen ist:
    – Ist die Schlüsseltauschbenachrichtigung aktiviert, so bekomme ich das mit, und weiß dann, dass meine kürzlich an einen offline Kontakt versendeten Nachrichten kompromitiert sein könnten
    – Diese Nachrichten dürften bei mir in den meisten Fällen nicht kritisch sein, d.h. nach dem ich Feststellen musste dass die Konversation kompromitiert wurde, könnte ich diese auch einstellen.
    – D.h. der Vorteil das FB den Inhalt meiner täglichen Konversation nicht mitliest besteht m.E. weiterhin

    Ich selbst nutze parallel zu WA auch andere Messenger, aber seitdem die E2E Verschlüsselung in WA implementiert wurde, ist das schlechte Gewissen WA zu nutzen (um mit jenen zu kommunizieren die man entweder nur flüchtig kennt oder die nicht wechseln wollen) etwas kleiner geworden.

  31. @Netzpolitik.org: Warum habt ihr eigentlich einen WhatsApp-Teilen Button auf dem Blog? Damit unterstützt ihr indirekt WhatsApp.

  33. Handys und Sicherheit kommen nie zusammen. vor kurzem hat ein Programmierer versucht, whatsapp auf ios und android zu hacken ( http://whatsapphacken.pro/ ) und keine dieser Betriebssysteme demonstrierte zufriedenstellende Ergebnisse.

  34. Ein dilettantischer Artikel. die verschlüsselten Inhalte auf WhatsApp kann nicht nur Facebook mitlesen. habt ihr versucht Whatsapp / Facebook hacken bei google einzugeben? auf erster Page der Suchergebnisse kann man Software zu diesem zweck finden und es funktioniert seit mindestens ein paar Jahren schon! die sog. End to End Verschlüsselung ist nur für das Publikum, aber die Firmen, die auf Whatsapp geld machen, können diese Verschlüsselung leicht umgehen!

  37. Ich chatte in beiden Messenger, und diese Information nahm mir den Mut bißchen. Aber andererseits ist das nicht mehr aktuelle Nachricht für mich. Heute kann jedermann WhatsApp Sniffer Programme (http://whatsappmitlesen.de/whatsapp-spy-vs-whatsapp-sniffer) problemlos installieren und 100% diskret (wie die Entwickler versprechen) benutzen. Einerseits ist das nicht angängig, wenn jemand Fremdes deinen Chat hacken und mitlesen kann. Andererseits lässt Spy App z.B. den Eltern ihre Kinder kontrollieren.

Dieser Artikel ist älter als ein Jahr, daher sind die Ergänzungen geschlossen.