Am Messenger Signal beißen sich Ermittlungsbehörden weiterhin die Zähne aus. Nicht etwa, weil der Anbieter grundsätzlich unkooperativ wäre, sondern weil er kaum Daten über seine Nutzer:innen speichert. Das bestätigt eine gerichtliche Anordnung, die der Anbieter letzte Woche veröffentlicht hat.
Ein Gericht in Santa Clara im US-Bundesstaat Kalifornien hatte umfangreiche Informationen aus den Jahren 2019 und 2020 über eine:n Nutzer:in verlangt, darunter Namen, Adressen, gespeicherte Nachrichten und sämtliche Verbindungsdaten des Accounts. Beigelegt war zudem eine Verpflichtung zur Verschwiegenheit, die das Gericht vier Mal verlängert hatte.
Zurückliefern konnte Signal jedoch nur zwei Datenpunkte: Wann der betroffene Account erstellt wurde und wann er sich zuletzt mit den Servern des Anbieters verbunden hatte. „Einmal mehr ersuchte diese Anfrage Daten von uns, die wir nicht haben, einschließlich Namen, Adressen, Korrespondenzen, Kontakte, Gruppen und die Anruferhistorie“, schreibt das Unternehmen in einem Blog-Beitrag.
Schutz der Privatsphäre oberstes Gut
Der quelloffene Messenger war von Anfang an darauf ausgelegt, die Privatsphäre der Nutzer:innen zu wahren und dabei möglichst wenige Daten zu sammeln. Neben der Datensparsamkeit auf seiner Infrastruktur setzt Signal Ende-zu-Ende-Verschlüsselung ein: Außer den Adressat:innen kann sonst niemand auf die Inhalte der Kommunikation zugreifen. Der Messenger gilt deshalb als besonders sicher und vertrauenswürdig, anders als etwa beim Konkurrenten Telegram werden zudem nicht laufend Sicherheitslücken bekannt.
Bereits 2016 wurde öffentlich, dass Signal seine Versprechen einhält und bereit ist, sie vor Gericht durchzufechten. Auch damals wurde der Anbieter zur Geheimhaltung über eine gerichtliche Anordnung verdonnert. Mit Hilfe der Bürgerrechtsorganisation ACLU (American Civil Liberties Union) gelang es schließlich, die Schweigeverpflichtung aufzuheben und über den Fall zu berichten.
Der ähnlich gelagerte aktuelle Fall zeigt, dass sich in den letzten Jahren nichts an der Praxis des Unternehmens geändert hat. Inzwischen wird Signal nicht mehr unter dem Mantel von Open Whisper Systems betrieben, sondern seit 2018 von der Non-Profit-Organisation Signal Technology Foundation und der Signal Messenger LLC. Dabei stieg auch der WhatsApp-Mitbegründer Brian Acton ein, unter anderem mit einer Finanzspritze von 50 Millionen US-Dollar. Weiterhin an Bord ist der Signal-Gründer Moxie Marlinspike.
Deshalb ist es ja besonders schön, dass Signal accounts NICHT an Mobilrufnummern gekoppelt sind. Und dass sie als US Unternehmen auch zu keinerlei Datenweitergabe verpflichtet sind – noch nicht einmal im Geheimen (security letter).
Sarkasmus sollte ausgewiesen werden… ;-)
Ich finde den Artikel etwas zu unkritisch. Wie Philip Engstrand und Reklow schon geschrieben haben, sind die Telefonnummer, die solche Anfragen überhaupt erst ermöglicht, und geheime Anordnungen auch zur zukünftigen Speicherung weiterhin große Probleme. Dass es in all den Jahren nur zwei Anfragen gegeben haben soll, ist auch nicht so richtig glaubwürdig.
Für mich bestätigt das eher, dass Signal die Opposition zu den Sicherheitsbehörden weiterhin als wichtigen (weil ja auch weiterhin erfolgreichen) Teil seiner PR ansieht.
Du musst Signal ja nicht nutzen, wenn es nicht deinen Ansprüchen genügt. Das Problem ist aber doch, dass ein Messenger nur sinnvoll ist, wenn ihn viele Leute nutzen. Und viele Leute nutzen ihn nur wenn er einfach/bequem zu bedienen ist, weil die überwiegende Mehrheit sich keine Gedanken um irgendwas machen will oder genug technisches Wissen hat, sich Gedanken machen zu können. Hier geht Signal aus meiner Sicht einen guten Weg die App für möglichst viele Menschen zugänglich zu machen, dafür aber nur wenige Nachteile in Kauf nimmt.
Und letzlich bin ich der Meinung, dass für Menschen, die in einer freien Demokratie leben, nicht das große Problem ist, dass der Staat im Fall der Fälle meine Nachrichten lesen kann (Anders sieht es aus wenn er das Standardmäßig mit allen Nachrichten macht. Aber davon sind wir ja weit entfernt). Das große Problem ist doch die Datensammelwut der Unternehmen. Und das verhindert Signal auf jeden Fall.
„dass für Menschen, die in einer freien Demokratie leben, nicht das große Problem ist, dass der Staat im Fall der Fälle meine Nachrichten lesen kann (Anders sieht es aus wenn er das Standardmäßig mit allen Nachrichten macht.“
Nun, es gibt einen Staat, der einen Sicherheitsdienst betreibt (oder andersrum) der sich das Recht vorbehält alle Kommunikation auszuwerten. Und viele Staaten (und freie Demokratien) die dabei helfen oder wegsehen.
Und dann gibt es geltendes Recht zB GG10. Und es gibt historische Gründe, warum das Fernmelde- und Briefgeheimnis im Grundgesetz stehen.
Datensparsamkeit sollte grundsätzlich angestrebt werden.
Problematisch ist jedoch, dass Signal zwingend eine Mobilfunknummer verknüpft um einen Account anzulegen. Da es jedoch in den allermeisten Länder nicht mehr möglich ist Mobilfunknummer anonym zu erhalten, sollte die Verknüpfung zwischen Signal Account und natürlicher Person dann doch über den Mobilfunkprovider machbar sein.
Das zweite Problem ist, dass Behörden ggf. einen Anbieter anweisen können, die zukünftige Daten über einen Account zu sammeln. Dieses hat auch in Deutschland bei Tutanota schon dazu geführt, dass Mailverschlüsselung beim Maileingang von unverschlüsselten E-Mails durch eine zuvor einzubauende Ausleitung außerkraft gesetzt werden musste. Ob man Signal auch anweisen kann, ihre Programmierung anzupassen um Daten über einen angeforderten Account zu sammeln, ohne dass Signal darüber sprechen darf, würde ich nicht ausschließen wollen.
Trotzdem ist Signal ein guter und datenschutzfreundlicher Messenger.
Das Signal Protokoll ist so konstruiert, dass Behörden zwar feststellen können, dass ein Besitzer einer Mobilfunknummer einen bestimmten Signal-Account hat, aber das war es dann auch schon. Das sagt den Behörden noch nicht, mit welchen anderen Accounts dieser interagiert.
Und dass ein Verdächtiger eine Mobilfunknummer hat und welche, wussten die Behörden auch vorher schon.
Signal hat im vorliegenden Fall alle Daten, die sie haben und auch zukünftig erheben können herausgegeben. Da können die Behörden soviel anweisen, wie sie wollen, da kommen keine neuen Daten hinzu. Ohne Gesetzesänderung, die das Signal Protokoll in seiner vorliegenden Form für illegal erklärt, muss und kann Signal nichts außerkraft setzen. Signal müsste mit dem Gesetz verpflichtet werden, Metadaten zu erheben, die für den Betrieb des Dienstes nicht notwendig sind; z.B. so wie Hotels dazu verpflichtet sind, vollkommen unnötig Personendaten zu erheben.
Da könnte Signal gegensteuern, indem sie z. B. Installation über F-Droid zuließen. Die bauen die Anwendungen nämlich selbst aus dem öffentlich verfügbaren Code und Signal könnte dann gar nicht mehr gezwungen werden, manipulierte Binaries auszuspielen. Aus mir unverständlichen Gründen lehnt Moxie das aber ab.
Hey Boren,
schau mal nach Molly (https://molly.im/) oder Signal-FOSS (https://www.twinhelix.com/apps/signal-foss/) wenn du magst. Ein Backup der originalen Signal App sollte mit gleichlautenden Versionsnummern der Forks kompatibel sein.
Cool, wusste nicht, dass es so was mittlerweile gibt und hatte auch nicht damit gerechnet, da moxie damals bei libre-signal Forks untersagt hat, die die offiziellen Signalserver nutzen. Bei einem nicht-föderierten System wie Signal also ein de-facto Forkverbot.
Danke!
Signal ‚toleriert‘ fremde clients. Etwas unangenehm is es: https://gitlab.com/whisperfish/whisperfish/-/wikis/Frequently-Asked-Questions
Ich möchte hierbei noch betonen, dass wir anonyme Kommunikation nicht kriminalisieren lassen dürfen. Menschen, die vorauseilende oder gar amtliche Registrierung der Nutzer für Kommunikationmedien fordern, sind Verfassungsfeinde eines jeden Rechtsstaats, der diese Bezeichnung verdient hat. (Ja, ich kenne Telefonverträge.) Menschenwürde ist ohne anonyme Kommunikation ein Lippenbekenntnis.
Im Nachdenken über diese Aussage wird auch die Masse irgendwann feststellen, dass sich die Kommerzialisierung von Kommunikation, von Information, schlicht von Daten, nicht annäherungsweise in Übereinstimmung bringen lassen wird mit dem Recht auf anonyme Kommunikation. So gerne Terror/Hitler/Ficken (frei nach Somuncu) als Grund für derartige Gesetzesinitiativen genannt wird, ist der stärkste Treiber gegen anonyme Kommunikation die Lobby des Datenkommerz.
Wie schon ein Känguru sagte (ich paraphrasiere): „Natürlich wird es stärker bestraft ein Auto abzufackeln als einen Menschen zu verprügeln, denn einen Menschen besitze ich nicht.“
Cybercrime ist eine Chimäre, in die Welt gesetzt von Menschen, die zu dumm und zu faul sind Computernetze richtig abzusichern und Technologiefolgenabschätzung zu betreiben, in einem Rechtssystem, welches die Dummen und Faulen vor ihren eigenen Taten beschützt; finanziert von einer Lobby, die den Handel mit Daten erfunden und mittels Fiatgesetzen neue Strafnormen und Schutzgüter hat schaffen lassen. Daten kann man nicht stehlen. Eine Kopie kann kein Raub sein. Das sind alles unsinnige Wortgeschöpfe einer geld- und machthungrigen Clique, denen Menschenrechte im Weg rumstehen. Sie werden von alten weißen Männern und Frauen hofiert weil diese zu feige sind zu bekennen, dass sie die neue Welt der digitalen Daten nicht verstehen, und sich darum lieber an den Stärksten hängen.
aus den meta daten geht natürlich auch trotz der e2e verschlüsselung hervor, mit wem ich chatte, auch die liste von von mir autorisierten kontakten liegt signal vor. ich verstehe diese hochrufe auf diese platform, die nicht viel besser ist als die kommerziellen anderen nicht.
// Sorry, hatte mich bei der letzten Ergänzung verklickt. Sollte eigentlich hier auf ‚root‘.
Interessant wäre, was die EU-Pläne zur verpflichtenden Chatkontrolle für Signal bedeuten würden: Alle Nachrichten müssten vor dem Versand gescannt und ggf. automatisch ausgeleitet und angezeigt werden – mit hoher Fehlerquote. Alle Infos und was man tun kann: https://chatkontrolle.de
Ich benutze Threema :) Liebe diesen Messenger !
Den benutze ich auch, aber über Signal habe ich wesentlich mehr Kontakte….
Kann mir bitte jemand erklären, wozu Signal bei Registrierung die Angabe einer Telefonnummer zwingend voraussetzt?
Geschieht dies aus technischen Gründen oder aus anderen?
Was macht Signal mit dieser Telefonnummer?
Ganz grundsätzlich macht Signal (oder die App) nichts mit der Telephonnummer.
Es ist einfach technisch sehr praktisch die Infrastruktur für festvergebene Identität mitzunutzen (u.a. sind Telephonummern eindeutig und idR nur an natürliche Personen vergeben).
Mike Kuketz schrieb am 21.01.21
„Aufgrund meiner technischen Kenntnisse halte ich Signal nach wie vor für empfehlenswert. Wer der Signal-Foundation hingegen nicht vertraut, der hat immer die freie Wahl und kann einen anderen Messenger nutzen. Aber bedenkt: Außer der Messenger Briar (der einen dezentralen Ansatz verfolgt) gibt es aktuell keinen Messenger, der das Zero-Knowledge-Prinzip konsequenter umsetzt und Metadaten per Design vermeidet.“
Man sollte auch mal die Kirche im Dorf lassen. Dieses 200%ige bzw. die Paranoia macht einsam! Dank all der Menschen, und das sind viele, die einen Dreck wie WhatsApp nutzen, kennt Facebook meine Telefonummer, obwohl ich dem nie zugestimmt habe. Das ist ein grundsätzliches Problem, was politisch global gelöst werden müsste, wie der ganze Datenschutz.
Threema ist super, Briar auch. Hat in meinem Bekanntenkreis fast keiner (außer den Nerds). So sieht es aus (aber Signal ist ja auch gut)!
Von Briar habe ich noch nie etwas gehört, Threema scheint mir immer noch leider eine Nische zu sein….