Absolute Sicherheit gibt es auch bei Threema nicht
Grundvoraussetzung für den Erfolg der Messenger-App ist Vertrauen – das Unternehmen lässt sich deshalb von externen Fachleuten prüfen
Jenni Thier, aus dem NZZ-E-Paper vom 20.02.2020
Eine Schweizer Firma, die mit Geheimdiensten in den USA und in Deutschland zusammenarbeitete und diese durch Manipulationen an ihren Geräten ermöglichte, vermeintlich verschlüsselte Nachrichten abzuhören – das lässt Branche wie Kunden verunsichert zurück. So auch Threema, die Schweizer Alternative zu Whatsapp und Co. Der Messenger-Dienst wird von mittlerweile mehr als 8 Mio. Nutzern vor allem für seine Datenverschlüsselung und -sicherheit geschätzt.
Zur Crypto-Affäre äussert sich Threema zurückhaltend. «Wir haben den Skandal um die Crypto AG mit Befremden zur Kenntnis genommen und hoffen, dass der Fall schnell und lückenlos aufgearbeitet wird», teilt das Unternehmen auf Anfrage mit. Ob die Reputation der Schweizer IT-Branche nachhaltig Schaden nehme, sei derzeit schwer abzuschätzen.
Threema wurde 2012 von den drei Schweizer Software-Entwicklern Martin Blatter, Silvan Engeler und Manuel Kasper gegründet und ist seitdem eine Erfolgsgeschichte. Die Messenger-App mit Sitz in Pfäffikon hat einen sehr guten Ruf. So muss im Gegensatz zu anderen Chat-Apps das Nutzerkonto nicht mit einer Mobilnummer oder Mailadresse verknüpft werden. Threema nutzt die sogenannte Ende-zu-Ende-Verschlüsselung. Die Kommunikation eines Nutzers wird mit einem Schlüssel codiert, der auf seinem Gerät generiert wurde. Erst auf dem Gerät des Empfängers wird es dann wieder entschlüsselt. Hackt sich jemand in die Threema-Server ein, kann er dort die Kommunikation nicht nachlesen. Auch Angaben, an wen die Nachricht zugestellt werden soll, werden beim Transport über das Internet verschlüsselt.
Anders als andere Chat-Dienste kostet Threema, und zwar einmalig 3 Fr., in Deutschland knapp 4 €. Damit finanziert das Unternehmen die Weiterentwicklung. Es gibt laut eigenen Angaben keine sonstigen Geldgeber. Auch das soll Vertrauen in die Marke sicherstellen. All das verfängt auch im Ausland, wo 80%der Nutzer herkommen.
Seit 2016 gibt es auch eine Variante namens Threema Work, die unter anderem Unternehmen wie Daimler oder Bosch nutzen. Auch bei ihnen steht das Vertrauen im Zentrum. «Wir haben uns für Threema entschieden, weil es eine sichere und datenschutzkonforme Kommunikation ermöglicht», begründet ein Daimler-Sprecher die Entscheidung. Seit dem vergangenen Jahr setzt zudem die Bundesverwaltung den Dienst ein. «Der Crypto-AG-Vorfall hat uns bestärkt, die richtige Entscheidung getroffen zu haben», sagt eine Sprecherin vom Bundesamt für Informatik und Telekommunikation. Der Bund habe für die Kommunikation bis zur Stufe «Vertraulich» eine Lösung mit einem sehr hohen Verschlüsselungsgrad gesucht – auch im Ausland. Die Wahl sei letztlich auf Threema gefallen, «da sie alle Anforderungen erfüllt hat».
Um das Vertrauen zu bestätigen, trifft Threema Vorkehrungen. Dazu gehört, dass das Unternehmen keine externen Dienstleister hat und alles im eigenen Haus macht, auch die Entwicklung. Threema engagiert zudem externe Fachleute, die Schwachstellen finden sollen. Im vergangenen Jahr hat ein Team um den IT-Professor Sebastian Schinzler von der FH Münster einen solchen Audit übernommen. «Man muss in die Rolle des Angreifers hineinschlüpfen und kreativ werden», erklärt Schinzler seinen Ansatz. «Angenommen, ich wäre ein Geheimdienst, wäre bei Threema eingebrochen, hätte den Quellcode gestohlen und könnte somit alles einsehen: Wie würde ich dann vorgehen, um die Verschlüsselung zu knacken und an die benötigten Informationen zu kommen?»
Wo also könnte die App anfällig sein? Welche Fehler sind von Threema oder auch anderen Chat-Apps schon begangen worden? Gibt es Wege, auf denen Angreifer die App dazu bringen können, das Schlüsselmaterial herauszugeben? Auch nach Hintertüren habe das Team gefahndet, berichtet Schinzler. Zudem hat das Team probiert, Sicherheitsschwachstellen zu kombinieren. Mehrere einzelne kleine Lücken können zusammengenommen eine kritische ergeben.
Wichtig ist zudem für Schinzler, dass die Verschlüsselungstechnologien, die Threema auf der Webseite veröffentlicht, auch dem entsprechen, was im Quellcode zu sehen ist. Eigentlich legt Threema diesen nicht offen, was Kritiker bemängeln. Doch das ist Teil des Geschäftsmodells, denn so kann die App nicht einfach von anderen kopiert werden. «Man muss dem Code vertrauen, den man aus den App-Stores bekommt», sagt Schinzler. Sein Team hat beim Audit den Quellcode für die Apps von Threema erhalten. Er gehe davon aus, dass dieser mit jenem aus den App-Stores übereinstimme. «Beweisen können wir das zwar nicht, wir haben auch keine Auffälligkeiten gefunden.» Insgesamt halte Threema das, was es verspreche. Sein Team habe nur ein paar wenig kritische Aspekte gefunden, die Threema rasch beheben konnte.
Letztlich nützt jedoch auch die sicherste Chat-App wenig, wenn das Smartphone an sich mit schädlicher Software befallen ist. Die kann etwa Screenshots erstellen, sobald der Nutzer anfängt zu tippen. Auch gibt es theoretisch die Möglichkeit, dass ein amerikanischer Geheimdienst von heimischen Firmen wie Apple oder Google verlangen könnte, die Threema-App mit einer Hintertür im jeweiligen App-Store anzubieten. Auch wenn ein solcher Fall bisher nicht bekannt ist und sich die Tech-Riesen mit allen möglichen Mitteln dagegen wehren würden, um ihre Glaubwürdigkeit zu schützen – technisch wäre das möglich.