Mittlerweile wurde nachgebessert
Messenger Threema wegen Schwachstellen in der Kritik
Die Tatsache, dass die Entwickler des Messengers Threema zum Jahreswechsel neue Sicherheitsfunktionen und damit verbunden die Unterstützung des Ibex-Protokolls in ihre App integriert haben, hatte offenbar konkrete Gründe. Ein Team der Eidgenössischen Technischen Hochschule Zürich (ETH) hatte die Threema-Entwickler zuvor mit mehreren Schwachstellen im Zusammenhang mit der bislang von dem Messenger genutzten Verschlüsselungsmethode konfrontiert.
Einen detaillierten Bericht über ihre Analyse und die damit verbundenen Ergebnisse haben die ETH-Forscher auf der Webseite Breaking The 3ma App veröffentlicht. Die aufgezeigten Schwachstellen machten es beispielsweise möglich, dass Unbefugte einsehen können, wer wann und mit wem kommuniziert oder teilweise auch in der Lage sind, Nachrichten zu löschen sowie deren Reihenfolge zu ändern.
Allerdings seien die aufgezeigten Angriffsmethoden nicht nur mit großem Aufwand verbunden, sondern es war offenbar auf keinem dieser Wege möglich, an die Inhalte der Chats zu gelangen. Im Interview mit der NZZ lässt der Geschäftsführer von Threema, Martin Blatter, dann auch vernehmen, dass die Daten der Threema-Nutzer nie in Gefahr gewesen seien.
„Verschlüsselung hinkte mehrere Jahre hinterher
Im Zusammenhang mit der Kommunikation über Messenger muss man allerdings auch die sogenannten Metadaten, also zum Beispiel wer wann und mit wem kommuniziert, als sensibel einstufen. Insbesondere mit Blick auf die Tatsache, dass Threema nicht nur von Schweizer Behörden, sondern auch von Politikern wie der FAZ zufolge dem Bundeskanzler Olaf Scholz genutzt wird, hat dieser Punkt besonderes Gewicht.
Threema hat sich seit jeher als „sicherer Messenger“ vermarktet und sich nicht davor gescheut, sich in diesem Bereich über die Angebote der Konkurrenz zu stellen. Die ETH-Forscher kommen gegenüber der NZZ zu dem für Threema unangenehmen Schluss, dass die Verschlüsselung von Threema mehrere Jahre hinter dem beispielsweise von Signal genutzten Standard hinterherhinkt.
Signal war die bessere Wahl
Konkret setzt Signal bereits seit 2014 auf den Standard „Perfect Forward Secrecy“, der verhindert, dass Angreifer, die in den Besitz eines privaten Schlüssels kommen, nicht auch die älteren Nachrichten des betreffenden Nutzers entschlüsseln können. Bei Threema war dagegen seit zehn Jahren der gleiche Schlüssel gültig, der ungehinderten Zugang zu allen jemals ausgetauschten Nachrichten ermöglicht.
Besonders kritisiert werden in diesem Zusammenhang dann auch die von Threema als Beleg für die Sicherheit des Messengers angeführten externen Sicherheitsüberprüfungen. Die ETH-Forscher bezeichnen diese im Vergleich zu ihrer Untersuchung zu oberflächlich und keineswegs als Sicherheitsbeweis tauglich.
Mit dem Ende vergangenen Jahres veröffentlichten Update und einer serverseitigen Anpassung wurden die Schwachstellen Threema zufolge mittlerweile behoben.
Threema ist bei mir seit dem Zeitpunkt raus, an dem sie mir meine ganzen Chats gelöscht haben. Never again.
Kein Backup? Kein Mitleid!
Man muss auch mal mit der Vergangenheit abschließen.
Die hast du selbst gelöscht!
Threema hat noch nie Chats gespeichert. Was man allerdings anbringen kann: das Backup ist für WhatsApp Nutzer zu kompliziert.
Wie kommst du darauf das die Chats nicht gespeichert sind? Ich habe sie immer von iPhone zu iPhone mitgenommen. Okay ich bin kein WhatsApp Nutzer daher wahrscheinlich schlauer als diese Fraktion ;)
Aber auch nicht viel schlauer. Du hast die Backup Funktion in Threema eine gerichtet, aber die Chats sind dadurch Teil des iPhone Backups selbst.
Und wenn? Abgesehen davon musst Du keine Backups machen um die Daten auf ein neues iPhone mitzunehmen. Das klappt direkt via iOS Schnellstart …
Bei Signal gibt es gar kein Backup. schwer zu glauben, aber wenn ein Gerät kaputt ist, kann man die vergangenen Chats nicht retten. Es gibt keine Möglichkeit zum Export, und in den icloud-backups sind die Signal-Daten ebensowenig vorhanden wie in lokalen Backups – nicht mal, wenn diese passwortgeschützt sind.
Einzig beim Gerätewechsel kann man die Daten einmalig vom alten auf das neue iPhone übertragen. Wenn es das alte aber nicht mehr gibt (kaputt, verloren, gelöscht): Pech gehabt.
Insofern ist der unten geäußerte Slogan „Kein Backup, kein Mitleid“, den ich voll unterschreiben kann, bei Signal leider für die Katz. Gibt x Community-Forderungen nach so einer Funktion, die von den Entwickler aber bislang nicht erhört wurden.
Hatte ich nie. Klingt vllt doch nach selber verursacht?
Konnte die Threema Sekte nie verstehen.
Es ist ein guter Messenger.
Und wenn man den Artikel über die Überschrift hinaus liest, wird dies bestätigt.
Ich konnte nie Leute verstehen, die mit Google oder Facebook/Whatsapp freiwillig Daten teilen.
“Sekte”? Klingst ja sehr an objektiven Vergleichen interessiert.
Ist die Sekte ebenso nicht. Es passt nicht in ihr Weltbild, dass es einen unfassbar großen Teil in der Gesellschaft gibt, dem es auf gut deutsch gesagt piep egal ist ob WhatsApp Metadaten sammelt. Meinem Vater z.B. Der erfreut sich an der App & vor allem der Verbreitung der App. Er muss mit 60 Jahren seinen Arbeitskollegen & Verwandten aus dem Heimatland nicht erklären bzw. diese dazu nötigen sich App XY zu laden um mit ihm Kontakt zu halten. Er hält sich nämlich anders als die Sekte nicht für den Nabel der Welt a la „wer sich nicht für mich App XY holt hat halt Pech & erreicht mich nicht mehr“. Das macht er seit jetzt 2010 und seitdem malt ihm die Sekte jede noch so düstere Dystopie an die Wand. Passiert ist ihm noch absolut nichts.
Was die Sekte verstehen muss: passt auf eure Daten auf so sehr ihr wollt. Aber lasst den Rest ihre freie Entscheidung, oder geht ihr auch vor jede Bar, Restaurant etc. und quatscht Raucher voll, weil es ja objektiv gesehen keinen Grund fürs Rauchen gibt?
Gibt‘s auch nicht!
„Meinem Vater z.B….diese dazu nötigen sich App XY zu laden…“
Umgekehrt: Dein Vater sah sich genötigt, WA/FB zu installieren und zu nutzen.
Ja gut, Menschen, die sich Verbrechern andienen wird es leider immer geben.
Keinerlei Verantwortungsbewusstsein gegenüber sich selbst, seiner Familie und der Menschheit, wer mit Meta, Google, etc. Daten freiwillig teilt.
@Thomas
Er nutzt WhatsApp aus zwei Gründen: bei ihm sind 100% der Kontakte bei WhatsApp & sind waren halt als erstes groß. Er würde wenn es anders herum gewesen wäre und Threema als erstes der große Messenger gewesen wäre auch nicht wechseln.
Wie gesagt nutzt was ihr wollt, aber labert den Rest bitte nicht mit euren Ansichten voll. Tut ihr beim Rauchen und trinken auch nicht oder?
Was hast du immer mit deinem rauchen und trinken?
Füttert nicht den Troll @“tom“.
Stimmt ist mir auch schon aufgefallen. Sitzt sicher in St. Petersburg.
Verstehen kommt von Verstand und ist halt nicht jedermanns Sache.
Upsi…
Zeigt aber mal wieder schön: nichts ist sicher und Zertifikate sind (egal in welchem Bereich) halt auch nur werbesticker.
Wenn man den Kommentierer nicht kennt, ist es schwer zu erkennen, ob dies ernsthaft gemeint oder nur ein Trollversuch ist.
Falls ernsthaft: Gelogen, falls sie den Artikel gelesen haben. Sonst: RTFW
Falls trollig: Hier, dein Fisch!
LOL
Gefahr erkannt – Gefahr gebannt
Wenigstens tun sie was.
Ist für mich trotzdem kein Grund zu der Seuchenschleuder WhatsApp zurückzukehren – Never ever again!
+1
Mit den Vereinen hab ich auch fertig.
Es ist ärgerlich, dass entgegen der suggestiven Beteuerungen es doch nicht viele Metadaten verhindert, aber der Inhalt ist im Gegensatz bei Whatsapp immer unversehrt (solange Endpunkt, hier iPhone, nicht kompromittiert wurde).
Puuhhh, zum Glück benutze ich nur WhatsApp.
;) ernsthaft? Hier wird kritisiert das die Metadaten zugänglich waren. Bei WhatsApp war und ist das immer so. Warum zum Glück?
Möglichkeit 1: er/sie/es hat es nicht verstanden
Möglichkeit 2: es ist ironisch gemeint
och.. traval hat es nicht verstanden…
Wie halt bei jedem anderen Dienst auch. Nichts Besonderes diese Meldung.
Bei Signal ist dies etwa auch?
*Achtung: Das ist eine rhetorische Frage. Damit möchte ich indirekt den Kommentar des „Ursprungskommentierers“ (=OPs) widerlegen.*
Schade, dass ihr das Statement von Threema nicht verlinkt habt:
https://threema.ch/de/blog/posts/news-angebliche-schwachstellen-statement
+1
Danke für das Verlinken.
Schon aus den ersten Sätzen ergibt sich, dass die gefundenen Schwachstellen nie praxisrelevant waren:
(Auschnittsweise Kopie)
„Letztes Jahr hat ein Student des Informatik-Departements der ETH Zürich seine Masterarbeit über Threemas Kommunikationsprotokoll geschrieben. Die ETH Zürich hat die Arbeit nun als Paper bzw. Preprint veröffentlicht. Allerdings basiert sie auf einem alten Protokoll, das nicht mehr in Verwendung ist. Die vorgelegten Findings gelten nicht für Threemas gegenwärtiges Kommunikationsprotokoll «Ibex» bzw. wurden bereits berücksichtigt. Keines der Findings hatte jemals nennenswerte Relevanz in der Praxis.“
Also das was hier im zweiten Satz steht. Dein letzter zitierter Satz passt für mich jetzt aber nicht zu dem veröffentlichten paper und der Tatsache, dass es wohl doch mal möglich war. Hier schein threema wohl auch einfach schnell aus der Nummer raus kommen zu wollen und keine unangenehmen Fragen zur alten Struktur beantworten zu wollen.
So zu tun als beträfe das alles nur ein altes Protokol, aber Threema wegen der Arbeit das Protokoll gewechselt hat, spricht jetzt nicht gerade für Threema.
Das kann man auch genau umgekehrt sehen. Es gab eine praxisfremde unwahrscheinliche Möglichkeit das System anzugreifen und threema hat darauf reagiert und das System verbessert. Spricht meines Erachtens sehr für den Anbieter.
Es spräche für Threema wenn die Aussage wäre:
Wir hatten Fehler in unserem Protokoll, und haben diese mit einem neuen Protokoll behoben.
Threema sagt aber:
Ja, da hat schon jemand was gefunden was irgendwie nicht optimal war, aber das betrifft ja nur alte Versionen (aber das wir genau deswegen das Protokoll umgestellt haben, sagen wir lieber nicht) und außerdem war das ja eh super schwierig auszunutzen und ganz unrealistisch, dass das jemand tut.
Sorry, aber herumwieseln und den Sicherheitsforscher so darstellen, als würde nur abstruses komplett weltfremdes behaupten, spricht nicht für den Anbieter. Eine offene transparente Kommunikation ist was anderes.
Wenn man ein sicherer Messenger sein will, der auch Kommunikation von Regierungen absichert, sollte man nicht argumentieren, dass das ausnutzen der Lücke kompliziert ist und sehr viel aufwand benötigt – bei solchen Zielen, gibt’s genug Player mit genügend Ressourcen.
Wenn die Wahrscheinlichkeit gering ist spricht nichts dagegen dass so zu kommunizieren. Macht man bei Autos beispielsweise auch nicht anders. Rückrufaktion heißt meistens ‚Fehler wird in der Praxis vermutlich eh nicht auftreten aber wir reparieren mal präventiv und haben schon ein verbessertes Teil was ab Datum xy verbaut wurde.‘ Da kräht auch kein Hahn danach rum …
Weils sonst keiner lesen würde
I <3 Threema
Die Aussage „Threema wegen Schwachstellen in der Kritik“ ist zu negativ.
Andere Software, die Daten & Chats verschlüsseln, werden auch auf diverse Unsicherheiten hingewiesen. Einige bessern nach, bei anderen ist es per Ausrede ein „Feature“.
Threema hat nachgebessert und sehr ausführlich die Sachlage kommentiert, ohne irgendwie von Dritten unter Druck gesetzt worden zu sein.
Aber gut, muss man Threema nicht trauen. Kann ja auch auf WhatsApp oder Telegram setzen…
Das ist so negativ wie “Heute regnet es”. Wohl ein Problem Deiner eigenen Wahrnehmung.
Der Bauer freut sich auf Regen. Jeder andere wohl nicht. Super Vergleich!
Threema wird dafür kritisiert, dass man Meta-Daten in Erfahrung bringen konnte, wenn man physisch über mehrere Stunden Zugriff auf ein entsperrten Gerät hätte!
Ein Zugriff auf Chatinhalte war nicht möglich! (Es besteht die Möglichkeit, dass dies zukünftig möglich wäre).
Threema hat reagiert und das Protokoll aktualisiert.
Da gibt es andere Fälle, mit eklatanten Schwachstellen, die nicht oder nur ungenügend behoben werden.
Daher meine Aussage.
Ach sind die auch mal dran!
Threemas Stellungnahme dazu könntet Ihr auch verlinken. Da heißt es u.a. „Auch wenn manche der vorgestellten Findings aus theoretischer Sicht interessant sein mögen, hatte keines von ihnen jemals nennenswerte Auswirkungen in der Praxis. Die meisten gehen von umfassenden und realitätsfernen Vorbedingungen aus, die an sich schon weit folgenschwerere Konsequenzen hätten als das jeweilige Finding selbst.“ https://threema.ch/de/blog/posts/news-angebliche-schwachstellen-statement
blog.fefe.de kommentiert das Thema auch
Irgendwie gab und gibt es zu SMS nicht ständig Diskussionen, wie unsicher sie sind. Nicht so vielseitig und natürlich längst nicht so cool wie Messenger aber scheinbar sicherer.
Nein SMS sind nicht sicherer und auch nicht verschlüsselt.
Und es hat keine Generation interessiert. Wehe die Datenschutzfetischischten entdecken irgendwann das Telefonbuch. Dann ist was los.
Unsinn! Über die Unsicherheit von SMS wird natürlich kaum geredet, da dies eigentlich allen bekannt ist. Nur manchen wie ihnen ist dies anscheinend nicht klar. Oder war dies ein Trollversuch?
Mir fällt spontan ein, bietet irgend ein Dienst eine 2FA über Threema an?
Wenn man zur Fraktion tote Messenger wechseln möchte, dann wohl nach Session