Verschlüsselt chatten mit Threema sicherer als WhatsApp

Vertrauen in drei Stufen

Der zweite große Unterschied zu anderen Messengern ist, dass Threema nicht nur die Daten verschlüsselt, sondern auch die Vertrauensbeziehungen zu anderen Nutzern kategorisiert. Wird ein Nutzer mittels Code oder Nutzername von Hand hinzugefügt, gilt er als „roter“ Kontakt, entsprechend ist ein roter Punkt neben dem Namen.

Das bedeutet, dass die Person weder im Adressbuch des Nutzers vorhanden ist, noch persönlich über einen eingescannten QR-Code verifiziert wurde. Threema kann also nicht garantieren, dass hinter der ID auch die Person steckt, die sie zu sein vorgibt.

Ist eine Person im Adressbuch hinterlegt, kennt Threema also Handynummer und E-Mail-Adresse, wird der Kontakt als „orange“ klassifiziert und erhält zwei orangefarbene Kreise. Hier ist sich die App sicherer, dass die Person auch die ist, als die sie sich ausgibt.

Die höchste Vertrauensstufe ist „grün“, symbolisiert durch drei grüne Kreise. Diese erhält ein Kontakt nur, wenn der öffentliche Schlüssel des Kontakts durch den Kommunikationspartner mit Hilfe des von Threema erstellten QR-Codes eingescannt und verifiziert wurde.

Solange das Gerät des Partners nicht kompromittiert ist, kann man sich relativ sicher sein, dass man mit der Person kommuniziert, die man eingespeichert hat. Wichtig hierbei: Die Vertrauensstufe sagt nichts über die verwendete Verschlüsselung aus. Diese bleibt immer gleich stark.

Flüchtig gespeicherte Telefonbücher

Mit eine der größten Komfortfunktionen von WhatsApp ist der automatische Telefonbuchabgleich. So sieht man sofort, welche Kontakte den Messenger bereits nutzen. Der große Nachteil: Dazu speichert WhatsApp die Daten auf eigenen Servern und behält sie wohl auch einige Zeit. Threema will den Komfort dieser Funktion liefern, ohne dass man Angst um die eigenen Daten haben muss.

In der Praxis klappt das so: Zunächst muss der Nutzer einem Abgleich gezielt zustimmen. Ist er damit einverstanden, erstellt Threema Hash-Werte der Telefonnummern und E-Mails, überträgt diese auf den eigenen Server und prüft, ob die entsprechenden Hash-Werte schon anderen Konten zugewiesen sind. Ist das der Fall, wird das lokale Adressbuch mit den Einträgen entsprechend gefüllt.

Die Macher versprechen außerdem, dass diese Listen mit Hash-Werten nur im Arbeitsspeicher gehalten und nicht auf den Servern gespeichert werden.

(ID:42569498)