Was ist eine sichere Alternative zu WhatsApp?

Als gängige Alternativen zu WhatsApp werden oft Signal, Threema, Wire, Skype, Zoom und Telegram aufgeführt. Alle diese Messenger bzw. Kommunikationsdienste haben ihre Vorteile und sind zum Teil weitverbreitet.

So ist Telegram dadurch aufgefallen, dass es am Anfang vor allem von Kriminellen genutzt wurde. Leider sind die Daten dort nicht automatisch verschlüsselt und können auf den Servern von den Inhabern von Telegram eingesehen werden. Man bezeichnet dies als Client-to-Server Verschlüsselung. Was aber auf dem Server passiert, ist davon unberührt. Und nun ist Telegram nicht gerade dafür bekannt, dass sie transparent sind. Man weiß nicht, wer diejenigen sind, die Zugriff auf die Daten haben und was dann mit den Daten gemacht wird. Werden sie gespeichert? Werden sie verknüpft? Werden sie sogar weitergegeben? Keiner weiß es so genau. Mit separat zu erstellenden “privat-Chats” kann man angeblich die Inhalte auch für den Server von Telegram verschlüsseln, aber dies ist in der täglichen Konversation kompliziert und ändert nichts daran, dass man über die Hinterleute von Telegram so gut wie nichts weiß. Außerdem werden Metadaten und Kontakte genauso wie bei WhatsApp gespeichert. Man weiß also wer mit wem wann, wie viel kommuniziert hat. Auch daraus lassen sich interessante Daten-rechtlich relevante Informationen ziehen.

Threema ist sehr viel weniger datenhungrig und speichert nur Teile der Metadaten. Zudem hat man bei Threema die Möglichkeit auch gegenüber dem Messenger selber anonym zu sein. Man muss hier keine Handynummer oder Email angeben. Selbst der Abgleich der Kontaktdaten auf dem Handy erfolgt anscheinend ohne, dass sie dauerhaft in Threema gespeichert werden, sondern durch sogenannte “hashes”. Dies kann für Personen interessant sein, die komplett anonym sein wollen. Mit der “Perfect Forward Secrecy” werden private Kontaktdaten anonymisiert, was verhindert, dass selbst der Messenger weiß, mit wem man Kontakt hat. Die Server sind in der Schweiz und nach eigenen Angaben DSGVO-konform.

Signal gibt an die Daten zu verschlüsseln und keine Metadaten zu speichern. Allerdings handelt es sich um ein Unternehmen in den USA, weshalb die Datenschutzrichtrichtlinien auch nicht auf Deutsch vorliegen. Die DSGVO, kann mit der Serverinfrastruktur nicht eingehalten werden.

Wire ist eine Schweizer Alternative zu WhatsApp, die ebenfalls eine Ende-zu-Ende-Verschlüsselung hat und mit europäischen Servern wirbt. Der Code ist offengelegt und kann eingesehen werden. Für die Nutzung ist kein Zugang zu den Kontakten notwendig, sondern lediglich eine Email. Bei den Kosten spielt dieser Messenger klar die Unternehmen an, die sich die Sicherheit auch etwas kosten lassen. Für Unternehmen, die eine interne Kommunikation oder Kommunikation mit anderen Unternehmen benötigen, kann Wire eine sichere Alternative zu WhatsApp sein.

Da Skype keine Angaben macht, auf welchen Servern die Daten von normalen Chats, die nicht End-to-End-verschlüsselt sind, wie und wo gespeichert werden, kann Skype nicht als sicher genug gelten, um hier besprochen zu werden.

Weitere Kommunikationsdienste, wie Zoom haben zwar die Möglichkeit die Daten auf deutschen Servern zu verarbeiten, es bleibt aber das Problem, dass die Metadaten in die USA geschickt werden, um den Datentransfer zu operationalisieren. Dafür gibt es zwar Möglichkeiten, dies zu umgehen und separat auf Deutschen Servern zu machen, dies erfordert aber spezielle Programmierkenntnisse, die von einem normalen User nicht erwartet werden können. Zoom erfüllt daher in der Standardfunktion nicht die DSGVO-Anforderungen.

Was aber allen fehlt, ist ein umfänglich sicheres Konzept, das über die Datenübertragung und die Kontaktdatensicherheit hinausgeht. Ein Messenger, der neben einer End-to-End-Verschlüsselung, zusätzlich einen sicheren lokalen Tresor für die Daten auf dem Handy hat. Denn nur dann können Daten weder auf dem Transport zum anderen Handy noch auf dem Server, wo die Daten verarbeitet und weitergeleitet werden, noch auf dem eigenen Handy oder auf dem Handy oder Desktop des Kommunikationspartners mitgelesen werden.

Nur so verhindert man, dass Daten an Dritte abfließen und man wirklich eine sichere Kommunikation hat, die nicht nur im privaten Bereich ausreicht, sondern auch geschäftlich genutzt werden kann.