Facebooks Messaging-Apps stehen ganz oben im Ranking der sichersten Chat-Anwendungen von Amnesty International. Doch es gibt einen Haken: Die Menschenrechtsorganisation bewertet die beiden Apps des Unternehmens, WhatsApp und Facebook Messenger, mit ihren insgesamt zwei Milliarden Nutzern zusammen – obwohl es krasse Unterschiede gibt.
Während WhatsApp seine Nutzer etwa warnt, wenn in einem bestimmten Chat die Ende-zu-Ende-Verschlüsselung nicht funktioniert, ist diese im Facebook Messenger nicht standardmäßig aktiviert und Nutzer werden auch nicht darauf hingewiesen, dass normale Unterhaltungen mit schwächeren Formen der Verschlüsselung gesichert werden.
WhatsApp führte die Ende-zu-Ende-Verschlüsselung – ein Verfahren, durch das nur die User ihre Nachrichten lesen können, nicht aber das Unternehmen – Anfang 2016 ein. Sie nutzt das Signal-Protokoll von Open Whisper Systems, ein Open-Source-Verfahren für private Nachrichten, das unter anderem Edward Snowden empfiehlt. Wodurch es auch für Amnesty International attraktiv wird, die Organisation hält gefährdete Aktivisten und Journalisten dazu an, Kommunikationssysteme zu nutzen, die so sicher wie möglich sind.
WhatsApp teilt Daten mit Facebook – entgegen seinem Versprechen
Doch auch hier gibt es einen Haken: Vor Kurzem kündigte WhatsApp an, Daten mit Facebook zu teilen. EU-Wettbewerbskommissarin Margrethe Vestager untersucht den Vorgang derzeit, weil Facebook der Kauf von WhatsApp im Jahr 2014 ursprünglich auch deswegen erlaubt wurde, weil das Unternehmen versprach, keine Daten auszutauschen.
Neben Facebooks Datenweitergabeproblem rät die Electronic Frontier Foundation aus drei weiteren Gründen von der WhatsApp-Nutzung ab: Nachrichten-Backups in der Cloud sind nicht verschlüsselt, weswegen man auf sie verzichten solle; wenn ein Nachrichtenempfänger seinen Verschlüsselungs-Schlüssel ändert, bleibt das dem Absender standardmäßig verborgen; und die Web-Version von WhatsApp sei wesentlich sicherer als die Desktop-Variante.
+++ Mehr von WIRED regelmäßig ins Postfach? Hier für den Newsletter anmelden +++
Was den Messenger angeht, versucht Facebook alles, um ihn seinen Nutzern schmackhaft zu machen. Nachdem sie gezwungen wurden, eine separate App herunterzuladen, um mobil Nachrichten zu empfangen, führte das Unternehmen eine Bezahlfunktion, Standort-Sharing sowie Sprachanrufe ein und öffnete die Software für externe Entwickler. Gleichzeitig hinkte der Facebook Messenger in Sachen Sicherheit WhatsApp hinterher und konnte erst diesen Monat mit der Einführung der Ende-zu-Ende-Verschlüsselung aufholen.
Die „geheimen Unterhaltungen“ tauchten nach einem Update auf, aber die Nutzer wurden nicht über die neue Funktion informiert. Sie setzt ebenfalls auf das Signal-Protokoll und ermöglicht Nachrichten mit Verfallsdatum. Um eine „geheime Unterhaltung“ zu beginnen, müssen User das Feature umständlich für jede einzelne Unterhaltung aktivieren. So wird es wohl nur von denen genutzt werden, die überhaupt davon wissen oder auf sichere Kommunikation angewiesen sind.
Obwohl Facebooks Apps mit einem Score von 73 den ersten Platz des Amnesty-Rankings belegen, haben die Zweitplatzierten mit Werten von 67 allen, die unter dem Radar arbeiten wollen, noch einiges zu bieten. Sowohl was die Verschlüsselung angeht, die sie nutzen, als auch hinsichtlich des transparenten Umgangs mit Regierungsanfragen nach Daten. Dabei handelt es sich um iMessage und Facetime von Apple sowie Telegram.
Apples Apps bieten standardmäßig Ende-zu-Ende-Verschlüsselung und das Unternehmen hat sich zuletzt öffentlichkeitswirksam geweigert, dem FBI zu helfen, das iPhone eines der San-Bernadino-Attentäter zu knacken. Das Argument: Eine Hintertür in der Verschlüsselung würde Apple-Geräte unsicherer machen und Nutzer auf der ganzen Welt in Gefahr bringen. Amnestys einziger Einwand war, dass Apple Nutzer benachrichtigen sollte, wenn Nachrichten nicht geschützt sind, etwa wenn sie an Nicht-iPhone-User gehen. Ein Problem, das WhatsApp und Telegram nicht haben.
Telegram hat 100 Millionen monatliche Nutzer und wurde gezielt als ein Werkzeug entwickelt, um den Schutz der Privatsphäre zu fördern und zu gewährleisten. Gegenüber WIRED UK sagte Gründer Pavel Durov: „Sicheres Messaging sollte für alle kostenlos sein. Neben privaten Unterhaltungen Werbung anzuzeigen, wirkt deplatziert, sogar unmoralisch. Unser Ziel ist ein höherer Standard der Messaging-Technologie, sowohl hinsichtlich Geschwindigkeit als auch Sicherheit und Anpassungsfähigkeit.“ Vor diesem Hintergrund findet es Amnesty „überraschend“, dass die Ende-zu-Ende-Verschlüsselung nicht standardmäßig eingeschaltet sei und User nicht gewarnt würden, wenn sie eine schwächere Form der Verschlüsselung nutzen.
Firmen, die nicht einmal die grundlegendsten Schritte unternehmen, um Kommunikation zu schützen, missbrauchen das Vertrauen der User
Google, Line (vor allem in Japan und Südostasien beliebt) und Viber belegen die nächsten Plätze und liegen etwa gleichauf. Microsoft bekam nur mickrige 40 Punkte für Skype, dessen Verschlüsselung nach wie vor schwach ist, obwohl klar ist, dass die App das Ziel von Geheimdienstüberwachung ist. Die Enthüllungen von Edward Snowden haben gezeigt, dass die NSA vollen Zugriff auf den Videotelefonie-Dienst hat. Snapchat schneidet mit 26 Punkten sogar noch schlechter ab, weil es keine Ende-zu-Ende-Verschlüsselung hat, dafür aber eine Selbstdarstellung, die laut Amnesty „Nutzern einen falschen Eindruck von Privatsphäre geben könnte“.
Die Menschenrechtsorganisation hat ihr Ranking hauptsächlich als Orientierungshilfe für jene Aktivisten und Journalisten herausgegeben, die sie mit ihrer täglichen Arbeit unterstützt. Amnesty weist aber auch darauf hin, dass darüber hinaus Millionen von Menschen jeden Tag Messenger nutzen, ohne zu wissen, ob ihre Kommunikation sicher vor Hackern ist oder nicht: „Viele von uns vertrauen diesen Apps intime Details unseres Lebens an. Firmen, die nicht einmal die grundlegendsten Schritte unternehmen, um Kommunikation zu schützen, missbrauchen dieses Vertrauen.“
Die Organisation ruft alle Unternehmen dazu auf, Ende-zu-Ende-Verschlüsselung standardmäßig anzuwenden und transparent zu kommunizieren, welches Level von Sicherheit sie ihren Usern wirklich bieten.
Dieser Artikel erschien zuerst bei WIRED UK.
