Privacy Handbuch
Signal App ist kostenlos nutzbar und wird von der Signal Foundation finanziert. Die Kapitaleinlagen der Fondation stammen u.a. von WhatsApp Gründer B. Acton, von der Shuttleworth Foundation und Spenden von Nutzern. Der Quellcode ist bei Github verfügbar.
Signal wird von Security-Experten aufgrund der guten Ende-zu-Ende Verschlüsselung empfohlen.
For the record - @moxie writes crypto software that blinds the #NSA & #GCHQ. He is their nightmare. Usable crypto developer with a backbone! (J. Appelbaum)
Das 2013 veröffentliche Krypto Protokoll X3DH wurde von vielen Messengern adaptiert und entwickelte sich zu einem Quasi-Standard für verschlüsselte Chats. 2023 begann Signal als erster Messenger mit der Umstellung auf Post-Quantum-Crypto und veröffentlichte das Protokoll PQXDH.
Auch für die Forensikexperten von Elcomsoft und Cellbrite, die sich darum bemühen, auf Smartphones gespeicherte Daten auszulesen, ist Signal "state of the art" bei der Datensicherheit.
Aus Sicherheitsgründen kann man Signal App nur mit einem Smartphone nutzen. Mehrere Smartphones mit dem gleichen Account sind nicht möglich. Zusätzlich kann man bis zu 5 Desktop Clients mit dem Account verbinden. Um Signal-Desktop mit einem Account zu verbinden, muss man den QR-Code von der Desktop App mit dem Smartphone scannen.
Neben der Verschlüsselung setzt Signal auch konzeptuell neue Standards für Messenger. Alle Nachrichten, Mitgliedschaften in Gruppenchats, persönliche Daten wie das Profilfoto usw. werden lokal auf dem Smartphone gespeichert. Die Server transportieren nur verschlüsselte Nachrichten und Statusinformationen zu den Empfängern, ohne die Absender zu kennen (Sealed Sender).
Für brisante Inhalte gibt es verschwindene Nachrichten. Wenn diese Option für einen Chat aktiviert wird, werden die Nachrichten eine einstellbare Zeit nach dem Lesen auf beiden Seiten gelöscht. In den Einstellungen kann man einen Standardwert für alle neuen Chats definieren.
Dass Signal App die Telefonnummer als Identifier verwendet, wird oft kritisiert (Datensparsamkeit usw.) Dabei wird unterschlagen, dass die Verifizierung des Gegenüber anhand der Telefonnummer auch ein Sicherheitsfeature sein kann. Man kann relativ sicher sein kann, dass man wirklich mit der Person verbunden ist, mit der man die Telefonnummer ausgetauscht hat, die im Adressbuch gespeichert ist, und nicht irgendein unbekannter Dritter sich durch Vorspielung einer falschen Identität Vertrauen erschleicht. Außerdem erleichtert es das Finden von Kontakten und Etablieren einer sicheren Kommunikation mit Freunden und Bekannten, was das Hauptziel von Signal App ist.
In den Einstellungen unter "Datenschutz → Telefonnummer" kann man konfigurieren, wer die eigene Telefonnummer sehen kann und ob man anhand der Telefonnumer gefunden werden möchte.
- Die Anzeige der Telefonnummer ist sinnvoll bei Kontakten, bei denen man im Adressbuch steht, um eine weiche Verifikation zu ermöglichen. Ansonsten muss niemand meine Tel.-Nr. sehen.
- Anhand der Telefonnummer gefunden zu werden ist in der Regel ein sinnvolles Feature. Wenn man einem Bekannten seine Telefonnummer gibt, möchte man angerufen werden. Wenn der Bekannte dann sieht, dass er auch verschlüsselt via Signal telefonieren oder chatten könnte, ist das sicher im Sinne des Angerufenen (von ganz wenigen Ausnahmen mal abgesehen).
Einen pseudonymen Benutzernamen kann man in den Profil-Einstellungen festlegen, wenn man einen Signal Account erstellt hat. Der Benutzername besteht aus einer Buchstabenkombination, einem Punkt und einer zweistelligen Zahlenkombination. Die Zahlenkombination wird von Signal zufällig vorgeschlagen, ist zwar editierbar aber man sollte es bei der zufälligen Zufallszahl belassen (statt dem Geburtsjahr o.ä.), damit Dritte den Benutzernamen nicht einfach erraten können.
Potentiellen Kommunikationspartnern kann man dann statt der eigenen Telefonnummer diesen pseudonymen Benutzernamen geben, man könnte ihn als Link auf Webseiten veröffentlichen (z.B. als Journalist, um für potentielle Whistleblower eine Ansprechmöglichkeit zu veröffentlichen) oder via QR-Code zum Scan anbieten. Das schützt vor Stalking oder ähnlichem Missbrauch der Telefonnummer (z.B. beim Casual Dating) und erweitert die Einsatzmöglichkeiten von Signal App.
Die pseudonymen Benutzernamen sind aber kein Anonymitätsfeature sondern dienen nur dem Aufbau einer Kommunikationsbeziehung ohne Weitergabe der Telefonnummer. Da damit die weiche Verifizierung des Gegenüber anhand der Tel.-Nr. entfällt, muss man sich später darum kümmern. Dafür könnte man bei einem Face-to-Face Treffen die Sicherheitsnummer des Chat vergleichen.
(Pseudonyme Benutzernamen bieten auch Missbrauchspotential. Falls euch jemand beispielsweise einreden möchte, ihr könntet unter dem Pseudonym "cane.69" den Chefautor vom PrHdb erreichen, dann klingt das für einige Leser vielleicht plausibel, wäre aber ein Fake!)
Hinweis: Wenn man von einigen Chatpartnern nur die Benutzernamen kennt und nicht die Telefonnummer im Adressbuch hat, muss man sich über Backups Gedanken machen. Ein Backup des Adressbuches reicht dann nicht mehr aus, um alle Kontakte bei Totalausfall wieder zu erreichen. Man könnte Benutzernamen in einer Passwortdatenbank wie KeepassXC ablegen oder Signal-PIN aktivieren (verschlüsseltes Backup der Einstellungen auf den Signal Servern, ohne Chatinhalte).
Signal bietet verschlüsselte Audio- und Videotelefonie. Ein Telefonanruf oder Videocall mit einer anderen Person startet man am einfachsten im Chatfenster:
Um in Android 14+ verschlüsselte Signal Anrufe so einfach annehmen zu können wie normale Telefonanrufe, muss man Vollbildbenachrichtigungen auf dem Sperrbildschirm zulassen. In den Android Einstellungen findet man die Option unter "Apps → Signal → Benachrichtigungen".
Signal Anrufe werden nicht in der globale Call History (Anrufliste) auf dem Smartphone gelistet, da Android Smartphones die Call History in die Google Cloud synchronisieren.
Videokonferenzen (Group Calls) mit bis zu 40 Teilnehmern sind möglich. Für eine Videokonferenz erstellt man eine Gruppe mit den gewünschten Teilnehmern und tippt auf "Group Call".
Storys sind eher unwichtige Social Media ähnliche Statusmeldungen ("Was mache ich gerade.")
Man kann ein Foto knipsen und/oder einen kurzen Text verfassen und an eine vorbereitete Empfängergruppe schicken. Bei den Empfängern werden die Storys für 24h wenig störend im Story-Tab angezeigt und dann automatisch gelöscht. In den Einstellungen kann man unter "Storys" mehrere Gruppen von Empfängern vorbereiten (Familie, Freunde…) oder die Funktion abschalten.
Der Messenger Signal entstand aus TextSecure, einer App zum verschlüsselten Versenden von SMS. Diese Wurzeln beeinflussen noch heute die Konzepte von Signal. Eine SMS wird üblicherweise an einen Kontakt aus dem Adressbuch versendet. Natürlich kann man auch eine Telefonnummer eingeben, aber das macht man eher selten.
Ähnlich arbeitet Signal App. Die (verschlüsselten) Nachrichten werden an Kontakte gesendet, die über die Telefonnummer addressiert werden. Die Namen als Bezeichner (Anzeige) und die Telefonnummern als Adressen von Kontakten holt sich Signal primär aus dem Adressbuch.
Beim Zugriff auf das Adressbuch bemüht sich Signal um einen Kompromiss zwischen einfacher Benutzbarkeit und Privatsphäre. Wenn man nach neuen Kontakten sucht, werden die Hashwerte der Telefonnummern aus dem Adressbuch zu den Servern hochgeladen aber dort nicht dauerhaft gespeichert. In einem Blogartikel erklärt M. Marlinspike das Verfahren.
Wenn man sein Smartphone verliert oder wechselt, dann verliert man ohne Backup auch alle Daten, die Signal App gespeichert hat, da alle Daten ausschließlich lokal auf dem Smartphone gespeichert werden und nicht auf Servern. Das Backup-Konzept von Signal App ist dreistufig:- Das Adressbuch auf dem Smartphone dient als primäres Backup für den den "Social Graph" (Liste der Kontakte). Mit einem Backup vom Adressbuch hat man sofort alle Kontakte in Signal wieder hergestellt (außer Gruppenchats). Signal ist primär ein Messenger für private Kontakte, deren Telefonummern man im Adressbuch hat.
- Optional kann man mit der Signal-PIN als zweite Backupstufe die Mitgliedschaften in Gruppen, Profilbild, Einstellungen und Kontakte ohne Telefonnummer verschlüsselt auf den Signal Servern ablegen, um sie auf einem anderen Smartphone wiederherzustellen. Die Einstellungen für die Signal-PIN findet man unter "Datenschutz":
Ein Blogartikel erläutert die Voodoo Magie, wie aus einer einfachen, numerischen PIN ein starker Schlüssel für die Verschlüsselung abgeleitet wird. Man kann beim Festlegen der PIN aber auch eine alphanumerisches Passphrase als PIN wählen.
Die Erinnerungsfunktion soll dabei helfen, die PIN auswendig zu lernen. Wenn man PIN bzw. Passphrase in einem Passwortspeicher wie KeepassXC speichert, braucht man es nicht.
Außerdem kann eine Registrierungsperre für die Übernahme des Accounts auf ein anderes Smartphone aktiviert werden, wenn die PIN aktiviert wurde. Nach Ansicht der Entwickler reichen 7 Tage aus, um alle Kontakte zu informieren, dass man einen neuen Account hat.
In der Sektion "Erweitert" kann man die Signal-PIN auch wieder deaktivieren.
- Ein vollständiges Backup inklusive aller Chatinhalte kann man unter Android nur lokal auf einer SD-Karte speichern und auf ein neues Smartphone übertragen.
- Die "Bildschirmsperre bei Inaktivität" kann dagegen schützen, dass ein Angreifer bei kurzzeitigem Zugriff auf das entsperrte Smartphone eine Signal Desktop Instanz initialisiert, um die Kommunikation mitzulesen. (Das BKA hat einen vergleichbaren Angriff bei WhatsApp gegen einen Terrorverdächtigen bereits aktiv eingesetzt.)
- Die Anrufe (Audio und Video) können immer über einen Signal Proxy geleitet werden, um dem Kommunikationspartner nicht die eigene IP-Adresse zu verraten.
Signal App verwendet keine eigenen Server für die Infrastruktur sondern die Clouds von Microsoft, Google, Amazon und Cloudflare. Die Software nutzt Features wie Azure Confidential Computing oder SGI Secure Enclave, um die sensiblen Daten gegenüber dem Cloud Provider zu schützen.
Signal App ohne Google (Android)
Auf der Webseite von Signal gibt es die Signal App "Danger Zone" (nur für Android) zum Download, die keine Google Services verwendet. Um bei dieser App Problem mit Benachrichtigungen bei Nachrichten oder Anrufen zu vermeiden, müssen folgende Voraussetzungen erfüllt sein:- Für die App müssen "Hintergrundaktivität" und "Hintergrunddatenverkehr" erlaubt werde, damit der Signal-eigene Pushservice zur Benachrichtigung verwendet werden kann.
- Die App darf nicht durch Stromsparmaßnahmen abgeschossen werden. Bei einigen Smartphones muss man dafür die Option "für Akku Betrieb nicht einschränken" aktivieren.
- Ein Support Artikel erläutert die Einstellungen für verschiedene Android Smartphones.
Signal-Desktop
Auf bis zu fünf Desktop PCs oder Laptops können zusätzliche Signal Clients eingerichtet werden, die mit allen Funktionen parallel zum Smartphone genutzt werden können.- Für Windows gibt es auf der Download Seite eine EXE-Datei, die man nach dem Download startet, um die Anwendung Signal-Desktop zu installieren.
- Für Debian basierte Linux Systeme steht ein Repository zur Verfügung, welches man zur Installation und Aktualisierung verwenden kann. Eine Anleitung zur Einbindung des Repositories gibt es auf der Webseite von Signal.
Für Ubuntu und abgeleitet Derivate gibt es ein Snap-Paket, das neben Signal-Desktop auch alle notwendigen Bibliotheken enthält. Da der Snap Daemon in Ubuntu(s) standardmäßig installiert wird, ist es die einfachste Variante, Signal Desktop zu installieren:
> sudo snap install signal-desktop- Fedora, Linux Mint und andere Linux Distributionen sind für die Installation von Flatpak Apps vorbereitet. Hier kann man Signal Desktop via Flathub installieren: > flatpak install org.signal.Signal Wenn man auf dem Desktop nicht alle Features von Signal möchte (beispw. weil man für Audio- oder Videotelefonate immer das Smartphone nutzt) kann man die Rechte der Signal Desktop App mit dem Tool "flatseal" weiter einschränken und die Sicherheit erhöhen.
Beim ersten Start von Signal-Desktop zeigt das Hauptfenster einen QR-Code, den man mit der Signal App auf dem Smartphone unter "Einstellungen → Gekoppelte Geräte" scannen muss, um den Desktop-Client mit seinem Account zu verbinden. Die Daten werden lokal gespeichert, so das die Aktivierung nur einmalig nötig ist. Das ist einerseits bequem, andererseits gibt es einem potentiellen Angreifer aber auch mehr Möglichkeiten.
Anschließend gibt man dem Desktop noch einen Namen. Unter diesem Namen wird die Desktop App in der Liste der "Gekoppelte Geräte" auf dem Smartphone angezeigt.
Dann kann man Signal parallel auf dem Desktop und dem Smartphone nutzen. Aus Sicherheitsgründen werden die bisher auf dem Smartphone vorhandenen Chats nicht mit neu gekoppelten Geräten synchronisiert.
Als erstes könnte man an als Funktionstest sich selbst eine kleine Nachricht schicken. Diesen Chat mit dem Selbstgespräch kann man nutzen, um Daten zwischen unterschiedlichen Geräten auszutauschen. Das ist besser, als sich selbst E-Mails zu schicken, da man von der sicheren Ende-zu-Ende Verschlüsselung profitiert.
Wenn man den Signal Account nicht mehr auf dem Desktop PC oder Laptop verwenden möchte, sollte man alle auf der Festplatte gespeicherten Daten löschen. Signal-Desktop bietet in den Einstellungen die Möglichkeit, diese Daten sicher zu entfernen.