Aktualisierungen gibt es im Changelog, als RSS-Feed
oder im [matrix] Raum #prhdb-changes:nitro.chat

Privacy-Handbuch

icon Signal App wird von Security-Experten aufgrund der guten Ende-zu-Ende Verschlüsselung empfohlen. M. Marlspike entwickelte mit Axolotl die Ende-zu-Ende Verschlüsselung, die inzwischen zu einem Standard für Messenger wurde.

I'm not really into advertising for stuff here but the recent update of TextSecure made a gigantic impression on me. The application works well, is uber user friendly, and looks just great. (C. Mulliner)
For the record - @moxie writes crypto software that blinds the #NSA & #GCHQ. He is their nightmare. Usable crypto developer with a backbone! (J. Appelbaum)
Neben der Verschlüsselung setzt Signal auch konzeptuell neue Standards für Messenger. Alle Nachrichten, Kontaktlisten, Mitgliedschaften in Gruppenchats, persönliche Daten wie das Profilfoto usw. werden lokal in der Signal App auf dem Smartphone gespeichert. Die Server transportieren nur verschlüsselte Nachrichten und Status­informationen zu den Empfängern, ohne die Absender zu kennen (Sealed Sender).

Aus Sicherheitsgründen kann man Signal App nur mit einem Smartphone nutzen. Mehrere Smartphones mit dem gleichen Account sind nicht möglich. Zusätzlich kann man bis zu 5 Desktop Clients mit dem Account verbinden. Um Signal-Desktop mit einem Account zu verbinden, muss man den QR-Code von der Desktop App mit dem Smartphone scannen.

Signal bietet seit 2017 auch verschlüsselte Audio- und Videotelefonie auf dem Smartphone (nicht im Desktop Client). Der Quellcode ist offen bei Github verfügbar.

Für brisante Konversationen, bei denen man verhindern möchte, dass Dritte sie durch Nach­lässigkeit beim Umgang mit dem Smartphone sehen könnten, gibt es "verschwindene Nachrichten". Wenn diese Option für einen Chat aktiviert wird, werden die Nachrichten eine einstellbare Zeit nach dem Lesen auf beiden Seiten automatisch gelöscht.

Selbstlöschende Nachrichten aktivieren

Der Messenger Signal entstand aus TextSecure, einer App zum verschlüsselten Versenden von SMS. Diese Wurzeln beeinflussen noch heute die Konzepte von Signal. Eine SMS wird üblicherweise an einen Kontakt aus dem Adressbuch versendet. Natürlich kann man auch eine Telefonummer eingeben, aber das macht man eher selten.

Ähnlich arbeitet Signal App. Die (verschlüsselten) Nachrichten werden an Kontakte gesendet, die über die Telefonnummer addressiert werden. Die Namen als Bezeichner und die Telefon­nummern als Adressen der Kontakte holt sich Signal primär aus dem Adressbuch. 

Beim Zugriff auf das Adressbuch bemüht sich Signal um einen Kompromiss zwischen ein­facher Benutzbarkeit und Privatsphäre. Wenn man nach neuen Kontakten sucht, werden die Hashwerte der Telefonnummern aus dem Adressbuch zu den Servern hochgeladen und dort niemals gespeichert. In einem Blogartikel erklärt M. Marlspike das Verfahren.

Wenn man sein Smartphone verliert oder wechselt, dann verliert man auch alle Daten, die Signal App gespeichert hat. Es werden standardmäßig alle Daten lokal auf dem Smartphone gespeichert und nicht auf den Server. Das Backup-Konzept von Signal App ist dreistufig:
  1. Das Adressbuch auf dem Smartphone dient als primäres Backup für den den "Social Graph" (Liste der Kontakte). Mit einem Backup vom Adressbuch hat man sofort alle Kontakte in Signal wieder hergestellt (außer Gruppenchats). Signal ist primär ein Messenger für private Kontakte, deren Telefonummern man im Adressbuch hat.
  2. Optional kann man mit der Signal-PIN als zweite Backupstufe die Mitgliedschaften in Gruppen, Profil­bild, Einstellungen und Daten neuer Funktionen wie Kontakte ohne Telefon­nummer verschlüsselt auf den Signal Servern ablegen, um sie auf einem anderen Smartphone wiederherzustellen. Die Einstellungen für die Signal-PIN findet man in der Sektion "Datenschutz":
    Signal-PIN aktivieren

    Ein Blogartikel erläutert die Voodoo Magie, wie aus einer einfachen, numerischen PIN ein starker Schlüssel für die Verschlüsselung abgeleitet wird. Man kann beim Festlegen der PIN aber auch eine alphanumerisches Passphrase als PIN wählen.

    Die Erinnerungsfunktion soll dabei helfen, die PIN auswendig zu lernen. Wenn man PIN bzw. Passpahrase in eine Passwortspeicher wie KeypassXC speichert, dann kann man die Erinnerungsfunktion auch deaktivieren.

    Außerdem kann eine Registrierungsperre für die Übernahme des Account auf ein anderes Smartphone aktiviert werden. Nach Ansicht der Entwickler reichen 7 Tage aus, um alle Kontakt zu informieren, dass man einen neuen Account verwendet.

    In der Sektion "Erweitert" kann man die Signal-PIN wieder deaktivieren:

    Signal-PIN deaktivieren
  3. Ein vollständiges Backup inklusive aller Chatinhalte kann man unter Android nur lokal auf einer SD-Karte speichern und auf ein neues Smartphone übertragen.
Für hohe Sicherheitsanforderungen bietet Signal App einige zusätzliche Optionen in der Sektion "Datenschutz" in den Einstellungen:

Signal App für Android verwendet keine Google Services für Push Notifications bei neu ein­treffenden Nachrichten. Aus Sicht der Privatsphäre ist das erfreulich, bringt aber bei einigen Nutzern das Problem, dass sie keine Notifications bei neuen Nachrichten erhalten sondern immer in der App nachschauen müssen, ob es etwas Neues gibt. Um dieses Problem zu vermeiden, müssen folgende Vorraussetzungen erfüllt sein:

  1. Die Signal App muss auch Hintergrund aktiv bleiben dürfen und sollte nicht durch Strom­spar­maßnahmen abgeschossen werden.
  2. Für die Signal App müssen auch im Hintergrund Internetaktivitäten erlaubt sein.
  3. Ein Support Artikel erläutert die Einstellungen für verschiedene Android Phones.
Es gibt aber auch Nachteile: Signal App ist kostenlos. Betrieb und Entwicklung werden von der Signal Foundation finanziert, die dafür Spendengelder sammelt. Großspenden kamen u.a. von WhatsApp Gründer Brian Acton (50 Mio. Dollar) und von der Shuttleworth Foundation.
Lizenz: Public Domain