Privacy Handbuch
WhatsApp ist mit 2 Mrd. Nutzern weltweit der populärste Messenger. Es folgen der Facebook Messenger mit 1,3 Mrd. Nutzern und WeChat mit 1,2 Mrd. auf den Plätzen. Telegram und Signal App sind unter den Top10 und Threema ist unter den Top20 (Stand Okt. 2020).
In Deutschland gibt es folgende Verteilung der Messengernutzung (Stand: Nov. 2019):
Facebooks Messenger ist keine Alternative zu WhatsApp. Man kann zwar eine Ende-zu-Ende Verschlüsselung aktivieren, aber trotzdem kann Facebook bei Bedarf die verschlüsselten Chats mitlesen. Dabei wird nicht die Krypto gebrochen sondern auf Anforderung eine unverschlüsselte Kopie der Nachricht an Facebook gesendet.
Delta-Chat vergewaltigt das E-Mail Protokoll. Die Chat Nachrichten werden per E-Mail ausgetauscht und Delta-Chat verwendet dafür einen vorhandenen E-Mail Account.
Die Verschlüsselung erfolgt mit OpenPGP und der Schlüsselaustausch per Autocrypt. Warum Autocrypt kein sicherer Schlüsseltausch ist, kann man im Kapitel "E-Mail Verschlüsselung mit OpenPGP" nachlesen. Diese Verschlüsselung bietet nur geringe Sicherheit, konzeptuell bedingt nur "Some Protection Most of the Time". Mit anderen Worten: sie wird genau dann nicht funktionieren, wenn man sie gebraucht hätte, also wenn sich ein ernsthafter Angreifer für die Inhalte der Chats interessiert.
Mit der Erweiterung countermitm versucht Delta-Chat, die Schwächen des Autocrypt Schlüsseltausches etwas abzumildern. Es wird damit die Möglichkeit zur Verifizierung von Schlüsseln eingeführt und Man-in-the-Middle Angriffe auf verifizierte Schlüssel werden verhindert.
(Wenn ein kommerzieller Messenger eine deratige Ende-zu-Ende Verschlüsselung anbieten würde, würden wir uns kaputt lachen, aber weil Delta Chat Open Source und ein "freier Messenger" ist ....)
Außerdem fallen bei E-Mail Kommunikation viele Metadaten beim Provider an.
- E-Mail ist das am häufigsten genutzte Medium für Textnachrichten. Als Realitätscheck ein Vergleich mit den oben genannten Messenger Diensten:
- Die Grundlage für die seit vielen Jahren hohe Nutzung von E-Mail bilden offene Protokolle, die eine förderale Serverlandschaft von vielen Anbietern auf Basis von Open Source Software erlauben.
- E-Mails werden in der Regel unverschlüsselt gesendet. Die großen E-Mail Provider wie Google oder Microsoft lesen ungeniert mit. Auch wenn man selbst einen privacy-freundlichen E-Mail Provider nutzt, ist man nicht gegen das Mitlesen nicht geschützt, weil:
Google has most of my emails, because it has all of yours.
- Die zusätzliche Installation und Konfiguration von OpenPGP für die Ende-zu-Ende Verschlüsselung ist kompliziert. Es gibt keine Ende-zu-Ende Verschlüsselung mit Forward Secrecy für E-Mails.
- Der Austausch von Schlüsseln für OpenPGP oder S/MIME muss per Hand erfolgen, es gibt keinen vertrauenswürdigen Automatismus. Außerdem müssen die Schlüssel per Hand verifiziert werden.
- Die Sicherheit der Transportverschlüsselung (SSL/TLS) zwischen den Mailservern schwankt von "nicht vorhanden" bis "sicher verschlüsselt, wenn keiner angreift". Certificate Pinning in Form von DANE/TLSA und garantierte TLS-Verschlüsselung gibt es erst in kleinen Ansätzen bei sehr wenigen Mailprovidern.