Whatsapp-Fasten (Facebook-Fasten II.)

Um Facebook kommst du einfach nicht drumherum. Das soziale Netzwerk an sich lässt sich vielleicht schon umgehen, aber der gesamte Konzern ist mit seinen Apps so allgegenwärtig und mächtig, dass dagegen kaum ein Kraut gewachsen ist. Das schwant mir zumindest, seit ich darüber nachdenke, in der Fastenzeit (höhö) auf alle Facebook-Apps zu verzichten und ausschließlich Alternativen zu verwenden. Also auch ein Verzicht auf Instagram, was meinem Herzen wohl ziemlich weh tun wird, denn ich mag diese App sehr; und, viel schwieriger eigentlich, Whatsapp.

Das Problem bei einem Whatsapp-Verzicht liegt auf der Hand: Nahezu mein gesamtes persönliches Umfeld nutzt die kleine Messaging-App, über Gruppen organisieren sich mehrere Freundeskreise, ein Sprachkurs, eine Band, viele ArbeitskollegInnen. Wie kann man das umgehen, frage ich mich – und zwar so, dass man trotzdem mit den meisten Leuten in Kontakt bleibt und man sich nicht selbst vom eigenen Leben ausschließt?

Vermutlich werde ich das wieder genau so wie im letzten Jahr machen. Wenn man nicht religiös ist, macht man letzten Endes eben doch seine eigenen kultischen Gewohnheiten auf. Diese Apps fliegen schlicht vom Smartphone für die 40 Tage.

Um die Leute darauf hinzuweisen, fiel mir bislang nicht mehr ein, als die relativ unbekannte Broadcast-Funktion von Whatsapp zu nutzen. Darüber schicke ich dann eine Nachricht an meine gesamte Kontaktliste, um die Leute über meinen temporären Verzicht zu informieren. Und viel wichtiger: Um sie auf meine anderen genutzten Messenger aufmerksam zu machen. Folglich würde ich meinen Kontakten via Broadcast den Vorschlag machen, dass man mich in besagter Zeit nicht über Whatsapp, aber weiterhin über Signal, Threema und Wire erreichen kann. Vielleicht schicke ich die Links zu diesen guten, Ende-zu-Ende verschlüsselnden Apps direkt mit in den Broadcast.

Bei der Familie und einigen engeren Freunden habe ich diese Ankündigung schon testweise vorgezogen. Und siehe da: Wir haben plötzlich eine Signal-Gruppe für die Familie und meine Kontaktliste in der schicken blauen Krypto-App ist mittlerweile zweistellig. Andere Freunde hingegen beschwerten sich, dass sie die besagten Apps nicht haben. Auf die Idee, diese einfach zu installieren, kamen sie nicht.

Durch dieses Whatsapp-Fasten mit Ankündigung kann ich, denke ich mir jedenfalls, einige Menschen dazu bewegen, endlich einmal alternative Chat-Apps auszuprobieren. Ob das funktioniert, weiß ich freilich nicht, aber den Versuch scheint es mir wert zu sein. Auch wenn es vermutlich enorm nerven wird.

Messenger-Statistik

Wie viele meiner Kontakte nutzen welchen Messenger?

Signal (vormals TextSecure): 7

Telegram: 14

Threema: 7

Whatsapp: 82

Leider ein eindeutiges Bild.

Gründe? Wilde Spekulationen, teilweise auf Basis von meinen Überzeugungsversuchen im Freundeskreis für die Krypto-Apps:

Signal: Ende-zu-Ende-Verschlüsselung, Open Source, mit Open Whisper Systems ein erfahrener Anbieter im Bereich Kryptographie, aber nur für iOS und Android verfügbar. Windows Phone-NutzerInnen bleiben außen vor – und das sind in meinem Freundeskreis einige.

Telegram: Nur unsichere Verschlüsselung und unverschlüsselte Cloud-Speicherung, aber vollständig plattformübergreifend. Zumindest war Telegram aus diesem Grund dann auch unser favorisierter Ausweichmessenger während des Whatsappdowns über Silvester.

Threema: Vollständig plattformübergreifend, Ende-zu-Ende-Verschlüsselung, aber eine ein bisschen umständliche Bedienung und eben: Bezahl-App. Auch wenn man nur einmalig ’n Appel und ’n Ei zahlt: Bezahlung am Telefon einrichten ist dann wohl doch ein Hindernis für viele.

Whatsapp: Da sind halt alle.

Was auch ein Grund für diese Messenger-Statistik sein könnte: Nicht jeder hat Lust, sich zig Apps zum Chatten aufs Smartphone zu laden. Populäre, aber nicht verschlüsselnde Tools wie Snapchat, FB-Messenger etc. bleiben bei mir zum Beispiel auch noch außen vor. Ein ganz netter Vergleich diverser verschlüsselnder und nicht verschlüsselnder Whatsapp-Alternativen findet sich derweil bei androidpit.

Textsecure (ein cooler Messenger) wird zu Signal (und bleibt cool)

Tja, in der Überschrift stehts ja schon geschrieben. Textsecure, der Krypto-Messenger, über den ich mich in diesem Blog auch schon lang und breit ausgelassen habe und das überaus positiv, bekommt einen neuen Namen. Also eigentlich keinen ganz neuen Namen, sondern lediglich jenen der iPhone-Version. Eigentlich ist es nichts Besonderes, eine App für mehrere Systeme gleich zu benennen. Unter der Haube ändert sich dann aber doch noch etwas, jedenfalls bekommt Android nun auch, was die iPhone-Version schon hat: Mit der Integration von RedPhone soll es nun möglich sein, verschlüsselte Telefonate zu führen. Systemübergreifend. Auch interessant: Die Textsecure/Signal-Technik zur Verschlüsselung wird beispielsweise auch von Whatsapp genutzt (leider relativ intransparent) – bislang aber nur für die Android-Version. Schreibt man mit WA eine iPhone- oder Windows-Nutzerin an, bleibt die Kommunikation unverschlüsselt. Noch.

Vielleicht – hoffentlich – möglicherweise ist Signal also wieder einmal ein Vorreiter dessen, was dann später in puncto Datenschutz bei Whatsapp verbessert werden könnte. Wäre ja auch nicht die schlechteste Idee, wenn kryptobegeisterte Firmen die Technologie in den Mainstream tragen und die Five Eyes massiv nerven. Und solange kann man ja fleißig Werbung machen für den viel besseren Messenger- welcher kürzlich auch ein offizielles Gütesiegel von Edward Snowden erhielt:

Zwei Jahre Snowden: Einen Schritt vorwärts, zwei zurück

Zur Blogparade von Rouven Kasten. Was habt ihr verändert? Eine verdammt subjektive Reflexion.

Sommer 2013. Da war doch was. Ach, richtig, das. Ein gewisser Edward Snowden übergab auf filmreife Weise einen gigantischen (immer noch nicht vollständig ausgewerteten) Datensatz an Journalisten und rückte damit die verborgenen Aktivitäten der NSA (und des britischen GHCQ) ins Licht der Öffentlichkeit. Zwei Jahre ist das nun schon her. Konsequenz: Weltweite Massenüberwachung ist seitdem keine Verschwörungstheorie mehr, sondern umfassend bewiesen. Das, worüber man früher ab und an witzelte, aber letzten Endes doch für technisch zu aufwendig und krass hielt, wurde unter der Bush-Regierung nach dem Terrorjahr 2001 zum zentralen Leitmotiv jedweder technikbasierter Geheimdienstarbeit. Snowden erbrachte den Beweis dafür, und selbst mit den Amerikanern befreundete Regierungen wie die deutsche waren und sind vor dem ungebremsten Treiben der Technik-Schlapphüte nicht sicher. Und Unternehmen oder gar Privatpersonen schon gleich gar nicht.

Und jetzt sind mal eben zwei Jahre ins Land gestrichen und man hätte erwarten können, dass wir alle unser Verhalten geändert hätten. Rouven Kasten, den ich am Wochenende auf dem Koblenzer Barcamp traf, erzählte mir eben dort von seiner Blogparade zu dem Thema. Er möchte nämlich wissen, was wir nun  wirklich geändert haben. An der Parade beteiligen sich bislang recht wenige. Und vielleicht ist das auch ein Indiz dafür, dass wir alle irgendwie… abgestumpft sind?

Abgestumpft? Betäubt? Gelähmt?

Sind wir das? Einmal nett in die Webcam des Laptops lächeln und dann so weitermachen wie vorher, weil man sich ja eh nicht wehren kann?

Bei mir selbst… ist das nicht ganz so. Aber dann doch schon. Zumindest besagte Webcam ist seitdem meistens abgeklebt. Außer ich vergesse, den Streifen nach einem Videochat auf Skype wieder zurück zu kleben. Achja, Skype. Von Microsoft gekauftes, ehemals (wohl?) unknackbares P2P-System, das mittlerweile alle Daten auf amerikanischen Servern lagert, wozu auch ganz offiziell mehrere AGB-Änderungen ins Postfach flatterten. Kannste dir denken, wer da auf diese Daten dann Zugriff hat. Und genau das ist für mich privat ganz symptomatisch für den eigenen Umgang mit den NSA-Enthüllungen: Webcam abkleben, aber Skype für bestimmte Kontakte weiter nutzen. Man ist zu abhängig von (oder zu gewöhnt an) Technik, als dass man wirklich darauf verzichten würde. Man kennt das Problem, hat ein irgendwie dumpfes Bewusstsein im Hinterkopf, dass alles aus der eigenen Privatsphäre irgendwie gegen einen verwendet werden könnte, aber macht trotzdem so weiter wie vorher. Mir wird schon nichts passieren, denkt man sich. Dass dem eben nicht so ist, dass mir sehr wohl und jederzeit etwas passieren kann, zeigt ganz aktuell der Fall der 20-jährigen Aimee Schneider. Hier wurde ein privater Facebookchat, den sie mit amerikanischen Verwandten führte, als Vorwand genutzt, sie am Flughafen stundenlag zu verhören und dann nach Deutschland auszuweisen. Wohlgemerkt, es ging hier nicht um Äußerungen, die sie in der Öffentlichkeit tätigte. Und auch nicht um irgendwie als antiamerikanisch zu interpretierenden Inhalt. Es waren Sicherheitsbehörden, die einen privaten Chat vollkommen falsch interpretierten und daraus schlossen, dass das Au-Pair in den USA illegal Geld verdienen wolle. Das allein zeigt schon relativ deutlich: Jede_r kann beliebig oft ins Fadenkreuz von Geheimdiensten und Behörden geraten. „Schuldig“ oder „unschuldig“ spielt bei dieser Art von Überwachung keine Rolle mehr, es geht eher um eine Art präventive Willkür.

Facebook, Google etc…

Und trotzdem liegt mein Telefonbuch bei Google, dennoch nutze ich Facebook, Instagram, Whatsapp, Twitter und hastenichgesehen. Zwar durchaus bedachter als vorher – nirgendwo mit Klarnamen und stets mit Dummy-Emailadressen – aber ich habe eben auch nicht aufgehört, diese Dienste zu nutzen. Im Gegenteil, auf den Instagram-Zug sprang ich beispielsweise erst vor kurzem auf. Im Zweifelsfall brächten mir die Email-Fakeadressen und inkorrekten Geburtstage, mit denen ich bei diesen Diensten registriert bin, wohl wenig. Ebenso wenig wie Browser-Plugins und rigorose Privatsphäre-Einstellungen. Denn wie Lars Wienand von der Rhein-Zeitung während seiner Session beim Barcamp demonstrierte, ist beispielsweise graph.tips ein nettes Tool, um selbst als Privatperson einen umfassenden Einblick in komplett verriegelte Profile zu bekommen. Stalking advanced, nur halt kinderleicht. Wenn man nicht ganz auf Facebook verzichten will oder kann (Stichwort: Beruf), dann kann die einzige Lösung hier also nur heißen: Datensparsamkeit. Und zwar nicht nur in Bezug auf die Daten, die man selbst über seine Person einstellt, sondern auch und gerade in Bezug auf eigene Likes, Kommentare und Fototags. Wird also keinen kümmern. Bis zum nächsten Missbrauchsfall, oder so.

Was (vielleicht, hoffentlich?) eher etwas bringt, ist Leistungen wirklich komplett aus dem Einzugsbereich der Amerikaner auszulagern. Beispielsweise habe ich für meine Lehrer-Schüler-Kommunikation einen Posteo-Account zugelegt, einfach weil ich hier weiß, dass die Daten auch auf dem (deutschen) Server verschlüsselt gespeichert werden. Mittelfristig soll das auch mein Hauptaccount werden. Gmail, Yahoo und andere Dienste habe ich sogar noch nie aktiv benutzt. Mein Gmail-Postfach, das man als Android-Nutzer zwangsläufig bekommt, ist leer. Emails selbst habe ich darüberhinaus verschlüsseln gelernt, PGP ist da eine ganz nette Methode. Leider gibt es bislang nur einen Menschen, mit dem ich verschlüsselte Mails tatsächlich austausche. Denn Verschlüsselung heißt auch immer, dass es alle an einer Kommunikation Beteiligten anwenden müssen. Und da scheinen die Hürden dann doch wieder ziemlich hoch zu sein. Uh, da muss ich ja was installieren, oh, da ist von irgendwelchen Bit-Schlüsseln die Rede, nee lass‘ mal, brauch‘ ich schon nicht.

Verschlüsselung hilft… würden mehr mitmachen

Diese Ende-zu-Ende-Verschlüsselung lässt sich nicht nur bei Emails einsetzen, sondern auch generell immer dann, wenn die USA irgendwie unumgehbar sind, beispielsweise bei Cloud-Angeboten. Das führt dann dazu, dass US-Behörden zwar auf Daten zugreifen, diese aber nicht auslesen können. Bei den Cloud-Diensten gibt es da zum Beispiel mehrere Alternativen, die zumindest bei Desktop-Rechnern schon recht zuverlässig funktionieren (z.B. das amerikanische  (!) SpiderOak, hier von mir beschrieben). Die verhasste Dropbox benutze ich dann aber leider trotzdem noch gelegentlich. Ein Fachleiter aus dem Seminar hat einen gemeinsamen Ordner angelegt, meine Band nutzt es kollaborativ, da lässt sich nicht so schnell von wegkommen. Schließlich ist das ja auch ungeheuer praktisch und es geht schnell. Aber immerhin speichere ich keine privaten Sachen mehr darauf. Vertrauen ist da eigentlich keins mehr.

Wenn man wieder zur Kommunikation geht, gibt es da dann noch ein paar andere Dinge, die ich selber geändert habe. Oder ändern wollte. Auf dem Smartphone würde ich ja gerne Whatsapp loswerden… aber wie nur, wenn es niemand anderen interessiert? Ein Messenger bringt eben nur etwas, wenn der vom Gegenüber auch genutzt wird. Textsecure/Signal und Threema sind zwar coole Alternativen, aber erstere gibt es nicht für Windows Phone und letztere ist quasi tot, zumindest nutzt sie nur ein Kontakt aus meinem Adressbuch. Bei Textsecure sind es nun immerhin sechs Leute, mit denen ich darüber kommunizieren kann. Whatsapp dagegen nutzen 73 Kontakte. Man muss schon aktiv Werbung für die Kryptomessenger machen und erntet dann eine generelle Skepsis gegenüber neuen Apps, die man sich ja wieder runterladen und installieren müsse und die zudem noch Speicher wegnähmen. Lieber probiert man dann mal Snapchat aus. Krypto ist irgendwie uncool.

Und dann schreiben einen selbst die Leute über Whatsapp an, die Textsecure haben. Da fällt mir dann auch nichts mehr zu sein.

Linux könnte ein Teil der Lösung sein, aber…

Und man kann sich tatsächlich fragen, ob das alles überhaupt etwas bringt. Die Grundsysteme, die wir alle nutzen, sind amerikanisch. Windows, Mac, Android, keine Ahnung. Alles kommt per Definition mit Hintertürchen. Vertrauen kann ich meinen Geräten also nicht, stattdessen gaukele ich mir beim Surfen mit alternativen Browsern, gesperrten Drittanbieter-Cookies, Werbe-Sperrlisten über den Router und Plugins wie disconnect vor, dass man sich zumindest anstrengen müsste, um mich umfassend auszuspähen. Die NSA strengt sich doch wegen einem kleinen Fisch wie mir nicht an, oder?

Linux wäre natürlich eine Möglichkeit, einen weitaus größeren Bogen um die Geheimdienste zu schlagen. Mir fehlt allerdings die Zeit und der Nerv, mir Linux-Distris zu installieren und vor allem damit zu arbeiten (Stichwort: Dominanz  von MS Office). Ganz unerfahren bin ich zwar nicht, jahrelang lief mein alter Laptop mit Ubuntu. Nur: Wenn es selbst mir als Semi-IT-Beklopptem schon zu umständlich ist, meine Systeme damit zu betreiben, was ist dann erst mit 0815-Anwendern? Womit ich wieder bei der abgeklebten Webcam bin. Zwei Jahre Snowden… und zumindest für mich ein Resultat, das sehr ernüchternd in diffuser Paranoia mündet, die sich wie zäher Mehltau über alles legt, was mit IT zu tun hat. Ich habe zumindest auch Verständnis für jeden, der mir mit dem Totschlagargument „bringt doch eh alles nichts“ kommt, denn die amerikanische Dominanz auf dem Markt lässt sich so schnell nicht brechen. Aber sie lässt sich eben auch nicht nicht brechen – ich denke, es braucht da noch ein paar Jahre und Skandale mehr, bis sich eine (nötige) noch größere Skepsis durchgesetzt haben wird.

Aber ganz regungslos möchte ich trotzdem nicht in die Kreissäge rennen. Dann schon wenigstens lachend. Sieht auf der Selfie-Cam des Smartphones irgendwie besser aus.

Ein Plädoyer für den Textsecure Messenger

In den Einstellungen kann aktiviert werden, ob der Messenger auch als SMS App eingesetzt werden darf
Simpel: In den Einstellungen kann aktiviert werden, ob der Messenger auch als SMS App eingesetzt werden darf

Gestern wurde bekannt, dass Whatsapp nun eine Ende-zu-Ende Verschlüsselung einsetzt. Entwickelt wurde das Verfahren von Open WhisperSystems, der Software-Schmiede um Moxie Marlinspike, einem namhaften und weltweit anerkannten Kryptoexperten. Selbige Firma zeichnet sich auch für die Entwicklung des Textsecure-Messengers verantwortlich – genau dem Messenger, dessen Verschlüsselungsalgorithmen nun auch bei Whatsapp unter der Haube liegen. Wenn ich mein gesamtes Halbwissen zu dem Thema mit einem Satz zusammenfassen kann, dann würde er so lauten: Textsecure gilt derzeit als DIE Referenz in Sachen sicherer Messenger-Verschlüsselung. Noch weit vor anderer Software wie Telegram und Threema.

Und damit das in der allgemeinen Überraschung nicht untergeht – installiert euch Textsecure auf eurem Handy! Trotz Whatsapp. Trotz Threema. Denn der Messenger verschlüsselt nicht nur, sondern ist auch extrem einfach zu handhaben, sieht gut aus und kann die Standard-SMS-App ersetzen. Kurz: Er ist rundum gelungen. Ich benutze ihn selber seit einem halben Jahr und bin begeistert von der Software, deswegen habe ich ein paar gute Gründe dafür notiert:

Warum so generell?

Im Adressbuch von Textsecure erscheinen die Kontakte, die auch den Messenger nutzen, ganz oben. An diese schreibt man dann sicher und verschlüsselt über das Internet.
Noch nicht viele Nutzer: Im Adressbuch von Textsecure erscheinen die Kontakte, die auch den Messenger nutzen, ganz oben. An diese schreibt man dann sicher und verschlüsselt über das Internet.

Weil: NSA. (-BND, CIA, GHCQ etc.). Es fangen einfach zu viele Beteiligte jegliche unserer Daten im Netz ab. Selbst wer „nichts zu verbergen“ hat: Die langfristigen Konsequenzen dieses Datenschürfens sind noch gar nicht absehbar. Die Dringlichkeit des Themas wird schon daran klar, dass nun selbst ein vornehmlich unpolitischer Udo Jürgens davor warnt, dass faschistoide Regime für die Zukunft nie auszuschließen sind und sich für diese enorme Möglicheiten aus der Überwachungstechnik ergeben.

Aus diesem Grund sind Messenger wie Hangouts und der Facebook Messenger prinzipiell unsicher, denn durch fehlende Ende-zu-Ende-Verschlüsselung können die Betreiber jederzeit von den amerikanischen Diensten gezwungen werden, beliebig viele Gesprächsdaten herauszugeben. Was laut den Snowden-Folien auch massenhaft geschieht. Dagegen ist diese Praxis bei einem vollverschlüsselnden Messenger wie Textsecure technisch nicht so einfach zu bewerkstelligen.

Die Verschlüsselung bei Textsecure funktioniert übrigens vollautomatisch, als Nutzer merke ich davon rein gar nichts und muss mich auch nicht mir irgendwelchen Schlüsseln herumschlagen.

Warum nicht gleich Threema?

Threema ist wirklich okay und immerhin nutzen es auch ein paar Leute – auf jeden Fall ist Threema schon einmal besser als ein paar andere Messenger. Aber, und das ist das wirklich relevante, große und bedeutungsschwangere „Aber“: Textsecure ist maximal nutzerfreundlich. UND stabil. UND nett zu alten Geräten. UND kostenlos. UND quelloffen – was nichts anderes bedeutet, als dass der Code jederzeit auf Fehler und Schwachstellen überprüft werden kann. Das geschah bei Textsecure bereits mehrfach – der Messenger gilt als die absolute Referenz in Sachen Verschlüsselung. Zudem wird Textsecure von namhaften Krypto-Experten entwickelt, federführend ist dabei das Team um Moxie Marlinspike – der selbst beruflich als IT-Sicherheitsforscher unterwegs ist.

Aber: Mein Handy ist schon am Limit und ich möchte ich nicht dauernd irgendwelche Apps installieren, die dann doch niemand nutzt.

Hier schlägt der Riesenvorteil des Textsecure Messengers zu Buche: Die App lässt sich einfach als SMS-App installieren (muss man aber natürlich nicht). Das bedeutet, dass Textsecure in diesem Fall einfach die Standard-App für SMS ersetzt und man sich nicht weiter darum kümmert. Eine Zeit lang lässt sich der Messenger so im Hintergrund halten – man wartet quasi ab, bis mehr Menschen auf den Geschmack kommen und kann derweil weiter andere Messenger nutzen, während Textsecure zum Verfassen normaler SMS ausreicht (und zwischendurch kann man ja z.B. seinen Whatsapp-Status zur Textsecure-Werbung missbrauchen). Wenn dann die ersten FreundInnen anfangen, den Messenger auch zu nutzen, erscheinen diese als separate Textsecure-Kontakte in der eigenen Kontaktliste ganz oben. Schreibt man diesen NutzerInnen einen Nachricht, wird sie automatisch vollverschlüsselt und über das Internet gesendet. Es entstehen also keine Kosten für den SMS-Versand. Wer Nicht-NutzerInnen reine SMS-Nachrichten schreibt, sieht das bei Textsecure deutlich, denn im leeren Textfeld erscheint dann immer „unsichere SMS schreiben“. Wer dagegen mit Textsecure-Kontakten schreibt, sieht im Textfeld „Push-Nachricht schreiben.“ Das Ganze ist dann noch farblich eindeutig getrennt – SMS erscheinen grün, verschlüsselte Nachrichten über das Internet blau. Einfacher, nutzerfreundlicher und transparenter kann es eigentlich kaum gehen. Ich halte die App für idiotensicher.

Aber: Jetzt verschlüsselt aber Whatsapp doch auch, da braucht man doch keinen anderen Messenger mehr.

Falsch. Auch wenn ich Marlinspike und seine Firma für vertrauenswürdig halte – Whatsapp ist im Gegensatz zum „reinen“ Textsecure immer noch nicht quelloffen, zudem verlangt das Programm nach einem riesigen Datenfundus und sehr weitgehenden Rechten bei der Installation. Das und die Tatsache, dass die Firma zu Facebook gehört, sprechen meines Erachtens dagegen, jetzt doch lieber alleinig auf Whatsapp zu setzen. Dennoch, keine Frage – durch die Zusammenarbeit mit Open WhisperSystems entsteht natürlich erst mal umfassender Kryptotraffic im Web und viel Ärger für die staatlichen Überwacher.

Aber: Ein Überwacher kann doch bei Android-Telefonen eh alles mitlesen.

Naja, kommt darauf an. Textsecure bietet zum Schutz dagegen zumindest eine optionale, lokale Verschlüsselung aller SMS und Push-Nachrichten an – soll heißen, selbst wenn dein Gerät verloren geht, kann ein Dieb ohne Passwort für den Sicherheitsschlüssel nicht an deine Nachrichten ran. Denn diese liegen dann in einer Art geschütztem Tresor auf deinem Handy. Das ist neben der Verschlüsselung des Übertragungswegs ein zusätzliches Feature, was  die App mitbringt.

Und was ist mit Telegram?

Vom medial auch mal hochgehypten Telegram sollte man besser die Finger lassen – zum einen lief die App zumindest bei mir nie sonderlich stabil, zum anderen gibt’s wohl ernsthafte Sicherheitsbedenken, siehe hier.

#Update 20.11.2014 für iPhone-User:

Nach einem Leserkommentar sollte an dieser Stelle festgehalten werden, dass es Textsecure derzeit nur für die Android-Plattform gibt. Eine Apple-Version befindet sich in der Entwicklung. Scheinbar wird aber versucht, über den App Store gefakte Versionen anzubieten, um dann auf dubiose Poker-Apps weiterzuleiten. Also bitte aufpassen!

Zur Dropbox-Alternative Tresorit

Kapitel 2 auf der Suche nach der perfekten Krypto-Cloud

Ich hatte mich ja bereits lang und breit mit SpiderOak als sicherem Dropbox-Konkurrenten beschäftigt. An dieser Stelle möchte ich mit dem ungarisch-schweizerischen Tresorit einen weiteren verschlüsselnden Cloud-Service vorstellen, der gegenüber dem durch Edward Snowden bekannt gewordenen SpiderOak ein paar Vorteile hat.

Auch wenn man sich schnell an SpiderOak gewöhnen kann, hat der Dienst nach wie vor ein (zumindest gefühltes) Problem: Mobile Uploads wie beispielsweise von einem Android-Handy sind nicht möglich. Überhaupt erkennt der Client das eigene Telefon nicht einmal als eigenständiges Gerät, somit lassen sich mit der Android-App lediglich die auf dem PC abgespeicherten Dateien anschauen. Mehr geht nicht. Eine Dropbox-Funktion wie der automatische Kamera-Upload scheint bei SpiderOak noch in weiter Ferne zu liegen.

Ein anderer Dienst – sozusagen der Konkurrent des Dropbox-Konkurrenten Spideroak – leistet genau das: Tresorit. Möchte ich also meine privaten Fotos sicher in der Cloud speichern und dabei nicht auf das potenzielle Datenleck Dropbox zurückgreifen, dann lohnt sich der Dienst schon. Davon abgesehen, dass Tresorit mit seiner Lage und Datenspeicherung in Europa noch einen möglichen Vorteil gegenüber SpiderOak mitbringt, werden hier die vom Nutzer ausgewählten Daten des Handys synchronisiert, je nach Einstellung vollautomatisch. Zudem verhält sich die klar und einfach strukturierte Android-App von Tresorit wesentlich flüssiger und weniger absturzanfällig als SpiderOak. Dazu gibt’s noch 5 Gigabyte Cloudspeicher gratis – in der kostenlosen Version ist das mehr als das Doppelte von dem, was die Konkurrenz aus Amerika bietet.

Eine ganze Weile schon läuft die Software bei mir auf Handy und PC, bislang fehlerfrei und absolut zuverlässig. Selbst mein altes Budget-Smartphone mit Singlecore-Prozessor kam durch den Kryptodienst nicht ins Schwitzen.

Der Desktopclient ist übersichtlich und klar strukturiert
Der Desktopclient ist übersichtlich und klar strukturiert

Wie es in puncto Sicherheit wirklich aussieht, vermag ich wie bei SpiderOak nicht zu beurteilen. Tatsache ist, dass Tresorit mit Ende-zu-Ende Verschlüsselung wirbt. Tatsache ist auch, dass die Firma demjenigen 50.000 Dollar verspricht, der erfolgreich die Sicherheitssysteme überwinden kann. Bisher scheint das wohl noch nicht gelungen zu sein, zumindest laut eigener Homepage (Screenshot vom 05.11.2014):

Unterordner? Fehlanzeige.

Klingt gut? Auf den ersten Blick zumindest schon. Allerdings hat eine gute Krypto-Cloudspeicherung wohl leider immer einen Preis. Im Fall von SpiderOak ist das eine fast unzumutbare Smartphone-App und eine generell langsame Synchronisierung, bei Tresorit sind es weitreichende Funktionseinschränkungen in der Free-Version: Die Ungarn lassen in dieser nur 5 synchronisierbare Ordner zu und gestatten maximal drei synchronisierbare Geräte. Unterordner-Strukturen werden vom Client überhaupt nicht verstanden, sie führen zu einer Fehlermeldung. Wer also seine Daten fein sortiert speichert und nicht nur alles in einen Ordner wirft, der  kommt damit schnell an die Grenzen. Warum das bei Tresorit nicht funktioniert, ist mir nicht ganz ersichtlich – SpiderOak hat damit  beispielsweise überhaupt keine Probleme.

Das kann dazu verleiten, Tresorit für die Synchronisation mit dem Smartphone zu verwenden und SpiderOak für die Arbeit an Dateien von zwei oder mehr verschiedenen PCs. Und Dropbox wird man letzten Endes trotzdem nicht los – denn das eigene Umfeld ist traditionell schwer motivierbar, auf andere Software umzusteigen. Hat diese auch noch Nachteile oder deutliche Funktionseinschränkungen gegenüber Dropbox, dann ist ein Umstieg de facto kaum vermittelbar. Ordner teilt man somit also weiter mit Dropbox – ähnlich wie vermutlich die meisten Threema-NutzerInnen auch noch Whatsapp installiert haben, weil dort immer noch die meisten Menschen registriert sind.

tl;dr

Die perfekte Krypto-Cloud wäre wohl eine Mischung aus SpiderOak und Tresorit. Oder sollte ich mir in absehbarer Zeit doch mal Owncloud näher anschauen? Wer Tresorit jedenfalls einmal ausprobieren möchte, kann das auch gerne über meinen Download-Link tun, dann bekomme ich mehr Speicher ;)

Spideroak: Dropbox-Alternative mit Schwächen

Lässt sich ein nützlicher Dienst wie Dropbox oder Google Drive überhaupt ersetzen? Die bekannten amerikanischen Cloud-Dienste kennen wir ja alle irgendwie – liebgewonnen und vor allem hochgradig praktisch. Man kommt nämlich immer gut an die eigenen Daten ran, egal wo man sich aufhält. Und: Man teilt mit Arbeitskollegen, der Band oder dem Karnevalsverein einen gemeinsamen Dropboxordner, und schon erspart man sich viele umständliche Mails und das Herumreichen von USB-Sticks.

Das Problem: Man teilt sich seine Daten eben nicht nur mit Freunden, sondern auch mit diversen Geheimdiensten.

Kann man das tatsächlich besser machen? Oder zumindest eine ähnliche Leistung verschlüsselt – also sicher und ohne Geheimdienste – nutzen?

Konkurrenz belebt das Geschäft

Die erste einfache, ernüchternde Antwort: Es geht so ein bisschen. Genügend Inspiration für einen Versuch mit SpiderOak fand ich in einem vom britischen Guardian veröffentlichten Interview mit Edward Snowden, in welchem er den amerikanischen (!) Dienst SpiderOak über den grünen Klee lobt. Zudem gibt es auch noch weitere Alternativen, die wohl alle relativ ähnlich funktionieren: Teamdrive, Tresorit und Wuala. Ein wohl ganz brauchbarer Gesamtvergleich der Stärken und Schwächen der einzelnen Dienste ist hier zu finden (etwas scrollen muss man aber schon).

SpiderOak habe ich mir selbst wegen dem guten Herrn Snowden einmal näher angesehen – und bin vorerst daran hängen geblieben. Im Prinzip funktioniert’s genau wie Dropbox: Man lädt sich ein Programm, das auf dem normalen Windows (oder Linux etc.)-Desktop und auch auf dem Smartphone installiert wird. Gebraucht werden dann noch ein Nutzername und ein sicheres Passwort, 2 GB Online-Speicher sind – genau wie bei Dropbox – kostenlos. Wer FreundInnen anwirbt, bekommt pro FreundIn 1 GB umsonst obendrauf – und der oder die jeweilige FreundIn ebenso. Die SpiderOak-Werbemasche ist also eine Win-Win-Situation (Win-Win-Link hier, bitte darüber anmelden ;)). Bis zu 10 GB Speicherplatz lassen sich über das Schneeballprinzip kostenlos erreichen.

SpiderOak-Screenshot
SpiderOak-Screenshot

Ende-zu-Ende-Verschlüsselung gegen NSA und andere „Interessenten“

Was ist nun aber das „Besondere“ bei SpiderOak? Eigentlich wäre der Dienst schon grundsätzlich nicht vertrauenswürdig, da er in den USA sitzt und damit der merkbefreiten FISA-Regelung untersteht. Heißt im Klartext: Möchte ein amerikanisches Geheimgericht, dass SpiderOak Nutzerdaten rausgeben soll, dann kann die Firma nichts dagegen tun. Auch Dropbox, Facebook und wie sie alle heißen sind machtlos gegen diesen Missbrauch und die Sicherheitsparanoia der amerikanischen Regierung. Der Trick heißt daher – wie schon bei den Messengern und den Mails – Ende-zu-Ende-Verschlüsselung: Selbst wenn nun die Firma SpiderOak Daten rausgibt, können die Behörden schlicht nichts anfangen, da nach einer Herausgabe nur Zeichensalat zu sehen wäre. Diese Verschlüsselung übernimmt der Client, man selbst muss nichts dafür tun. So besitzt SpiderOak selbst laut eigenen Angaben dann keine Möglichkeit, die Daten für die Behörden zu entschlüsseln – allerdings können damit nicht einmal verloren gegangene Passwörter ersetzt werden.

Wie schon bei Threema muss allerdings auch die Frage nach der generellen Vertrauenswürdigkeit des Anbieters gestellt werden – da der Dienst aber plant, in der Zukunft zumindest teilweise auf das Open Source – Prinzip zu setzen, scheint das vorerst in Ordnung zu gehen. Oder zumindest schon einmal erheblich besser als Dropbox, zumal in dessen im Verwaltungsrat auch noch Condoleezza Rice sitzt – ehemalige Sicherheitsberaterin von George W. Bush.

Langsamer Client, (noch) keine gemeinsamen Ordner á la Dropbox

Wie schlägt sich SpiderOak nun im Alltag? Ich selber nutze den Dienst seit ein paar Wochen, die Funktionsweise ist tatsächlich weitgehend die selbe wie bei Dropbox. Nur dass man hier aus Sicherheitsgründen besser nicht das Webinterface nutzen sollte (der Dienst weißt selber darauf hin, dass dann nicht mehr für die Sicherheit der Daten garantiert werden kann). Zudem ist die Smartphone-Version leider ein absoluter Griff ins Klo. Bei mir läuft sie instabil und wirkt extrem verbuggt, zudem ist sie nicht in der Lage, Uploads vom Smartphone in die Cloud zu laden. SpiderOak gelobte allerdings in einem Tweet Besserung, mobile Uploads sollen demzufolge bald möglich sein. Ebenso wird laut einem weiteren Tweet alsbald die Möglichkeit geschaffen, vernünftige Gruppenordner zu führen – ein ziemlich entscheidendes Feature, weshalb Dropbox bei mir auch immer noch nicht ganz von der Bildfläche verschwunden ist.

Die Desktop-Software an sich finde ich okay, sie ist allerdings auch ein wenig komplexer als (und feiner einstellbar) als der große Konkurrent. Neben dem Ordner „SpiderOak Hive“, der in etwa dem klassischen Dropbox-Ordner auf dem PC entspricht, lassen sich über den Dienst auch noch weitere Ordner der verwendeten Computer zur Synchronisation hinzufügen. Das ist eine Sache, die ich bei Dropbox bisher immer vermisst habe. Zwei Schwachpunkte gibt es aber momentan auch noch hier: Zum einen ist die Synchronisation der Dateien eher langsam, das heißt: Mal eben schnell von unterwegs was abspeichern, Netbook zuklappen und dann zuhause mit dem Hauptrechner weiter arbeiten funktioniert oft nicht so. Man muss der Krypto-Cloud hier immer ein paar Minuten Zeit einräumen. Auch schnell mal was hochladen und dann direkt mit Kollegen oder Freunden per Link teilen ist wegen der Gemächlichkeit des Clients eher unrealistisch. Zum anderen lässt sich der Speicherort des „Hive“ nicht manuell ändern – dieser liegt immer fest auf dem Systemlaufwerk. Nervig, wenn man Wert auf eine separate Datenpartition legt und dann durch Spideroak doch wieder Daten auf C:\ schieben muss.

Ansonsten tut SpiderOak das, was es soll. Und das bisher auch absolut zuverlässig. Auch eine Funktion zum Bilder teilen ist implementiert, dazu müssen NutzerInnen aber zunächst einmal eine „Share-ID“ kreieren. Über letztere lassen sich dann aus SpiderOak heraus Weblinks mit beispielsweise Bilderordnern erstellen, um sie FreundInnen zu schicken.

Fazit

Die angesprochenen Schwächen, die Desktop-Client und vor allem die nahezu unbrauchbare mobile Version  mitbringen, sind möglicherweise nur Kinderkrankheiten. Auf jeden Fall sind es aber handfeste Nachteile, ein vollwertiger Ersatz für die bis auf ihre Sicherheitsprobleme gut funktionerenden Cloud-Dienste ist SpiderOak damit noch nicht. Die Frage ist, wie lange das amerikanische Unternehmen braucht, um dies einigermaßen auszubügeln und die Clients alltagstauglicher zu gestalten. Denn solange ich nicht mit Arbeitskollegen und Freunden gemeinsame Ordner führen kann, solange bleibt Dropbox zumindest in puncto Funktionalität erst einmal unersetzbar.

The Aftermath

Seit dem Beginn meiner Nutzung von Kryptomessengern wie TextSecure und Threema hat sich für mich kaum etwas geändert – nach wie vor schreibe ich häufig SMS, ebenso häufig benutze ich immer noch Whatsapp. Weil man darauf immer noch am liebsten von anderen kontaktiert wird. (Letzteres werde ich demnächst von meinem Telefon entfernen, aber das wird wohl auch nicht viel ändern.)

Die von mir favorisierten Messenger selbst fristen dagegen entweder ein Nischendasein (Threema benutzen nur ein paar Leute aus meiner Kontaktliste) oder haben sich, wie im Fall von TextSecure, unauffällig und ohne Nutzung der Kryptofunktionen in die Nutzeroberfläche von Android integriert. Das ist das eigentlich Geniale an TextSecure: Man benutzt es die ganze Zeit, da es die gewöhnlich vorinstallierte SMS-App ersetzt. Lediglich der im leeren Textfeld erscheinende Hinweis darauf, dass man „unsichere SMS“ verschickt, verrät einem, dass man seinen Text eigentlich in einen Kryptomessenger tippt. Das macht die App idiotensicher und äußerst unauffällig, Vorkenntnisse sind nicht erforderlich. Wenn nun noch ein paar Leute auf die Idee kämen, TextSecure oder Threema ebenfalls zu installieren, dann wäre zum ersten Mal eine durchgehend sichere Messengerkommunikation möglich. Tja, wenn…

Stattdessen höre ich auch in meinem Umfeld häufig das Argument „ich habe ja nichts zu verbergen / die NSA überwacht sowieso alles und jeden, jetzt ist es eh zu spät“, während man sich die nächste Spiele-App und das nächste Whatsapp- und Facebook-Update zieht.

Schade eigentlich.

Verschlüsselnde + benutzbare Whatsapp-Alternativen: Threema und TextSecure (update)

In zwei vorigen Beiträgen habe ich mich bereits zum Thema Email-Verschlüsselung geäußert – und wie das mit PGP + Thunderbird ganz gut und vor allem einfach machbar ist. Nun geht es um etwas, das viele nutzen, um Nacktbilder zu verschicken wesentlich privatere Gespräche miteinander zu führen: Den Messenger auf dem Handy.

Oder auch: Whatsapp.

Von Facebook gekauft und auf amerikanischen Servern liegend, kann man getrost davon ausgehen, dass alles, aber auch wirklich alles, was darüber verschickt wird, für die Ewigkeit gespeichert und auf absurde Gefahrenmuster gescannt wird. Und wenn man Pech hat, landet man vielleicht nur wegen der falschen Wortwahl in einem privaten Chat auf einer der ominösen schwarzen Listen und darf in nicht allzu ferner Zukunft mit massiven Repressionen rechnen… oder so. Irgendwie jedenfalls nicht schön, wenn man die Konsequenzen der Totalüberwachung einmal zu Ende denkt. Der Gedanke des „Wechsels“  oder zumindest des Alternativen-Ausprobierens liegt daher mehr als nahe. Durch eine gewisse Popularität – auch angeschoben durch bestimmte deutsche Online-Medien – fiel meine erste Wahl auf den Schweizer Messenger mit dem dezent  sperrigen Namen Threema.

Threema vereint im Prinzip das, was z.B. PGP-Verschlüsselung bei Mails nicht leisten kann: Es funktioniert sofort ohne großes Tamtam. Der Messenger baut sich wie Whatsapp auf, nur eben mit dem Unterschied, dass die Nutzerin beim ersten Start automatisch Schlüssel generiert bekommt und dadurch beim Texten in eine sichere Ende-zu-Ende-Verschlüsselung gepolstert wird. Wobei auch hier Sicherheit im Auge des oder der Betrachtenden liegt: Die App ist nicht Open Source, das heißt, der Code bleibt unter Verschluss und kann nicht unabhängig geprüft werden. Das wird möglicherweise zu Recht kritisiert. Allerdings gestatten die Entwickler zumindest die Möglichkeit einer Prüfung der Verschlüsselung – dass diese also Ende-zu-Ende stattfindet und Gesprächsinhalte damit auch für den Anbieter nicht lesbar sind, dürfte als gesichert gelten. (Man korrigiere mich bitte, falls ich hier falsch liege.) Zudem bietet die App noch ein kleines Gimmick: Threema schützt sich nicht nur durch eine Passphrase, sondern erlaubt auch, zusätzlich eine PIN zu definieren: Wer das macht, stellt sicher, dass selbst bei einem gestohlenen Handy mit abgeguckten Entsperrcode die Gesprächsinhalte nicht so einfach abgerufen werden können.

Der Grund, warum diese Schweizer App meine erste Wahl wurde, liegt in ihrer Einfachheit: Sie ist leicht aufgebaut und vor allem intuitiv nutzbar. Es fällt kaum auf, dass man es gerade nicht mit Whatsapp zu tun hat.  Threema funkioniert auch in puncto Adressbuch ähnlich wie Whatsapp und vollautomatisch – wenn man das so möchte. Andernfalls lassen sich auch Kontakte manuell einfügen. Die Usabillity haben die Entwickler wirklich zur Perfektion getrieben – meiner Meinung nach ist das der entscheidende Punkt, Kryptografie massentauglich zu machen und die staatlichen Schnüffler zu ärgern. A pro pos Masse: Threema nutzen in meinem Adressbuch immerhin ein paar Leute, gute 10% meiner aktiven Kontakte. Damit liegt es weit vor dem ebenfalls verschlüsselnden Telegram, was von meinen Kontakten exakt niemand aktiv nutzt und wegen seiner Abstürze von mir nicht weiter berücksichtigt wird.

Eine andere App dagegen scheint mir nach dem Hinweis eines Freundes auch noch erwähnenswert: Es handelt sich um TextSecure, von ausgewiesenen Kryptoexperten entwickelt und im Gegensatz zu Threema komplett Open Source. TextSecure fühlt sich im Gegensatz zu Threema allerdings nicht so an wie Whatsapp, auf den ersten Blick sieht man beispielsweise nicht, wer der Kontakte nun auch die App nutzt. Stattdessen greift das Menü immer auf das vollständige Adressbuch zurück. Das hängt auch mit der Funktion des kleines Programms zusammen, denn tatsächlich stellt es eher einen Ersatz für die klassische SMS-App dar. Im Normalmodus wird diese einfach durch TextSecure ersetzt: Solange die Gesprächspartnerin nicht ebenfalls TextSecure hat, verschickt man damit letzten Endes auch nur normale, unverschlüsselte SMS. Dazu lässt sich auch der gesamte bisherige SMS-Verlauf importieren, was auf meinem Billig-Smartphone keine Probleme bereitete. Interessant wird es aber trotzdem erst, wenn das Gegenüber ebenfalls die (noch) nur für Android erhältliche App nutzt – dann wird statt der SMS die Datenverbindung oder das WLAN für Ende-zu-Ende verschlüsselten Nachrichtenaustausch benutzt. Auch das wohl vollautomatisch. Ausprobieren konnte ich das allerdings nicht, da in meiner Kontaktliste niemand diese App nutzt.

Andererseits stört die TextSecure-Installation bislang auch nicht sonderlich, denn man kann sie ja trotzdem anstelle der normalen SMS-App nutzen. Und obendrein sieht sie zumindest bei meinem Handy auch noch besser aus als die Standard-App.

Wer keine SMS-Flatrate hat, kann diesen sogenannten „SMS-Fallback“ auch einfach in den Einstellungen ausstellen. Damit wird die App vollständig auf die Datenverbindung beschränkt, was für einige wohl deutlich günstiger sein dürfte. Aber dafür müssten dann auch wieder mehr Menschen TextSecure auf ihrem Handy installieren.

Fazit

Wer vom Feeling eher Richtung Whatsapp gehen möchte und vor allem keine SMS-Flatrate hat, der ist bei Threema bestens aufgehoben. TextSecure bietet sich aber genauso an, da es ähnlich einfach ist und die Verschlüsselung ähnlich wie bei Threema kaum auffällt. Threema scheinen jedoch gefühlt deutlich mehr Menschen zu benutzen als TextSecure, weshalb ich bei letzterem mangels Gegenüber auch nicht wirklich testen konnte, wie die eigentliche Krypto-Messengerfunktionalität aussieht.

Fakt ist jedenfalls: In Anbetracht der guten Funktionalität von nur zwei der zahlreichen Whatsapp-Alternativen gibt es eigentlich keinen Grund mehr, sich an dem Produkt aus dem Hause Zuckerberg noch weiter festzukrallen.

#Update 06.11.2014:

Nicht nur Snowden empfiehlt TextSecure, sondern auch die Electronic Frontier Foundation (EFF). In deren Analyse kommt die Software richtig gut weg, Threema dagegen spielt keine Rolle.

#Update 19.11.2014:

Nachdem derweil bekannt wurde, dass die Textsecure-Technik auch in Whatsapp implementiert wird, habe ich mich zu einem drastischen Plädoyer für den Textsecure-Messenger hinreißen lassen. Den mittlerweile auch immerhin zwei Leute aus meiner Kontaktliste nutzen ;)

Email-Verschlüsselung für Totalanfänger II (Video Inside)

Nachdem ich mich in letzter Zeit etwas intensiver mit dem Thema Verschlüsselung beschäftigt habe und der Beitrag dazu ein veritables Interesse verzeichnete, habe ich beschlossen, in diesem Blog so eine Art Reihe zum Thema aufzuziehen. Quasi lernen durch lehren – oder so. Nicht dass es schon genug Seiten dazu gäbe. Nicht Emails, sondern auch andere Bereiche des digitalen Lebens, wie z.B. Festplatten- und Dateiverschlüsselung, sollen hierbei eine Rolle spielen. Ergo werden in nächster Zeit immer mal wieder Beiträge zu diesem Themenbereich erscheinen. Den Anfang macht aber erst einmal eine Fortsetzung der Mailverschlüsselung, denn von Metronaut und Linuzifer gibt es ein ganz wunderbares Video, in dem das Prinzip (absolut idiotensicher) erklärt wird:

Vergleiche ich das nun mit meiner Anleitung von letzter Woche, dann steht das im Video erklärte Schloss, das man seinen Freunden gibt, für den öffentlichen Schlüssel. Das heißt, wenn euch jemand eine verschlüsselte Mail schickt, muss er euer eigenes Schloss (euer  öffentlicher Schlüssel) vorher daran hängen. Und nur ihr selbst könnt die Mail öffnen, da ihr über das Mailprogramm eben einen eigenen Schlüssel dafür habt (den privaten Schlüssel).

Ist zwar schon etwas älter, aber wunderbar erklärt. Dafür vielen Dank auch der Anja Krieger für’s erneute Verbreiten :)