WhatsApp Nachwehen: Threema vs. Telegram

Der Kampf um die Thronfolge

Die Wechselwilligen haben offenbar gesprochen. Sowohl medial als auch „gefühlt“ gehen im Umfeld von Foren und Bekannten Threema und Telegram zumindest im deutschsprachigen Raum als die Sieger unter den Usern hervor, die ihre geballte Datenflut nicht einem einzigen Anbieter überlassen wollen. Objektiv betrachtet probieren die Leute wohl zuerst mal Telegram aus, vor allem auch weil die App - nennen wir es wie es ist - GRATIS ist. Das sorgt für eine entsprechende rasante Verbreitung (zumindest was Erstinstallationen angeht) unter einer Klientel die z.B. noch nie einen Bezahl Account, nichtmal auf Guthaben Basis, besessen hat und mehr oder weniger nur Gratis Apps lädt. Eine Vielzahl derer trifft man auf der Android Plattform, und/oder unter vor allem jugendlichen Smartphone Benutzern.
Ich will den Leuten gar nicht absprechen wenn sie sich für Telegram aufgrund persönlicher Vorlieben oder Verbreitung im Bekanntenkreis entschieden haben. Soll jeder nutzen was er will - aber im aktuellen Fall ist vielerorts ein Glaubenskrieg entfacht der „argumentativ“ gesehen so hanebüchen geführt wird, daß einem in den Kommentaren etlicher Newsseiten nur noch gesammelter, himmelsschreiender Schwachsinn entgegenschlägt, wenn es darum geht die eigene,- als grundsätzlich und unabstreitbar „bessere“ Wahl zu rechtfertigen. Was da einige Telegram Verfechtern sich selbst und potentiellen Mitlesern die Taschen vollhauen... Dabei ist Telegram natürlich nicht automatisch und schon gar nicht grundsätzlich „die bessere" Wahl. Warum?

OpenSource
NEIN! Auch wenn es noch so sehr propagandiert wird (und auch die Medien hier leider nicht genug differenzieren) Telegram ist nicht OpenSource (mal davon abgesehen das dieser Umstand nicht per se ein Qualitäts-, und schon gar kein Sicherheitsmerkmal ist!) Genaugenommen sind mit dem verwendeten Protokoll und der API nur rudimentäre Teile von Telegram Open Source. Mit der gleichen Argumentation könnte man auch Threema als Open Source bezeichnen, denn die Verschlüsselung verwendet die quelloffene und angesehene NaCl Bibliothek.

Verschlüsselung
Die Threema Lösung ist unter Kryptographie Experten anerkannt, die angewandte sogenannte asymmetrische Kryptographie entspricht mindestens der Stärke von RSA mit 2048 Bits. Bei Telegram können zwar Nachrichten verschlüsselt asugetauscht werden, aber die wilde Mischung innerhalb von MTproto wird von etlichen Experten kritisch hinterfragt und zudem als „veralteter Murks“ bezeichnet. Zudem werden Nachrichten nicht standardmäßig end-to-end verschlüsselt ausgetauscht.

Sicherheit
Es sind mittlerweile eine Vielzahl Fälle bekannt, daß der von Telegram verschickte Bestätigungscode gar nicht eingegeben werden muß um die App zu starten. Dieses Verhalten kann ich zumindest bei einem Test unter Android bestätigen. Ob das nur Einzelfälle oder grundsätzlich möglich ist lässt sich mangels weiterer Testobjekte nicht sagen, Vertrauenserweckend ist das jedenfalls nicht, da die Funktion somit entweder schlampig programmiert oder im schlimmsten Fall nur eine Atrappe ist um mit vorgegaukelter Sicherheit zu punkten.
 Zudem ist das Telegram Protokoll nachweislich anfällig für sogenannte „man-in-the-middle“ Attacken, was bei Threema aufgrund der asynchronen End-to-End Verschlüssung faktisch ausgeschlossen werden kann.

Datenschutz
Laut der eigenen in den FAQ nachlesbaren Datenschutzerklärung sollte die Telegram App explizit um Erlaubnis fragen wenn das eigene Adressbuch ausgelesen und mit dem Nutzerbestand online abgeglichen werden soll. In der Praxis passiert das nicht. Im Gegenteil, die Nutzung von Telegram erfordert zum Teil zwingend, daß (wie auch bei WhatsApp) das komplette Adressbuch auf den Server des Anbieters geladen wird.
Bei Threema steht es dem Nutzer frei ob er gar keine Daten, seine Telefonnummer oder seine eMail Adresse freigeben will. In jedem Fall betrifft das aber nur die jeweils eigenen Daten.  Diese werden zudem nicht als Klartext sondern in Form von Hashwerte beim Anbieter gespeichert. Die Daten des restlichen Adressbuches werden gar nicht fest gespeichert. Wie funktioniert nun aber der Kontakteabgleich, der auch bei Threema halb automatisiert möglich ist?
Wenn ich Threema z.B. erlaubt habe meine Telefonnummer zu speichern um von anderen „gefunden“ zu werden, dann wird diese dort als Hashwert hinterlegt. Hat jetzt jemand meine Telefonnummer in seinem Adressbuch und er stößt die „Aktualisierung“ der Kontaktliste an, dann wird der Hashwert aus seinem Adressbuch quasi "on-the-fly" (ähnlich mit dem Verfügbarkeitscheck in iMessage) in den Arbeitsspeicher des Threema Servers geladen, und dort in Echtzeit nach einem etwaigen gespeicherten Hashwert abgeglichen. Im Falle einer Übereinstimmung gibts das Ganze als Eintrag in der Threema Kontaktliste zurück. Ganz ohne das hierfür der Inhalt des Adressbuches auf dem Threema Server dauerhaft gespeichert werden muss.

Geschäftsmodell
Bei einer App die um die 1,70 kostet sollte das Geschäftsmodell auf der Hand liegen. Welches Geschäftsmodell aber verfolgt eine Gratis App? Reine Nächstenliebe? Kaum. Wenn man weiß dass hinter Telegram die Betreiber eines großen Social Networks stecken, sollte das Geschäftsmodell klar sein. Daten, bzw die Verbindung von Daten und deren Inhabern zueinander.

Vertrauensfrage
Oft gelesen: Telegram wäre ja so transparent. Aha. Die Daten liegen auf irgendeinem russichen Server. Die Macher selber pflegen in Foren und bei Nachfragen einen bisweilen agressiven Ton. Auf gezielte Nachfragen wie z.B. der zusammengewürfelten Verschlüsselungstechnik, oder das nicht-einhalten der eigenen Datenschutzerklärung bekommt man keine, oder nur ungenaue Antworten. Die Threema Server stehen in der Schweiz, die Programmierer sind bekannt und zudem recht kommunikativ und gesprächsbereit, die Geschäftsform und das Geschäftsmodell sind erkennbar, die rechtlichen Grenzen und Datenschutzbestimmungen nachvollziehbar.

Fazit
Stiftung Warentest hat vor einigen Tagen die WhatsApp Alternativen in Punkto Datenschutz getestet und kam zu dem Entschluß das Threema (Platz 1) vor Telegram (Platz 2) liegt. Ich frage mich bisweilen wie Telegram anhand der erwähnten Umstände überhaupt so weit vorn liegen kann!?
Von der Funktionalität her nehmen sich beide nicht viel. Telegram sieht halt nahezu 1:1 aus wie WhatsApp, was für umgewöhnungsfaule noch als "pluspunkt" gewertet wird. Wer kein Geld für einen Messenger ausgeben kann oder will, der soll meinetwegen ruhig Telegram benutzen, könnte aber im Grunde auch gleich bei WhatsApp bleiben und sollte zumindest nicht die „Sorge um seine Daten“ als Wechselgrund vorschieben - und schon gar nicht als Argument im Vergleich zu Threema. Wenn es denn eine „Sicherheit“ in Zeiten von Internet, Smartphones und NSA Skandalen gibt, dann ist Threema jedenfalls unzweifelhaft die sicherere und auf jeden Fall die seriösere Wahl. Dafür aber eben nicht kostenlos. Wer aber nicht bereit ist mal die 1,70 zu investieren, der ist in dieser Diskussion sowieso falsch. Ich habe in diesem Zusammenhang dieser Tage in einem Forum einen passenden Wortwechsel gelesen, mit dem ich hier schließen möchte:

A: Ich sehe nicht ein warum ich meine Freunde zwingen soll eine App für 1,70 zu installieren, nur um mit mir kommunizieren zu können wenn sie das mit WhatsApp oder Telegram auch gratis können.

B: Siehste, und ich sehe es nicht ein warum ich selbst, oder meine Freunde gezwungen werden sollen sich eine Gratis App zu installieren, welche meine und ihre Daten irgendwo auf einen Server lädt, dort auswertet, verwendet und sich dabei nicht um Datenschutz oder Privatsphäre schert.

Weiterführende Links:
=> Threema im AppStore für iOS kaufen
- Weird Encryption Apps: Telegram
- Hacker News: Telegram Discussion
- Mac & Apps: Threema oder nicht Threema ...