Mac & Apps - Apfelzeugs und mehr... : Telegram

Posts mit dem Label Telegram werden angezeigt. Alle Posts anzeigen

Samstag, 1. März 2014

WhatsApp Nachwehen: Threema vs. Telegram

Der Kampf um die Thronfolge

Die Wechselwilligen haben offenbar gesprochen. Sowohl medial als auch „gefühlt“ gehen im Umfeld von Foren und Bekannten Threema und Telegram zumindest im deutschsprachigen Raum als die Sieger unter den Usern hervor, die ihre geballte Datenflut nicht einem einzigen Anbieter überlassen wollen. Objektiv betrachtet probieren die Leute wohl zuerst mal Telegram aus, vor allem auch weil die App - nennen wir es wie es ist - GRATIS ist. Das sorgt für eine entsprechende rasante Verbreitung (zumindest was Erstinstallationen angeht) unter einer Klientel die z.B. noch nie einen Bezahl Account, nichtmal auf Guthaben Basis, besessen hat und mehr oder weniger nur Gratis Apps lädt. Eine Vielzahl derer trifft man auf der Android Plattform, und/oder unter vor allem jugendlichen Smartphone Benutzern.
Ich will den Leuten gar nicht absprechen wenn sie sich für Telegram aufgrund persönlicher Vorlieben oder Verbreitung im Bekanntenkreis entschieden haben. Soll jeder nutzen was er will - aber im aktuellen Fall ist vielerorts ein Glaubenskrieg entfacht der „argumentativ“ gesehen so hanebüchen geführt wird, daß einem in den Kommentaren etlicher Newsseiten nur noch gesammelter, himmelsschreiender Schwachsinn entgegenschlägt, wenn es darum geht die eigene,- als grundsätzlich und unabstreitbar „bessere“ Wahl zu rechtfertigen. Was da einige Telegram Verfechtern sich selbst und potentiellen Mitlesern die Taschen vollhauen... Dabei ist Telegram natürlich nicht automatisch und schon gar nicht grundsätzlich „die bessere" Wahl. Warum?

OpenSource
NEIN! Auch wenn es noch so sehr propagandiert wird (und auch die Medien hier leider nicht genug differenzieren) Telegram ist nicht OpenSource (mal davon abgesehen das dieser Umstand nicht per se ein Qualitäts-, und schon gar kein Sicherheitsmerkmal ist!) Genaugenommen sind mit dem verwendeten Protokoll und der API nur rudimentäre Teile von Telegram Open Source. Mit der gleichen Argumentation könnte man auch Threema als Open Source bezeichnen, denn die Verschlüsselung verwendet die quelloffene und angesehene NaCl Bibliothek.

Verschlüsselung
Die Threema Lösung ist unter Kryptographie Experten anerkannt, die angewandte sogenannte asymmetrische Kryptographie entspricht mindestens der Stärke von RSA mit 2048 Bits. Bei Telegram können zwar Nachrichten verschlüsselt asugetauscht werden, aber die wilde Mischung innerhalb von MTproto wird von etlichen Experten kritisch hinterfragt und zudem als „veralteter Murks“ bezeichnet. Zudem werden Nachrichten nicht standardmäßig end-to-end verschlüsselt ausgetauscht.

Sicherheit
Es sind mittlerweile eine Vielzahl Fälle bekannt, daß der von Telegram verschickte Bestätigungscode gar nicht eingegeben werden muß um die App zu starten. Dieses Verhalten kann ich zumindest bei einem Test unter Android bestätigen. Ob das nur Einzelfälle oder grundsätzlich möglich ist lässt sich mangels weiterer Testobjekte nicht sagen, Vertrauenserweckend ist das jedenfalls nicht, da die Funktion somit entweder schlampig programmiert oder im schlimmsten Fall nur eine Atrappe ist um mit vorgegaukelter Sicherheit zu punkten.
Zudem ist das Telegram Protokoll nachweislich anfällig für sogenannte „man-in-the-middle“ Attacken, was bei Threema aufgrund der asynchronen End-to-End Verschlüssung faktisch ausgeschlossen werden kann.

Datenschutz
Laut der eigenen in den FAQ nachlesbaren Datenschutzerklärung sollte die Telegram App explizit um Erlaubnis fragen wenn das eigene Adressbuch ausgelesen und mit dem Nutzerbestand online abgeglichen werden soll. In der Praxis passiert das nicht. Im Gegenteil, die Nutzung von Telegram erfordert zum Teil zwingend, daß (wie auch bei WhatsApp) das komplette Adressbuch auf den Server des Anbieters geladen wird.
Bei Threema steht es dem Nutzer frei ob er gar keine Daten, seine Telefonnummer oder seine eMail Adresse freigeben will. In jedem Fall betrifft das aber nur die jeweils eigenen Daten. Diese werden zudem nicht als Klartext sondern in Form von Hashwerte beim Anbieter gespeichert. Die Daten des restlichen Adressbuches werden gar nicht fest gespeichert. Wie funktioniert nun aber der Kontakteabgleich, der auch bei Threema halb automatisiert möglich ist?
Wenn ich Threema z.B. erlaubt habe meine Telefonnummer zu speichern um von anderen „gefunden“ zu werden, dann wird diese dort als Hashwert hinterlegt. Hat jetzt jemand meine Telefonnummer in seinem Adressbuch und er stößt die „Aktualisierung“ der Kontaktliste an, dann wird der Hashwert aus seinem Adressbuch quasi "on-the-fly" (ähnlich mit dem Verfügbarkeitscheck in iMessage) in den Arbeitsspeicher des Threema Servers geladen, und dort in Echtzeit nach einem etwaigen gespeicherten Hashwert abgeglichen. Im Falle einer Übereinstimmung gibts das Ganze als Eintrag in der Threema Kontaktliste zurück. Ganz ohne das hierfür der Inhalt des Adressbuches auf dem Threema Server dauerhaft gespeichert werden muss.

Geschäftsmodell
Bei einer App die um die 1,70 kostet sollte das Geschäftsmodell auf der Hand liegen. Welches Geschäftsmodell aber verfolgt eine Gratis App? Reine Nächstenliebe? Kaum. Wenn man weiß dass hinter Telegram die Betreiber eines großen Social Networks stecken, sollte das Geschäftsmodell klar sein. Daten, bzw die Verbindung von Daten und deren Inhabern zueinander.

Vertrauensfrage
Oft gelesen: Telegram wäre ja so transparent. Aha. Die Daten liegen auf irgendeinem russichen Server. Die Macher selber pflegen in Foren und bei Nachfragen einen bisweilen agressiven Ton. Auf gezielte Nachfragen wie z.B. der zusammengewürfelten Verschlüsselungstechnik, oder das nicht-einhalten der eigenen Datenschutzerklärung bekommt man keine, oder nur ungenaue Antworten. Die Threema Server stehen in der Schweiz, die Programmierer sind bekannt und zudem recht kommunikativ und gesprächsbereit, die Geschäftsform und das Geschäftsmodell sind erkennbar, die rechtlichen Grenzen und Datenschutzbestimmungen nachvollziehbar.

Fazit
Stiftung Warentest hat vor einigen Tagen die WhatsApp Alternativen in Punkto Datenschutz getestet und kam zu dem Entschluß das Threema (Platz 1) vor Telegram (Platz 2) liegt. Ich frage mich bisweilen wie Telegram anhand der erwähnten Umstände überhaupt so weit vorn liegen kann!?
Von der Funktionalität her nehmen sich beide nicht viel. Telegram sieht halt nahezu 1:1 aus wie WhatsApp, was für umgewöhnungsfaule noch als "pluspunkt" gewertet wird. Wer kein Geld für einen Messenger ausgeben kann oder will, der soll meinetwegen ruhig Telegram benutzen, könnte aber im Grunde auch gleich bei WhatsApp bleiben und sollte zumindest nicht die „Sorge um seine Daten“ als Wechselgrund vorschieben - und schon gar nicht als Argument im Vergleich zu Threema. Wenn es denn eine „Sicherheit“ in Zeiten von Internet, Smartphones und NSA Skandalen gibt, dann ist Threema jedenfalls unzweifelhaft die sicherere und auf jeden Fall die seriösere Wahl. Dafür aber eben nicht kostenlos. Wer aber nicht bereit ist mal die 1,70 zu investieren, der ist in dieser Diskussion sowieso falsch. Ich habe in diesem Zusammenhang dieser Tage in einem Forum einen passenden Wortwechsel gelesen, mit dem ich hier schließen möchte:

A: Ich sehe nicht ein warum ich meine Freunde zwingen soll eine App für 1,70 zu installieren, nur um mit mir kommunizieren zu können wenn sie das mit WhatsApp oder Telegram auch gratis können.

B: Siehste, und ich sehe es nicht ein warum ich selbst, oder meine Freunde gezwungen werden sollen sich eine Gratis App zu installieren, welche meine und ihre Daten irgendwo auf einen Server lädt, dort auswertet, verwendet und sich dabei nicht um Datenschutz oder Privatsphäre schert.

Weiterführende Links:
=> Threema im AppStore für iOS kaufen
- Weird Encryption Apps: Telegram
- Hacker News: Telegram Discussion
- Mac & Apps: Threema oder nicht Threema ...

Donnerstag, 20. Februar 2014

Threema oder nicht Threema …

Facebook kauft WhatsApp - ein Grund zu wechseln?

Gründe WhatsApp den Rücken zu kehren gibt es viele, dafür bedurfte es gar nicht des Kaufs durch Facebook. Allerdings kümmert nicht jeden die Verschlüsselung von Kommunikation, ganz einfach weil man selten wirklich „brisante“ Daten über einen Messenger austauscht. Auch das Übermitteln der Telefonnummern mag nicht elegant sein, gehört (und bedingt) aber nunmal die Grundfunktionalität von WhatsApp. Und nein, außer der reinen Übermittlung der Nummer gibt es bis heute auch keine Beweise für sonstigen Datenaustausch, auch wenn man das WhatsApp gern nachsagt. Weder konnte bis heute nachgewiesen werden dass WhatsApp irgendwas sonst aus dem Adressbuch überträgt, noch wurde jemals ein Fall bekannt, dass WhatsApp die so gewonnenen Daten irgendwie, an irgendjemanden „verkauft“ hat. Bis eben heute. Der Käufer: Facebook. Was immer WhatsApp auf seinen Servern gespeichert hat gehört jetzt dem großen "F". Genau die Konstellation ist es, die unruhig werden lässt. Klar, das Ganze erscheint noch lange nicht so dramatisch wie die theoretische (und praktische) Datensammlung von Google, allerdings macht es das nicht weniger pikant.

[...] Selbst wenn sich für die User nach außen hin nichts ändert und beide Plattformen/Apps eigenständig bleiben - Im Hintergrund werden zur reinen Auswertungen die beiden Datenbanken zusammengeschmissen und abgeglichen [...]

Das Problem sind gar nicht so sehr die Inhalte der Kommunikation, sondern die Verknüpfung der Daten und in welcher Beziehung sie zueinander stehen. Quasi genau das, was Facebook von jeher ausgezeichnet hat und dort einst das Kernanliegen war: Wer kennt wen, kennt noch wen, kennt eventuell mich und kann/will/soll mit mir entsprechend verknüpft werden. Allein die Freunde-, oder Seitenempfehlungen auf Facebook lassen manchmal erahnen wie effizient die Software im Hintergrund arbeitet und treffende Zusammenhänge erstellt, ohne es eigentlich „wissen“ zu können. Da mochte man Facebook schon gar nicht mehr seine Telefonnummer mitteilen, weil einem das Ganze suspekt genug war. Jetzt aber bekommt Facebook Zugriff auf eine halbe Milliarde Telefonnummern. Möglicherweise im Kontext mit Verknüpfungen welche Nummern aus den Kontaktdaten von anderen Nummern stammen. Man stelle sich diese Information gepaart mit dem, was Facebook bereits jetzt in der Lage ist an (meist spekulativen, am Ende aber errechneten und überraschend zutreffenden) Zusammenhängen zu erstellen, vor.
Selbst wenn sich für die User nach außen hin nichts ändert und beide Plattformen/Apps eigenständig bleiben - Im Hintergrund werden zur reinen Auswertungen die beiden Datenbanken zusammengeschmissen und abgeglichen. Es wäre zumindest reichlich Naiv davon auszugehen das dies nicht geschieht, selbst wenn es keine offensichtlichen Änderungen gibt. Fehlende Verschlüsselungen hin oder her, aber ich weigere mich hinzunehmen, daß alles was ich auf den unterschiedlichsten Plattformen veranstalte zu einem einzigen „Mega Account“ zusammengefasst wird und Plattform,- Geräte,- und Diensteübergreifend ein nahezu umfassendes Profil von mir erstellt wird, welches mich am Ende besser kennt als ich mich selbst. Ich habe mich ja schließlich bewusst für unterschiedliche Komunikationsplattformen für unterschiedliche Zwecke entschieden.

[...] Ja ich benutze auch Facebook. Aber ich kommuniziere dort mit ganz anderen Leuten als per SMS, Telefon oder eben Messenger. Meine Kontakte speisen sich auf den unterschiedlichen Plattformen und Diensten aus zum Teil komplett unterschiedlichen Lebensbereichen - und das soll auch so bleiben [...]

"Das ist mein Tanzbereich und das ist dein Tanzbereich"

Ja ich benutze auch Facebook. Aber ich veröffentliche da zum einen nicht "mein Leben", sondern eben nur bestimmte Sachen und zum anderen kommuniziere ich dort mit ganz anderen Leuten als per SMS, Telefon oder eben Messenger. Meine Kontakte speisen sich auf den unterschiedlichen Plattformen und Diensten aus zum Teil komplett unterschiedlichen Lebensbereichen - und das ist gut so - und soll vor allem auch so bleiben!
Mir gehts nicht darum, den einen oder anderen Dienst pauschal zu verteufeln, es ist das Zusammenbringen unterschiedlicher Daten was mir missfällt, weil ich diese bewusst und *aus Gründen* auf verschiedene Anbieter verteilt habe. Nicht weil Facebook per se böse ist, ich nun ein bockiges Kind bin und deshalb aus Trotz mein WhatsApp lösche. Da FB aber nunmal WA gekauft hat muss ich halt persönlich umdisponieren. Ich werde also meine WhatsApp Kommunikation in Zukunft versuchen nahezu komplett abzustellen und letztendlich meinen Account dort löschen. Das WhatsApp meine Telefonnummer und die meines Adressbuches hat - sei es drum. Aber eine tote, auf diesem Dienst inaktive Nummer ist am Ende nur noch genau das. „Irgendeine Nummer“. Ob diese Nummer mal irgendwann mit irgendwem kommuniziert hat ist wirtschaftlich gesehen uninteressant, mit der Vergangenheit kann man in den seltensten Fällen Geld verdienen. Aber wenn eine Nummer aktiv betrieben wird, dazu in Kontext mit anderen gebracht werden kann, von denen wiederum ein großer Teil auch bei Facebook hinterlegt ist, dann eröffnet das Möglichkeiten, die einen mit nur etwas Phantasie erahnen lassen, warum dem guten Mark dieser Deal 16 Milliarden wert gewesen ist.

Threema der Heilsbringer?

Natürlich nicht, denn es gibt keine Garantie das Threema jetzt für alle Ewigkeiten eine moralisch weiße Weste tragen wird, aber wenn der Dienst nächstes Jahr von weiß der Geier wem gekauft wird und mir das nicht passt, oder sonstwelche Sachen ans Tageslicht kommen, dann wird sich halt der nächste Anbieter finden. Mir gehts wie gesagt auch nicht darum, zwingend einen Dienst nutzen zu müssen der nicht in einem Land der „Five Eyes“ beheimatet ist. Das ist im Falle von Threema zwar schön, aber niemand weiß ob es praktisch etwas nützt wenn mal irgendwelche Männer in schwarzen Anzügen vor der dortigen Tür stehen. In diesem Zusammenhang mag dann zwar auch die End-To-End Verschlüsselung von Threema nicht zu verachten sein, aber wer weiß schon ob sich das am Ende nicht doch alles irgendwie entschlüsseln lässt. Und trotzdem wird Threema mein vorläufig auserkorener WhatsApp Nachfolger sein. Das meine Kontaktliste innerhalb eines Tages von 1 auf 6 angewachsen ist, stimmt für dieses Vorhaben einigermaßen optimistisch und einen geeigneteren Nachfolger sehe ich derzeit für mich nicht. Zum einen hat Threema einen ähnlichen Funktionsumfang wie WhatsApp. Nur in schön und vor allem *schnell*. Und was gibt es sonst so? Viber? Come on, seriously? Hat mal jemand einen Blick in die Nutzungsbedingungen von Viber geworfen? Da fragt man sich doch, warum überhaupt wechseln? Gut, dann wäre die Frage beantwortet. Line? Hm, nee eher nicht. Telegram? Okay, zumindest "teilweise" (?!) OpenSource Und natürlich auch ohne böse Absichten. Und gaaanz sicher *hüstel. Gehört zwei russischen Neumilliardären. Ich weiß nur leider nicht warum ich denen mehr vertrauen soll als einem schweizer Programmierer, zumal Telegram vom Aufbau her ein nahezu 1:1 WhatsApp Klon ist und auch funktionell einige „Fehler“ seines Vorbilds übernommen hat. Die Verschlüsselung wird unter Experten zudem weitestgehen als Murks bezeichnet, und die App zeigt bisweilen merkwürdiges Verhalten was Erlaubnisse und Rechte angeht und sollte daher mit Vorsicht zu genießen sein. (Siehe hier) Und reine Messenger wie Skype, ICQ etc die nur mit reinen Accountnamen funktionieren will ich nicht auf einem Smartphone dauerhaft betreiben. Ein SMS/MMS Ersatz soll dort auch genau das sein.

[...] Aber mal ehrlich: Welcher normale User kann einen ihm vorliegenen (Open)Source Code lesen *und* verstehen ?[...]

Landen wir also wieder bei Threema. Warum eigentlich auch nicht? Achja, ich vergaß. Es ist nicht Open Source. Gaaaaaanz böse sowas. Man muss sich dann ja drauf verlassen was der Programmierer sagt. Aber mal ehrlich: Welcher normale User kann einen ihm vorliegenen (Open)Source Code lesen *und* verstehen? 50%? 10%? Oder doch eher 1% Warum ist das nun „sicherer“? Hier muss ich ebenso „Dritten“ vertrauen, die mir irgendwie bestätigen das der Code okay ist. Kann ich das selber nachprüfen? Eben. Ohne Programmierkenntnisse eher nicht. Zumal Closed Source nicht per se schlecht ist (außer vielleicht in den Augen einiger verbohrter Nerds). Und zuletzt bleibt immer noch die Frage nach dem Geschäftsmodell: Eine App die 1,79 kostet hat eins. 10000 Leute kaufen die App, macht ~12000 Euro für den Entwickler. Was ist das Geschäftsmodell der Gratis Apps (außer in-App Purchases für buntere Smileys?). Die reine Menschenfreude?

(K)eine Frage des Preises

Mir ist übrigens klar, das Threema bei dem Preismodell nie und nimmer die die Verbreitung von WhatsApp finden wird, dazu besteht die Klientel ganz einfach aus nahezu jedem SmartPhone Benutzer. Wer einmal in einer deutschen Großstadt frühmorgens im Schulverkehr mit den öffentlichen Verkehrsmitteln unterwegs war, wird bestätigen können, daß dort Horden von Schülern mit Smartphones ausgestattet unterwegs sind. Die wenigsten von denen dürften über einen Bezahl Account in einem AppStore verfügen, und somit landet auf vermutlich hunderttausenden, wenn nicht Millionen Geräten warscheinlich nie eine App die Geld kostet. Das war und ist der Doorbreaker für WhatsApp und Co. Mir persönlich ist das Ganze aber dennoch 1,79 wert. Ich gebe zu, ich habe auch wenig 14 jährige Schüler in meinem Kontakte Kreis. Die Frage nach "Threema oder nicht Threema" habe ich für mich selbst längst beantwortet: THREEMA!