Die schnelle Kurznachricht gehört zur zeitgemäßen Kommunikation. Wir stellen fünf Clients dafür vor und prüfen sie auf Sicherheit.

Mag der Großteil der Nachrichten weitgehend flüchtiger Natur sein – der Chat steht heute mindestens gleichberechtigt neben dem Telefonieren. Ältere Hasen der IT-Welt haben schon früher auf diesem Weg geplaudert – unter dem Namen Internet Relay Chat (IRC), Jabber sowie in Kombination mit Freenode oder dem Programm Irssi [1] gab es das schon damals, allerdings eher für Nerds. Heute verpacken die Entwickler die Gespräche in schicke Oberflächen, und mobile Geräte erlauben das Plaudern von fast jedem Punkt der Welt.

Viele der inzwischen verbreiteten Messenger bieten jedoch eine Variante für den Linux-Desktop an – entweder als eigenständiges Programm oder über den Webbrowser. Das schlägt eine Brücke zwischen Telefon und PC. Wir nehmen fünf solcher Messenger genauer unter die Lupe. Die Liste enthält neben Ed Snowdens Favorit Signal [2] und dem Platzhirsch WhatsApp [3] auch Threema [4], Telegram [5] und Jitsi [6].

Nicht im Vergleich enthalten sind die Messenger Skype [7], Google Allo [8], Wire [9] und Kontalk [10]. Die drei Letzteren bezieht jedoch Hannes Hausweddel in seinen Beiträgen [11] auf dem FSFE-Blog mit ein [12]. Das betrifft insbesondere die genutzte Verschlüsselung und die gesammelten Metadaten.

Instant Messenger (IM)

Der Name Instant Messenger, abgekürzt IM, impliziert das sofortige Übermitteln der Nachrichten. Solche Programme gibt es seit mehreren Jahrzehnten, in denen sich ihr Erscheinungsbild stark verändert hat.

Den Urahn der IM brachten vier israelische Studenten mit ihrem Start-Up Mirabilis bereits 1996 auf den Markt und nannten ihn ICQ. Das steht für “I seek you”, also “Ich suche dich”. Sie legten damit den Grundstein einer völlig neuen Form der Kommunikation für die heranwachsende Generation.

Seit der Verbreitung der Smartphones ergänzt dieser Kommunikationskanal Telefon und E-Mails. Aufgrund der Vielfalt der Programme fällt jedoch die Auswahl schwer. Ein wichtiges Kriterium für die Auswahl eines Messengers stellt daher häufig dessen Verbreitung auf den genutzten Geräten dar sowie die Frage, was Familie, Freunde, Bekannte und Projektpartner benutzen. Nicht zuletzt Dank Edward Snowden rückte auch das Thema Datensicherheit zunehmend ins Rampenlicht [13].

Kriterien zum Vergleich

Im Wesentlichen und insbesondere auf den ersten Blick erscheinen die einzelnen Messenger alle gleich. Das beginnt bei der Bedienoberfläche und setzt sich bei den Grundfunktionen fort – eine Liste mit Kontakten links, dazu rechts ein Eingabefenster für die Nachrichten, dem Empfänger oder einer Gruppe zugeordnet.

Nachrichten erscheinen in der Reihenfolge von Versand und Empfang. Den Nachrichtentext dürfen Sie um Symbole wie Emoticons oder Sticker wie bei Telegram (Abbildung 1) ergänzen. Hinzu kommen Bilder, Audiodaten und Videos oder Dateien anderer Formate, wie Kontaktdaten und Kalendereinträge. Zur Auswahl der zu sendenden Dateien dient die Büroklammer rechts neben dem Eingabefeld.

Abbildung 1: Das Sticker-Set zu Dr. Zoidberg aus der Serie Futurama für Telegram.

Hat ein Empfänger die Nachricht erhalten, kennzeichnet der Messenger das mit einem Häkchen neben der Nachricht. Je nach Messenger signalisieren zwei gleichfarbige Häkchen oder das Umfärben des Häkchens, dass der Empfänger die Nachricht tatsächlich gelesen hat (Abbildung 2). Je nach Bildschirmgröße kommen eine separate oder integrierte Leiste der Kontakte sowie Kanäle hinzu, ebenso weitere Details zum ausgewählten Kontakt. Die Clients zeigen (meist farbig) an, wie viele ungelesene Nachrichten noch vorliegen.

Abbildung 2: Nachrichtenverlauf bei Telegram mit Lesebestätigung und nachträglich erfolgter Änderung.

Aufgrund der ähnlichen Oberflächen stechen die Unterschiede zwischen den Programmen nicht immer sofort ins Auge. Knackpunkte sind die Lizenz, Details beim praktischen Einsatz sowie die Konfigurationsmöglichkeiten, insbesondere in Sachen Sicherheit.

Als erstes Kriterium dient die Verfügbarkeit der Software: Für welches Betriebssystem gibt es die Software mit Desktop-Interface in paketierter Form, etwa als RPM für Red Hat/Fedora, DEB für Debian/Ubuntu oder als Archiv für MacOS X? Welche Abhängigkeiten bestehen? Falls es den Messenger nicht als Paket gibt, stellt sich die Frage, ob er nativ unter Linux sowie zusätzlich oder ausschließlich im Browser läuft.

Als Nächstes sind die Voraussetzungen für den Einsatz relevant – mit Telefonnummer oder ohne, und falls mit, wo und wie lange speichern die Anbieter die gesendeten Daten? Welche funktionellen Unterschiede gibt es zwischen der Smartphone- und der Browser- beziehungsweise Desktop-Variante? Lassen sich beide gleichzeitig nutzen, und was ist dafür erforderlich?

Abschließend lohnt ein Blick auf die Sicherheit der Datenübermittlung und ob es eine dokumentierte API zum Anbinden eigener Software gibt. Die Tabelle “Im Vergleich” fasst die Ergebnisse zusammen. Weitere Details finden Sie in den Beschreibungen zu den einzelnen Messengern.

Telegram

Telegram begann seinen Aufstieg im Jahre 2013 und hat sich mittlerweile fest etabliert – die Nutzerzahl liegt bei etwa 100 Millionen. Dazu trug unter anderem bei, dass der Quellcode des Clients offenliegt, von Beginn an eine Verschlüsselung der Kommunikation fester Bestandteil der Software war und dass Facebook 2014 WhatsApp kaufte. Letzteres hatte zur Folge, dass mehrere Millionen Nutzer dauerhaft zu Telegram wechselten.

Das Entwicklerteam von Telegram war vorher unter anderem in Berlin beheimatet und sitzt derzeit in Dubai. Das Geld für die Entwickler, die Infrastruktur und das kostenlose Bereitstellen der Software kommt aus den Einnahmen des russischen Social Networks Vk.com, einem Facebook-Pendant.

Der Desktop-Client steht unter einer Open-Source-Lizenz. Er liegt als Binärpaket sowie als quelloffenes Paket für Debian 9.0 “Stretch” (Backports) sowie das künftige Debian 10 “Buster” vor. Die Software für den Server ist weder offen zugänglich noch als Binär-Paket zu haben. Telegram hat jedoch sowohl das Sicherheitsprotokoll als auch die zugehörige API offengelegt [17]. Das ermöglicht unter anderem die Integration in WordPress [18]. Telegram läuft darüber hinaus im Browser.

Abbildung 3 zeigt den Verlauf eines Chats. Links erscheint die Liste der Unterhaltungen, wobei die letzte mit einem Teil der Nachricht ganz oben erscheint. Über die Einstellungen blenden Sie die Detailinformationen zum ausgewählten Gegenüber ein.

Abbildung 3: Telegram (Web-Version) mit Ausschnitt zur Kommunikation.

Aufgrund der offenen API gibt es unter Debian/Ubuntu auch einen Client für die Kommandozeile, den Vitali Valtman entwickelt hat und kontinuierlich pflegt. Er heißt Telegram-cli [19] und steht derzeit noch nicht als reguläres Paket bereit, Sie übersetzen und installieren ihn separat.

Telegram bietet zwei Modi zur sicheren Kommunikation: den Standardweg und den Secure Chat. Beide basieren auf einer Verschlüsselung mittels symmetrischem 256-Bit-AES. Der Standardweg umfasst das Verschlüsseln zwischen Client und Server, der Secure Chat hingegen nur zwischen den beiden Clients.

Im Alltag zeigte sich, dass Client hier nicht Account bedeutet, sondern sich vielmehr auf das konkret verwendete Gerät bezieht. Des Weiteren speichert die Software die Kommunikation nur dann in der Telegram-Cloud, wenn Sie den Standardweg benutzen, nicht aber bei geheimen Chats. Für das Durchbrechen der verwendeten Verschlüsselung hat Telegram ein Preisgeld von 300?000 US-Dollar ausgeschrieben.

Positiv fällt die Möglichkeit auf, bereits übermittelte Nachrichten nachträglich zu ändern, um etwa Tippfehler zu korrigieren. Das gelingt jedoch nur, wenn eine Netzwerkverbindung besteht. Ebenso bietet Telegram an, die Daten mit einem Timer zu versehen, nach dessen Ablauf sie sich löschen.

Die Synchronisation zwischen den einzelnen Clients – App, Desktop, Browser – erfolgte im Test ohne spürbaren Zeitverzug. Hier kommt einerseits die global verzweigte Infrastruktur von Telegram zum Tragen, andererseits die verteilte Datenspeicherung der ausgetauschten Nachrichten und Schlüssel.

Es gibt keine Limits für den Austausch von Text, Bildern und Audiodaten. Versenden Sie hingegen einen Link, schlägt das ab und zu fehl – die Clients zeigen die Vorschau nicht an, und keiner weiß, warum.

Sie registrieren sich nach dem gebräuchlichen Schema: Nach dem Herunterladen und Einrichten der Software (Android App oder Desktop-Client) geben Sie beim ersten Anmelden auf dem Desktop- oder Webclient die Handynummer an, die mit der App verbunden ist. An diese schickt der Server einen Code per SMS, mit dem Sie sich anschließend authentifizieren. Danach dürfen Sie Telegram nutzen. Melden Sie sich später von einem anderen Gerät oder Client aus an, zeigt Telegram einen Sicherheitshinweis an, dass es ein Anmelden von einem anderen Gerät registriert hat.

Telegram ist an einer Stelle sehr neugierig, was vielen Benutzern missfällt: Es überträgt (nach dem Bestätigen durch den Benutzer) die gesamte Liste der Kontakte in den eigenen Datenbestand. Das Unternehmen begründet das damit, auf diese weise leichter Verbindungen zwischen Nutzern herzustellen. Sofern Sie das nicht möchten, erscheint es ratsam, diese Funktion gleich zu Beginn über die Einstellungen zu deaktivieren.

Eine weitere Kleinigkeit stieß noch unangenehm auf: Der Variante für den Desktop fehlt ein Knopf zum Beenden des Programms, es gibt lediglich einen zum Schließen des Chats – und je nach Window-Manager nicht mal das. Beim Start klinkt sich das Programm in die Taskleiste ein und verbleibt im Hintergrund. Klicken Sie auf das Icon, öffnet sich ein Fenster mit einem Menü, über das Sie das Programm endgültig beenden. Der rote Kreis mit der “3” in Abbildung 4 besagt, dass noch drei Nachrichten vorliegen.

Abbildung 4: Beenden des Telegram-Desktop-Clients.

WhatsApp

Gemessen an der Anzahl der Benutzer in Europa und Afrika gehört WhatsApp zu den populärsten Messengern, die es derzeit gibt. Die Zahl der Nutzer liegt bei 1,3 Milliarden Menschen. Der Name selbst ist ein Wortspiel und heißt sinngemäß “Was gibt’s?” für das englische “What’s up?”. Als Grundlage der Kommunikation dient das Extensible Messaging and Presence Protocol (XMPP). Die Entwickler des Unternehmens haben es aber um proprietäre Erweiterungen ergänzt.

2009 vom amerikanischen Unternehmen WhatsApp Inc. als individuelle Software begonnen, gehört es seit 2014 zu Facebook. Entgegen der beim Kauf gemachten Zusicherungen begann Facebook 2016 damit, die Kontaktdaten der Nutzer auszulesen und mit seinen eigenen Daten zu verknüpfen. Das ermöglicht es, Profile von Nutzern zu speichern und miteinander abzugleichen, die sonst nicht bei Facebook registriert sind.

Der kommerzielle Messenger steht seit Anfang 2016 kostenfrei für die Plattformen Android, iPhone, Windows Phone, MacOS X, Symbian und Meego bereit (siehe Kasten “WhatsApp-Zukunft”), spezifische Linux-Pakete gibt es bislang nicht. Der Hersteller bietet aber einen Zugriff über den Browser an (“WhatsApp Web”). Für MacOS X und Windows ab Version 8 steht ein Desktop-Client bereit.

WhatsApp Web und Desktop setzen voraus, dass Ihr Smartphone gleichzeitig ins Internet eingebucht ist. Mittels QR-Code verbinden Sie das Telefon und die im Browser angezeigte Seite oder den Desktop-Client miteinander (Abbildung 5). Der QR-Code gilt nur für die aktuelle Session und verfällt, wenn sich Ihr Telefon wieder trennt oder Sie das Fenster des Browsers schließen. Beide Clients synchronisieren sich in der Regel ohne spürbare Verzögerung.

Abbildung 5: WhatsApp Web stellt einen QR-Code bereit, den Sie brauchen, um ein Smartphone mit der Session zu verbinden. Das ist zwingend nötig.

Die Benutzerschnittstelle des Webclients bietet die gleichen Funktionen wie die App: das Suchen in den Kontakten und das Bearbeiten, das Austauschen von Texten, Bildern, Videos und anderen Dateien sowie Videotelefonie via VoIP (Abbildung 6). Seit 2016 läuft die Kommunikation zwischen zwei Endpunkten vollständig verschlüsselt (Ende-zu-Ende-Verschlüsselung).

Abbildung 6: WhatsApp bietet die Möglichkeit, den Chat mit Bild und Kommentaren zu garnieren.

Mit Yowsup [20] gibt es einen freien Client für die Kommandozeile, der auf der Python-Bibliothek Python-yowsup basiert. In Debian/Ubuntu heißt das Paket yowsup-cli und bildet einen Bestandteil des stabilen Releases. Einmal eingerichtet und der Nummer eines Mobiltelefons zugeordnet, erlaubt Yowsup unter anderem, automatisiert Statusmeldungen zu Diensten oder Geräten über die WhatsApp-Infrastruktur zu versenden [21]. Ältere Versionen von Yowsup sollten Sie ausrangieren, da sich von Zeit zu Zeit die API ändert und die Software dann nicht mehr funktioniert.

Jitsi

Die freie Plattform Jitsi für Chat, Telefonie und Videokonferenz umfasst mehrere Komponenten. Dazu gehören unter anderem der Video-Messenger Jitsi Meet, die Streaming-Lösung Jitsi VideoBridge sowie die Variante Jitsi Desktop für Standalone-Geräte, die aber als Legacy-Projekt gilt. Die gesamte Software ist in Java programmiert. Der Name Jitsi kommt aus dem bulgarischen und bedeutet “Drähte” – Informationen gehen ja “über die Leitung”.

Jitsi startete 2003 als reiner Softphone-Client, heute steht es als integrierte Lösung über den Browser, als App für Android/iOS sowie als Desktop-Client für Windows, MacOS X und Linux bereit. Eine Version für die Kommandozeile existiert nicht. Von der Projektseite beziehen Sie stabile Pakete und Entwicklerversionen für Debian, Ubuntu und RPM-basierte Distributionen.

Zum Instant Messaging benötigen Sie außer der App auf dem Smartphone keine weitere Software, um via Jitsi und Webbrowser miteinander zu kommunizieren. Alternativ greifen Sie zum Desktop-Client. Im ersten Schritt wählen Sie einen Namen für einen “Konferenzraum”, auf den sich alle Teilnehmer verbinden. Es spielt dabei keine Rolle, ob sich danach nur zwei Clients oder eine größere Gruppe miteinander austauschen (Abbildung 7).

Abbildung 7: Bei Jitsi vergeben Sie im ersten Schritt einen Namen für einen “Konferenzraum”, mit dem sich anschließend alle Teilnehmer verbinden.

Jitsi Meet sichert von sich aus die Kommunikation zwischen dem Client und dem Server ab. Für die Kommunikation aller Teilnehmer im Konferenzraum schalten Sie auf Ende-zu-Ende-Verschlüsselung um, indem Sie zusätzlich ein Passwort vergeben. Das stellen Sie über das Zahnrad am linken Fensterrand ein.

Jitsi weist einige Besonderheiten auf, auch in Bezug auf die Sicherheit. Es erlaubt etwa, die Gespräche in Form einer MP3-Datei zu speichern. Zudem stehen die Verläufe eines Chats nur per Session bereit, also nur so lange, wie der Konferenzraum existiert. Über ein spezielles Fenster sehen Sie sämtliche Protokolle der Übertragung ein, die dabei genutzte Bandbreite sowie die Verschlüsselung (siehe Kasten “Jitsi und Verschlüsselung”).

Abbildung 8: Aktivieren Sie die Erweiterung ZRTP bei Jitsi, besteht die Möglichkeit, die Pakete bei der Kommunikation zu verschlüsseln.

Signal

Signal entstand ursprünglich bei der US-Firma Open Whisper Systems, die Anzahl der Benutzer liegt heute etwa bei 100 Millionen. Der kostenfreie Client finanziert sich sowohl durch private Spenden als auch durch Unterstützung von Stiftungen wie der Freedom of the Press Foundation. Whisper Systems wurde 2011 von Twitter aufgekauft, das die Software 2012 unter der GPLv3 veröffentlichte. Die Offenheit der Software und der verwendeten Verschlüsselung veranlassten Edward Snowden dazu, Signal in Sachen Sicherheit zu empfehlen.

Signal vereint die beiden Komponenten Redphone zum verschlüsselten Telefonieren und Textsecure, eine Software zum verschlüsselten Chatten. Seit November 2017 besteht die Integration in den Browser Chrome nicht mehr, stattdessen kommt hier für die Bedienoberfläche das Javascript-Framework Electron zum Einsatz*[22].

Seit November 2015 trägt die App den Namen Signal, die Variante für den Desktop heißt Signal Desktop. Letztere beziehen Sie von der Projektseite oder aus dem dazugehörigen Repository als DEB- oder RPM-Paket. Die Installation erfolgt dann wie gewohnt über die Paketverwaltung. Der Kommandozeilen-Client namens Signal-cli kam im Test nicht zum Einsatz [23].

Von der Handhabung her ergaben sich im Test keine Einschränkungen; die Bedienung klappte ebenso reibungslos wie die Synchronisation zwischen der Smartphone-App und der Desktop-Variante. Zum Einrichten des Desktop-Clients starten Sie diesen via signal-desktop auf der Kommandozeile oder über den entsprechenden Eintrag im Menü Internet. Es öffnet sich ein Dialog (Abbildung 9), in dem Sie zwischen einer Neuinstallation oder der Übernahme der Daten aus der Chromium-App wählen.

Abbildung 9: Beim Einrichten des Signal Desktop haben Sie die Wahl, ob Sie komplett neu beginnen oder bestehende Daten aus der Chromium-App übernehmen möchten.

Im zweiten Schritt verbinden Sie die Desktop-Version mit der App auf Ihrem Smartphone. Diese muss dort bereits installiert und aktiviert sein (siehe Kasten “Wie registriere ich mich bei Signal?”). Analog zu WhatsApp erhalten Sie einen QR-Code, den Sie mit der Signal-App einscannen. In Abbildung 10 sehen Sie die Verknüpfung zwischen beiden Geräten. Ihr Einverständnis bestätigen Sie über die Schaltfläche Sieht gut aus.

Abbildung 10: Der Dialog beim Anbinden der Desktop-Variante von Signal an Ihre Telefonnummer.

Der Messenger nutzt einen freien, selbsterstellten Code, um Nachrichten und Telefongespräche zu verschlüsseln. Dabei kommt das Signal-Protokoll zum Einsatz, das auf Off-the-Record-Messaging basiert. Vereinfacht formuliert, erneuert es die Schlüssel für die Sitzungen in regelmäßigen Abständen, um das Einspielen abgefangener Nachrichten zu erschweren.

Zusätzlich erzeugt das Programm pro Kontakt eine Sicherheitsnummer (Abbildung 11). Diese sehen Sie ein, indem Sie auf die drei Punkte neben dem Namen (Kontakt) klicken. Im Client für Mobilgeräte finden Sie ihn im Sandwich-Menü unter Unterhaltungseinstellungen | Sicherheitsnummer anzeigen. Bestätigen beide Seiten die Nummer auf ihren Geräten, gilt die Verbindung als sicher.

Abbildung 11: Ein individueller Sicherheitscode, den Sie mit dem Gegenüber einmal überprüfen, dient dazu, die Gespräche mit diesem Teilnehmer zu verschlüsseln.

Darüber hinaus bietet Signal weitere Features in Bezug auf die Sicherheit: So erstellt die Software keine verschlüsselten Backups von gesendeten Nachrichten und bietet die Möglichkeit, neue Nachrichten und Benachrichtigungen zusätzlich mit einem Passwort zu schützen.

Für Gruppen speichert das Programm weder Namen noch Mitglieder oder ein Gruppenbild. Ebenso erlaubt die App keine Aufnahmen vom Inhalt des Bildschirms. In Bezug auf Ihren Account kennt Signal lediglich das Datum, an dem Sie sich registriert haben, sowie den letzten Zeitpunkt, zu dem Sie sich eingeloggt haben. Weitere Tipps entnehmen Sie einem Beitrag von Micah Lee [24].

Threema

Mit rund fünf Millionen Anwendern hat Threema im Vergleich zu den anderen Messengern einen vergleichsweise kleinen Kreis an Nutzern. Nichtsdestotrotz steht es für die Plattformen Android, iOS, Windows Phone, iPad und Amazon Fire OS bereit. Linux-Benutzer verwenden den seit Anfang 2017 verfügbaren Webclient zur Kommunikation [25].

Den Quellcode von Threema finden Sie auf Github [26]. Für den Messenger fallen Kosten von 3 Euro im Google Play Store an. Wie Sie beim Anbieter einen Account anlegen, beschreibt der Kasten “Registrierung bei Threema”.

Der Name leitet sich aus dem Akronym EEEMA ab, das für “end-to-end messaging application” steht. Die Firma hinter Threema sitzt in der Schweiz und speichert dort die Daten. Daher unterliegen die wenigen gespeicherten Daten den strengen Schweizer Richtlinien zum Datenschutz.

Die Entwickler sagen, sie hätten den Dienst von vornherein so konzipiert, dass möglichst wenig Daten entstehen. Gruppen und Kontaktlisten verwalten Sie nur auf Ihrem Gerät. Die Server löschen übermittelte Nachrichten sofort nach dem Zustellen von der Plattform. So entstehen außerhalb der beteiligten Endgeräte nur wenige oder gar keine Metadaten.

Möchten Sie die Software auf dem Desktop nutzen, brauchen Sie dazu lediglich einen aktuellen Browser (Chromium, Firefox oder Opera). Browser und Mobilgerät verbinden Sie durch das Scannen eines QR-Codes miteinander. Als zusätzliche Schicht sichert SaltyRTC [27] die Kommunikation zwischen Webbrowser und Smartphone. Sämtliche Nachrichten stehen danach im Browser bereit; es erfolgt ein nahtloser Abgleich zwischen beiden Geräten. Threema Web lehnt sich optisch an die App an. Sie versenden und empfangen Nachrichten wie gewohnt, Bilder und Dateien verschicken Sie per Drag & Drop.

Der Integration in eigene Software setzt Threema kaum Grenzen: Auf der Projektseite steht eine API samt Dokumentation bereit, ebenso SDKs in Java, Python, PHP und .NET.

Fazit

Ein eindeutiger Favorit geht aus dem Rennen nicht hervor. Die einzelnen Messenger sowie die dazugehörigen Varianten für den Desktop oder den Webbrowser erscheinen alle insgesamt ausgereift. Das gilt sowohl für die Stabilität der Software als auch für die Alltagstauglichkeit.

Alle Messenger bieten Verschlüsselung an, sei es Client-to-Server oder Client-to-Client. Allerdings beherrschen nur WhatsApp und Signal das Sichern des Verlaufs einer Kommunikation sowie das Zurückspielen einmal gesicherter Inhalte, etwa aus einem Backup nach dem Wechsel des Geräts. Ein zweiter Schwachpunkt ist das Nachbearbeiten gesendeter Nachrichten, das nur Jitsi und Telegram erlauben – somit bleiben Vertipper auf Ewigkeit erhalten. Bleibt zu hoffen, dass die Entwickler dieses Feature aufgreifen und nachträglich implementieren.