Whatsapp und die Verschlüsselung. Ist nun alles gut ?

Seit letzter Woche ist es nun endlich soweit, Whatsapp hat die Verschlüsselung, an der sie schon seit einiger Zeit arbeiteten, für alle Clients eingeschaltet. In diesem Artikel will ich mir etwas genauer anschauen ob dies nun gegen meinen kritischen Blick standhalten kann.

Erst einmal klingt es schon fantastisch. Auf einen Schlag werden alle Nachrichten von Whatsapp Nutzern verschlüsselt. Unterstützt werden dabei nicht nur die zwei großen mobilen Plattformen Android und iOS, nein auch alte Schinken wie BlackBerry OS 7 oder auch Symbian.


Das ist schon verwunderlich, da Whatsapp ja angekündigt hat den Support für viele auch diese alten Plattformen Ende des Jahres einzustellen. Zumindest sollte nun die Hoffnung der Leute steigen die auf so einer Plattform sind, das dessen Clients nicht einfach von dem ein auf den anderen Tag nicht mehr funktionieren werden.

Der Verschlüsselung auf die Finger geschaut

Schauen wir uns die Verschlüsselung selber mal an, nun ja soweit man es kann, denn hier kommt schon der erste Pferdefuß, der Quellcode von Whatsapp ist nicht offen. 

Hier muss man den Aussagen von Whatsapp (Facebook) und Open Whisper Systems glauben schenken, dass tatsächlich die selbe Verschlüsselungstechnologie verwendet wird wie bei der freien Software Signal, welche von Open Whisper Systems stammt. 

Zumindest legen es Tests kurz nach der Veröffentlichung der Meldung nahe, dass dies zu stimmen scheint. 

Eines muss aber trotz aller dieser Tests stark betont werden. Man kann nur von außen darauf schauen auf die "Blackbox" Whatsapp und prüfen was für Signale herausgesendet bzw. empfangen werden. Was intern bei Whatsapp mit der Schlüsselverwaltung der Verschlüsselung geschieht bleibt allen Tests verborgen. 

Die Verschlüsselung läuft nach dem typischen asymmetrischen Verfahren mit zwei öffentlichen Schlüsseln die ausgetauscht werden und zwei privaten Schlüsseln die zur Entschlüsselung benötigt werden. Es ist ein Prinzip, das je nach Schlüsselgröße dem aktuellen Stand der sichersten Verschlüsselungsvariante entspricht. 

Die Verschlüsselung ist nutzlos, wenn der 'Private Schlüssel' bekannt wird

Der Grundsatz, dass eine Verschlüsselung dann unbrauchbar wird, wenn der private Schlüssel bekannt wird gilt dementsprechend auch bei der Whatsapp Verschlüsselung. 

Hier liegt eine große Unsicherheit vor, bedingt durch den nicht einsehbaren Quellcode von Whatsapp. Dadurch ist nicht klar ob es nicht eine mögliche Lücke, oder eine mit Absicht einprogrammierte Hintertür gibt um diesen privaten Schlüssel z.B. Strafverfolgern zugänglich zu machen. 

Denkbar wäre hier eine einzige Anweisung die an den Client gesendet werden müsste, so dass dieser dann den privaten Schlüssel als Antwort zurücksendet.
So weit hergeholt ist das nicht, wenn man sich die aktuellen Diskussionen zu einem Gesetzesentwurf in den USA genau anschaut. Hier soll Verschlüsselung nicht grundsätzlich verboten  werden aber nach Aufforderung der Strafverfolger der Klartext geliefert werden müssen. Dies erfordert es natürlich dann auch bei End-zu-Ende verschlüsselten Anwendungen, dass ein späteres anfordern des privaten Schlüssels möglich sein muss. 

Metadaten töten

Das Problem das Whatsapp auch nach dem Einschalten ihrer Verschlüsselung immer noch hat ist die Tatsache, dass Metadaten immer noch gesammelt werden. 

Konkret aufgezeichnet wird dort wer mit wem, wann und unter Umständen wo Gespräche geführt hat. Es kommt darauf nicht an ob es sich um reine Textnachrichten oder Gesprächsnachrichten handelt. Bei Gesprächen wird lediglich zusätzlich noch gespeichert wie lange das Gespräch gedauert hat. 

Wer jetzt meint diese Daten seien doch harmlos, den will ich hier an den ehemaligen CIA- und FBI-Chef Micheal Hayden erinnern, der sagte "Wir töten auf Basis von Metadaten". 

Nun wird das viele von uns, die in der westlichen Welt leben und sich hier nicht konkret vor amerikanischen Drohnen fürchten müssen nicht sonderlich kratzen. Trotzdem bleibt es eine Tatsache, dass auch diese Metadaten sehr viel über unser Leben aussagen können, auch ohne den Inhalt der Nachrichten preisgeben zu müssen. 

Es reicht ja schon aus, dass man mit einem Kontakt regelmäßig chattet um darauf zu schließen, dass man diese Person näher kennt und in engerer Beziehung steht als mit einem Wildfremden. 

Aber auch die Zeit wann ein Gespräch läuft und auch wie lange es läuft kann bereits analysiert werden und Rückschlüsse zulassen. 

Wir sollten uns alle bewusst sein, das ein kleines Metadatumchen alleine nicht sehr nützlich ist. Kombiniert mit vielen kleinen aber zu einem größeren Gesamtbild, ähnlich wie in einem Puzzle, zusammengebaut werden kann. 

Das Übertragen des Telefonbuchs ist illegal 

Ein weiteres Problem, dass Whatsapp hier in Europa illegal machen sollte, spätestens nach dem Aufheben des Safe-Harbor Abkommens, ist die ungefragte Übertragung sämtlicher auf dem Smartphone gespeicherten Kontakte auf den Whatsapp Server in den USA. 

Sicher es gibt Möglichkeiten dies für Experten zu verhindern. Apps helfen einem dabei Fake-Adressbücher anzulegen und dort nur Kontakte hineinzukopieren, die man will bzw. die es einem erlauben. Es gibt Android Runtime und Android Kompatibilitätsschichten die auf Plattformen wie BlackBerry 10 oder SailfishOS erlauben, den Zugriff auf das Telefonbuch komplett zu verhindern, aber die Mehrzahl der Whatsappnutzer werden wohl dies nicht gemacht oder gar beim ersten Einrichten der App bedacht haben. 

Für die Vergangenheit ist der Zug schon abgefahren. Sind die Daten einmal übertragen ist das kaum noch rückgängig zu machen, nein sogar unmöglich. 

Für die Zukunft muss aber eine Lösung her. Ich würde mir sehr inständig wünschen, dass Facebook als Eigner von Whatsapp nicht auf die Idee kommt einfach einen Server in der EU aufzustellen und die Daten erst einmal dorthin zu speichern, sondern dass man einen Auswahldialog in die Software einbaut, die einem bei der Ersteinrichtung erlaubt die Kontakte auszuwählen die man in die Kontaktliste aufnehmen will. Selbst ohne Kontakte in der Liste sollte eine Nutzung von Whatsapp standardmäßig funktionieren müssen. 

Whatsapp ist nicht der erste Messenger den die Welt gesehen hat und es kann ja nicht so schwer sein eine Kontaktverwaltung einzubauen, die so funktioniert wie es damals schon ICQ, AIM oder MSN Messenger konnten. 

Was ist das Ziel von Whatsapp ? Wie will man Geld verdienen ?

Wie zum Geier will Whatsapp eigentlich Geld verdienen ? Dies ist eine Frage die mir schon länger herumgeistert und die ich früher immer einfach beantworten konnte. Ähnlich wie Google bei E-Mails, wertet Whatsapp die Chatnachrichten ihrer Nutzer aus um dann passende Werbung oder Angebote, Freundesanfragen oder sonst etwas in Facebook oder sonst wie dem Nutzer zugänglich zu machen. 

Die Werbeindustrie zahlt ja anscheinend nicht schlecht dafür konkret Werbung für einen bestimmten Nutzer einblenden zu können.

Jetzt wo diese Komponente wegfällt, fällt mir nicht viel ein. 

Die Metadaten an die Werbeindustrie zu verkaufen macht keinen Sinn. Der Staat oder die Strafverfolgung wird diese Daten auf Zwang ohne Bezahlung einfordern können. 

Was bleibt also noch übrig ? 

Die Datenanalyse, wer mit wem in Kontakt steht anhand des Telefonbuchs ? 

Nunja ich weiß nicht ob sich das lukrativ verkaufen lässt. 

Ganz ehrlich gesagt fällt mir jetzt nach dem Schritt hinzu der Verschlüsselung nicht mehr viel ein. Ich vermute fasst, man will und wird wohl nur noch mit Firmenkunden Geld verdienen können, die ja für die Benutzung von Whatsapp bezahlen müssen. 

Vielleicht wird es aber auch extra freischaltbare Goodies geben, wie Cloudspeicher für das Teilen von Dokumenten, die die Kollaboration beim Bearbeiten von Dokumenten ermöglicht. Sicherlich ein Feature, dass Firmenkunden eher anspricht. 

Privatpersonen könnten ähnlich wie es auf BBM oder Line ist mit Stickern, Postkarten oder sonstigem Schnickschnack an kleinen Animationsemoticons gelockt werden den ein oder anderen Euro auszugeben. 

Insgesamt gesehen ist das ein Konzept dass mir aus meiner Sicht viel eher gefällt. Hier sieht man dann nämlich deutlich womit Whatsapp dann Geld verdient oder verdienen will und muss sich nicht noch Sorgen machen, dass seine Chatlogs an Werbefirmen verkauft werden.  

Wie schlägt sich Whatsapp nun ?

Es bleibt positiv anzumerken, dass Whatsapp nun Nachrichten standardmäßig verschlüsselt. Dies erhöht das Grundrauschen der Verschlüsselung im Netz und festigt somit zumindest in teilen die Privatsphäre seiner Nutzer und das auf einen Schlag für sehr viele Nutzer auf allen Plattformen für die Whatsapp zu haben ist. 

Es bleiben aber noch viele kritische Dinge bei denen ich mir wünschen würde, dass Whatsapp diese auch angeht. 

Die Übertragung des Telefonbuchs zu aller Erst. 

Die Tatsache das der Quellcode nicht einsehbar ist und man so nicht genau weiß ob nicht eine Hintertür eingebaut ist bleibt aber und wird sich trotz meines Artikels hier wohl auch nicht so schnell ändern. Trotzdem hoffe ich darauf, dass Whatsapp vielleicht irgendwann einmal auf diese Idee kommt. Nicht nur aus eigenem Interesse, sondern vor allen Dingen zum Schutze ihrer Nutzer. Wir sollten nicht vergessen, dass wenn die US Strafbehörden mutmaßlich eine Hintertür in Whatsapp haben, dass dann auch andere Staaten kommen werden und diese haben werden wollen. Das darunter nicht immer lupenreine Demokratien dahinter stecken werden sollte jedem klar sein. 

Wer Anonym chatten will, sollte und wird wohl sowieso die Finger von Whatsapp lassen.

Ein Recht auf anonymes chatten muss auf einer anderen Ebene durchgefochten werden. 

Insgesamt gesehen macht Whatsapp einen Schritt in die richtige Richtung. Aber aus meiner Sicht ist der Schritt zwar groß aber immer noch ist man weit weg von dem Ziel, dass ich vor Augen habe.