Dieser Artikel wurde vor mehr als einem Jahr veröffentlicht. Die Informationen könnten veraltet sein.
Ratgeber

Gesicherte Verbindung: Die Ende-zu-Ende-Verschlüsselung bei WhatsApp

Ein Artikel von , veröffentlicht am 26.08.2016

Whatsapp gehört zu den beliebtesten Messengern auf Smartphones. Mit Verschlüsselung polierte der Dienst sein schlechtes Image als „Datenschleuder“ auf. Einige Probleme bleiben aber bestehen, auch Mutterkonzern Facebook greift auf einige Daten zu.

Bei vielen Smartphone-Nutzern hat WhatsApp inzwischen die SMS abgelöst: Der seit 2014 zu Facebook gehörige Dienst zählt weltweit mehr als eine Milliarde Nutzer, die über die App per Internet Textnachrichten verschicken oder auch Anrufe führen. WhatsApp ist ganz auf die Verwendung auf Mobiltelefonen zugeschnitten: So identifiziert der Dienst seine Nutzer per Telefonnummer.

Seit der Gründung im Jahr 2009 machte der Dienst immer wieder Negativ-Schlagzeilen: So waren WhatsApp-Gespräche zu Beginn relativ einfach abzufangen. Auch mit Verbraucherschützern hat der Dienst öfters Probleme. Im Mai 2016 entschied das Landgericht Berlin, dass die AGB des Unternehmens ungültig seien, sofern sie nicht auf Deutsch vorlägen.

Dem Negativ-Image begegnet WhatsApp im April dieses Jahres mit einer Neuentwicklung: Mehr als ein Jahr hatte die Facebook-Tochter an der Umsetzung des neuen Verschlüsselungs-Konzepts gearbeitet. Anfang April diesen Jahres meldeten die Firmengründer Brian Acton und Jan Koum Vollzug: “Von nun an wird jeder Anruf, jede Nachricht, jedes Foto, Video und jede Datei, die Sie mit der neusten Version von WhatsApp verschicken, verschlüsselt gesendet.”

Mit dem Schritt ging WhatsApp weiter als viele konkurrierende Chat-Anbieter wie zum Beispiel Google Hangout oder Microsofts Skype. Bei einer Ende-zu-Ende-Verschlüsselung werden Nachrichten nicht nur auf dem Weg zum Server des Chat-Anbieters verschlüsselt, sie sind auch für den Anbieter selbst nicht lesbar. Auch Werbeanbieter können sich nicht auf Chatinhalte beziehen.

Verschlüsselung voreingestellt

WhatsApp macht es für die Nutzer möglichst einfach, von der neuen Verschlüsselung zu profitieren. Sie wird automatisch aktiviert, sofern beide Kommunikationspartner eine ausreichend neue Version des Chat-Programms installiert haben. Nur, wenn ein Chat-Partner eine veraltete WhatsApp-Version einsetzt, ist die Verschlüsselung deaktiviert.

Die neu eingeführte Technik beruht auf dem “Signal”-Protokoll von Open Whisper Systems, einem so genannten “Public-Key-Verfahren”. Das Grundprinzip ist: Nachrichten, die mit einem öffentlichen Schlüssel verschlüsselt sind, können nur mit dem dazu passenden privaten Schlüssel wieder lesbar gemacht werden. Bei der Installation von WhatsApp werden automatisch mehrere solcher Schlüssel angelegt. Die privaten Schlüssel werden dabei nur auf dem Gerät gespeichert, die öffentlichen Schlüssel werden zu den zentralen WhatsApp-Servern hochgeladen. Auf Grundlage dieser Schlüssel werden laufend neue Schlüssel generiert, die die Gespräche per App fortlaufend absichern.

Mehrfach gesichert

Das Signal-Protokoll vereint mehrere Schichten von Verschlüsselung. So werden Nachrichten in Gruppenchats für jeden Teilnehmer individuell verschlüsselt. Zusätzlich verschlüsselt WhatsApp die Daten auch auf dem Weg zu den zentralen Chat-Servern. Das heißt: Auch wenn ein Mobilfunk-Provider oder WLAN-Betreiber den kompletten Datenverkehr eines Nutzers abfängt, können sie weder Nachrichten mitlesen, noch erkennen, mit wem der Nutzer kommuniziert.

Mehr noch: Die verwendeten Schlüssel ändern sich ständig und das Protokoll bietet „Vorwärtssicherheit“. Das bedeutet, selbst wenn zu einem bestimmten Zeitpunkt der aktuelle private Schlüssel einer Nutzerin bekannt würde, könnte der Datenverkehr rückwirkend nicht entschlüsselt werden.

Verschlüsselung ist aber immer zum Teil Vertrauenssache: Zwar baut das Signal-Protokoll auf bewährten Techniken auf. Der Quellcode von WhatsApp ist aber nicht öffentlich und steht damit nicht für eine allgemeine Sicherheitsüberprüfung bereit.

Auch die WhatsApp-Version für den Browser - WhatsApp Web -- unterstützt die verschlüsselten Gespräche. Dafür nutzt der Dienst einen Trick: Die Nachrichten werden nicht etwa im Browser, sondern weiterhin auf dem Mobiltelefon entschlüsselt. Dazu muss der Nutzer mit dem Mobiltelefon einen QR-Code einscannen, so dass zwischen Browser und Mobiltelefon eine separate verschlüsselte Verbindung aufgebaut werden kann. Schaltet man das Handy ab oder hat es keine Internetverbindung, funktioniert auch WhatsApp Web nicht mehr. Auf diese Weise müssen die privaten Schlüssel eines Nutzers das Smartphone nicht verlassen.

Handywechsel

In der Voreinstellung benachrichtigt WhatsApp die Chat-Partner nicht darüber, wenn sich die privaten Schlüssel eines Teilnehmers geändert haben. Dies passiert beispielsweise, wenn ein Nutzer sein Telefon wechselt oder das Betriebssystem neu installiert.

Ein Angreifer kann sich das zu Nutze machen, wenn er die SMS eines Nutzers abfangen kann. Auf diese Weise kann er den WhatsApp-Account übernehmen. Als Schutz gegen solche aufwändigen Angriffe bietet WhatsApp eine Sicherheitsbenachrichtigungen an, die Nutzer informiert, wenn sich ihr Gegenüber mit einem bis dahin unbekannten Schlüssel meldet. Diese Benachrichtigung muss man in den Einstellungen unter dem Punkt Account - Sicherheit“ aktivieren. Eine Möglichkeit, seine privaten Schlüssel auf ein neues Mobiltelefon zu überführen, bietet WhatsApp nicht an. Damit die Nutzer sicher sein können, auch mit dem richtigen Gesprächspartner zu kommunizieren, können sie sich gegenseitig per QR-Code verifizieren.

Schwachstelle Smartphone

Keinen Schutz bietet die Ende-zu-Ende-Verschlüsselung, wenn das Mobiltelefon in fremde Hände gerät und nicht abgesichert ist - ein Dieb oder sonstiger Angreifer kann nach Belieben die Chat-Protokolle lesen oder Nachrichten im Namen des Besitzers verschicken. Ist das Handy gesperrt und die Geräteverschlüsselung eingeschaltet, entfällt dieses Risiko.

WhatsApp empfiehlt im Fall des Diebstahls oder des Verlusts des Mobiltelefons die eigene SIM-Karte beim Provider sperren und parallel den WhatsApp-Account per E-Mail deaktivieren zu lassen. Vorsorglich sollten Nutzer ihr Mobiltelefon jedoch absichern und am besten verschlüsseln.

Mehr über die Bildschirmsperre erfahren Sie in unserem Ratgeber Bildschirmsperre - was ist das?

Metadaten sagen mehr als tausend Worte

Allen Verschlüsselungen zum Trotz: Jede Nachricht der mehr als eine Milliarden Nutzer läuft über die Server des US-Unternehmens. In seinen Allgemeinen Geschäftsbedingungen macht das Unternehmen darauf aufmerksam, dass es genau abspeichert, wer zu welchem Zeitpunkt mit wem kommuniziert. Diese Daten nennt man Metadaten. Sie werden gegebenenfalls auch mit staatlichen Verfolgungsbehörden geteilt. Auf die Nachrichten-Inhalte selbst haben jedoch weder WhatsApp, noch Polizeibehörden Zugriff, wenn die Verschlüsselung aktiviert ist.

Dein Adressbuch, mein Adressbuch

Um voll zu funktionieren, verlangt WhatsApp den Zugriff auf das Adressbuch eines Nutzers. Gibt man dem Programm Zugriff auf die Kontakte, lädt das Programm die gefundenen Mobilfunknummern auf die WhatsApp-Server hoch. Ist eine dieser Nummern als WhatsApp-Nutzer registriert, landet dieser in der Kontaktliste der App. Das Unternehmen versichert, keine sonstigen Daten aus dem Adressbuch hochzuladen, so bleiben Namen, Festnetznummern, E-Mailadressen oder gar die Postanschrift der Kontakte auf dem Smartphone des Nutzers.

Was mit Telefonnummern von Nicht-Nutzern geschieht, ob diese zum Beispiel auf WhatsApp-Servern gespeichert werden, ist nicht bekannt. WhatsApp lässt sich in seiner Datenschutzrichtlinie von August 2016 vom Nutzer bestätigen, dass er autorisiert ist, die Kontakte aus seinem Adressbuch bei WhatsApp hochzuladen. Theoretisch müsste man also jeden seiner Kontakte vor dem Hochladen um Erlaubnis fragen.

Verweigert man den Zugriff auf das Adressbuch, funktioniert WhatsApp nur eingeschränkt. So werden dem Nutzer keine Profildaten angezeigt, sondern nur die Telefonnummern seiner Kontakte.

Ende August 2016 verkündete WhatsApp einen wesentlichen Kurswechsel: Künftig sollen die Telefonnummern und Analytics-Daten mit der Konzernmutter Facebook geteilt werden. Auf diese Weise kann der Konzern, der auch an anderer Stelle die Mobilnummer seiner Mitglieder abfragt, Verbindungen zwischen Personen herstellen, die auf Facebook nicht befreundet sind. Daten wie der bevorzugte Zeitpunkt der Online-Aktivitäten können für personalisierte Werbung genutzt werden.

Wie man sich selbst auf WhatsApp präsentiert, bleibt jedem Nutzer selbst überlassen So kann man bei der Installation einen beliebigen Namen und ein beliebiges Nutzerbild hochladen. Diese Daten stehen allerdings jedermann bereit, der auf WhatsApp zugreift und die entsprechende Telefonnummer kontaktiert. Wer in WhatsApp seinen vollen Namen angibt, ermöglicht es also, seine Telefonnummer und Namen abzurufen. Parallel zeigt WhatsApp an, wann ein Nutzer zuletzt bei WhatsApp angemeldet war. Wer will, kann auch kleine Status-Nachrichten in der App hinterlassen, die dann ebenfalls öffentlich sind.

Mehr über Datenschutz erfahren Sie in unserem Hintergrundartikel Was ist eigentlich Datenschutz?

Fazit:

Mit der Adaption des Signal-Protokolls hat WhatsApp seinen Nutzern eine effektive Verschlüsselung bereitgestellt, die darüber hinaus einfach zu nutzen ist. Leider verschenkt der Dienst durch die Voreinstellungen ein Teil dieser Sicherheit wieder. Wer seine Kommunikation vor den Behörden verstecken will, findet datensparsamere Kommunikationsmittel - aber wohl kaum ähnlich stark verbreitetere.

 

Weitere Artikel

Ratgeber 

Was bedeutet Zwei-Faktor-Authentifizierung?

Passwörter schützen den Zugang zu Daten, Geräten oder Online-Konten vor Unbefugten. Doch selbst gute Passwörter können gestohlen oder verloren werden. Immer mehr Anbieter setzen daher auf einen zweiten Faktor, um Zugänge besser zu sichern.

Mehr
Ratgeber 

Video-Chat Zoom kurz vorgestellt

Zu Beginn der Corona-Zeit sprangen die Nutzer*innenzahlen beim Video-Chat Zoom von zehn auf 200 Millionen. Doch der Dienst steht wegen Problemen bei Sicherheit und Datenschutz in der Kritik. Die Vor- und Nachteile im Überblick.

Mehr
Ratgeber 

Mobilgerät weg – Vorbeugen (Android)

Jeden Tag werden unzählige Mobilgeräte gestohlen oder einfach irgendwo liegengelassen. Nehmen Sie sich einen Augenblick Zeit, um Ihr Gerät auf diesen Fall vorzubereiten. Im Verlustfall können diese Vorkehrungen den Schaden zumindest zu begrenzen.

Mehr
YouTube-Video 

Refurbishte Smartphones

Gebrauchte Handys, die wieder auf Vordermann gebracht worden sind – taugen die was? Ja, das ist nicht nur für Klima- und Umwelt gut!

Ansehen