Threema ist ein kostenpflichtiger und Ende zu Ende verschlüsselter – Instant-Messaging-Dienst für iOS und Android des schweizer Unternehmens Threema GmbH. Für Unternehmen wird Threema OnPrem angeboten. Damit können Organisationen mit hohen Sicherheitsanforderungen Threema Work als Server selbst betreiben – getrennt von Threemas eigentlicher Infrastruktur. Der Quellcode war bis Ende 2020 nicht für eine unabhängige Überprüfung zugänglich. Später wurden die Frontend-Anwendungen als Open Source deklariert (Kann hier auf GitHub eingesehen werden), wobei nur noch die Serverkomponente proprietär blieb.
Kostenpunkt
Die App gibt es für 5,99 EUR im Apple App Store und für 4,99 EUR im Google Play Store.
Namensgebung Threema
Der Name ist vom Akronym EEEMA, kurz für End-to-End-Encrypting Messaging Application, abgeleitet, wobei die drei E‘s durch den Begriff „Three“ (englisch für drei) ersetzt wurden.
Anonymität
Im Gegensatz zu vielen anderen WhatsApp-Alternativen wie Signal oder Telegram muss man bei dieser App keine E-Mail-Adresse oder Telefonnummer angeben, um ein Konto zu erstellen. Dadurch kann man den Dienst mit einem relativ hohen Maß an Anonymität nutzen.
Funktionsweise von Threema
Die App verwendet eine Benutzer-ID, die nach dem Start der App durch einen Zufallsgenerator erstellt wird. Anstatt eine verknüpfte E-Mail-Adresse oder Telefonnummer zum Senden von Nachrichten zu verlangen. Es ist möglich, andere Nutzer anhand ihrer Telefonnummer oder E-Mail-Adresse zu finden. Vorausgesetzt der Nutzer der App lässt die Synchronisation des Adressbuchs zu.
Die Verknüpfung einer Telefonnummer oder E-Mail-Adresse mit einer Threema-ID ist optional. Nutzer können die Identität ihrer Threema-Kontakte verifizieren, indem sie deren QR-Code scannen, wenn sie sich physisch treffen. Der QR-Code enthält den öffentlichen Schlüssel des Nutzers, der kryptografisch an die ID gebunden ist. Dieser ändert sich für die gesamte Lebensdauer der Identität nicht.
Mit dieser Authentifizierungsfunktion können Nutzer sicherstellen, dass sie den richtigen öffentlichen Schlüssel ihrer Chatpartner haben. Dies bietet zusätzliche Sicherheit gegen Man-in-the-middle-Angriffe.
Die App kennt drei Stufen der Authentifizierung. Die Verifizierungsstufe eines jeden Kontakts wird in der App mit Punkten neben dem entsprechenden Kontakt klassifiziert.
Neben Textnachrichten können Nutzer auch Sprach- und Videoanrufe tätigen, Multimedia, Sprachnachrichten, Dateien versenden und Standorte teilen. Eine Web-App-Version kann auf Desktop-Geräten genutzt werden, solange das Smartphone mit der Threema-Installation des Nutzers online ist.
Neben Einzelchats bietet Threema auch Gruppenchats mit bis zu 256 Personen. Die Nutzer können Sprach- und Videoanrufe tätigen, Text- und Sprachnachrichten, Multimedia, Dateien jeder Art (bis zu 50 MB pro Datei) versenden Es ist auch möglich, Umfragen in persönlichen oder Gruppenchats zu erstellen.
Verschlüsselung
Das von Threema verwendete Verschlüsselungsverfahren basiert auf der Open Source-Bibliothek NaCl library. Die Anwendung verwendet eine asymmetrische ECC-basierte Verschlüsselung mit 256 Bit. Threema bietet eine „Validation Logging“-Funktion, mit der bestätigt werden kann, dass Nachrichten mit der NaCl Networking and Cryptography Library Ende-zu-Ende-verschlüsselt sind. Im August 2015 wurde Threema einer externen Sicherheitsprüfung unterzogen. Die Forscher von cnlab bestätigten, dass die Anwendung bzw. der Dienst eine sichere Ende-zu-Ende-Verschlüsselung ermöglicht, und behaupteten, sie hätten keine Schwachstellen in der Implementierung feststellen können. Die cnlab-Forscher bestätigten auch, dass App seinen Nutzern Anonymität bietet und Kontakte und andere Nutzerdaten wie beworben behandelt.
Fazit
Im Grunde genommen scheint Threema durchaus zu den sichereren Instant Messengern zu zählen. Nichtsdestotrotz hilft die sicherste Anwendung nicht, wenn das Smartphone selbst kompromittiert ist.