WhatsApp, Threema & Co.: Ist sicher chatten überhaupt möglich?

Das Bedürfnis nach sicherer Kommunikation ohne von Dritten – vor allem dem Staat – abgehört werden zu können wächst seit ein NSA- und BND-Skandal den nächsten ablöst zunehmen an, was wiederum WhatsApp-Alternativen, allen voran Threema, Auftrieb verleiht. Doch: Wie sicher ist chatten überhaupt? Einerseits aus technischer Sicht, andererseits aus rechtlicher? Unser Anwalt Stephan Dirks klärt auf.

Als Anfang 2014 die Übernahme des Kurznachrichtendienstes WhatsApp durch Facebook bekannt wurde, erreichte das Thema „sicherer Mobile Messenger“ erstmals eine breite Öffentlichkeit: Viele Nutzer des vormals eigenständigen WhatsApp machten sich Gedanken, wie sie zukünftig mobile Nachrichtendienste nutzen könnten, ohne dabei das Risiko totaler Überwachung durch den Dienst selbst oder Dritte – zum Beispiel staatliche Behörden oder Geheimdienste – fürchten zu müssen.

Abhilfe durch Speziallösungen

Dieses etwas diffuse Bedürfnis behauptet unter anderem der Nachrichtendienst „Threema“ zu befriedigen. Er wirbt damit, dass sämtliche Kommunikation direkt auf dem Gerät sicher verschlüsselt werde und aufgrund des 2-Schlüssel-Prinzips nicht einmal die Schweizer Betreiber, die Threema GmbH, von den Inhalten Kenntnis nehmen könne. Auch würden „Verkehrsdaten“, also Informationen darüber, wer wann mit wem kommuniziert, gar nicht erst erhoben. Alles absolut sicher also? Rechtlich gesehen lohnt ein genauerer Blick.

Keine Kooperationspflicht

Der häufigste „Überwachungsfall“ sieht dabei so aus: Behörden interessieren sich für die Kommunikation eines Beschuldigten, also eines mutmaßlichen Straftäters. Hier haben wir vielleicht so jemand wie den Kieler Tatort-Kommissar Klaus Borowski vor Augen, der selbstverständlich vor sehr unorthodoxen Ermittlungsmethoden nicht zurückschreckt, in Wohnungen von Verdächtigen einsteigt, dort in privaten Dokumenten herumliest oder diese gleich mitnimmt, das Smartphone des Betroffenen durchsucht und dann den Überführten streng befragt, wobei er ihm freimütig die Ermittlungsergebnisse vorhält und für den Fall mangelnder Kooperation Konsequenzen androht: „... dann nehme ich Sie eben mit aufs Präsidium!“

Hier kann man sagen: Wäre dies realistisch, würden Strafverfahren stets mit Freisprüchen enden, denn die Erkenntnisse wären vor Gericht nichts wert, da sie rechtswidrig erlangt wurden. Ein sehr wichtiger Grundsatz im deutschen Strafverfahren lautet nämlich, dass niemand gezwungen werden darf, an der eigenen Überführung mitzuwirken, gleichgültig, wie schlimm die Tat ist, derer er oder sie verdächtig ist.

Es gibt also keine Kooperationspflicht mit der Polizei. Zurück zur Frage: Schützt es gegen staatlichen Zugriff, die eigene Kommunikation zu verschlüsseln und mit einem Passwort zu sichern? Ja, zunächst einmal tut sie das, denn niemand kann gezwungen werden, der Polizei das entsprechende Passwort zu nennen. Wird er es doch, sind die dadurch erlangten Informationen im Strafverfahren in der Regel wertlos.

Allerdings: Staatliche Behörden sind nicht immer darauf angewiesen, nach Passwörtern zu fragen. In bestimmten Fällen ist nach richterlichem Beschluss das Abhören von Telekommunikation per „Quellen TKÜ“ möglich, dies kann durch einen heimlich auf dem System des Betroffenen installierten „Staatstrojaner“ geschehen. Hier schützt die Ende-zu -Ende Verschlüsselung nicht unbedingt: Es ist denkbar, dass so Daten direkt auf dem Gerät vor der Verschlüsselung abgefangen und „ausgeleitet“ werden.

Wie sicher ist die Verschlüsselung?

Weiterer Haken: Wie sicher zum Beispiel der Verschlüsselungsalgorithmus von Threema wirklich ist, wissen wir nicht. Es handelt sich um „Closed Source“, eine unabhängige Überprüfung der Betreiberangaben ist nicht möglich. Daher wissen wir auch nicht, ob und gegebenenfalls wie die Verschlüsselung tatsächlich einem ernsthaften Versuch der Entschlüsselung standhält. In vielen Fällen haben zum Beispiel Ermittlungsbehörden hierzu fast alle Zeit der Welt, denn wenn etwa bei einer Hausdurchsuchung ein Mobiltelefon beschlagnahmt wird, kann man sich beim Landeskriminalamt die darauf befindlichen Daten in aller Ruhe vornehmen.

Dasselbe gilt für mögliche geheime Vereinbarungen der Schweizer Betreiber mit Dritten, zum Beispiel heimischen Ermittlungsbehörden. Absolute Sicherheit gibt es hier also nicht.