Signal-Präsidentin: „Telegram ist notorisch unsicher“ Noch mehr Aufruhr in der Messenger-Welt

Anbieter zum Thema

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Die nächste Runde im Streit der Messenger-Chefs: Nachdem sich Signal-Foundation-Präsidentin Meredith Whittaker diverser Anschuldigungen seitens Elon Musk und des Signal-Konkurrenten Telegram erwehrten musste, holte sie zum Gegenschlag aus. Telegram sei „notorisch unsicher“ und kooperiere insgeheim mit Behörden, so Whittaker. Wir erläutern, was man über diese Vorwürfe wissen muss.

Elon Musk hatte am 6. Mai auf seiner Plattform X gepostet: „Es gibt bekannte Schwachstellen in Signal, die nicht behoben werden. Schon seltsam ...“ Meredith Whittaker, Präsidentin der US-amerikanischen Signal Foundation, Betreiber des Secure-Messaging-Dienstes Signal, reagierte am Folgetag mit einer ausführlichen Gegendarstellung. Wenig später erhob Pavel Durov, Chef des ursprünglich russischen Konkurrenzangebots Telegram, eine Reihe weiterer Vorwürfe. Diese erweisen sich bei näherem Hinsehen als ebenso wenig tragkräftig wie Musks Andeutung, Signal halte absichtlich Sicherheitslücken offen (Security-Insider berichtete).

Anschuldigungen der X-, Signal- und Telegram-Chefs

Aufruhr in der Messenger-Welt

Als Antwort an Durov teilte nun Whittaker Ohrfeigen aus: „Telegram ist notorisch unsicher und arbeitet hinter den Kulissen routinemäßig mit Regierungen zusammen, während es große große Töne spuckt, wenn es um Sprache [gemeint ist offenbar „free speech“, also Redefreiheit, d. Red.] und Privatsphäre geht“, schimpfte sie. „Sogar ihre begrenzte (selbstgestrickte) Opt-in-Verschlüsselung ist verdächtig. Je mehr man weiß ...“

„Alles auf Telegram ist verschlüsselt, einschließlich Gruppen und Channels“, betonte ein Telegram-Pressesprecher gegenüber Security-Insider. „Cloud-Chats verwenden eine sichere Client-Server-Verschlüsselung und Secret Chats verwenden eine Ende-zu-Ende-Verschlüsselung.“ Denoch gilt Telegram unter Security-Fachleuten als unsicher – sogar so unsicher, dass viele gar nicht von einem „Secure“ Messenger sprechen.

Hauptkritikpunkt an dem Messaging-Service, den die in Russland geborenen Brüder Nikolai und Pavel Durov einst gründeten und den Pavel Durov inzwischen von Dubai aus betreibt: Die Telegram-Nachrichten sind nicht von Haus aus Ende-zu-Ende-verschlüsselt. Vielmehr müssen Nutzer die sogenannten „Secret Chats“ erst manuell aktivieren. Jeder zusätzlich nötige Handgriff erhöht aber bekanntlich das Opsec-Risiko (Operations Security).

Vor allem aber ersetzt erst das Opt-in zu geheimen Chats die Client/Server-Verschlüsselung durch eine durchgängige Client-Client-Verschlüsselung zwischen zwei Endpunkten. Ohne Opt-in, so die Kritiker, liegen Nachrichten also unverschlüsselt auf Telegram-Servern. Der Dienst finanziert sich über Werbung in den Channels. Telegram hat also ein Eigeninteresse, das Verhalten und die Vorlieben der Nutzer zu kennen.

Serverseitig gespeicherte Messages, so mahnen Security-Fachleute, seien damit aber auch zugänglich für Dritte, denen Telegram Zugriff gewährt – oder die ihn sich verschaffen. So warnte zum Beispiel der Security-Experte Moxie Marlinspike, der einst Signal gegründet hatte, Anfang 2022: „Telegram ist der beliebteste Messenger in der urbanen Ukraine. Nach einem Jahrzehnt irreführenden Marketings und irreführender Presse glauben die meisten Menschen dort, es sei eine ‚verschlüsselte App‘. In Wirklichkeit ist das Gegenteil der Fall: TG [Telegram, d.Red.] ist standardmäßig eine Cloud-Datenbank mit einer Klartextkopie jeder Nachricht, die alle jemals gesendet/empfangen haben.“Telegram betont dem gegenüber, die Nachrichten seien auch auf den Telegram-Servern stets verschlüsselt und getrennt von den Schlüsseln gespeichert.

Wie verschlüsselt Telegram?

Telegram verwendete zunächst das im Haus entwickelte Protokoll MTProto, in dem britische und Schweizer Forscher 2021 allerdings mehrere Lücken fanden (darauf spielt Whittaker mit „selbstgestrickt“ an). Heute kommt hingegen MTProto 2.0 zum Einsatz. Hierfür nutzen die Telegram-Betreiber, wie sie in ihrem FAQ betonen, symmetrische 256-Bit-AES-Verschlüsselung, RSA-2048-Verschlüsselung und den Diffie-Hellman Key Exchange, um Man-in-the-Middle-Angriffe auszuschließen – somit die auch in den USA üblichen Branchenstandards. Die Anschuldigung einer „selbstgestrickten“ Opt-in-Verschlüsselung läuft hier also ins Leere.

Telegrams Verschlüsselungsprotokolle sind, wie der Anbieter betont, vollständig dokumentiert und die Anwendungen Open Source. „Auf diese Weise kann jeder Forscher die Integrität und Implementierung der Telegram-Verschlüsselung unabhängig überprüfen“, so die Telegram-Pressestelle unter Verweis auf eine Untersuchung der Universität von Udine in Italien.

Deren Fazit: „MTProto 2.0 weist keine logischen Schwachstellen auf. Schwachstellen können nur von den kryptografischen Primitiven, Implementierungsfehlern (z.B. unzureichenden Überprüfungen), der Exfiltration über Seitenkanäle (z.B. Timing- oder Traffic-Analyse) oder von falschem Benutzerverhalten ausgehen.“ Die italienische Uni nennt folgendes Beispiel: „Ein MITM-Angriff ist möglich, wenn die Benutzer die Fingerabdrücke ihrer gemeinsamen Schlüssel nicht überprüfen.“

Vorwurf: Telegram kooperiert mit dem Kreml

Mit ihrem Vorwurf, Telegram kooperiere „routinemäßig mit Regierungen hinter den Kulissen“, spielt Whittaker offenbar auf diverse US-Medienberichte an. Wohlgemerkt: Telegram ist heute in Dubai beheimatet, hat doch Pavel Durov Russland 2014 verlassen, nachdem dortige Behörden Druck auf das von ihm gegründete soziale Netzwerk VK ausgeübt hatten. Dennoch legten Medienberichte vor dem Hintergrund des Ukrainekriegs eine Zusammenarbeit zwischen Telegram und der russischen Regierung nahe.

So titelte zum Beispiel Wired im Februar 2023: „Der Kreml ist dem Chat beigetreten“. Der Artikel beschreibt unter anderem den Fall von Marina Matsapulina, der Vizevorsitzenden einer russischen Oppositionspartei, die berichtet, Polizisten hätten bei ihrer Verhaftung aktuelle Informationen aus einem Telegram-Gruppenchat gekannt. Doch Opsec ist eben bei Secure Messengers generell eine Herausforderung, auch bei Signal. Das Risikofeld reicht vom unvorsichtigen Chat-Partner bis zum „Staatstrojaner“. Das Bekanntwerden von Messages lässt also nicht automatisch auf die Kooperation eines Messaging-Betreibers mit Behörden schließen.

Der Artikel bezieht sich allerdings auch auf die Fachleute Elies Campo, Fellow am Citizen Lab, und Jordan Wildon, Forscher am Institute for Strategic Dialogue, die Telegram einen viel zu laxen Umgang mit ihrer API vorwerfen. Die Folgerung: „Die russischen Behörden brauchen möglicherweise nicht einmal die Zusammenarbeit mit Telegram, um Nutzer in großem Stil zu überwachen.“ Diesen Vorwürfen widersprach Telegram auf einer eigens dafür eingerichteten Webpage: „Die Telegram-API ermöglicht es nur, dieselben Daten abzurufen, die für alle Nutzer über die regulären Telegram-Apps zugänglich sind.“

Kürzlich meldete CCN, eine Crypto-Nachrichtensite, der russische Abgeordnete Artem Metelev habe bestätigt, dass Telegram im Rahmen von „Anti-Terror-Untersuchungen“ auf den Wunsch russischer Behörden hin Kanäle gesperrt habe, was Telegram aber bestreitet. In westlichen Ländern entzieht sich Telegram erfolgreich solcher Einflussnahme – und gilt Extremisten deshalb auch hierzulande als Messenger der Wahl.

Musks Kommentar hat eine politische Dimension

Warum aber verweist Elon Musk – der neben NSA-Whisteblower Edward Snowden und Security-Vordenker Bruce Schneier lange Zeit zu den prominentesten Unterstützern von Signal zählte – gerade jetzt auf angebliche Signal-Schwachstellen? Mit dieser Frage verlassen wir die große Weltbühne des Ost-West-Konflikts und begeben uns in den Morast der US-Innenpolitik.

Denn die Antwort lautet: Wahlkampf. Genauer: US-Präsidentschaftswahlkampf in Zeiten eines seit Jahrzehnten eskalierenden Kulturkampfs. Am einen Ende des Spektrums befindet sich die Woke-Bewegung, die systemische Ungerechtigkeiten hinterfragt. Das reicht von Rassismus, Sexismus und sozialer Ungerechtigkeit über die Alte-Weiße-Männer-Gerontokratie (Trump ist 77, Biden 81) bis zur Geschlechterhierarchie (unsere Gendersternchen-Debatte ist ein müder Ableger davon). Die extremsten Verfechter dieser politischen Strömung finden sich an den Universitäten, weshalb man dort nun größten Wert auf politisch korrekte Sprache legt.

Genau hier scheiden sich – wie bei uns – die Geister. Die Woke-Bewegung hat ein „deutsches“ Sprachverständnis: Man weiß, dass Sprache auch eine Handlung sein kann – nicht umsonst gibt es bei uns Tatbestände wie Volksverhetzung und Holocaust-Leugnung. Nur treibt die Bewegung dies ins Extrem und folgert, dass Sprache sogar Realität schafft.

Konservative hingegen vertreten gerne die Ansicht: „Es sind doch nur Worte!“ Deshalb setzen sie das First Amendment, also das Recht auf freie Meinungsäußerung, absolut. Auch dies gibt’s bei uns: „Das wird man doch wohl noch sagen dürfen!“ (Gegen eine Zensur etwa von Schulbüchern zu ihnen unliebsamen Themen haben sie aber nichts einzuwenden.) Aufgrund der gegensätzlichen Ansichten, was Sprache eigentlich kann und ist, reden beide Konfliktparteien unerbittlich aneinander vorbei.

Trump polarisiert nach wie vor

Am anderen Ende des Kulturkampf-Spektrums liegt Donald Trump. Der Ex-Präsident verkörpert alles, was den systemkritischen Linksintellektuellen – aber auch vielen moderaten Amerikanern – verhasst ist: Für sie ist er ein egomanischer Möchtegern-Autokrat, dem Gewinn und Macht das höchste Gut sind; der – ob aus politischem Kalkül oder anderen Gründen – in einer Scheinwelt aus Lügen lebt und von dort aus alle beschimpft und bedroht, die ihn nicht, wie die extreme religiöse Rechte der USA, als Heilsbringer verehren; dessen dauernde Hassreden das exakte Gegenteil gewalt- und hierarchiefreier Sprache sind; und der offenbar bereit wäre, die Demokratie für sein Ego zu opfern – wenn denn der inszenierte Volksaufstand des Trump-Mobs am 6. Januar 2021 Aussicht auf Erfolg gehabt hätte. Im US-Wahljahr trifft nun gärender Kulturkampf auf heißen Wahlkampf und lässt beides eskalieren.

Auf welcher Seite Elon Musk steht, zeigen seine Äußerungen schnell, zum Beispiel: „[US-Präsident Joe] Bidens Strategie ist sehr einfach: 1. So viele Illegale wie möglich ins Land holen. 2. Sie legalisieren, um eine dauerhafte Mehrheit zu schaffen – einen Einparteienstaat. Das ist der Grund, warum sie die illegale Einwanderung so stark fördern. Einfach, aber wirkungsvoll.“ Solches Gedankengut kennt man auch hierzulande.

Musk bezieht klar Stellung

Dies ist der Kontext zu Musks scheinbar beiläufiger Bemerkung. Denn seine Signal-Kritik mit dem bedeutungsschwangeren „Schon seltsam ...“ war ein Kommentar zu einem Post von Christopher Rufo, dem Autor des Buchs „America’s Cultural Revolution: How the Radical Left Conquered Everything“ (Amerikas Kulturrevolution: Wie die radikale Linke alles eroberte). Der europäische Leser reibt sich verwundert die Augen: Jenes Amerika, das nicht einmal eine flächendeckende Kranken-, geschweige denn Sozialversicherung hat, soll von der radikalen Linken erobert worden sein? Aber Rufo geht es eben nicht um Klassen-, sondern um Kulturkampf.

In einem Artikel mit dem Titel „Signal’s Katherine Maher Problem“ beschreibt Rufo die Signal-Historie als die eines Projekts, das von Anfang an von US-Behörden gesteuert wurde – getreu dem Weltbild der Trump-Anhänger, die dem „System“ misstrauen, wie ja auch einst Trump als US-Präsident seinem Vorbild Putin eher glaubte als seinem eigenen Geheimdienst.

Man fühlt sich in Trump-Anhängerkreisen gerne vom Staat ausspioniert und an der Redefreiheit gehindert. Deshalb sind dem rechten Autoren Rufo Menschen wie Katherine Maher ein Dorn im Auge. Maher, heute Chefin von NPR (dem US-Pendant zu ARD und ZDF), kämpfte früher als CEO der Wikimedia Foundation gegen Falschinformationen und befürwortete, Trump von den sozialen Medien zu verbannen. Twitter sperrte Trump nach endlos langem Hin und Her um seine Verleumdungen und Volksverhetzungen tatsächlich – und Musk übernahm später die Plattform nicht zuletzt, um dies wieder rückgängig zu machen.

Signal-Präsidentin Meredith Whittaker vertritt, wie Rufo kritisiert, ähnliche Ansichten wie Maher. Sie hatte, damals für Google tätig, vor dem Hintergrund der #MeToo-Bewegung Protestaktionen organisiert. Auch protestierte sie gegen Googles Annäherung an das US-Militär (Project Maven). Deshalb, so Rufo, habe Signal nun ein „Katherine-Maher-Problem“: Die Signal-Präsidentin ist ihm zu Trump-feindlich, ergo „linksradikal“.

So erklärt sich Musks Kommentar zu Rufos X-Post: Er insinuiert vorsätzlich nicht gefixte Schwachstellen, damit der US-Geheimdienst via Signal die armen, unschuldig verfolgten und an ihrer freien Meinungsäußerung gehinderten Unterstützer des Heilsbringers Trump besser überwachen kann. Es geht Musk nicht darum, die Kommunikation im Internet sicherer zu machen: Er will Trumps Gegner diskreditieren.

Egal, welcher der beiden Messenger wirklich sicherer ist: Von langer Hand vorbereiten werden die Trump-Anhänger ihren nächsten „spontanen Volksaufstand“ wohl nicht per Signal, sondern per Telegram.

(ID:50042294)