Die Forderung zur Herausgabe privater Daten von einem iPhone durch das FBI hat die Diskussionen um Datensicherheit und Schutz der Privatsphäre erneut angefacht. WhatsApp nutzt die Aufmerksamkeit für einen wichtigen Schachzug: Alle Nachrichten der Nutzer sollen nun verschlüsselt übertragen werden. Und zwar unabhängig vom Betriebssystem. Denn die Android-App von WhatsApp bot schon seit einiger Zeit Schutz durch Verschlüsselung. Von nun an gibt es eine umfassende Ende-zu-Ende-Verschlüsselung aber auch für die iOS-App sowie für die Apps für Windows Phone und andere seltenere mobile Betriebssysteme.
Die durchgehende Ende-zu-Ende-Verschlüsselung wurde von Nutzern und Sicherheitsexperten schon lange gefordert, schließlich kann WhatsApp mittlerweile über eine Milliarde Anwender vorweisen, deren private Nachrichten bislang meist unverschlüsselt übermittelt wurden.
So funktioniert die Ende-zu-Ende-Verschlüsselung bei Whatsapp
Wer regelmäßig die App-Updates auf das Smartphone aufspielt, bekommt seit ein paar Tagen direkt in dem Nachrichten-Chat auf Whatsapp eine neue Meldung: “Nachrichten, die Sie in diesem Chat senden, sowie Anrufe, sind jetzt mit Ende-zu-Ende-Verschlüsselung geschützt. Tippen Sie (hier) für mehr Infos.” Laut einem Blogpost von den Whatsapp-Entwicklern sind alle App-Versionen verschlüsselungsfähig, die seit dem 31. März aktualisiert worden waren. In unserem Test war es jedoch notwendig, die Windows-App erstmals zu löschen und neu zu installieren, damit die Funktion aktiviert wird. Auf den verfügbaren iPhones war dies jedoch ohne eine frische Installation möglich.
Tippt man auf die Benachrichtigung, erklärt die App, worum es sich handelt: “Weder Whatsapp, noch Dritte können sie (Nachrichten) lesen oder hören”. Danach muss der Anwender – oder besser gesagt – müssen die beiden Gesprächspartner tätig werden. In der App wird ein QR-Code eingeblendet, diesen muss der Gegenpart mit seinem Smartphone einscannen, ab dann ist die Konversation verschlüsselt. In die Gegenrichtung geht das genau so: Bitten Sie Ihren Gesprächspartner, Ihnen den QR-Code zu zeigen. Wichtiger Hinweis der Whatsapp-Macher: Einmal aktiviert, lässt sich die neue Verschlüsselung nicht mehr abschalten.
Für eine Verifikation auf Distanz hat Whatsapp die Sicherheitsnummer vorgesehen. Diese lassen sich per Mail oder SMS schicken und von dem Gegenpart bestätigen.
Technische Hintergründe
Whatsapp verschlüsselt die Nachrichten schon einige Zeit, allerdings war die herkömmliche Sicherheitsfunktion nur zwischen dem Server und dem Endgerät etabliert . Dies bedeutete, solange die Nachrichten auf dem Whatsapp-Server noch lagen, konnten sie theoretisch gelesen werden. Im Unterschied dazu überträgt nun Whatsapp die Nachrichten vom Client zum Client verschlüsselt . Auch auf beim Zwischenstopp auf dem Server des Anbieters landen dann für ein fremdes Auge Buchstaben- und Zahlensalate, denn niemand kann die Nachrichten lesen, ohne die Schlüssel zu kennen, die die beiden Chat-Partner austauschen. Wie genau die Ende-zu-Ende-Verschlüsselung funktioniert und warum man dafür die sogenannten Public Keys austauschen muss, ist in diesem kurzen Video anhand einer Farb-Analogie erklärt:
Whatsapp gibt an, dass der Dienst den AES256 -Standard für Verschlüsselung und den HMAC-SHA256 für die Authentifizierung nutzt. Laut einer ausführlichen Anleitung im Blog des Anbieters wird jede einzelne Nachricht mit einem dynamischen Schlüssel chiffriert. Das bedeutet, selbst wenn solche Nachrichten abgefangen werden und nachträglich von Fremden entschlüsselt werden sollten, ist das nicht mehr möglich, denn dieser ändert sich mit jeder verschickten Message. Auch größere Anhänge wie Videos, Audiodateien und andere sind laut Whatsapp nun von Nutzer zu Nutzer verschlüsselt.
Bei den Gruppen-Chats, die nun auch zwischen den Nutzern verschlüsselt werden sollten, funktioniert die Übermittlung ähnlich wie bei privaten Nachrichten. Während bei einem herkömmlichen Gruppen-Chat der Nutzer eine einzelne Nachricht an den Server geschickt hat und der Server dann die Nachrichten an die Empfänger verteilt hat, wird bei dem neuen Verfahren die Nachricht einzeln an jeden Empfänger übertragen. Hier müssen alle Nutzer das gleiche Prozedere durchlaufen wie auch bei der normalen Unterhaltung in Whatsapp – den Schlüssel von dem Gruppen-Chat-Autor annehmen. Sobald ein Mitglied eine solche Gruppenunterhaltung verlässt, wird bei den anderen Mitgliedern der sogenannte “Sender Key” neu aufgesetzt, der Aussteiger kann die Nachrichten nicht mehr lesen.
Auch bei der Übertragung ergeben sich für die End-Nutzer ein paar Vorteile: Die Metadaten sind für die Außenstehende nicht lesbar, so sind die Nutzer-Identitäten geschützt. Whatsapp speichert bei solchen Verfahren keine Privaten Keys der Nutzer. Wenn jemals die Datenbank des Anbieters durch die Hacker-Angriffe veröffentlicht wird, wird dies auf die Sicherheit der Verschlüsselung keinen Einfluss haben, denn ohne die Private Keys, die nur auf den Endgeräten gespeichert sind, sind die Daten auf dem Server nutzlos.