Forscher kritisieren Threema » Schwachstellen in der Verschlüsselung entdeckt

Die Schweizer Messenger App Threema soll laut Forschern jahrelang eine veraltete Verschlüsselungstechnologie genutzt haben. Zu dem Schluss kam eine Expertengruppe der Technischen Hochschule Zürich in einem Paper. Threema CEO Martin Blatter spricht bei den Erkenntnissen von rein theoretischen Problemen, die außerdem bereits behoben wurden. Was steckt hinter der Kritik?

Das Wichtigste in Kürze

• Laut Forschern der Technischen Hochschule Zürich setzte Threema lange auf veraltete Verschlüsselung 
• Threema CEO Blatter bezeichnet Erkenntnisse als rein theoretisch ohne praktische Gefahr
• Die meisten Probleme bereits 2022 mit Update auf neues Protokoll "Ibex" behoben

Threema gilt als einer der sichersten Messenger überhaupt und wird daher auch von Behörden, Militär und Politikern genutzt, zum Beispiel von Kanzler Olaf Scholz. Eine Forschungsgruppe der Technischen Hochschule Zürich hat am Montag ein Paper veröffentlicht, in dem Sicherheitslücken von Threema aufgedeckt werden. Die Verschlüsselungstechnologie soll im Vergleich zum Konkurrenten Signal veraltet sein und grundlegende Schwächen aufweisen, so der Leiter der Forschungsgruppe gegenüber der NZZ. Martin Blatter, CEO von Threema, hält dagegen, dass die Entdeckung in der Praxis keine Anwendung finde. 

Um welche Schwachstellen geht es?

Konkret geht es um Sicherheitslücken im kryptographischen Protokoll der App. Diese sollten es laut Paper der ETH Zürich ermöglichen, dass Angreifer theoretisch Metadaten der Kommunikation mitlesen oder Nachrichten löschen konnten. Laut der NZZ wollten die Forscher vor allem darauf aufmerksam machen, dass Threema seine Verschlüsselungstechnologie nur oberflächlich habe prüfen lassen. 

Wie reagiert Threema?

Threema CEO Blatter räumt die Forschungserkenntnisse zwar nicht ganz aus, jedoch spricht er von rein theoretischen Überlegungen. So seien die Forschungsszenarien derart gestaltet, dass "keines von ihnen jemals nennenswerte Auswirkungen in der Praxis" habe. Die meisten der Schwachstellen wurden bereits mit einem Update im letzten Jahr 2022 behoben. Mit dem neuen Protokoll "Ibex" wurde zudem die Option auf "Perfect Forward Secrecy" für Nutzer:innen eingeführt (Schnäppchenfuchs berichtete). Laut Martin Blatter habe Threema auf Grundlage des Forschungspapers zudem weiter an Servern gefeilt und alle Erkenntnisse berücksichtigt, die noch nicht durch das Update aufs neue Ibex-Protokoll behoben wurden.

Beitragsbild: Pixabay // Pete Linforth