Moin!
Die haben nämlich das Open Source Protokoll von Signal untersucht und sind zu folgendem Ergebnis gelangt:
Die Frage ist nicht, ob sie das Protokoll untersucht haben, sondern ob die Implementierung der sicherheitsrelevanten Code-Teile *in jeder Version* auditiert werden. Das Protokoll zu testen und für sicher zu befinden, ist so, als wenn du sagst, dass Meredes-Fahrzeuge sicher sind, weil der Fahrbahntest der Autobahn vor zwei Jahren einen guten Belag bescheingt hat.
Von "nichts" kann also nicht die Rede sein.
Doch, im Grund schon. Die Situation ist doch wie folgt: Verteilt über eine Vielzahl an Messengern gibt es vereinzelt für veraltete Versionen Audits für Teilaspekte der Apps, ohne das der Source Code zur Verfügungs teht und ohne dass überall alle Aspekte der Studien bekannt sind.
Mir ist - ohne dass ich das jetzt aber auch besonders intensiv verfolge - kein Messenger bekannt, der Open Source ist und für alle Aspekte der sicherheitsrelevanten Aspekte UND der Implementierung einem Audit unterzogen worden sind und dessen Testszenarien auch nachvollziehbar sind.
Wie gesagt gibt es keine Nachweise dazu, dass die getesten Closed Sources heute noch mit auditierten Versionen übereinstimmen.
Man muss nur raus aus der Komfortzone "WA nutzen weil es alle nutzen" und man kann durchaus Alternativen finden.
Ich glaube, du verstehst mich an dieser Stelle nicht. Ich finde WA gruselig. Ich bin großer Freund von Datenschutz, selbst heute versuche ich noch möglichst alle meine Emails mit PGP zu verschlüsseln etc. Aber wir führen hier gerade zwei Diskussionen, die miteinander vermischt werden:
1. WA als Platzhirsch. Dazu habe ich oben ausgeführt, warum aus meiner Sicht WA hier Nr. 1 ist und warum sich das auf absehbare Zeit meiner Meinung nach nicht ändern wird. Dass WA technisch, wie aus Datenschutzsicht, so ziemlich der schlechteste Stand ist, hat damit nichts zu tun.
Die Frage ist schlicht und ergreifend ja auch nicht, ob ich mich aus einer bequemen Situation heraus begeben will, sondern ob die Leute die mit einem kommunizieren, das wollen. Mit Blick auf den "Erfolg" alle WA-Alternativen, würde ich sagen, hält sich jener Wechselwille im Bereich homöopathischer Mengen auf.
2. Der technische und sicherheitsrelevante Aspekt, der aber vollkommen frei steht, von der Marktdurchdringung. Auch hier bin ich bei weitem kein Anhänger von WA - nur erstreckt sich beim Misstrauen eben nicht nur auf WA, sondern grundsätzlich auch auf die anderen, denen hier ansonsten gerne Vertrauen geschenkt wird, was aus meiner Sicht genauso ungerechtfertigt ist, wie bei WA. Und nein, alte Audits, nicht nachvollziehbare Programmänderungen (und damit meine ich keinen Changelog) etc. bei Software wo wir gerade über den Sicherheitsaspekt reden, geben keine Sicherheit und schenken kein Vertrauen.
Interessanterweise: Würde ich dir heue einen Auditbericht von 1995 vorlegen, dass Windows 95 im Auslieferzustand das sicherste OS wäre, würdest du das auch in Frage stellen und kritisieren - bei Messengern und einem geringeren Zeitraum, ist hingegen alles gut?!
Im Ergebnis: Nur weil ich die anderen Messenger doof/unzureichend/... finde, finde ich deswegen WA nicht gut.
Wobei man sagen muss WA ist durch den Einsatz des Signal Protokolls zur Verschlüsselung schon auf einem guten Weg, aber es gibt noch immer berechtigte Bedenken die dazu führen das man die Nutzung von WA nicht empfehlen kann
Das Problem bei WA ist ja noch weitreichender, als nur die Nachrichteninhalte. Im Hintergrund steht Facebook, die nunmal mit der Vermaschung von Informationen ihr Geld verdienen, um Zielgruppen zu bedienen, mit Werbung zu versorgen etc. Selbst ohne die Kenntnis der Nachrichteninhalte, ist alleine schon der Umstand, dass WA deine Netzwerke/Kontakte kennt, schon als kritisch anzusehen.
Was sich alleine aus solchen Vernetzungen an Informationen gewinnen lässt, ist spannend und wirklich gruselig zugleich. Ich habe da vor gar nicht all zu langer Zeit einem Beitrag von zwei Autoren beigewohnt, wo es um Big Data ging; der Kontext war zwar ein etwas anderer, aber es wurden wunderbare Szenarien disktuiert - und natürlich auch Möglichkeiten der Nutzeridentifizierung auch wenn diese sich "Verschleiern" (z.B. durch VPN-Nutzung, Alias-Namen, ... je nach Kontext).
Über die Aggregation der Informationen die aus anderen Quellen zur Verfügung stehen plus die dennoch über "dich" abgreifbaren Informationen (Fingerprint des Browsers, Fahrprofil, Kontakte, oder oder oder oder...) lässt sich am Ende dennoch mit ziemlich hoher Wahrscheinlichkeit sagen: Ah, schau mal, dass ist der Martin Müller, Mustermannweg 23 aus München.
Was sich dann noch mit solchen Daten anfangen lässt, ist noch eine ganz andere Frage - als altbackendste Beispiel wohl die Schufa. Aber an der Stelle höre ich einfach mal auf.
Und selbst wenn wir das "Positiv"-Beispiel nehmen: Es gab seither eine Reihe an neuer Versionen. Selbst ein Bericht von gestern zu einer nicht mehr aktuellen Version gibt *keinerlei* Validität für die Sicherheit der aktuellen Version. 