Freunde in einem Messenger zu finden und das Adressbuch privat zu halten sind nicht ein und dieselbe Frage. Die App muss feststellen, welche Kennungen zum Dienst gehören; die Methode dieses Abgleichs bestimmt jedoch, welche Informationen der Dienst erhält. Das Hashen einer Telefonnummer allein garantiert nicht, dass die Nummer nicht identifiziert werden kann.
Warum lässt sich eine gehashte Nummer möglicherweise identifizieren?
Eine Hashfunktion wandelt eine Eingabe in einen Wert fester Länge um. Der Raum möglicher Telefonnummern ist jedoch begrenzt und strukturiert. Ein Angreifer kann mögliche Nummern erzeugen, ihre Hashwerte berechnen und nach Übereinstimmungen suchen. Dabei wird nicht „der Hash entschlüsselt“, sondern es werden vorhersagbare Eingaben ausprobiert.
Signal erläutert genau diese Einschränkung von Kennungen mit geringer Vielfalt in seiner Beschreibung des Problems der privaten Kontaktsuche. Derselbe Beitrag stellt ein Design auf Basis einer vertrauenswürdigen Ausführungsumgebung vor. Dieses historische Beispiel sollte ohne Prüfung der Version und neuer Dokumentation nicht auf alle Messenger übertragen werden.
„Der Server sieht nur Hashwerte“ ist deshalb keine vollständige Antwort auf die Datenschutzfrage. Es muss klar sein, wer die Abgleiche berechnen kann, welche Anfragen protokolliert werden und wie lange die Daten erhalten bleiben.
Was erlaubt die Kontaktberechtigung?
Die Berechtigung zum Lesen von Kontakten ermöglicht der App den Zugriff auf Adressbuchdaten; sie sagt für sich genommen nicht aus, ob die App diese Daten hochlädt. Name, Telefonnummer, E-Mail-Adresse und Kontaktnotizen können sensibel sein, insbesondere wenn sie Informationen über Menschen enthalten, die den Dienst gar nicht nutzen.
Die Android-Dokumentation zum Contacts Provider unterscheidet zwischen umfassendem Lesen des Adressbuchs und der Auswahl eines Kontakts über die Systemoberfläche. Der Zugriffsumfang hängt von der Implementierung und der Betriebssystemversion ab.
| Methode der Kontaktsuche | Möglicher Vorteil | Was geprüft werden sollte |
|---|---|---|
| Benutzernamen oder Einladungslink teilen | Erfordert möglicherweise nicht das Lesen des gesamten Adressbuchs | Suchbarkeit der Kennung und Möglichkeit für andere, das Konto zu finden |
| Einige Kontakte auswählen | Der App werden weniger Daten bereitgestellt | Erhält die App tatsächlich nur die ausgewählten Einträge? |
| Liste von Nummern oder Hashwerten hochladen | Einfacherer Abgleich mit registrierten Nutzern | Möglichkeit, Nummern zu erraten, Anfragen zu protokollieren und die Liste aufzubewahren |
| Spezielles Protokoll zur privaten Kontaktsuche | Kann die Offenlegung innerhalb eines Bedrohungsmodells verringern | Vertrauensannahmen, Einschränkungen und Nachweise unabhängiger Prüfung |
Was beweist Nachrichtenverschlüsselung nicht über das Adressbuch?
Ende-zu-Ende-Verschlüsselung kann den Gesprächsinhalt vor dem Server verbergen, sagt allein aber nichts über Kontaktberechtigungen, Nutzersuchanfragen oder die Protokollierung von Beziehungen aus. Selbst ohne Adressbuch können Routing-Informationen einen Teil der Kommunikationsbeziehungen erkennen lassen.
Livara erläutert auf seiner Sicherheitsseite die Speicherung und Verarbeitung betrieblicher Informationen wie Gruppenmitgliedschaft, Zeitangaben und Routing. Aus diesem Dokument lässt sich nicht ableiten, dass das Adressbuch mit einer bestimmten Methode gehasht wird, keinerlei Verlauf aufbewahrt wird oder das Beziehungsnetz vollständig verborgen ist. Solche Aussagen benötigen eine gesonderte Erklärung der Kontaktsuche.
Stellen Sie vor der Berechtigungserteilung diese fünf Fragen
- Kann ich auch ohne Kontaktberechtigung per Benutzername oder direkter Einladung chatten?
- Welche Felder verlassen genau das Gerät: nur die Nummer oder auch Namen und weitere Details?
- Wie werden Informationen über Personen, die den Dienst nicht nutzen, verwendet und gelöscht?
- Unterbindet der Widerruf der Berechtigung nur zukünftigen Zugriff, oder gibt es auch einen Weg, bereits übertragene Daten zu löschen?
- Stimmen die technische Erklärung und die Richtlinie zur Datenaufbewahrung mit der aktuellen App-Version überein?
Prüfen Sie die App-Berechtigung in den Systemeinstellungen und beschränken Sie unnötigen Zugriff, wenn Sie die automatische Freundessuche nicht benötigen. Die Bezeichnungen der Optionen unterscheiden sich je nach Telefon. Setzen Sie den Widerruf einer Berechtigung nicht mit der Löschung bereits hochgeladener Informationen gleich.
Kontaktdatenschutz bemisst sich an Datenminimierung und klaren Datenwegen – nicht allein daran, dass neben einer Telefonnummer das Wort „Hash“ steht.
