Eine Linkvorschau kann bereits vor Ihrem Klick eine Netzwerkanfrage auslösen. Wer die Anfrage sendet und welche Informationen die Zielwebsite sieht, hängt jedoch vom Aufbau des Messengers ab. Aus einem Vorschaubild im Chat lässt sich nicht schließen, dass die IP-Adressen von Absender und Empfänger beide offengelegt wurden.
Ende-zu-Ende-Verschlüsselung schützt die Nachricht auf ihrem Weg zwischen den Gesprächsteilnehmern. Der Abruf von Titel und Bild einer Website erfolgt auf einem separaten Weg, der gesondert bewertet werden muss.
Drei verschiedene Wege zur Erstellung einer Vorschau
| Methode | Was sieht die Zielwebsite? | Wichtige Frage |
|---|---|---|
| Direkter Abruf durch das Gerät | Die IP der anfragenden Verbindung und begleitende Informationen | Erfolgt die Anfrage beim Tippen, Senden oder Empfangen? |
| Abruf über einen Vermittler oder Proxy | Meist die IP des Vermittlers statt der direkten IP des Nutzers | Was sieht und speichert der Vermittler selbst? |
| Der Absender erstellt die Vorschau und sendet sie in der Nachricht | Der Empfänger muss sich zum Anzeigen der Karte möglicherweise nicht mit dem Ziel verbinden | Sind die Bilder in der Karte lokal, oder werden sie erneut aus dem Web geladen? |
Diese Methoden lassen sich kombinieren. Signal beschrieb beispielsweise in einer technischen Erläuterung von 2019 den Einsatz eines Proxys für Vorschauen. Dieses Dokument ist ein Designbeispiel; es darf nicht ungeprüft auf alle Versionen oder alle Apps übertragen werden. Die aktuelle Signal-Anleitung erläutert, wie sich die Vorschauerstellung abschalten und eine Karte vor dem Senden entfernen lässt.
IP, Linkkennung und Identität sind nicht dasselbe
Die Zielwebsite sieht die IP der Stelle, die die Netzwerkverbindung aufbaut; das kann ein Gerät, VPN oder Proxy sein. Eine IP allein ist normalerweise weder der Name einer Person noch deren genaue Wohnadresse. Zusammen mit dem Anfragezeitpunkt und anderen Daten kann sie aber dazu dienen, Ereignisse miteinander zu verknüpfen.
Auch ein Link mit einer eindeutigen Kennung kann zeigen, dass genau diese URL angefragt wurde. Diese Beobachtung allein beweist nicht, wer sie gelesen hat: Die Anfrage kann von einer Vorschau, einem Sicherheitstool, dem Absender, dem Empfänger oder jemandem stammen, an den der Link weitergeleitet wurde.
Eine IP-Adresse ist zudem nicht unbedingt ein Feld innerhalb von HTTP, sondern Teil der Netzwerkkommunikation. Art und Werte von Headern wie User-Agent hängen von der anfragenden Software ab.
Einen Seitentitel abrufen ist nicht dasselbe wie die ganze Seite ausführen
Manche Vorschauen laden und verarbeiten nur HTML und Bilder. Das bedeutet nicht zwangsläufig, dass JavaScript ausgeführt oder die Seite im Browser geöffnet wird. Dagegen können das Vorladen oder die Anzeige einer Seite in einer Webumgebung anders funktionieren.
Stellen Sie deshalb zwei getrennte Fragen: „Wird eine Anfrage an die Website gesendet?“ und „Wird aktiver Inhalt der Seite ausgeführt?“ Die Antwort auf die eine bestimmt nicht die Antwort auf die andere.
Praktische Einstellungen für sensible Gespräche
- Wenn Sie keine Vorschaukarte benötigen, prüfen Sie die Einstellung zur automatischen Erstellung in der App. Das Entfernen einer bereits erstellten Karte macht die vorherige Anfrage nicht rückgängig.
- Behandeln Sie unbekannte Links sowie persönliche Anmelde-, Wiederherstellungs- oder Dateifreigabelinks als sensible Daten. Geben Sie sie nicht zu Testzwecken in öffentliche URL-Analysedienste ein.
- Entfernen Sie Parameter eines signierten Links nicht eigenmächtig; dadurch können Zugriff oder Gültigkeit beeinträchtigt werden. Besorgen Sie nach Möglichkeit eine öffentliche, nicht personalisierte Version der Seite von der ursprünglichen Quelle.
- Verwechseln Sie das Abschalten von Vorschauen nicht mit der Verhinderung sämtlicher Netzwerkverbindungen. Das Öffnen von Links, externe Bilder und andere Funktionen haben jeweils eigene Wege.
- Prüfen Sie bei einer betrieblichen Bewertung mit einer harmlosen URL unter Ihrer Kontrolle und einem Testgerät, wann Anfragen entstehen. Übertragen Sie das Ergebnis einer Version nicht auf alle Geräte.
Was lässt sich über Livara sagen?
Livaras Bedrohungsmodell erläutert die Grenzen des Schutzes privater Inhalte sowie Einschränkungen durch Geräte und Netzwerke. Aus dieser allgemeinen Erklärung lässt sich nicht ableiten, dass jede Vorschau in jeder Version zwingend direkt oder zwingend über einen Proxy abgerufen wird. Eine solche Aussage erfordert eine Dokumentation der Funktion oder eine Untersuchung genau dieser Version.
Für den Datenschutz bei Links ist der Weg der Anfrage wichtiger als das Aussehen der Vorschaukarte.
