Fragen Sie nicht nur, wer Ihre Nachrichten lesen kann, sondern auch, wer die begleitenden Datensätze verknüpfen kann – und wie lange.
Nachrichtenmetadaten sind Informationen über eine Kommunikation statt über ihren Nachrichtentext: je nach System etwa Kontokennungen, Zeitangaben, Verbindungsdaten, Zustellstatus oder Gruppenmitgliedschaft. Ende-zu-Ende-Verschlüsselung kann den Text für den Zustelldienst unlesbar halten, während ein Teil dieser begleitenden Informationen sichtbar bleibt.
„Ich komme um sechs“ ist beispielsweise Inhalt. Dass ein Konto ein anderes zu einer bestimmten Zeit kontaktiert hat, ist ein Metadatum. Welche Partei den jeweiligen Sachverhalt beobachten kann, hängt von der App- und Netzwerkarchitektur ab.
Nachrichteninhalte und Metadaten sind verschieden
Ende-zu-Ende-Verschlüsselung schützt den Inhalt einer Unterhaltung. Metadaten beschreiben, wie der Messaging-Dienst diese Unterhaltung übermittelt und verwaltet: welche Konten teilnehmen, wann ein Ereignis stattfand, ob eine Nachricht zugestellt wurde und welcher Dialog sie erhalten soll.
Diese Unterscheidung ist wichtig, weil ein Messenger Nachrichtentext verschlüsseln und dennoch Betriebsinformationen aufbewahren kann. Sie bedeutet auch, dass Begriffe wie „verschlüsselt“, „privat“ und „Zero Knowledge“ nicht austauschbar sind. Eine nützliche Sicherheitsbewertung fragt genau, welche Daten verschlüsselt sind, wo die Schlüssel liegen und welche Informationen dem Dienst weiterhin zugänglich bleiben.
Was Ende-zu-Ende-Verschlüsselung schützt
In einer korrekt implementierten Ende-zu-Ende-verschlüsselten Unterhaltung verschlüsselt ein Absender den Inhalt, bevor er den Speicher erreicht, und ein Teilnehmergerät entschlüsselt ihn. Der Dienst transportiert Chiffretext statt lesbarer Nachrichteninhalte.
Je nach Produkt kann E2EE Folgendes umfassen:
- Nachrichtentext und Bearbeitungen
- Bildunterschriften und Anhänge
- Sprachnachrichten und andere hochgeladene Medien
- Reaktionen oder Antworten, wenn sie Teil der verschlüsselten Nutzdaten sind
Die Abdeckung ist nicht automatisch gegeben. Ein Produkt kann direkte Nachrichten verschlüsseln, für Gruppen, Kanäle, Backups, Linkvorschauen oder Anrufe aber ein anderes Modell verwenden. Lesen Sie die Sicherheitsdokumentation des Produkts, statt anzunehmen, dass ein Schlosssymbol für jede Funktion gilt.
Welche Metadaten können sichtbar bleiben?
Ein Messaging-Dienst benötigt bestimmte Informationen, um Nachrichten zuzustellen, Zugriffsrechte durchzusetzen, Geräte zu synchronisieren und Missbrauch zu verhindern. Diese Betriebsdaten können umfassen:
| Datenkategorie | Warum ein Dienst sie verarbeiten könnte |
|---|---|
| Beteiligte und Dialogkennungen | Ein Ereignis an die richtigen Konten und die richtige Unterhaltung zustellen |
| Zeitstempel und Sequenznummern | Nachrichten ordnen und Aktualisierungen nach einer Unterbrechung nachholen |
| Zustell- und Lesestatus | Den Nachrichtenstatus über Geräte hinweg synchronisieren |
| Mitgliedschaften und Rollen | Den Zugriff auf Gruppen und Kanäle durchsetzen |
| Chiffretextgröße und Medienmetadaten | Verschlüsselte Inhalte korrekt speichern und zustellen |
| Netzwerkinformationen | Verbindungen aufbauen, Infrastruktur betreiben und Missbrauch untersuchen |
Das bedeutet nicht, dass jeder Dienst dieselben Daten erhebt oder sie gleich lange aufbewahrt. Es bedeutet, dass ein ernsthafter Datenschutzvergleich Erhebung, Aufbewahrung, Zugriffskontrollen und Löschung prüfen sollte, nicht nur den Verschlüsselungsalgorithmus.
Warum Metadaten Aufmerksamkeit verdienen
Metadaten können Muster offenlegen, auch wenn Nachrichteninhalte unlesbar bleiben. Häufige Kommunikation zwischen zwei Konten, eine plötzliche Aktivitätsänderung oder die Mitgliedschaft in einer bestimmten Gruppe können für sich genommen Kontext vermitteln.
Das praktische Risiko hängt davon ab, welche Daten erfasst werden, wie lange sie gespeichert bleiben, ob sie mit einer realen Identität verknüpft sind und wer darauf zugreifen kann. Ein kurzlebiger Betriebsdatensatz ist etwas anderes als ein dauerhaftes Werbeprofil. Ein transparenter Dienst sollte diesen Unterschied in seiner Datenschutz- und Sicherheitsdokumentation erläutern.
Fragen vor der Wahl eines Messengers
Verwenden Sie bei der Bewertung jeder Messaging-Plattform diese Fragen:
- Welche Gesprächsarten sind Ende-zu-Ende-verschlüsselt?
- Werden Anhänge vor dem Hochladen verschlüsselt?
- Wo werden private Identitätsschlüssel erzeugt und gespeichert?
- Kann ein anderes Gerät Schlüssel ohne ein separates Wiederherstellungsgeheimnis wiederherstellen?
- Welche Routing-, Mitgliedschafts-, Zeitstempel- und Zustelldaten bewahrt der Server auf?
- Sind Backups durch einen Schlüssel geschützt, der dem Dienst nicht zugänglich ist?
- Können Beteiligte nach einem Schlüsselwechsel die Fingerabdrücke öffentlicher Schlüssel überprüfen?
- Unterscheiden die Sicherheitsversprechen zwischen direkten Chats, Gruppen, Kanälen und Anrufen?
- Wie geht die Plattform mit Kontolöschung und aufbewahrten Daten um?
- Beschreibt die Datenschutzerklärung Analysen, Werbung und Dienste Dritter?
Konkrete Antworten sind wertvoller als pauschale Versprechen. Kann ein Dienst seine Vertrauensgrenze nicht beschreiben, können Nutzer keine fundierte Entscheidung darüber treffen.
Wer kann welchen Teil einer Unterhaltung beobachten?
Fassen Sie nicht alle Beobachter zu einer einzigen allwissenden Partei zusammen. Eine nützliche erste Einordnung ist:
| Beobachter | Mögliche Sichtbarkeit | Wichtige Grenze |
|---|---|---|
| Internetanbieter oder lokales Netzwerk | Verbindungsziele, Zeitangaben und Verkehrsvolumen | Korrekt geschützte Nachrichteninhalte sind nicht automatisch lesbar; sichtbare Felder variieren mit Transport und Weiterleitung |
| Messaging-Dienst | Konto-, Zustellungs- und Mitgliedschaftsinformationen, die sein Design benötigt | Er erhält möglicherweise keine E2EE-Inhalte im Klartext, und Aufbewahrung kann sich von vorübergehender Verarbeitung unterscheiden |
| Push- oder Hosting-Anbieter | Informationen, die für die Benachrichtigungs- oder Hosting-Integration des Dienstes erforderlich sind | Die Offenlegung von Nutzdaten und Kennungen hängt von der Implementierung ab |
| Andere Beteiligte | Entschlüsselte Nachrichten und in der Unterhaltung angezeigte Informationen | Sie können kopieren oder weitergeben, was sie erhalten |
| Jemand mit Kontrolle über ein Endgerät | Daten, die diesem Gerät oder dieser Sitzung zugänglich sind | Netzwerkverschlüsselung behebt keine Kompromittierung eines Endgeräts |
Diese Tabelle ist ein Denkrahmen, keine Messung einer bestimmten App. Ein Netzwerkanbieter sieht nicht zwangsläufig dieselben Kontodatensätze wie der Messenger, und ein App-Anbieter bewahrt nicht zwangsläufig alles auf, was er verarbeitet.
Die Datenschutzleitlinien des IAB in RFC 6973 behandeln Verknüpfbarkeit, Identifizierung und Datenminimierung als unterschiedliche Datenschutzfragen. Eine dauerhafte Kennung kann Aktivitäten über die Zeit miteinander verbinden, auch wenn sie kein amtlicher Name ist. Die Kombination von Datensätzen aus mehreren Quellen kann mehr verraten als ein einzelner Datensatz.
Livaras dokumentierte Metadatengrenze
Die Sicherheitsdokumentation von Livara beschreibt verschlüsselte Inhalte direkter Nachrichten und kompatibler privater Gruppen, während Zustellung, Mitgliedschaft, Zeitangaben, Chiffretextgrößen, Push-Token und Sicherheitsaufzeichnungen gesondert behandelt werden. Öffentliche Kanäle sind serverseitig lesbar; der Chiffretext privater Gruppen darf nicht mit dem Klartext öffentlicher Kanäle verwechselt werden.
Dass eine kryptografische Komponente in der Dokumentation existiert, beweist nicht, dass sie in jedem produktiven Ablauf verwendet wird. Die dokumentierte LSS1-Komponente wird beispielsweise nicht als in den normalen Nachrichtenversand eingebunden beschrieben. Sie darf nicht als Grundlage für die Behauptung dienen, normale Livara-Nachrichten würden Absendermetadaten verbergen. Lesen Sie die aktuellen Sicherheits- und Datenschutzinformationen, um den tatsächlichen Umfang und Aussagen zur Aufbewahrung zu kennen.
Für diesen Artikel wurden weder Livaras produktiver Datenverkehr noch die serverseitige Aufbewahrung unabhängig gemessen. Die Aussagen zur Inhaltsverschlüsselung belegen nicht, dass Livara unter konkurrierenden Diensten die wenigsten Metadaten erhebt.
Praktische Wege, die Offenlegung zu verringern
Verschlüsselung ist ein Teil der Kontosicherheit. Nutzer können die Offenlegung außerdem mit einigen konkreten Schritten reduzieren:
- Teilen Sie nur die Profildetails und Kontokennungen, die für die Unterhaltung nötig sind; die Wiederverwendung eines öffentlichen Namens oder Avatars kann getrennte Konten verknüpfen.
- Verweigern Sie unnötige Kontakt- oder Standortberechtigungen und prüfen Sie die Löschung zuvor synchronisierter Daten gesondert.
- Verwenden Sie, soweit anwendbar, einzigartige Kontozugangsdaten und schützen Sie den Zugriff auf das Gerät selbst.
- Bewahren Sie die Wiederherstellungsphrase getrennt vom angemeldeten Gerät auf.
- Vergleichen Sie Schlüsselfingerabdrücke nach einer unerwarteten Identitätsänderung über einen anderen vertrauenswürdigen Kanal.
- Prüfen Sie die Gruppenmitgliedschaft, bevor Sie sensible Inhalte teilen.
- Halten Sie Browser, Betriebssystem und Messaging-Client aktuell.
- Behandeln Sie Benachrichtigungsvorschauen, Screenshots und exportierte Medien als Kopien außerhalb der verschlüsselten Unterhaltung.
Gute Gerätesicherheit schützt einen anderen Bereich als Metadatenminimierung. Sie lässt Anbieterprotokolle nicht verschwinden. Ebenso löscht das Entfernen einer Nachrichtenblase oder das Festlegen einer Ablaufzeit nicht zwangsläufig Zustellungsaufzeichnungen, Backups oder die Kopie eines anderen Teilnehmers.
Datenschutzversprechen sinnvoll lesen
Ein vertrauenswürdiges Datenschutzversprechen benennt die geschützten Daten, den Mechanismus und die Grenzen. „Inhalte direkter Nachrichten werden auf den Geräten der Beteiligten verschlüsselt“ ist überprüfbar. „Vollständig privat“ ist es nicht.
Trennen Sie beim Vergleich von Messaging-Apps vier Fragen: Wer kann Inhalte lesen, welche Metadaten verarbeitet der Dienst, wie funktioniert die Kontowiederherstellung und was passiert auf jedem Gerät? Dieser Rahmen ermöglicht eine genauere Entscheidung, als ein Produkt allein anhand eines Slogans auszuwählen.
Verbirgt ein VPN Nachrichtenmetadaten?
Ein VPN verändert, welcher Netzwerkbetreiber Teile der Verbindung beobachten kann; es entfernt nicht automatisch die Konto- oder Zustellungsaufzeichnungen des Messengers. Die Anmeldung bei demselben Konto identifiziert dieses Konto weiterhin gegenüber dem Dienst. Bewerten Sie den VPN-Anbieter, das Design der Nachrichtenweiterleitung und die Aufbewahrungsrichtlinie der App getrennt, statt eine geänderte IP-Adresse mit vollständiger Anonymität gleichzusetzen.
Fragen Sie nach Aufbewahrung, nicht nur nach Erhebung
Fragen Sie bei jedem relevanten Datenfeld, ob es nur vorübergehend verarbeitet, in ein Protokoll geschrieben, in einem Backup aufbewahrt oder mit einem anderen Anbieter geteilt wird. Fragen Sie anschließend, wie lange es erhalten bleibt und ob Ausnahmen von der Löschung bestehen. Gibt die Dokumentation keine Antwort, notieren Sie die Dauer als unbekannt. „Für den Betrieb erforderlich“ erklärt einen möglichen Zweck; allein daraus ergibt sich keine Aufbewahrungsgrenze.
