Sichere Messenger im Business am Beispiel von Signal: E-Mail war gestern

Messenger sind aus unserem Leben nicht mehr wegzudenken. Das gilt für unser Privatleben, in dem wir mit der Familie, dem Sportverein oder der Kita-Elterngruppe mittlerweile vorwiegend über Messenger kommunizieren. Es gilt aber auch zunehmend für die berufliche Kommunikation. Laut der Studie „Nutzung von Online-Kommunikationsdiensten in Deutschland“ der Bundesnetzagentur aus dem Jahr 2023 benutzen 78 Prozent der deutschen Firmen Messenger und Sofortnachrichtendienste für die geschäftliche Kommunikation.

Als meistgenutzte Softwarelösung liegt mit Microsoft Teams zwar ein Businessprodukt auf dem ersten Platz, auf dem zweiten Platz folgt mit WhatsApp allerdings schon ein klassischer Messenger, der nicht dezidiert für den Unternehmensbereich konzipiert wurde. Und auch andere Messenger wie Facebook Messenger, Signal, Threema oder Telegram sind prominent in der Liste vertreten.

Gerade in kleineren Betrieben ersetzen Messenger dabei oft Business-Lösungen wie Teams, Zoom oder Slack. Auch weil Messenger meist kostenlos sind und sich zur gleichzeitigen Kommunikation mit den Kunden eignen. Aus Sicht der IT-Sicherheit lohnt es sich daher, Messenger in der Unternehmenskommunikation näher zu betrachten. Im Folgenden soll dies exemplarisch am Beispiel von Signal geschehen, da der Messenger ein besonderes Augenmerk auf Datenschutz und Sicherheit legt. Dabei werden die Stärken für den Unternehmenseinsatz aufgezeigt, aber auch wo noch Lücken, Einschränkungen und eventueller Nachholbedarf bestehen.

Kernbestandteile

Moderne Messenger zeichnen sich durch essenzielle Sicherheitsmerkmale aus, die den Schutz sensibler Daten und die Privatsphäre der Nutzer gewährleisten sollen. Am Beispiel der Funktionsweise von Signal gibt es folgende Kernelemente:

1. Ende-zu-Ende Verschlüsselung

Manch einer erinnert sich vielleicht noch an Pretty Good Privacy . (PGP), das sichere, aber recht umständliche Verfahren zur Ende-zu-Ende-Verschlüsselung von E-Mails. Bereits Anfang der 1990er-Jahre entwickelt, konnte sich PGP nie über Nischen hinaus durchsetzen. Während die Transportverschlüsselung im Online-Bereich durch Initiativen wie Let’s Encrypt oder HTTPS Everywhere immer mehr zum Standard wurde, blieb das Thema Ende-zu-Ende-Verschlüsselung etwas auf der Strecke.

Das änderte sich erst mit dem Aufkommen der Messenger, die auch die letzte Lücke in der Verschlüsselungskette schlossen und schlussendlich echte Ende-zu-Ende Verschlüsselung für große Kommunikationsbereiche etablierten.

Exkurs: Signal-Protokoll

Im Zentrum dieser Entwicklung steht das Signal-Protokoll. Es wurde 2013 von den Signal-Entwicklern Moxie Marlinspike und Trevor Perrin entworfen und seitdem kontinuierlich weiterentwickelt.

Es besteht aus einer innovativen Kombination existierender kryptografischer Elemente, um eine sichere asynchrone Kommunikation zwischen zwei oder mehr Teilnehmern zu ermöglichen. Die technischen Spezifikationen des Protokolls finden sich unter https://signal.org/docs/ , und der zugehörige Code ist Open Source unter https://github.com/signalapp/libsignal zugänglich.

Kernelemente sind dabei ein Schlüsselaustausch via Extended Triple Diffie-Hellman sowie der
„selbstheilende“ Double-Ratchet-Algorithmus, der zu einem ständigen Wechsel der Schlüssel führt. Selbst für den unwahrscheinlichen Fall, dass ein Schlüssel von einem Angreifer geknackt werden würde, könnte damit nur eine einzige Nachricht entschlüsselt werden. Alle anderen Nachrichten wären davon nicht betroffen.

2023 wurde das Protokoll schließlich mittels Post-Quantum Extended Diffie-Hellman (PQXDH) um Post-Quanten-Kryptografie erweitert, um vor etwaigen zukünftigen „harvest now, encrypt later“-Angriffen durch Quantencomputer zu schützen.

Heute gilt das Signal-Protokoll als Gold-Standard in Sachen Ende-zu-Ende-Verschlüsselung und wird von allen großen Tech Unternehmen wie Google, Meta und Microsoft zur Verschlüsselung in Produkten wie WhatsApp, Facebook Messenger, Skype oder Google Messages genutzt. Auch Apple verwendet in iMessage eine Ende-zu-Ende-Verschlüsselung, die sich an der Struktur des Signal-Protokolls orientiert.

2. Schutz von Metadaten

Die Ende-zu-Ende-Verschlüsselung der Kommunikationsinhalte ist jedoch nur ein Aspekt sicherer und geschützter Kommunikation. Von großer Bedeutung sind auch die sogenannten Metadaten, die bei der Kommunikation über Messenger anfallen. Beispielsweise wer mit wem kommuniziert, wer Mitglied welcher Gruppen ist, Profilinformationen oder der Zeitpunkt des Kontakts.

Sichere Messenger wie Signal verschlüsseln und schützen auch diese Daten so gut wie möglich und folgen dem „Zero Knowledge“-Prinzip. So verbirgt beispielsweise das „Sealed Sender“-Verfahren von Signal den Absender einer Nachricht vor dem Signal-Server. Nur der Empfänger kann sehen, wer der Absender ist und kann dies auch durch eine Sicherheitsnummer verifizieren, um Man-in-the-Middle-Angriffe zu verhindern.

Auch das Verbergen der eigenen Telefonnummer vor anderen Kommunikationsteilnehmern, wie es mit Signal möglich ist, fällt unter den wichtigen Schutz dieser Metadaten.

3. Open Source

Das Prinzip, so wenig Daten wie möglich zu speichern wird bei sicheren Messengern im Sinne eines Zero-Trust-Ansatzes um den Open-Source Aspekt erweitert. Denn wenn alle Daten, die über die Server des Anbieters laufen, sicher verschlüsselt werden und gleichzeitig die Verlässlichkeit der eingesetzten Software verifiziert werden kann, dann kann die Sicherheit der Kommunikation weitgehend garantiert werden, ohne dem Messenger-Anbieter selbst vertrauen zu müssen.

Deshalb nutzen sichere Messenger wie Signal oder Threema „reproducible builds“ und veröffentlichen ihren Code als Open Source – bei Signal gilt das sogar für den serverseitigen Code.

Weitere Vorteile: kostenlos und bereits bekannt

Neben den sicherheitsrelevanten Vorteilen verschlüsselter Messenger gibt es noch zwei weitere Aspekte die besonders aus wirtschaftlicher Sicht für viele, gerade kleinere Unternehmen, relevant sind. Zum einen ist die Nutzung von Messengern wie Signal in der Regel kostenlos – auch wenn es mit WhatsApp Business oder Threema Work mittlerweile eigene kostenpflichtige Angebote für große Unternehmen gibt. Zum anderen kann die Nutzung von Messengern mittlerweile quasi als bekannt vorausgesetzt werden – sowohl bei Mitarbeitern aber auch bei Kunden. Aufwendige Schulungen oder Maßnahmen zur Etablierung des Kanals entfallen daher in der Regel.

Einschränkungen und Aufholbedarf

Bei all den Vorteilen, die sichere Messenger für die Unternehmenskommunikation mit sich bringen, gibt es aber auch einige Einschränkungen:

• Offizielle API: Um bestimmte Abläufe zu automatisieren, benötigen größere Unternehmen in vielen Fällen API-Zugriff für ihre Kommunikationstools. Signal bietet bislang keine offizielle API an, es existiert jedoch eine freie Community-Version einer Signal-API, die auf dem offiziellen Signal-Code basiert. Auch viele Anbieter von Multi-Messenger-Diensten oder Entwickler von Chatbot-Lösungen nutzen diese Community-API. Dabei handelt es sich jedoch nicht um eine offizielle, von Signal unterstützte API mit garantierter Verfügbarkeit und Kompatibilität. Das kann insbesondere für große Unternehmen ein Problem darstellen.
• Begrenzung der Teilnehmeranzahl: Um eine effiziente Verschlüsselung zu gewährleisten und um sich auf die Kernfunktionen eines Messengers zu beschränken, ist bei Signal die maximale Teilnehmerzahl in Gruppen auf 1.000 Personen begrenzt. Bei Videoanrufen stehen alle bekannten Funktionen wie das Teilen des Bildschirms, Handheben oder Emoji-Reaktionen zur Verfügung. Allerdings können – ähnlich wie bei WhatsApp – maximal 40 Personen an einer Videokonferenz teilnehmen. Der Einsatz klassischer Messenger eignet sich daher vor allem für kleine und mittlere Unternehmen, die diese Beschränkungen kaum erreichen dürften.
• Keine Möglichkeit zum Selbst-Hosting: Die Möglichkeit einer On-Premises-Lösung ist bei Signal und den meisten anderen Messengern nicht vorgesehen. Durch den „Zero Knowledge“-Ansatz von Signal und den Einsatz einer Ende-zu-Ende-Verschlüsselung für alle Inhalte und Metadaten wäre ein Mehr an Datenschutz aber ohnehin nicht gegeben. Für Unternehmen, die jedoch Wert auf diesen Aspekt legen und den erhöhten Administrationsaufwand einer On-Premises-Lösung nicht scheuen, ist ein dezentraler Messenger wie Matrix vermutlich die bessere Wahl.

Fazit

Wie das Beispiel Signal zeigt, bieten moderne Messenger grundsätzlich viele Möglichkeiten und großes Potenzial für den sicheren Einsatz in Unternehmen. Das Plus an Sicherheit und Datenschutz bei gleichzeitig hoher Benutzerfreundlichkeit macht heutige Messenger gerade für kleine und mittelständische Unternehmen zu einer ernst zu nehmenden Alternative für die interne Kommunikation. Große Unternehmen sind jedoch aufgrund der bestehenden Restriktionen vermutlich weiterhin besser mit klassischen Business-Produkten bedient.