Messenger-Wechsel: Threema

Der Schweizer Messenger hat eine gute Reputation bezüglich Privatsphäre und Sicherheit. Beklagt wird die Einmalzahlung. Hier lest ihr, was ich davon halte.

Nach der Einleitung zum Thema geht es mit einer äusserst subjektiven Beurteilung zum Schweizer Messenger Threema weiter. Hierbei geht es mir nicht um Fakten, sondern darum, wie er mich abgeholt hat. Wer Fakten dazu haben möchte, kann diese bei Mike Kuketz lesen.

Der Name "Threema" klingt nicht so cool wie "Signal", "Matrix" oder "WhatsApp". Die Antwort auf die Bedeutung des Namens liefert die Threema GmbH in ihren FAQ:

«Threema» steht für «End-to-End Encrypted Messaging Application», ursprünglich als «EEEMA» abgekürzt. Das waren jedoch etwas viele «E»s, deshalb wurde daraus «Threema».

Den Messenger gibt es in allen App-Stores. Bei F-Droid findet man die App als Threema Libre, welche sich etwas von den "normalen" Versionen unterscheidet:

Threema ist der weltweit meistverkaufte sichere Messenger und schützt Ihre Daten vor dem Zugriff durch Hacker, Unternehmen und Regierungen. Der Dienst kann völlig anonym (ohne Angabe einer Telefonnummer oder E-Mail-Adresse) verwendet werden. Threema ist Open Source und bietet alle Funktionen, die man von einer modernen Instant Messaging-App erwartet. Es lassen sich Ende-zu-Ende-verschlüsselte Sprach-, Video- und Gruppenanrufe durchführen, und die Desktop-App sowie der Web-Client erlauben, Threema bequem vom PC aus zu nutzen.

Im Gegensatz zur Version auf Google Play enthält Threema Libre keine proprietären Bibliotheken / Komponenten (wie Google Play Services).

Der erste Satz ist eine gute Übung in Medienkompetenz; es handelt sich um ein Beispiel für Überspezifikation. Natürlich ist es "der meistverkaufte Messenger", weil alle anderen kostenlos sind, bzw. über Spenden oder eure Seelen bezahlt werden. Das führt mich zum grössten Kritikpunkt, der häufig genannt wird:

Ich gebe doch keine 5 Euro für einen Messenger aus, wenn ich alle anderen umsonst bekommen kann!

Dieses Argument kann ich nicht nachvollziehen. Ihr möchtet einmalig nicht 5 Euro für einen sicheren Messenger ausgeben, den ihr jeden Tag verwendet? Wovon sollen die Angestellten der Threema GmbH leben, wenn sie eure privaten Daten nicht an Werbevermarkter weitergeben oder ihre Aufwände durch Spenden decken können?

Was bekommt man für 5 Euro? Eine Tasse Kaffee, einen Big Mac, ein Bier in der Kneipe, eine halbe Schachtel Zigaretten, ein Sixpack Milch, ein Viertel Kinobesuch, you name it. Und kommt mir jetzt nicht mit: "eine Tasse Kaffee kostet in Kleinkleckersdorf nur 2.50". Die Threema GmbH hat ein Geschäftsmodell aufgebaut, welches Angestellte durch eine Einmalzahlung beschäftigen kann.

Falls ihr nun denkt, das wird ein Werbeartikel für Threema, habt ihr noch nicht weitergelesen.

Installation und erster Eindruck

Die Installation von Threema Libre verlief nicht ohne Komplikationen. Die Bezahlung des Einmalpreises über meine Kreditkarte funktionierte nicht. Ich musste den Threema Support kontaktieren und (für diesen Test) den Preis über die Bezahlseite der Threema GmbH überweisen. Das war nicht so schlimm, aber etwas nervig.

Ein grosses Plus von Threema ist die Tatsache, dass man den Account ohne Telefonnummer und ohne Zugriff auf die eigenen Kontakte (auf dem Handy) anlegen kann. Ich habe sowohl meine Telefonnummer als auch den Kontaktzugriff freigeschaltet (dammend).

Öffnet man die Threema-App auf einem Android-Smartphone, sieht man nach der guten Einführung folgende Bereiche:

Der Chat-Bericht sieht so aus und bietet einige Funktionen:

Dort gibt es:

• eine Suchfunktion
• man kann Favoriten markieren
• neue Gruppen und Kanäle (Verteilerlisten) erstellen
• Backups und Archive einrichten

Da ich meine Kontakte freigegeben habe, finde ich im Bereich "Kontakte" 25 Einträge, die über die Telefonnummern der Kontakte, die diese ebenfalls in Threema freigegeben haben, gefunden werden.

In den verschleierten schwarzen Kästen stehen die Bilder und Namen der Kontakte. Rechts daneben sieht man die Vertrauensstufe und die ID der Person.

Ja, das ist gut gemacht und aus technischer Sicht vorbildlich. Nicht sicherheitsaffine Normalanwender wird das eher irritieren und sie werden den Teufel tun, um ihre Kontakte auf Stufe 3 zu bringen. Hier zeigt sich wieder das Dilemma zwischen Sicherheit und Bequemlichkeit.

Im dritten Bereich "Mein Profil" findet man seine Threema-Id, das Profilbild und den Nickname. Dort kann man einstellen, wer das Profilbild sehen darf. Ausserdem kann man die eigene Handynummer und E-Mail-Adresse eingeben. Wie gesagt, wer das nicht möchte, muss es nicht eingeben. Standardmässig ist das nicht erforderlich. Zusätzlich gibt es Funktionen zur Verwaltung der Threema-Id: Widerrufen, Exportieren, Löschen.

Das Chatten

Na ja, es gibt halt alles, was man erwartet. Beim reinen Chatten gibt es Emojis, Zugriff auf die Kamera, um Bilder aufzunehmen. Die Büroklammer erlaubt Zugriff auf Dateien, Orte, Umfragen, Kontakte, Zeichnungen, QR-Codes und die System-Kamera. Auch die verschlüsselte Video-Telefonie funktioniert einwandfrei.

Über das Glocken-Symbol kann man die Häufigkeit der Benachrichtigungen einstellen. Was das Dreipunkt-Menü bietet, seht ihr im Screenshot. Das Hintergrundbild kann pro Kontakt/Gruppe ausgewählt werden. Es gibt das Threema-Bild, kein Bild oder einen beliebigen Hintergrund aus eurer Fotogalerie.

Während des Schreibens sieht der Empfänger eine Animation, die darüber informiert, dass der Sender tippt. Eine gesendete Nachricht wird mit einem Download-artigen Symbol angezeigt. Wenn die Empfängerin die Nachricht gelesen hat, wird das durch ein Auge dargestellt. Jede Nachricht hat einen Zeitstempel. Diese Anzeigen können in den Einstellungen konfiguriert werden.

Neben den normalen Chats kennt Threema Gruppen und Kanäle. In den Gruppen sind auch verschlüsselte Video-Telefonate möglich. Mit wie vielen Teilnehmenden das möglich ist, konnte ich nicht testen. Was mir bei Threema fehlt, sind die Spaces, wie wir sie von Matrix kennen. Das ist die Möglichkeit, Gruppen oder Einzelchats auf einer höheren Ebene zu organisieren. Auch Threads kennt Threema nicht. Das ist die Möglichkeit, einzelne Themen in Gruppen auf einer tieferen Ebene zu organisieren.

Auf dem Desktop

Verlassen wir das Smartphone als natürliches Habitat aller Messenger. Auf dem Desktop trennt sich die Spreu vom Weizen. Threema gibt es als nicht verifizierte Anwendung im Flatpak-Store. Dabei handelt es sich um eine von der Community gepflegte, nicht offizielle Version. Doch es gibt auch eine offizielle Beta-Version für den Desktop:

Leider lässt sich die Beta 2.0 nur mit einem iPhone autorisieren, weshalb ich sie gleich wieder deinstalliert und durch die alte Version 1.2.46 ersetzt habe:

Möge das Leiden beginnen. Nach dem Start muss man die Desktop-Sitzung autorisieren. Das geschieht entweder, in dem man den QR-Code mit der Threema-App auf dem Smartphone scannt, oder ein Passwort eingibt.

Um nicht jedes Mal mit dem Handy den QR-Code der Desktop-Anwendung scannen zu müssen, kann man (vor dem erstmaligen Scannen) ein Passwort vergeben. Beim nächsten Anmelden genügt dieses Passwort, ohne dass die App auf dem Handy laufen muss. Aber Achtung, wenn das Smartphone ausgeschaltet ist, funktioniert es nicht. Zwar muss die Threema-App nicht laufen, aber das Smartphone muss angeschaltet sein. Threema versucht dann, die Handy-App remote zu starten. Aus Sicherheitsgründen erscheint das sinnvoll, weil damit eine Zwei-Faktor-Autorisierung zum Tragen kommt. Sicher: ja, bequem: nein.

Die Desktop-Anwendung ist sehr rudimentär, funktioniert aber einwandfrei. Hier hätte ich mir mehr Liebe zum Detail und mehr Optionen gewünscht. Vermutlich kommt das mit der Version 2.0.

Die Angaben zur Version irritieren mich. Ist es nun Version 1.2.46, so wie es das Flatpak sagt, oder ist es Version 2.5.7, wie es die Anwendung sagt? Die Einstellmöglichkeiten in der Desktop-Anwendung sind sehr eingeschränkt und fallen weit hinter dem zurück, was in der mobilen App möglich ist:

Auch die Menü-Leite bietet nicht viel mehr:

• Ablage: Beenden (welche Logik ist das?)
• Bearbeiten: Widerrufen, Wiederholen, Cut, Copy, Paste, Paste mit Stil, Löschen, Alles auswählen
• Darstellung: Neu laden, Originalgrösse, Vergrössern, Verkleinern
• Fenster: Im Dock ablegen, Zoomen
• Hilfe: Hilfe

Das ist ein seltsames Menü.

Ja, die Desktop-Anwendung funktioniert in aller Bescheidenheit. Sie startet schnell und ist einfach zu bedienen, bietet jedoch höchstens 30 % der Funktionen, die man in der Handy-App findet. Insbesondere gibt es keine Möglichkeit für Telefonie oder Video-Telefonie. Ich habe nicht näher untersucht, welche Technik hier zum Einsatz kommt. Ich tippe auf Elektron oder eine Web-App-Implementierung.

Fazit

Wer einen Messenger sucht, der grossen Wert auf Privatsphäre und Sicherheit legt, ist mit Threema gut bedient. Die Firma dahinter wirkt vertrauenswürdig, insbesondere weil sie einen kleinen Einmalbetrag für ihr Produkt aufruft. Da fühlt man sich als Anwender:in nicht mehr als Beute, sondern als Kunde. Es ist zu bedenken, dass Threema auch Firmenlösungen anbietet, die vermutlich auch dazu beitragen, die Angestellten zu bezahlen.

Die Funktionen der Smartphone-App sind gut und ausreichend. Das kann man von der Desktop-Anwendung nicht behaupten. Diese Schmalspurigkeit schliesst für mich Threema als Ersatz für Telegram und Matrix (Element) aus. Bevor ihr euch empört, im letzten Satz geht es um meinen Use Case, nicht um euren.

Auf der Threema-Webseite findet man einen Vergleich zwischen gängigen Messengern. Solche Vergleiche sind selbstverständlich immer auf das eigene Produkt aufgerichtet. So auch bei Threema: wir können alles, die anderen viel weniger.

Die Vergleichsseite von Threema hat noch einen Seitenhieb auf Matrix in petto:

Auf dem Matrix-Protokoll basierende Messenger wie z.B. Element wurden ausser Acht gelassen, weil aus der Föderation erhebliche Nachteile hinsichtlich Datenschutz erwachsen. Zum Beispiel werden jegliche Chat-Inhalte sowie umfassende Metadaten permanent auf allen involvierten Servern gespeichert, so dass für jeden Server-Betreiber ersichtlich ist, wer wann mit wem kommuniziert und welche Gruppen welche Mitglieder enthalten. Weiter sind persönliche Informationen sowie die gesamte Kontaktliste jedes Nutzers auf dessen Home-Server gespeichert und für den Server-Betreiber prinzipiell einsehbar.

In der nächsten Folge dieser Serie werde ich Signal unter die Lupe nehmen.

Titelbild: https://threema.ch/de/press

Quellen:

https://threema.ch/de/sicherer-messenger

https://www.kuketz-blog.de/whatsapp-ade-signal-und-threema-ueberzeugen-als-sichere-alternativen/

---

GNU/Linux.ch ist ein Community-Projekt. Bei uns kannst du nicht nur mitlesen, sondern auch selbst aktiv werden. Wir freuen uns, wenn du mit uns über die Artikel in unseren Chat-Gruppen oder im Fediverse diskutierst. Auch du selbst kannst Autor werden. Reiche uns deinen Artikelvorschlag über das Formular auf unserer Webseite ein.