Metadaten: was dein Messenger über dich weiß
Verschlüsselung schützt, was du schreibst. Metadaten verraten, mit wem du sprichst. Warum das oft der wertvollere Teil ist.
Es gibt einen Satz, der in Sicherheitskreisen seit Jahren die Runde macht: „Wir töten Menschen auf Grundlage von Metadaten." Er stammt von einem ehemaligen NSA-Chef. Man muss das nicht dramatisch finden, aber es beschreibt gut, wie ernst die Sache ist. Metadaten sind nicht der harmlose Rest, sie sind oft das Wertvollste.
Was Metadaten überhaupt sind
Der Inhalt deiner Nachricht ist das, was du schreibst. Metadaten sind alles andere: wer sie schickt, an wen, wann, wie lang sie ist, wie oft ihr schreibt, wer sonst noch in der Gruppe ist, von welcher IP-Adresse aus. Verschlüsselung schützt den Inhalt. Metadaten liegen daneben, meist im Klartext.
Warum das so viel verrät
Metadaten brauchen keinen Inhalt, um zu erzählen. Ein Beispiel, das mir immer im Kopf bleibt:
Jemand schreibt spätabends mit einer Nummer, die zu einer HIV-Beratungsstelle gehört. Zwei Tage später mit einem Labor. Dann viermal in einer Woche mit derselben Person, sonst nie. Man weiß nichts über den Inhalt, und trotzdem weiß man alles.
Genau das ist der Punkt. Beziehungsgeflechte, Zeitpunkte und Häufigkeiten ergeben ein Profil, das oft aussagekräftiger ist als der Text selbst. Und im Gegensatz zu Text lässt es sich hervorragend automatisch auswerten.
Was ein typischer Messenger-Server speichert
Bei fast jedem Dienst steht in der Datenbank eine Zeile wie: Nachricht 4711, von Anna, an Ben, um 22:14, verschlüsselter Inhalt. Der Inhalt ist sicher. Die restliche Zeile ist ein komplettes soziales Netzwerk, sortierbar nach Zeit.
Was PriChat dagegen tut
Wir haben genau an dieser Zeile angesetzt. Vier Kanten, an denen Metadaten entstehen, sind bei uns geschlossen:
- Nachrichten: Der Absender steht nicht im Klartext in der Datenbank. Dein Gerät probiert beim Abholen, welche Nachrichten es entschlüsseln kann (Trial Decryption). Der Server weiß dadurch nicht, von wem eine Nachricht kommt.
- Freundschaftsanfragen: versiegelt (Sealed Box). Der Server sieht nicht, wer wen anfragt.
- Gruppen: Mitglieder stehen nur als kryptografische Pseudonyme (HMAC-Tags) in der Datenbank, nicht mit Namen.
- Präsenz: auch das Aufwecken eines Kontakts verrät die Beziehung nicht.
Das Ergebnis: In unserer zentralen Datenbank gibt es keine Klartext-Zuordnung, wer mit wem kommuniziert. Nicht, weil wir sie löschen, sondern weil sie nie entsteht.
Ehrlich bleiben: was bleibt
Vollständige Metadaten-Freiheit gibt es nicht, und jeder, der das behauptet, verkauft dir etwas. Was auch bei uns anfällt:
- Deine IP-Adresse sieht der Server beim Verbinden (wie jeder Server im Internet). Wer das nicht will, nutzt ein VPN oder Tor.
- Zeitpunkte von Verbindungen sind sichtbar, wenn auch nicht die Beziehung dahinter.
- Ein Angreifer, der den gesamten Netzwerkverkehr weltweit beobachtet, kann immer noch Korrelationen bilden. Dagegen hilft kein Messenger dieser Welt.
Der Anspruch ist nicht Perfektion, sondern Sparsamkeit: Was nicht gespeichert wird, kann nicht beschlagnahmt, geleakt oder verkauft werden.