Signal: Nachrichten sind in der Desktop-App nicht sicher aufgehoben

Signal gilt im Messenger-Bereich als Inbegriff der Sicherheit. Allerdings gilt dies nur für die Kommunikation. Bei seiner Desktop-App hat der Anbieter bereits seit Jahren mit einem Problem zu tun, für das es keine so einfache Lösung gibt.

Problem seit Jahren bekannt

Bereits seit 2018 ist inzwischen bekannt, dass die Inhalte der Kommunikation auf dem Gerät des Nutzers selbst nicht besonders gut geschützt sind. Signal Desktop für Windows oder Mac legt zwar eine verschlüsselte SQLite-Datenbank an, in der die Nachrichten gespeichert werden - der Schlüssel, mit dem man an die Informationen herankommt, liegt aber im Klartext auf dem lokalen Speicher.

So kann letztlich nicht nur die Signal-App auf die Datenbank zugreifen, sondern jeder Nutzer und auch jede andere Anwendung, die Zugang zu den lokal gespeicherten Daten hat. Seitens des Anbieters des Messengers wird dies nicht als besonderes Problem wahrgenommen, berichtet das US-Magazin BleepingComputer.

Das kann man durchaus so sehen. Denn wenn beispielsweise ein Angreifer so weitgehenden Zugang zu einem System hat, dass er an den Schlüssel herankäme, wäre die Kommunikation ohnehin nicht mehr sicher. Es wäre dann aber schlicht auch heuchlerisch, Microsoft für quasi das gleiche Problem bei seiner Recall-Version in Windows 11 zu kritisieren, wie Signal-Chefin Meredith Whittaker es kürzlich noch tat.

Änderung soll kommen

Denn im Kern geht es hier um die gleiche Form möglicher Sicherheitsrisiken: Sowohl Recall als auch Signal Desktop speichern sensible Informationen, die einem Angreifer in die Hände fallen können. Der Unterschied besteht hier darin, dass Microsoft sein neues Feature verschoben hat und zusicherte, dass man eine bessere Lösung sucht, während Whittaker das Problem herunterspielt.

Zumindest könnte sich bei Signal aber zukünftig etwas ändern. Denn ein externer Entwickler hat Code in das Projekt eingereicht, mit dem die Datenbank mit den Bordmitteln verschiedener Betriebssysteme besser geschützt werden kann. Das soll in Kürze in einer Beta des Desktop-Clients implementiert sein.

Download Signal Desktop - Crypto-Messenger für Windows
Siehe auch: