Messenger-Test: Cryptocat polarisiert

Cryptocat hat zwar die geringste Funktionalität aller bisher von der PSW Group getesteten Messenger, aber er hat auch seine Vorzüge. [...]

Sicherheit, Privatsphäre, Kryptografie und Offenheit. Darum geht es den Entwicklern von Cryptocat. Dabei rücken sie nur eine Funktionalität in den Fokus:  Die verschlüsselte Kommunikation. Auf weitere Features, die bei der Konkurrenz für hohe Beliebtheitswerte sorgen, wird verzichtet. „Cryptocat ist der Messenger, der bei unseren bisherigen Tests die geringste Funktionalität und Flexibilität bietet“, erklärt Christian Heutger, Geschäftsführer der PSW Group, die zuvor schon den WhatsApp-Alternativen Threema, Telegram, schmoose, myENIGMA und LINE auf den Zahn gefühlt hat.

Die Verschlüsselungsexperten nahmen aber vor allem die Sicherheit der – für iOS und Browser verfügbaren (Android soll folgen) – App unter die Lupe, die auf einem sehr speziellen Konzept basiert: Denn bei Cryptocat ist jeder Chat einmalig. Nutzer können morgen keinen Chat von heute fortsetzen. Der Chatverlauf wird nicht gespeichert und eine Freundesliste  existiert  auch nicht. Um miteinander kommunizieren zu können, müssen sich die Nutzer im Vorfeld über einen anderen Kanal – persönlich oder elektronisch und idealerweise verschlüsselt – verabreden.

Die Verschlüsselung der Chats geschieht im Hintergrund. Um Kontakte zu verifizieren, wird der digitale Fingerabdruck – jeder Nutzer  bekommt seinen eigenen – verglichen. Die Cryptocat-Verschlüsselung selbst basiert auf Off-the-Record-Messaging (OTR): Für jeden Chat werden demnach neue Schlüsselpaare generiert. Das Verfahren ist auch als Perfect Forward Secrecy (PFS) bekannt und wird von Experten empfohlen, um eine Kompromittierung bereits stattgefundener, verschlüsselter Kommunikation im Nachhinein selbst bei Bekanntwerden von Schlüsseln, zu verhindern.

Aus den theoretischen Sicherheitsversprechen von Cryptocat wurden im vergangenen Jahr jedoch desaströse Sicherheitsfehler, die das eigentliche Ziel der Verschlüsselung, Chats auch im Nachhinein nicht entschlüsseln zu können, gänzlich verfehlten. „Insgesamt polarisiert Cryptocat: All jene, die von ihrem Messenger mehr erwarten als Chats, werden an der quelloffenen App keinen Gefallen finden. Damit bleiben nur noch diejenigen, denen Sicherheit das wichtigste Anliegen ist und die es nicht stört, sich vor einem Chat dafür zu verabreden“, so das Fazit von Christian Heutger.

Immerhin gibt es bei Cryptocat seit neuestem eine sehr komfortable Facebook-Integration. Auf Wunsch importiert die App die Facebook-Kontakte, holt sich Präsenz-Informationen und baut dann über das Social Network eine verschlüsselte Verbindung auf. Dazu muss das gegenüber jedoch auch diese Funktion nutzen. Sonst verschlüsselt die App den Chat nicht. (pi/rnf)