Messenger-Test 2021: Wire vs. ginlo

Im Rahmen unseres Messenger-Tests 2021 stehen sich heute Wire und ginlo gegenüber. Wire testeten wir bereits 2016: Uns zeigte sich ein funktionaler Messenger, der in den Bereichen Funktionalität und Bedienbarkeit einen guten, in der Sicherheit einen gemischten Eindruck hinterließ. Ginlo ist als Nachfolger von SIMSme erstmals Testkandidat bei uns. Seien Sie gespannt, welcher Messenger mit welchen Eigenschaften punktet! Bleiben Sie gespannt und verschaffen Sie sich einen detaillierten Überblick über die beiden Messenger.

Wire im Test

Wie wir 2016 im Wire-Test bereits aufzeigten, ist Wire ein Produkt der Wire Swiss GmbH, also einem Schweizer Unternehmen. Entwickelt wurde die App hingegen in Berlin. Die Die Wire Holding hat ihren Hauptsitz in Berlin. Die Wire Swiss GmbH, die der Holding unterstellt ist und den Wire Messenger verwaltet, unterhält ihren Hauptsitz hingegen in der Schweiz.

Nach wie vor ist Wire für Android und iOS kostenfrei; Versionen existieren außerdem für macOS, Windows und Linux. Eine Browser-Version erlaubt das Verwenden unabhängig vom Betriebssystem. Herunterladen lässt sich der Messenger in den App-Stores sowie von der Wire-Website. Somit können auch Nutzende, die Wire losgelöst von Google betreiben möchten, den Messenger als APK-Datei beziehen. Jedoch schafft es Wire nicht in den datenschutzfreundlichen F-Droid-Store: Keine der vorhandenen Versionen kommt leider ohne proprietäre Elemente wie Google-Bibliotheken aus.

Kontakte und Berechtigungen

Möchten Sie Wire installieren, fordert der Messenger unter Android folgende Berechtigungen ein:

• Kontakte: Kontakte lesen
• Standort: Genauer Standort (GPS- und netzwerkbasiert)
• Telefon: Telefonstatus und Identität abrufen
• Fotos/ Medien/ Dateien: USB-Speicherinhalte lesen, ändern oder löschen
• Speicher: USB-Speicherinhalte lesen, ändern oder löschen
• Kamera: Bilder und Videos aufnehmen
• Mikrofon: Audio aufnehmen
• Geräte-ID & Anrufinformationen: Telefonstatus und Identität abrufen
• Sonstiges:
  • Daten aus dem Internet abrufen
  • Netzwerkverbindungen abrufen
  • Mit Bluetooth-Geräten koppeln
  • Lichtanzeige steuern
  • Zugriff auf alle Netzwerke
  • Audio-Einstellungen ändern
  • Beim Start ausführen
  • Vibrationsalarm steuern
  • Ruhezustand deaktivieren

Das sind erfreulich wenige Berechtigungen, die sich alle mit der Funktionalität eines Messengers erklären lassen. Ähnlich würden wir es uns auch von unseren bisherigen Testkandidaten wünschen.

Registrieren können wir uns bei Wire wahlweise über eine E-Mail-Adresse oder Telefonnummer. Das ist erfreulich – einer der wenigen Messenger, bei dem die Registrierung nicht an die Telefonnummer gebunden ist.

Kontakte lassen sich leicht hinzufügen: Manuell über den jeweiligen Wire-Benutzernamen oder die –Benutzererkennung. Alternativ lässt sich das Adressbuch des Geräts auch mit den Wire-Servern abgleichen, sodass Kontakte automatisch gefunden werden. Dieser automatische Kontaktabgleich funktioniert datenschutzfreundlicher als bei WhatsApp: Bevor die Telefonnummern an die Wire-Server hochgeladen werden, werden sie gehasht (SHA256), nach dem Abgleich werden die Informationen vom Server gelöscht. Finden sich Übereinstimmungen, so werden die Kontakte in der Wire-Kontaktliste angezeigt. Um Kontakte zu verifizieren und damit sicherzugehen, dass Gesprächspartner auch diejenigen sind, als die sie sich ausgeben, bietet Wire eine Fingerprint-Authentifizierung. Ein zu scannender QR-Code wäre sicher bequemer, aber auch so gelingt die sichere Verifikation.

Usability von Wire

Neben Text- und Sprachnachrichten bietet Wire auch Audio- und Videokonferenzen, das Teilen von Dateien, Dokumenten, Links sowie Reaktionen, ein Gästezimmer-Feature erlaubt die Zusammenarbeit mit externen Partnern, Kunden oder Lieferanten ohne Registrierung bei Wire. In der freien Version können bis zu fünf Teilnehmende, in der Enterprise-Version unbegrenzt Teilnehmende dabei sein. Sticker gibt es nicht, jedoch GIFs und gängige Emoticons. Add-ons können die Enterprise-Version erweitern. Im Folgenden halten wir uns an die „Wire for Free“-Variante, da wir in unserem Messenger-Test vorrangig von privater Kommunikation ausgehen.

In der Bedienung punktet der Messenger: Kinderleicht und intuitiv kommen unsere Testenden dorthin, wo sie hinmöchten. Wer WhatsApp gewohnt ist, kann von Wire durchaus einen unübersichtlicheren Eindruck haben: Sprechblasen oder Trennlinien, die einzelne Nachrichten voneinander abheben, existieren nicht.

Während Wire in unserem Test verlässlich läuft, mehren sich in den App Stores kritische Stimmen: Bei mehr als 34.000 abgegebenen Bewertungen schafft es der Messenger in Googles Play Store nur auf 3,3 von 5 Sternen. Den Bewertungen zufolge gehen Nachrichten weder ein noch aus, der Support reagiert nicht oder schleppend, Benachrichtigungen bleiben aus, Menüs verschwinden plötzlich. Auch iOS-Nutzende sind nicht übermäßig begeistert: Bei 581 Bewertungen schafft es Wire auf 3,6 von 5 Sternen. Auch hier werden seltsame Fehler kritisiert: Ein nach oben gezogenes Textfeld lässt den restlichen Chat nicht mehr erkennbar sein, Sprachnachrichten funktionieren verzögert oder gar nicht.

Die Sicherheit von Wire

Wire ist Open Source; sowohl der Client als auch serverseitig. Das ist mehr als erfreulich, denn unsere bisherigen Testkandidaten waren leider nicht so offen. Für die Verschlüsselung setzt der Anbieter auf das Proteus-Protokoll; einer eigenen Weiterentwicklung des Signal-Protokolls. Im März 2018 wurden das Protokoll sowie die Clients für iOS und Android einem Sicherheitsaudit unterzogen. Die Ergebnisse waren positiv, jedoch ist das letzte Audit nun auch einige Jahre her, sodass keine Aussagen über aktuelle Versionen getroffen wurden. Wire informiert auf seiner Website weiter darüber, dass der Messenger ISO-, CCPA-, DSGVO- und SOX-konform ist.

Sämtliche Kommunikationsinhalte – ob Einzel- oder Gruppensitzung – werden bei Wire standardmäßig Ende-zu-Ende-verschlüsselt; Nutzende müssen keinen Finger dafür rühren. Perfect Forward Secrecy (PFS) wird durch das Proteus-Protokoll unterstützt, sodass ein nachträgliches Entschlüsseln der Kommunikation nicht möglich ist. Das für die Verschlüsselung notwendige Schlüsselmaterial befindet sich lokal auf den Geräten von Nutzenden. Der private Schlüssel verbleibt hier auch und wird nicht übermittelt. Weitere Informationen zur Verschlüsselung von Wire halten die Entwickelnden im „Wire Security Whitepaper“ (PDF) bereit.

Derzeit läuft jegliche Kommunikation bei Wire über Amazon-Server, die sich in der EU befinden. Die Wire-Macher planen einen Verbund der Wire-Server, jedoch in nicht näher definierter Zukunft. Im Oktober 2019 äußerte sich einer der Entwickler dazu auf GitHub. Derzeit jedoch registrieren sich Teilnehmende an einem Server-Cluster, sodass die Kontrolle über den Dienst bei Wire liegt.

Wires Umgang mit Metadaten wird im Wire Privacy Whitepaper (PDF) erklärt. Daraus geht hervor, dass sich Datenbank-Tabellen mit Metainformationen (also wann wer mit wem kommuniziert hat) im Klartext auf den Wire-Servern befinden. Das ist ein wesentlicher Unterschied zwischen dem originalen Signal-Protokoll, bei dem Metadaten konsequent vermieden werden, und dem Wire-eigenen Proteus-Protokoll. Eine Antwort darauf, warum das so ist, gab Wire im Jahre 2017 auf Twitter: Eine bessere User Experience werde so geboten, wenn Nutzende mit mehreren Geräten arbeiten würden. So ließen sich also beispielsweise Gesprächsverläufe mit weiteren Endgeräten synchronisieren.

Sind Nachrichten an Empfangende erfolgreich übermittelt, werden sie von den Wire-Servern gelöscht. Gelingt der Zustellversuch nicht gleich, befinden sich Nachrichten maximal 30 Tage auf dem Server, bevor sie gelöscht werden.

AGB & Datenschutzrichtlinie bei Wire

Die Rechtsdokumente von Wire sind schnell gefunden, leider liegen sie lediglich in englischer Sprache vor. Wir erfahren, dass minderjährige Nutzende mindestens 16 Jahre alt sein müssen und die Zustimmung ihrer Eltern benötigen. Sind Konten inaktiv, behält sich Wire das Recht vor, „inaktive Konten zu entfernen“. Die weitere Erklärung lässt zu wünschen übrig: Konten würden dann als inaktiv gelten, wenn sie über einen längeren Zeitraum nicht genutzt würden – und was das bedeuten würde, läge im Ermessen von Wire. Eine konkrete Angabe, wie lange ein Account nicht mehr genutzt wird, sodass es den Status inaktiv erhält und deaktiviert wird, wäre hilfreicher. Jedoch: Bei einer freiwilligen Kündigung oder bei Nichtnutzung des Accounts und anschließender Deaktivierung lässt sich das Konto reaktivieren. Im Weiteren dreht es sich um (Urheber-)Rechte, US- und Schweizer Gesetze und Haftungsausschlüsse – das Übliche in Nutzungsbedingungen.

In der Datenschutzerklärung werden zunächst Verantwortliche und Datenschutzbeauftragte benannt, bevor die eigentliche Erklärung startet. Unter 2. Gesprächsinhalt lesen wir: „Wire enthält keine Entschlüsselungsschlüssel und unsere Software enthält keine Hintertür“. Aufgrund der Quelloffenheit lässt sich dies glücklicherweise nachprüfen. Weiter heißt es: „Darüber hinaus verwendet Wire auch die Transportverschlüsselung, um Metadaten zu verschlüsseln“. Darauf, dass das nicht ganz glückt, sind wir weiter oben bereits eingegangen.

Die Datenschutzerklärung gibt auch Aufschluss über Speicherzeiten bei Logfiles: Maximal 72 Stunden lagern diese auf den Servern, „und zwar nur, um die Fehlersuche zu erleichtern, den Service zu verbessern und Missbrauch zu verhindern“. Die Datenschutzerklärung zeigt weiter auf, dass „Profilinformationen nur für die Dauer Ihrer Kontonutzung“ gespeichert werden. „Wenn Sie Ihr Konto löschen, werden wir Ihre Profilinformationen umgehend löschen“. Geben Nutzende zahlungsrelevante Daten an, löscht Wire „diese Daten innerhalb von 6 Monaten nach Beendigung unseres Vertrags mit Ihnen oder nach Ablauf einer etwaigen gesetzlichen Aufbewahrungsfrist.“

Wire unterscheidet stark zwischen privaten und geschäftlichen Accounts, was unter Punkt 12 „Dritte/ Datenübermittlung in Drittländer“ deutlich wird. So erfahren wir, dass zum Bereitstellen der Dienste neben Amazon Web Services auch die Zeta Project Germany GmbH unter den Dienstleistern ist. Für private Nutzende verpflichtet sich Wire, „nur Drittanbieter für die Erbringung von Wire-Diensten in der EU und/ oder der Schweiz auszuwählen“. Anders sieht das bei Geschäftskunden aus, die Geschäftskonten nutzen: Die Liste der Drittanbietenden enthält mitunter SalesForce, Clearbit, DocuSign oder Zendesk – jeweils aus den USA.

Wir lesen, dass Wire keine Daten an Behörden gibt – „es sei denn, Wire ist dazu nach schweizerischem Recht verpflichtet“. Angesichts der Tatsache, dass Wire heute ein US-Unternehmen ist, bleibt hier die Frage offen, wie mit US-Behörden-Anfragen umgegangen wird. Wichtig ist jedoch auch dieser Hinweis: „Wenn Sie über die Wire-Anwendung Dienste von Drittanbietern wie YouTube, Spotify, Giphy usw. nutzen, unterliegen alle Daten, die Sie mit diesen Diensten teilen, deren Datenschutzrichtlinien.“ Das ist nicht außergewöhnlich, jedoch sollte darauf im Dienst beim Versenden entsprechender Inhalte hingewiesen werden, um auch datenschutzrechtlich weniger versierte Nutzende abzuholen.

Mit den Rechten der Nutzenden, der Möglichkeit, die Datenschutzerklärung jederzeit zu aktualisieren, und dem Hinweis auf die Nutzungsbedingungen endet die Datenschutzerklärung von Wire. Inhaltlich haben wir wenig zu kritisieren. Jedoch sollten die Whitepaper auf den neusten Stand gebracht werden, da diese in Teilen der Datenschutzerklärung widersprechen. Ansonsten bleibt unser größter Kritikpunkt an den Rechtstexten, dass durch die englische Sprache Sprachbarrieren auftreten können.

Fazit Wire

Wire hat viele gute Ansätze: So umfasst das Proteus-Protokoll mit Ende-zu-Ende-Verschlüsselung, PFS und Authentifizierung alle Eigenschaften, um Gespräche wirklich abhörsicher zu gestalten. Dass sensible Metadaten im Klartext auf den Wire-Servern landen, steht dem jedoch direkt entgegen, auch wenn Wire dies mit der Funktionalität begründet. Dass die Telefonnummer oder die E-Mail-Adresse als Identifier in Frage kommen, ist nutzer- und privatsphärefreundlich gedacht. Client und Server sind quelloffen, sodass Sicherheitslücken zügig aufgespürt werden können. Durch die Hauptsitze der Wire Holding in Berlin und der Wire Swiss GmbH in der Schweiz unterliegt Wire zudem den Sicherheitsgesetzgebungen in Deutschland, der Schweiz und der EU.

Bei den Einstiegshürden konnte sich Wire als bisheriger Gewinner durchsetzen: Der Messenger erhält mit 12 Punkten volle Punktzahl. Anders sieht es bei der Usability aus; Punktabzug gab es in der Bedienung und der Zuverlässigkeit. Im Testbereich Sicherheit schafft es Wire auf 10 von 15 möglichen Punkten: Abzug gab es für die englische Sprache der Rechtstexte, den Umgang mit Metadaten und für Amazon als Server-Anbieter. Mit 2,4 Sternen reiht sich Wire damit vor Telegram und WhatsApp, aber hinter Threema und Signal ein.

Ginlo im Test

Ginlo gehört zu den neuen Kandidaten in unserer diesjährigen Messenger-Testrunde. Der ginlo-Messenger existiert erst seit 2019, hat jedoch schon eine bewegte Geschichte hinter sich: Im Jahr 2017 startete der Messenger für private Nutzende in die Betaphase. Seinerzeit wurde ginlo von der Brabbler Secure Message and Data Exchange AG entwickelt – ihrerseits gegründet im Jahre 2015 von den GMX-Gründern Eric Dolatre, Karsten Schramm, Peter Köhnkow und Jörg Sellmann.

Mitte März 2019 übernahm die Brabbler AG mit SIMSme die Konkurrenz der Deutschen Post AG. In unserem Messenger-Test 2016 haben wir auch SIMSme getestet und waren sehr begeistert. Im Jahre 2019 überführte man die Marke SIMSme in ginlo, bevor die Brabbler AG im November desselben Jahres bekannt gab, den Dienst aufgrund von Insolvenz einzustellen. Im Februar 2020 übernahm die Münchener ginlo Gesellschaft für Datenkommunikationsdienste mbH den Dienst. Funfact: Der Messenger-Name ginlo ist ein Anagramm des Wortes „Login“.

Den Messenger gibt es in einer Business- und einer Privat-Version; im Folgenden gehen wir von der Version für die private Nutzung aus. Ginlo kann kostenfrei für iOS und Android heruntergeladen werden – wahlweise aus den jeweiligen App-Stores oder von der ginlo-Website. Nutzen lässt sich ginlo auf bis zu drei Geräten. Webversionen, sodass ginlo unabhängig vom Betriebssystem genutzt werden kann, existieren leider nicht. Desktop-Versionen für Windows, macOS sowie Linux gibt es nur mit ginlo Business.

Kontakte und Berechtigungen

Als wir SIMSme vor fünf Jahren getestet haben, fielen uns sofort die wenigen Berechtigungen ins Auge, die der Messenger verlangte. Schauen wir uns das beim SIMSme-Nachfolger ginlo an:

• Kamera: Bilder und Videos aufnehmen
• Mikrofon: Audio aufnehmen
• Speicher: USB-Speicherinhalte lesen, ändern oder löschen
• WLAN-Verbindungsinformationen: WLAN-Verbindungen abrufen
• Kontakte: Kontakte lesen
• Kalender:
  • Kalendertermine sowie vertrauliche Informationen lesen
  • Ohne Wissen der Inhaber Kalendertermine hinzufügen oder ändern und E-Mails an Gäste senden
• Standort: Genauer Standort (GPS- und netzwerkbasiert)
• Fotos/ Medien/ Dateien: USB-Speicherinhalte lesen, ändern oder löschen
• Sonstiges:
  • Daten aus dem Internet abrufen
  • Bildschirmsperre deaktivieren
  • Über anderen Apps einblenden
  • Google-Servicekonfiguration lesen
  • Ruhezustand deaktivieren
  • Audio-Einstellungen ändern
  • Netzwerkverbindungen abrufen
  • Mit Bluetooth-Geräten koppeln
  • Beim Start ausführen
  • Zugriff auf alle Netzwerke

Auch ginlo kann also sparsam: Die Berechtigungen, die der Messenger verlangt, lassen sich mit der Funktionalität erklären. Ausgesprochen lobenswert ist die Tatsache, dass das Telefonbuch von ginlo-Nutzenden nicht automatisch abgeglichen wird. Möchten Sie diese Option nutzen, so können Sie im Kontaktbereich oben rechts auf die drei Punkte gehen und im erscheinenden Untermenü auswählen, dass Ihre Kontakte synchronisiert werden.

Beim Synchronisieren von Kontakten werden diese noch auf dem Gerät des Nutzenden verschlüsselt und die daraus entstehenden Hash-Werte mit den verschlüsselten Werten anderer Nutzenden verglichen. Findet sich ein Treffer, wird dieser in der Kontaktliste angezeigt. Anders als bei WhatsApp werden bei ginlo also nur Kontakte von anderen ginlo-Nutzenden synchronisiert – ein hoher Mehrwert für die Privatsphäre! Zu guter Letzt können Nutzende Kontakte auch manuell hinzufügen.

Nutzt einer Ihrer Kontakte ginlo bereits, kann er Ihnen eine Einladung schicken. Dazu scannen Sie den QR-Code des Einladenden und laden die App herunter. Praktisch: In diesem Falle erfordert die Registrierung weder die Angabe einer E-Mail-Adresse noch einer Telefonnummer – komplett ohne persönliche Daten. Möchten Sie jedoch selbst anhand der eben beschriebenen Hash-Werte gefunden werden, müssen Sie eine Telefonnummer angeben. Diese wird anschließend wieder als Hash-Wert auf dem ginlo-Server gespeichert.

Die 8-stellige ginlo-ID, die beim Einrichten des Accounts vergeben wird, ist eine weitere Option, Kontakte zu finden – auch wenn diese ihre Telefonnummer nicht angegeben haben. Für den Betrieb ist das Angeben einer Telefonnummer also nicht notwendig.

Usability von ginlo

Ginlo bringt viele Funktionen mit: der Versand von Nachrichten, Dateien, Sprachnachrichten und Standorten in Einzel- und Gruppenchats ist genauso möglich wie Audio- und Videochats. Selbstzerstörende und zeitversetzte Nachrichten können die Sicherheit erhöhen. Statusmeldungen lassen sich in den Einstellungen vornehmen. Zudem können Sie Backups erstellen, um Ihre Nachrichten zu sichern. Unter Android werden Backups lokal gespeichert. Es lassen sich Channels in ginlo erstellen – also RSS-Feeds, sodass Sie die News ausgewählter Kanäle auch über den Messenger abrufen können.

Die Bedienung von ginlo geht unseren Testenden leicht von der Hand. Die Menüführung ist intuitiv und der Messenger arbeitet in unserem Test sehr zuverlässig. Einziges Manko: Der Versand von Dateien ist bei größeren Dateien nicht möglich. Das kritisiert auch ein Bewertender im Google Play Store, die ginlo-Entwickler antworten darauf im April 2021: „Das Limit für Dateigrößen liegt historisch gewachsen derzeit noch bei 20 Mbyte. Das ist tatsächlich etwas mager. Wir arbeiten aber bereits an einer Verbesserung“. Im Handbuch lesen wir, dass die Größenbeschränkung derzeit bei 100 MB liegt.

Insgesamt kommt ginlo im Google Play Store bei 463 Bewertungen auf 3,0 von 5,0 Sternen. Kritisiert werden diverse Kinderkrankheiten wie die schlechte Sichtbarkeit von Zeit und Haken oder das Fehlen von Browserversionen. Außerdem: Da so wenige Menschen ginlo nutzen, fehlt es Nutzenden an Kontakten. Immer wieder werden die ginlo-Entwickler zu mehr Eigenwerbung aufgefordert. In Apples iTunes schafft es die App auf 3,8 von 5 Sternen bei lediglich 122 Bewertungen. Hier zeichnet sich ein ähnliches Bild wie in Googles Play Store: Man erhofft sich funktionale Erweiterungen, hier und da gab es auch mal Probleme bei der Zuverlässigkeit des Messengers. Insgesamt sind die Stimmen jedoch sehr positiv und wohlwollend.

Die Sicherheit von ginlo

Das Handbuch von ginlo gibt Auskunft nicht nur über die Funktionen des Messengers, sondern auch über die Sicherheit. Hier lesen wir, dass ginlo sämtliche Nachrichten verschlüsselt – und zwar „auf Ihren Geräten, während des Transportes und auf den Empfängergeräten“. Das bei Einrichtung des Accounts gesetzte „Gerätepasswort“ stellt den privaten Schlüssel dar, der sich ausschließlich auf dem Endgerät der Nutzenden befindet. Ginlo erklärt im Handbuch, dass „weder die ginlo.net GmbH noch ein Dritter Zugriff darauf“ hat. Übrigens: Den Begriff „Gerätepasswort“ finden wir etwas ungünstig; schnelllesende Nutzende, die Erklärungen vielleicht überlesen, könnten der Annahme erliegen, sie müssten das Passwort ihres Endgeräts eingeben. Der allgemeinere Begriff „Passwort“ trägt weniger Verwechslungspotenzial.

Bei ginlo lassen sich die Kontakte per QR-Code verifizieren. Dementsprechende Markierungen finden sich an den Adressbucheinträgen: Grün gekennzeichnete Kontakte wurden per QR-Code verifiziert, mit gelben/ orangenen Kontakten wurde schon mehrfach kommuniziert und Kontakte, mit denen noch keine Unterhaltung stattfand, sind rot gekennzeichnet.

Ginlo ist made in Germany und auch der Serverstandort befindet sich in Deutschland (ISO 27001-zertifiziert). Daten, die auf den ginlo-Servern landen, sind verschlüsselt. Der Messenger finanziert sich nicht mit Werbung, auch, dass Tracking unterbleibt, verspricht der Anbieter. Das gelingt der ginlo.net GmbH mittels Querfinanzierung mit dem Business-Produkt. Sowohl die Funktion „Online-Status“ als auch die Lesebestätigung lassen sich in den Einstellungen deaktivieren. Ebenso können Sie sich entscheiden, ob der bei der Anmeldung angegebene Name beim Nachrichtenversand angezeigt werden soll oder nicht. Dies erhöht die Privatsphäre und damit die Sicherheit – genauso wie die Tatsache, dass empfangene Medien nicht automatisch im Speicher landen, was sich in den Einstellungen jedoch ändern lässt. Möchten Sie Medien automatisch speichern, bedenken Sie bitte, dass Sie sich dadurch auch Malware herunterladen könnten.

Backups werden – sowohl unter Android als auch unter iOS in der iCloud – verschlüsselt gespeichert. Auch der private Schlüssel liegt in diesem verschlüsselten Backup. Nachrichten sind sowohl lokal auf dem Gerät als auch auf dem ginlo-Server verschlüsselt. Wird die ginlo.net GmbH gesetzlich zur Herausgabe von Inhalten verpflichtet, so werden verschlüsselte Nachrichten herausgegeben, wie der Anbieter auf seiner Support-Site unter „Sicherheit & Datenschutz“ erklärt.

Ginlo ist Open Source – die Quellcodes der Clients sind auf GitHub einzusehen (Android / iOS). Für die Nachrichtenverschlüsselung setzen die ginlo-Entwickler auf ein auf Libsodium basierendes Protokoll. Mit AES-256 werden die Dateien codiert und anschließend asymmetrisch verschlüsselt.

AGB & Datenschutzrichtlinie bei ginlo

Während die AGB für ginlo Business mit einem Klick zu finden sind, suchen wir die Nutzungsbedingungen für ginlo Privat zunächst etwas, werden dann aber fündig. Dass sowohl die Nutzungsbedingungen als auch die Datenschutzerklärung in deutscher und englischer Sprache verfügbar sind, vermeidet Sprachbarrieren. Nach allgemeinen Informationen finden wir den Hinweis, dass jede Nachricht auf dem ginlo Server „sofort nach dem Download durch den jeweiligen Empfänger, sonst nach 30 Tagen gelöscht“ wird.

Ginlo transferiert keine Daten ins Ausland und speichert auf den hauseigenen Servern keine Passwörter. „Die Authentifizierung findet ausschließlich auf dem freigegebenen Endgerät des Nutzers statt“. Weiter unten erfahren wir, dass „das Passwort […] nicht durch die ginlo.net GmbH rekonstruierbar“ ist, sodass Nutzende ihr Passwort schützen sollen.

Anonymisierte Absturzberichte werden von ginlo zur Qualitätssicherung und zur Weiterentwicklung des Messengers verwendet. Im Handbuch ist zu lesen, dass Absturzberichte – ebenso wie Logfiles, die der Fehlersuche dienen – keinerlei personenbezogene Daten enthalten. Die Funktion lässt sich jedoch deaktivieren.

Möchten Nutzende ihren Account löschen, wird „das Nutzerkonto auf dem ginlo Server geschlossen und alle dort gespeicherten Daten werden gelöscht. Nach Vertragsende ist weder ein Zugriff auf die Daten noch eine Verlängerung des Vertrags möglich.“

Die Datenschutzhinweise von ginlo sind leicht aufzufinden. Wir erfahren, dass die ginlo.net GmbH in ihren Produkten „lediglich funktionell notwendige Daten in verschlüsselter Form“ verarbeitet. Nachdem die Verschlüsselung ausführlicher erklärt wird, befasst sich die Datenschutzerklärung mit Empfangenden von Daten. Hier lesen wir: „Die ginlo.net GmbH gibt Ihre personenbezogenen Daten nicht an Dritte weiter und wird dies auch in Zukunft nicht tun, es sei denn, dies ist gesetzlich vorgeschrieben, für den Vertragszweck erforderlich oder Sie haben ausdrücklich eingewilligt.“ Ginlo führt aus, dass das Unternehmen Auftragsverarbeiter einsetzt. Dies können „z. B. Betreiber von Rechenzentren und Internetdiensten sowie Leistungsanbieter oder Zahlungsdienstleister mit Sitz in Deutschland“ sein.

Daten werden bei ginlo grundsätzlich nicht außerhalb des EWR verarbeitet. Entfällt der Zweck einer Datenspeicherung, werden personenbezogene Daten gelöscht oder gesperrt; gesetzliche Aufbewahrungsfristen bleiben davon unberührt. Im Absatz „ginlo App“ lesen wir erneut, dass Nachrichten Ende-zu-Ende-verschlüsselt auf den ginlo-Servern gespeichert werden. Nun widerspricht jedoch die Datenschutzerklärung den Nutzungsbedingungen: „Auf dem Server wird jede Nachricht 90 Tage nach dem Versand gelöscht.“ In den Nutzungsbedingungen hieß es, dass jede Nachricht auf dem ginlo Server „sofort nach dem Download durch den jeweiligen Empfänger, sonst nach 30 Tagen gelöscht“ wird.

Inaktive Accounts löscht ginlo „am Ende des auf die letzte Nutzung folgenden Kalenderjahres automatisch […]. Während dieser Zeit ist eine Reaktivierung des Accounts durch den Nutzer möglich. Spätestens ab dem Zeitpunkt der Löschung bleibt die Suchfunktion anderer Nutzer ergebnislos.“ Zum Umgang mit Metadaten schweigt sich die ginlo.net GmbH leider sowohl im Handbuch als auch in der Datenschutzerklärung aus.

Fazit ginlo

Die ginlo.net GmbH hat sich in einem zweiten Versuch mit dem Messenger ginlo Privatsphäre auf die Fahne geschrieben. Der für Privatnutzende kostenfreie Messenger läuft ausschließlich unter iOS und Android – eine Webversion vermissen wir genauso wie Desktop-Versionen. Schmale Berechtigungen und ein gutes Kontaktemanagement bringen ginlo bei den Einstiegshürden 10 von 12 möglichen Punkten.

Die Feature-Liste begeistert, die Bedienung überzeugte im Test, wo der Messenger auch zuverlässig lief. Jedoch berichten Nutzende in den App-Stores gelegentlich über Probleme; der Entwickler bietet hier Support an. Im Bereich Usability überzeugt ginlo mit 8 von 9 möglichen Punkten.

Der Quellcode ist ausschließlich Client-seitig überprüfbar. Die Server sind ISO 27001-zertifiziert und befinden sich in Deutschland. Die Schutzmechanismen an Bord des Messengers überzeugen; nervige und Privatsphäre-raubende Funktionen wie die Lesebestätigung lassen sich deaktivieren. Zur Datenspeicherung fanden wir leider verschiedene Informationen in den Nutzungsbedingungen und der Datenschutzerklärung, außerdem fehlten uns Informationen zum Umgang mit Metadaten. Ginlo schafft es in unserem Testbereich „Sicherheit“ auf 12 von 15 Punkten.

Alles in allem hinterlässt ginlo jedoch einen guten Eindruck: Zusammen mit Signal liegt der Messenger in unserem Test mit 2,5 von 3 Sternen auf Platz 2 – direkt hinter Threema.