{"id":1174,"date":"2014-05-02T13:37:18","date_gmt":"2014-05-02T11:37:18","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=1174"},"modified":"2025-11-20T14:16:14","modified_gmt":"2025-11-20T13:16:14","slug":"myenigma-sicherer-messenger-mit-schwachstellen","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/myenigma-sicherer-messenger-mit-schwachstellen\/","title":{"rendered":"myENIGMA: Sicherer Messenger mit Schwachstellen"},"content":{"rendered":"

„Der sichere Messenger aus der Schweiz \u2013 Sch\u00fctze deine Privatsph\u00e4re!“ – Das sind die ersten Worte, die einem ins Auge springen, wenn man die Website von myENIGMA<\/a> aufruft. Schnell wird uns klar: Auch diese Messenger-App m\u00f6chte\u00a0Sicherheit bieten<\/strong> und stellt selbige in den Vordergrund. Wir machen uns gespannt an den 7. Teil unseres gro\u00dfen Messenger-Tests:<\/p>\n

<\/p>\n

myENIGMA gibt es f\u00fcr die „\u00fcblichen Verd\u00e4chtigen“<\/h2>\n

myENIGMA k\u00f6nnen Sie mit Smartphones und Tablets unter Android, iOS und BlackBerry<\/strong> nutzen; sowohl \u00fcber\u00a0mobile Datenverbindungen als auch rein unter WLAN. Eine Windows Phone-Version ist in Planung<\/strong>, allerdings k\u00f6nnen die Macher der Messenger-App derzeit noch keinen Zeitpunkt nennen. Eine Desktop-Version ist nicht geplant. Auch myENIGMA macht die Installation einfach<\/strong>: Sie gehen in den Appstore Ihres Betriebssystems, laden die App herunter und folgen den Anweisungen. Beim ersten Aufrufen der App haben wir einen Unterschied zu allen bereits getesteten\u00a0Apps festgestellt. Wir werden auf die Endbenutzer-Lizenzvereinbarung (EULA) aufmerksam<\/strong><\/strong> gemacht, k\u00f6nnen sie lesen, akzeptieren oder abbrechen. Aktualisiert am 09. April 2014, sehen wir die Nutzungsbedingungen und Datenschutzrichtlinien in deutscher Sprache<\/strong><\/strong> und akzeptieren die Vereinbarungen.<\/p>\n

\"Messenger-Test_2\"<\/a>Nun werden wir aufgefordert, unsere Telefonnummer einzugeben. Kaum geschehen, geht eine SMS mit dem Aktivierungscode<\/strong>, der f\u00fcnf Tage g\u00fcltig ist, an das Testger\u00e4t. In der App fragt uns myENIGMA, ob wir uns mit Facebook, Twitter, LinkedIn oder Xing verbinden oder diesen Schritt \u00fcberspringen wollen \u2013 zweiteres w\u00e4hlen wir aus. Per SMS oder E-Mail k\u00f6nnten wir nun Freunde einladen. \u00c4hnlich wie schon bei Telegram bleibt uns der Sinn des Aktivierungscodes verborgen<\/strong>: Auch nach dem Neustart der App m\u00fcssen wir ihn nicht eingeben. In den Einstellungen haben wir die Option, das Adressbuch auf Kontakte zu durchsuchen<\/strong> oder Kontakte \u00fcber die oben bereits erw\u00e4hnten Wege hinzuzuf\u00fcgen. Das funktioniert also genauso einfach wie bei allen bisher getesteten Messengern.<\/p>\n

 <\/p>\n

myENIGMA: Weniger funktional, aber alles Wichtige inklusive<\/h3>\n

Das Interface von myENIGMA wirkt aufger\u00e4umt und \u00fcbersichtlich<\/strong>. Die App ist wesentlich dunkler gestaltet<\/strong> als ihre bisher getesteten Konkurrenten, ansonsten gibt es keine nennenswerten Unterschiede<\/strong>. myENIGMA erlaubt den Versand von Textnachrichten und Multimediadateien (Videos, Bilder, Audionachrichten) mit einer maximalen Gr\u00f6\u00dfe von 20 MB<\/strong>. Noch ist myENIGMA kostenfrei<\/strong>; in den FAQ ist bereits zu lesen, dass myENIGMA l\u00e4ngerfristig seine laufenden Kosten mit einem Beitrag der\u00a0User decken m\u00f6chte. Ob das einem Abomodell wie bei WhatsApp, einem Download-Kostenmodell wie bei Threema oder einem Modell mit In-App-K\u00e4ufen wie bei LINE entspricht, scheint derzeit noch offen zu sein. Ab wann User zahlen, wird in den FAQ nur mit „l\u00e4ngerfristig“ beantwortet, sodass in den kommenden Monaten noch nicht davon auszugehen ist.<\/p>\n

Die Schweizer Qnective AG<\/a><\/strong> ist Entwickler der App. Sie k\u00fcmmert sich um Softwarel\u00f6sungen und Kommunikationsplattformen f\u00fcr Regierungen und Unternehmen. myENIGMA wird, solange der Messenger kostenfrei verf\u00fcgbar ist, \u00fcber die Produkte der Qnective AG querfinanziert<\/strong>.<\/p>\n

\"Messenger-Test_3\"<\/a>Sie k\u00f6nnen einzeln oder in Gruppen mit bis zu 30 Teilnehmern verschl\u00fcsselt chatten<\/strong>. Ein SMS-Modus erlaubt es, mit anderen myENIGMA-Usern verschl\u00fcsselte SMS-Nachrichten<\/strong> auszutauschen \u2013 praktisch vor allem dann, wenn Sie Konnektivit\u00e4tsprobleme mit dem Internet haben oder aus dem Ausland sicher kommunizieren wollen. Versenden oder empfangen Sie verschl\u00fcsselte SMS, werden dieselben Geb\u00fchren f\u00e4llig wie bei einer normalen SMS, abgerechnet wird \u00fcber Ihren Provider. Damit sind alle wichtigen Funktionalit\u00e4ten gegeben \u2013 nicht ganz so viele wie in eher spielerisch ausgelegten Messengern wie beispielsweise LINE, der\u00a0noch mit Video- und Sprachanrufe, Standortinformationen, eine Timeline und weitere Zusatzfeatures ausgestattet ist, jedoch sind alle vorhanden, die definitiv nicht bei einem Messenger fehlen d\u00fcrfen.<\/p>\n

 <\/p>\n

myENIGMA setzt auf Ende-zu-Ende-Verschl\u00fcsselung<\/h3>\n

Als unser Messenger-Test publik wurde, bekamen wir eine E-Mail von myENIGMA mit dem Hinweis auf das \u00f6ffentlich einsehbare Whitepaper<\/a> (PDF), das die Qnective AG zur Verschl\u00fcsselung von\u00a0myENIGMA zur Verf\u00fcgung gestellt hat. Daraus gehen auch allgemeine Informationen hervor: myENIGMA entstand im Jahre 2012<\/strong>, im M\u00e4rz 2013 folgte die Android-Version, im April zog die BlackBerry- und im Juli die iOS-Version nach. Wir erfahren, wie es zu myENIGMA kam; die Kurzform: Im Zuge der Software-Entwicklung\u00a0Qtalk Secure, einer verschl\u00fcsselten Voice-L\u00f6sung f\u00fcr Regierungen und Unternehmen, fiel den Entwicklern auf, dass diese L\u00f6sung nur einer kleinen Gruppe von Menschen vorbehalten war. F\u00fcr den Verbraucher war Qtalk Secure nicht gedacht, sodass man f\u00fcr den Endnutzer eine sichere App entwickeln wollte.<\/p>\n

Anschlie\u00dfend geht es in dem Whitepaper ans Eingemachte: Die Sicherheitsfeatures werden erkl\u00e4rt. Chats werden mit AES-256 Ende-zu-Ende-verschl\u00fcsselt<\/strong>. Private Schl\u00fcssel bleiben auf dem angemeldeten Device, sodass auch Qnective keine Nachrichten mitlesen kann<\/strong>. Die Nachrichten werden \u00fcber eine verschl\u00fcsselte Verbindung transportiert<\/strong> und alle 3,5 Tage werden die Schl\u00fcssel des Users erneuert<\/strong>, sodass \u00e4ltere Nachrichten nicht mehr gelesen werden k\u00f6nnen, sollte der private Key in falsche H\u00e4nde geraten. Forward Secrecy (PFS) wird \u00fcbrigens unterst\u00fctzt<\/strong>: Nur Cipher-Suites nach Diffie-Hellman k\u00f6nnen in myENIGMA arbeiten. Haben Sie sich die Zeit genommen und zu Beginn der Installation den Endbenutzerlizenzvertrag durchgelesen, wissen Sie, dass Ihre Mobilfunknummer und die Nummern Ihrer Kontakte (nicht die Namen) aus dem Telefonbuch nicht im Klartext abgespeichert werden. Diese Informationen wandern gehasht \u00fcber eine verschl\u00fcsselte Verbindung an die in der Schweiz stehenden Server<\/strong>. So wird es myENIGMA erlaubt, festzustellen, welcher Ihrer Kontakte ebenfalls auf diesen Messenger setzt.<\/p>\n

 <\/p>\n

\"Messenger-Test_4\"<\/a>myENIGMA zeigt transparent, was mit Ihren Daten geschieht<\/h3>\n

Quelloffen ist myENIGMA nicht<\/strong>. Das begr\u00fcndet die Qnective AG im Whitepaper damit, dass sie\u00a0Patente f\u00fcr einige der verwendeten Sicherheitsfeatures angemeldet habe, die gesch\u00fctzt bleiben sollen. Au\u00dferdem sei ein ver\u00f6ffentlichter Quellcode keine Garantie daf\u00fcr, dass dieser in der App auch verwendet w\u00fcrde. Wie Qnective mit Ihren Daten umgeht, k\u00f6nnen Sie in deutscher Sprache auf der Webseite von myENIGMA einsehen. In den Datenschutzrichtlinien<\/a> ist festgehalten, dass Ihre Mobilfunknummer und die Hardware-ID Ihres Mobilger\u00e4ts zur Identifikation gesammelt<\/strong> werden, au\u00dferdem teilt die App Ihren Online-Status (Sie k\u00f6nnen sich „offline“ setzen), um ihn Ihren Kontakten mitzuteilen. Kontaktieren Sie den Support per E-Mail, werden Ihre E-Mail-Adresse und weitere Infos, die Sie mitteilen, von myENIGMA gespeichert. Auch nicht-personenbezogene Daten werden anonym gespeichert<\/strong>, sind Ihnen als Nutzer aber nicht zuzuordnen; sie dienen statistischen Zwecken. Wie schon erw\u00e4hnt, werden die Daten gehasht \u00fcber verschl\u00fcsselte Verbindungen \u00fcbertragen.<\/p>\n

Betont wird, dass pers\u00f6nliche Daten nicht verkauft oder an Dritte weitergegeben werden<\/strong>; Ausnahme bildet das Ersuchen von Justizbeh\u00f6rden. Die Qnective AG beh\u00e4lt sich vor, die bestehenden Daten „im Falle einer \u00dcbernahme, Fusion oder eines Kontrollwechsels im Unternehmen einer Drittpartei weiterzugeben“. L\u00f6schen Sie Ihren Account, werden auch all Ihre pers\u00f6nlichen Daten entfernt<\/strong>. Nicht-personenbezogene Daten bleiben maximal 30 Tage nach Ihrer K\u00fcndigung gespeichert.<\/p>\n

Auch die AGB lassen sich sowohl auf dem Mobilger\u00e4t als auch online in deutscher Sprache<\/a> einsehen. Das \u00dcbertragen gehashter Daten \u00fcber eine TLS-gesicherte Verbindung wird erkl\u00e4rt und die Entwickler weisen darauf hin, dass ihre App „auf Kontaktnamen oder andere in Ihrem Adressbuch vorhandenen Kontaktdaten“ nicht zugreift. Einen Jugendfilter gibt es bei myENIGMA nicht<\/strong>, in den AGB wird aber darauf hingewiesen, dass die App erst ab 16 Lebensjahren genutzt werden darf<\/strong>.<\/p>\n

 <\/p>\n

Zahlreiche St\u00f6rungsmeldungen auf der Facebook-Page von myENIGMA<\/h3>\n

In unserem Test unter Android arbeitete myENIGMA zuverl\u00e4ssig. Wir haben uns auf der Facebook-Fanpage von myENIGMA<\/a> umgesehen und sofort springen zahlreiche St\u00f6rungsmeldungen<\/strong> ins Auge: „Schade, es gibt viel zu oft Probleme. Das kennt man von WhatsApp nicht, von daher wird es schwer f\u00fcr myENIGMA als ernstzunehmende Alternative …“, schreibt ein frustrierter User, „Ausloggen!! Ich m\u00f6chte \u00fcbrigens selbst entscheiden ob ich mich einlogge oder nicht! Hier bedarf es einer dringender \u00c4nderung!!“, ein anderer als Reaktion auf ein Update, das die Logout-Funktion entfernt hat<\/strong>. myENIGMA reagiert ziemlich z\u00fcgig auf die Beschwerden der Nutzer und schreibt beispielsweise zum Update: „Durch die vereinfachte Registrierung, welche mit der Version 1.31.x implementiert wurde, ist es nicht mehr m\u00f6glich, sich auszuloggen. Dies erm\u00f6glicht unseren Usern st\u00e4ndig \u00fcber neue Nachrichten via myENIGMA informiert zu bleiben. Als zus\u00e4tzliches Sicherheitsfeature arbeiten wir bereits an einer Pin Lock Funktion.“ Daneben wollen die Macher gerne wissen, wann sich die User ausloggen.<\/p>\n

\"Messenger-Test_5\"<\/a>Es scheint also noch diverse St\u00f6rungen zu geben. Auffallend ist, dass sich schnell gek\u00fcmmert wird: Oft lesen wir die Bitte, sich mit einer genauen Schilderung des Problems an den Support zu wenden, es wird f\u00fcr das Verst\u00e4ndnis gedankt, dass der Service gerade nicht erreichbar ist, und p\u00fcnktlich dar\u00fcber informiert, wenn das Problem behoben wurde. Das ist l\u00f6blich, aber \u00e4rgerlich, wenn es im t\u00e4glichen App-Einsatz zu sich h\u00e4ufenden Problemen kommt. Sicherheitsprobleme hingegen sind nicht bekannt<\/strong>. Eines k\u00f6nnte sich aber aus der nun fehlenden Logout-Funktion ergeben: Wird das Ger\u00e4t gestohlen, haben andere Zugriff auf die Nachrichten. Dem wird allerdings durch das 3,5-t\u00e4gige Austauschen der Schl\u00fcssel vorgebeugt.<\/p>\n

Grunds\u00e4tzlich haben wir einen positiven Eindruck von myENIGMA: Die Sicherheitsfeatures sind stark<\/strong>, insbesondere die Tatsache, dass die Schl\u00fcssel alle 3,5 Tage ausgetauscht werden<\/strong>, hat uns begeistert. So wird vermieden, dass ein gestohlenes Ger\u00e4t s\u00e4mtliche Nachrichten offenbart. Pluspunkte sammelt die Messenger-App auch bei der Transparenz der Datenschutzrichtlinien und der AGB<\/strong>. Minuspunkte gibt es allerdings durch die offenbar h\u00e4ufigen St\u00f6rungen, auch wenn wir st\u00f6rungsfrei testen konnten. Der Funktionsumfang beschr\u00e4nkt sich aufs Wesentliche; f\u00fcr uns nicht weiter st\u00f6rend, f\u00fcr User, die auch Videochats f\u00fchren und Sticker versenden wollen, ist die App nicht die richtige.<\/p>\n

 <\/p>\n

 <\/p>\n

Zusammenfassung myENIGMA<\/h2>\n