Signal: Der Goldstandard für verschlüsselte Nachrichten

Was ist Signal?

Signal ist eine kostenlose, Open-Source-Messaging-App, mit der Sie Text-, Sprach-, Video- und Dateinachrichten mit der stärksten praktisch verfügbaren Ende-zu-Ende-Verschlüsselung für Verbraucher senden können. Sie wird von der Signal Foundation, einer gemeinnützigen US-Organisation, entwickelt und ausschließlich durch Spenden finanziert – keine Werbung, kein Datenverkauf, keine Premium-Stufe.

Die App wird von jeder großen Datenschutzorganisation (EFF, Tor Project, Privacy International) empfohlen, von Journalisten, Aktivisten, Anwälten und Sicherheitsforschern weltweit genutzt und von Edward Snowden als der Messenger empfohlen, den er täglich verwendet.

Was Signal einzigartig macht

Die meisten „verschlüsselten" Messenger schützen Ihre Nachricht während der Übertragung, geben aber dem jeweiligen Unternehmen reichlich Informationen über Sie preis:

Eigenschaft	Signal	WhatsApp	Telegram	iMessage	SMS
Ende-zu-Ende-Verschlüsselung standardmäßig	✅	✅	❌ (nur „Geheime Chats")	✅ (Apple↔Apple)	❌
Open-Source-Clients	✅ alle Plattformen	❌	teilweise	❌	n/a
Open-Source-Server	✅	❌	❌	❌	n/a
Minimierung von Metadaten	✅ konsequent	❌ mit Meta geteilt	❌ gespeichert	teilweise	❌
Sealed Sender	✅	❌	❌	❌	❌
Betrieben von einer gemeinnützigen Organisation	✅	❌ (Meta)	❌	❌ (Apple)	n/a
Finanziert durch Werbung oder Daten	❌ nie	✅ (Meta-Werbung)	teilweise	n/a	n/a

Die Kombination dieser Eigenschaften macht Signal einzigartig. Andere Messenger können Signal bei der Verschlüsselungsstärke ebenbürtig sein, aber keine gängige Alternative bietet das vollständige Paket aus starker Verschlüsselung, minimalen Metadaten, vollständigem Open-Source-Code und einem Finanzierungsmodell, das strukturell auf den Datenschutz der Nutzer ausgerichtet ist.

Ende-zu-Ende-Verschlüsselung, korrekt umgesetzt

Signal verwendet das Signal-Protokoll (ursprünglich Axolotl), ein mehrschichtiges Verschlüsselungsdesign, das auf drei modernen kryptografischen Primitiven aufbaut:

• Double Ratchet – generiert für jede Nachricht einen neuen Verschlüsselungsschlüssel, sodass selbst wenn ein Schlüssel kompromittiert wird, nur diese eine Nachricht betroffen ist
• Forward Secrecy – vergangene Nachrichten bleiben sicher, selbst wenn Ihr aktueller Schlüssel kompromittiert wird
• Future Secrecy (Post-Compromise-Sicherheit) – wenn Ihr Schlüssel kompromittiert wird, erholt sich das System automatisch, sodass zukünftige Nachrichten wieder sicher sind
• Abstreitbarkeit – Nachrichten beweisen dem Empfänger kryptografisch ihre Authentizität, nicht jedoch einem Dritten, sodass niemand nachträglich beweisen kann, dass Sie eine bestimmte Nachricht gesendet haben

Das Protokoll ist so gut konzipiert, dass WhatsApp, Facebook Messenger, Google Messages und Skype es für ihre eigene Ende-zu-Ende-Verschlüsselung lizenzieren. Wenn die weltweit größten Messaging-Apps eine Verschlüsselung benötigen, der sie vertrauen, greifen sie auf Signals Design zurück.

Die kryptografische Implementierung ist öffentlich zugänglich und wurde von unabhängigen Sicherheitsforschern geprüft – einschließlich formaler mathematischer Beweise der Protokolleigenschaften, die in begutachteten Fachzeitschriften veröffentlicht wurden.

Metadaten: Hier liegt Signals eigentliche Stärke

Verschlüsselung schützt den Inhalt von Nachrichten. Metadaten – mit wem Sie kommuniziert haben, wann, wie oft, von wo – sind oft aussagekräftiger als der Inhalt selbst. NSA-Generalrat Stewart Baker sagte einst treffend: „Wir töten Menschen auf der Grundlage von Metadaten."

Die meisten Messenger speichern umfangreiche Metadaten. WhatsApp teilt mit seinem Mutterunternehmen Meta:

• Ihre Kontaktliste
• Mit wem Sie schreiben und wann
• Ihre IP-Adresse zum Zeitpunkt der Nachricht
• Gruppenmitgliedschaften
• „Zuletzt online"-Status

Signal speichert by Design so gut wie nichts:

• ❌ keine Kontaktliste (lokal auf Ihrem Gerät mit kryptografischen Hashes abgeglichen)
• ❌ keine Nachrichtenrouting-Protokolle
• ❌ kein Kommunikationsgraph (wer mit wem spricht)
• ❌ keine Gruppenmitgliedschaftslisten auf dem Server
• ❌ keine zentral gespeicherten „Zuletzt online"-Zeitstempel
• ✅ Erstellungsdatum des Kontos
• ✅ Zeitstempel der letzten Verbindung (auf den Tag gerundet)

Wenn das FBI Signal vorlädt – und das ist mehrfach geschehen – erhält es nur diese letzten beiden Felder. Signal veröffentlicht jede Behördenanfrage und die jeweilige Antwort unter https://signal.org/bigbrother/. Die Diskrepanz zwischen dem, was angefordert wird, und dem, was Signal übergeben kann, ist frappierend.

Sealed Sender

Signal geht mit einer Funktion namens Sealed Sender noch weiter. Normalerweise muss ein Server wissen, wer eine Nachricht sendet, um sie zustellen zu können. Sealed Sender verwendet einen kryptografischen Umschlag, sodass selbst Signals eigener Server nicht sehen kann, wer die Nachricht gesendet hat – nur, an wen sie adressiert ist. Der Server wird auf ein unintelligentes Relay reduziert, das nicht weiß, wer mit wem kommuniziert.

Warum Open Source wichtig ist

Signal veröffentlicht den vollständigen Quellcode für jeden Client (iOS, Android, Desktop, Web) und den Server. Das bedeutet:

• Unabhängige Sicherheitsforscher können jede Zeile prüfen
• Sie können Signal selbst kompilieren und bestätigen, dass die veröffentlichte Binärdatei übereinstimmt
• Fehler und Backdoors können von jedem entdeckt werden, nicht nur vom Unternehmen
• Forks wie Molly (ein gehärteter Android-Signal-Client) belegen, dass das Design solide ist

Vergleichen Sie dies mit Closed-Source-Messengern, bei denen Sie den Angaben des Unternehmens darüber vertrauen müssen, was die App tut. Signals Code ist unter https://github.com/signalapp für jedermann einsehbar.

Die Frage der Telefonnummer

Signals größte Datenschutzkritik war historisch gesehen, dass für die Registrierung eine Telefonnummer erforderlich ist. Dies ist ein echter Kompromiss: Telefonnummern erleichtern die Auffindbarkeit („sehen, welche meiner bestehenden Kontakte bei Signal sind"), sind aber auch ein persönlich identifizierendes Datenelement.

Signals Reaktion darauf, eingeführt 2024:

• Optionale Benutzernamen – Sie können mit jemandem über einen Benutzernamen statt einer Telefonnummer chatten, sodass der Empfänger Ihre Nummer nie sieht
• Umschalter für Auffindbarkeit der Telefonnummer – Sie können ausschließlich Kontakt per Benutzername oder Link erlauben und sich so vor der Suche „Finde mich per Telefonnummer" schützen
• Telefonnummern bleiben im Hintergrund an das Konto gebunden – Signal verwendet sie weiterhin für die SMS-Verifizierung bei der Registrierung und erneuten Verifizierung

Wenn Ihre Telefonnummer besonders sensibel ist (Sie sind ein Journalist, der Quellen schützt, ein Aktivist in einer feindseligen Umgebung usw.), ist die gängige Praxis, Signal mit einer Zweitnummer zu registrieren – Google Voice, Twilio, JMP.chat oder eine SIM in einem separaten Telefon – und diese als Signal-Identität zu verwenden. Die Zweitnummer muss für die regelmäßige erneute Verifizierung erreichbar bleiben.

Praktische Funktionen, die zählen

Über die Verschlüsselung hinaus bietet Signal Datenschutzfunktionen, die andere Messenger entweder nicht haben oder als zweitrangig behandeln:

Verschwindende Nachrichten

Stellen Sie einen gesprächsspezifischen Timer (5 Sekunden bis 4 Wochen) ein, und Nachrichten werden nach dem Lesen durch den Empfänger automatisch gelöscht. Sie können auch einen Standard-Timer für alle neuen Chats festlegen. Entscheidend für sensible Gespräche: Wenn Ihr Telefon später beschlagnahmt oder kompromittiert wird, ist die gelöschte Chronik verschwunden.

Bildschirmsperre

Sperren Sie die Signal-App selbst hinter Face ID, Touch ID oder der PIN Ihres Geräts – getrennt von der Geräteentsperrung. Das bedeutet: Ein entsperrtes und weitergegebenes Telefon gibt Ihre Nachrichten trotzdem nicht preis.

Notiz an mich selbst

Signal enthält einen „Notiz an mich selbst"-Chat, der ein privates, Ende-zu-Ende-verschlüsseltes Notizbuch ist, das über Ihre Geräte hinweg synchronisiert wird. Nützlich zum Aufbewahren von 2FA-Codes, Links, die Sie später lesen möchten, oder kurzer Notizen – alles mit denselben Sicherheitsgarantien wie Nachrichten an andere Personen.

Story-artige Updates

Signal Stories funktionieren wie Instagram- oder WhatsApp-Stories, jedoch mit derselben E2E-Verschlüsselung. Wählen Sie genau aus, welche Kontakte jede Story sehen können; nichts gelangt in einen Feed oder ein Empfehlungssystem.

Sprach- und Videoanrufe

Signal-Anrufe sind mit demselben Protokoll Ende-zu-Ende-verschlüsselt, einschließlich Gruppenanrufen mit bis zu 50 Teilnehmern. Die Audioqualität ist gut, und die Anrufe werden über Signals Relay-Server geleitet, sodass kein Teilnehmer seine IP-Adresse dem anderen gegenüber preisgeben muss.

Geräteübergreifende Synchronisierung

Signal funktioniert auf mehreren Geräten, die mit demselben Konto verknüpft sind – Ihr Telefon (das primäre Gerät) sowie Desktop-Apps für macOS, Windows, Linux und eine iPad-App. Verknüpfte Geräte empfangen Nachrichten unabhängig voneinander; Ihr Telefon muss nicht online sein, damit der Desktop funktioniert.

Wo Signal Schwächen hat

Eine ehrliche Einschätzung der Kompromisse:

• Kein SMS-Fallback – Signals Android-App hat die SMS-Unterstützung 2023 eingestellt. Einige Nutzer vermissen den einheitlichen Posteingang.
• Standardmäßig keine Cloud-Backups auf iOS – Ihre Nachrichtenchronik lebt auf Ihrem Gerät. Das Wechseln auf ein neues Telefon erfordert einen Übertragungsprozess; wenn Ihr Telefon ohne Übertragung verloren geht, ist Ihre Nachrichtenchronik weg. (Dies ist auch eine Datenschutzfunktion: Nichts für einen Angreifer, der iCloud vorladen könnte.)
• Kleinere Nutzerbasis als WhatsApp – Ihre Kontakte sind möglicherweise noch nicht bei Signal. Oft bedarf es einer viralen Nachricht (ein großer Datenmissbrauch, ein Apple-vs.-FBI-Moment), damit sich neue Nutzerwellen anschließen.
• Gruppenfunktionen sind einfach im Vergleich zu Telegrams riesigen öffentlichen Kanälen. Signal verfolgt diesen Anwendungsfall bewusst nicht – das Ziel sind private Gruppenchats, keine Rundfunkplattformen.
• Benutzernamensuche nur bei exakter Übereinstimmung – Sie können nicht nach „Nutzer namens Alice suchen", sondern nur einen bestimmten Benutzernamen nachschlagen, den Ihnen jemand gegeben hat.

Wer Signal verwenden sollte

Eine realistische Antwort: Jeder, der Textnachrichten mit einem anderen Menschen austauscht – selbst beiläufige. Der marginale Aufwand, zu Signal zu wechseln, um einem Freund zu schreiben, mit dem Sie ohnehin schon schreiben, ist praktisch null, und Sie erhalten Ende-zu-Ende-Verschlüsselung, keine Werbung und einen Messenger, der finanziert wird, um Ihnen zu dienen, statt Sie zu monetarisieren.

Der Fall ist noch überzeugender für:

• Journalisten, die Quellen schützen
• Anwälte und Mandanten, die eine privilegierte Kommunikation benötigen
• Aktivisten, Dissidenten und Menschenrechtsarbeiter in jeder Umgebung
• Jeden, der über Gesundheit, Finanzen, Beziehungen, familiäre Konflikte diskutiert – alles, was Sie nicht in einer zukünftig geleakten Datenbank haben möchten
• Unternehmen, die Geschäftsgeheimnisse, Fusionen & Übernahmen, Einstellungsentscheidungen besprechen – alles, was Ihrem Unternehmen bei einem Datenleck schaden würde

Für diese Anwendungsfälle ist Signal das Mindestmaß. Wenn Sie nicht bei Signal sind, übertragen Sie Ihre Gespräche praktisch über die Protokollierungsinfrastruktur eines werbefinanzierten Unternehmens.

Finanzierung und Nachhaltigkeit

Signal wird von der Signal Foundation betrieben, einer gemeinnützigen US-Organisation nach § 501(c)(3). Die Finanzierung stammt aus:

• Einzelspenden über signal.org/donate (die größte Einnahmequelle)
• Einer Spende von 50 Millionen US-Dollar des WhatsApp-Mitgründers Brian Acton im Jahr 2018
• Kleineren Zuschüssen von datenschutzorientierten Stiftungen
• Einer Reserve aus dem Stiftungskapital von 2018

Die Betriebskosten sind real – Signal-CEO Meredith Whittaker hat öffentlich erklärt, dass die Foundation etwa 50 Millionen US-Dollar pro Jahr benötigt, um den laufenden Betrieb aufrechtzuerhalten. Wenn Sie Signal regelmäßig nutzen, finanziert eine Spende direkt die Menschen, die den Code schreiben. Es gibt keine Werbung oder Upselling, um das Sie sich sorgen müssten; die Spende ist das gesamte Einnahmemodell.

Das Fazit

Signal zeigt, wie private Kommunikation aussieht, wenn sie von Datenschutzingenieuren konzipiert, offen geprüft und von einer Organisation betrieben wird, die Sie nicht monetarisieren muss. Die Verschlüsselung ist erstklassig, der Metadaten-Fußabdruck ist nahezu null, und das Finanzierungsmodell bedeutet, dass es keinen Anreiz gibt, das jemals zu ändern. Die Telefonnummernpflicht ist ein echter Kompromiss, der durch die Einführung von Benutzernamen im Jahr 2024 jedoch erheblich abgemildert wurde.

Wenn Sie Datenschutz ernst nehmen und nichts gegen eine 30-sekündige Installation haben, sollte Signal Ihr Standard-Messenger sein. Wenn Ihre Kontakte noch nicht dabei sind, schicken Sie ihnen eine Einladung – der Netzwerkeffekt ist das Einzige, was zwischen Signal und einer allgegenwärtigen Verbreitung steht, und jeder neue Nutzer bringt die Nadel ein Stück weiter.