Threema-Datensicherung: Wie geht das?

Threema-BackupSeit Whats­App ange­kün­digt hat, Daten seiner Nut­zer und de­rer Kon­tak­te min­des­tens inner­halb des Face­book-Kon­zerns zusammen­zu­führen und auszu­werten, sind die Instal­latio­nen alter­nati­ver Chat-Dien­ste wie Tele­gram, Signal und Threema sprung­haft ange­stie­gen. Nach­dem ich bereits vor ein­ein­halb Jah­ren Threema als sicher­ste Alter­na­tive unter allen Messen­gern vorge­stellt habe, möchte ich hier eine Zu­sammen­fas­sung mit mei­nen Leser­¦innen tei­len: Was kann und was soll­te man tun, um einen Threema-Backup sei­ner Daten zu er­stel­len?

Threema-Backup – Warum jetzt auch noch Daten­sicherung?

„Wie unkom­fortabel ist denn das?“, werden  Sie wahr­schein­lich stöh­nen. „Bei Whats­App und den ande­ren brauche ich das doch auch nicht!“ – Wohl wahr, aber beden­ken Sie, warum das so ist.

Viele andere Messen­ger-Dien­ste kop­peln die Kunden­daten an die Mobil­ruf­nummer und spei­chern alles zusam­men auf ihren Ser­vern, irgend­wo auf der Welt. Damit sind die Daten meist ganz ein­fach wieder­her­stell­bar: Das Smart­phone fällt in den Putz­eimer oder befin­det sich auf unrecht­mäßi­gem Weg zu einem neuen Besit­zer im Aus­land? Macht nichts. Alte SIM-Karte sper­ren las­sen und eine neue mit der glei­chen Ruf­nummer ins neue Mobil­tele­fon einset­zen. Whats­App & Co. neu instal­lieren, das war’s schon. Die eigene Iden­ti­tät ist auto­matisch wieder da, die alten Chat­ver­läufe eben­falls.

Aber es ist Ihnen hoffent­lich klar, dass all diese persön­li­chen Daten irgend­wo dauer­haft aufbe­wahrt werden müssen, damit das so ein­fach funkti­oniert. Wo diese Aufbe­wah­rung statt­findet und wer darauf Zu­griff hat, das wissen wir nicht.

Gerade weil Threema so sicher ist, …

funktioniert die Komfort­variante hier eben nicht auto­matisch. Denn:

  1. Man kann Threema verwen­den, ohne eine Mobil­ruf­nummer ange­ben zu müssen. Man muss über­haupt keine persön­lichen Daten ange­ben. Zur Iden­tifi­kation vergibt Threema beim Regi­strie­ren einen acht­stel­ligen Zufalls­code aus Buch­staben und Zif­fern, die Threema-ID. Diese ID kann man an seine Kontak­te weiter­geben und damit kom­plett ano­nym den Chat mög­lich machen.
  2. Damit es auf Wunsch auch ein­fa­cher geht, kann man frei­willig auch eine Mobil­ruf­nummer und/oder eine E-Mail­adresse ange­ben. Über solche Anga­ben, können Sie andere Nutzer auto­matisch fin­den las­sen, falls deren jewei­lige Anga­ben in Ihren Kontak­ten eige­tra­gen sind.
    Wichtig hier­bei ist: Threema-Nutzer können Kontakt­anga­ben machen, sie müssen es nicht.

Davon abgese­hen verwen­det Threema keines­falls Kontakt­daten (Tele­fon, Mail­adresse) zur Iden­tifi­kation seiner Nutzer, selbst dann nicht wenn diese frei­willig aus Komfort­grün­den angege­ben werden.  Es gilt aus­schließ­lich die Threema-ID.
Das bedeu­tet: Mobil­tele­fon im Putz­eimer oder unter­wegs ins Nirwa­na? Ohne Ihre ID kommen Sie auf einem neuen Tele­fon nicht mehr an Ihre Kontak­te, geschweige denn an Ihre Chat­ver­läufe. Sie fan­gen also mit einer neuen Threema-ID wieder bei Null an.
Aber selbst wenn Sie und ihr sensa­tio­nel­les Gedächt­nis sich an Ihre ID erin­nern: Damit sich nicht jeder x-Belie­bige bei Ihrer öffent­lich bekann­ten ID anmel­den kann, ist diese kenn­wort­ge­schützt. Logisch, oder?

Threema-Backup – Threema-ID sichern

Um also einen verlore­nen Zu­gang zu Ihrem Threema-Kanal zurück­zu­be­kommen, müssen Sie min­destens eine Siche­rung Ihrer Threema-ID samt Kenn­wort anle­gen. Zu diesem Zweck bie­tet Ihnen Threema zwei ver­schie­dene Wege an:

  1. Sie aktivieren den Threema-Safe. Dann speichert der Dienst alle wich­ti­gen Daten Ihrer Kennung etwa im 24-Stunde-Rhythmus krypto­grafisch abge­sichert auf einem Threema-Server. Wenn Sie das möch­ten, müssen Sie diese Vari­ante in den Einstel­lungen akti­vie­ren (siehe unten, Wie geht das?).
    Wenn Sie den Safe aus Grün­den der Daten­sicher­heit lie­ber nicht nut­zen möch­ten – und das könn­te ich durch­aus nach­voll­ziehen -, dann wäh­len Sie den zwei­ten Weg:
  2. Sie expor­tieren ein­malig Ihre Threema-ID in eine Text­datei. Darin ist dann ein (der­zeit) hundert­stelli­ger Code aus Buch­staben, Ziffern und Binde­strichen ent­halten. Nach dem Export befin­det sich diese Text­datei im Spei­cher Ihres Mobil­tele­fons. Kopie­ren Sie diese Datei unbe­dingt in ein Siche­rungs­ver­zeich­nis eines ande­ren Gerä­tes, also auf eine Fest­platte oder in eine Cloud. Oder meinet­wegen drucken Sie diesen Code aus und kle­ben Sie den Zet­tel in Ihren Kleider­schrank. Denn nur mit dem Code aus dem ID-Export können Sie Ihre ID auf einem neuen Tele­fon wieder her­stel­len, sofern Sie sich dabei auch noch an Ihr Kenn­wort erinnern.

Mit Hilfe des ID-Exports (Weg 2) kann man ledig­lich den Zugriff auf die alte ID erneut ein­rich­ten. Im Threema-Safe (Weg 1) wer­den darüber hinaus noch weitere nütz­liche Daten gespei­chert. Was im Safe genau gesichert wird, steht in die­ser Liste.

Achtung: Bei kei­nem der bei­den beschrie­ben Wege werden jedoch Chat­verläufe oder geteil­te Medien mit­ge­sichert!

Threema-Backup – Threema-Chatverläufe sichern

Wer nach einer Neuinstalla­tion von Threema auch noch auf die alten Mit­teilungs­texte und Bild­chen zugrei­fen möchte, der muss regel­mäßige Back­ups seiner Chat­ver­läufe ansto­ßen. Wie häufig Sie das machen wollen, müssen Sie selbst ent­schei­den. Täg­lich? Wöchent­lich? Einmal pro Monat? Am Ende eines jeden Quar­tals? Zu Silvester? …

Die Herstellung der Sicherungs­dateien von Chat­ver­läufen ist ein­fach (siehe unten, Wie geht das?). Aller­dings müssen Sie diese Siche­rungs­dateien auch jedes ein­zelne Mal von Ihrem Smart­phone auf eine Fest­platte oder in eine Cloud kopie­ren. Sonst nützt Ihnen der Back­up nichts, wenn Sie Ihr Mobil­tele­fon verlie­ren.

Zusammenfassung:

Was brauchen Sie, um Threema dauerhaft über Jahre hinweg nutzen zu können?

  • Eine Sicherung Ihrer Threema-ID über den Threema Safe oder per ID-Export und Auf­bewah­rung des Export­codes.
  • Dazu das Kenn­wort, das Sie für den Safe und/oder beim Export ver­ge­ben haben.
  • Bei Bedarf Sicher­heits­kopien der Chat­ver­läufe als Daten-Backup, ohne oder mit Medien­dateien (Bilder etc.)
  • Auch dazu das Kenn­wort, das Sie beim Her­stel­len der Daten-Backups verge­ben haben.
  • Einen sicheren Aufbewahrungsort (Festplatte, Cloud, NAS-System etc.) für Ihren ID-Export und für Ihre Chatverläufe als Daten-Backup.

(Sie wissen nicht, wie Sie sich all diese verdammten Kennwörter merken sollen? – Dann lesen Sie hier!) Schloss & Ende


Verlink michSie möchten einen Link auf diesen Text weiter­geben?
Verwenden Sie dafür gerne die prak­tische Kurz­form:
fassbar.de/threema-backup


Hands-On: Wie geht das?

(A) Threema-Safe (de)aktivieren

Die Vervendung des Threema-Safe kann man über die Ein­stel­lungen unter Back­ups jeder­zeit ein- oder aus­schal­ten. Wenn man nicht auf das „regel­mäßige“ Siche­rungs­inter­vall warten will, kann man dort auch „Jetzt sicher“ ansto­ßen.

Wo man diese Einstel­lung findet, erklärt der Anbie­ter auf dieser Seite. Außer­dem weist er dort auch darauf hin, dass dieses Safe-Backup nur 180 Tage lang aufbe­wahrt wird, wenn Sie Threema auf Ihrem Gerät in die­ser Zeit nicht wenig­sten einmal geöff­net haben.
Das bedeutet, es ist siche­rer, zumin­dest die Threema-ID zusätz­lich auch ein­malig zu expor­tieren und sicher aufzu­be­wahren (siehe oben).

(B) Chatverläufe sichern

Der Weg zur Herstel­lung von Sicher­heits­kopien komplet­ter Chat­ver­läufe findet sich eben­falls in den Einstel­lungen unter Backups. Mit Rück­sicht auf die Größe solcher Daten-Backups sollte man sich zuvor über­legen, ob nur die Texte oder auch Medien (Bilder, Videos, Sprachdateien …) gesi­chert werden sollen.

Wie man unter Android und iOS Daten-Backups anstößt, unter­schei­det sich bei den Betriebs­syste­men erheb­lich. Eine schritt­weise Anlei­tung bietet Threema auf dieser Seite.

Passwortsicherheit, Teil 2

Im ersten Teil zum Thema Passwortsicherheit habe ich Tipps zum Erstellen von sicheren Kennwörtern gegeben. Aber was tun, wenn die Anzahl der Passwörter im Laufe der Zeit überhand nimmt? Was tun, wenn Sie sich nicht mehr merken können, welche Kennwörter Sie gerade für welche Dienste verwenden?

Sowohl in meinen Volkshochschul-Kursen, als auch in Kundengesprächen taucht regelmäßig die Frage auf: „Was soll ich denn machen, wenn ich zwanzig Passwörter vergeben habe, aber nicht mehr weiß, welches wo gerade gültig ist?“ – Kein Panik. Ich selbst habe zwar ein gutes Gedächtnis, kann mir aber auch nicht merken, welche Passwörter ich für die mittlerweile beinahe 200 Internetdienste vergeben habe, bei denen ich registriert bin.

Passwortsicherheit: Keine gute Idee!

Je nach Veranlagung und Neigung folgen die meisten Menschen einer von zwei Strategien, um sich Kennwörter zu notieren:

Freunde des Analogen scheiben handschriftliche Listen, die sie in Schubladen oder innen aufgeklebt an der Türe ihres Kleiderschrankes aufbewahren. Digital Infizierte legen statt dessen Excel-Tabellen an, in denen Sie Dienste und Zugangsdaten aktuell halten. (Das Nonplusultra in dieser Kategorie war ein Kursteilnehmerin an der Volkshochschule, die bei jeder Änderung oder Ergänzung eine komplett neu getippte Tabelle anlegte, diese ausdruckte und ablegte und danach aus Sicherheitsgründen die Tabelle auf dem PC löschte.)

Um es kurz zu machen: Excel- oder sonstige Tabellen auf PC-Laufwerken sind keine gute Idee. Sollte sich ein Unbefugter Zugang zu Ihrem Gerät verschaffen, wird er diese Aufstellung finden und mitnehmen. Sie können sich vorstellen, was das für Ihre Internetzugänge und -konten bedeutet.

Das Blatt Papier im Kleiderschrank ist im Sicherheits-Vergleich zwar ziemlich gut; aber eben unglaublich aufwändig: Jede Änderung muss handschriftlich ergänzt werden, und das Ganze wird irgendwann ziemlich unübersichtlich. Und wenn Sie an die Katastrophe denken – Stichwort: Hausbrand! -, dann werden Sie schnell erkennen, dass es bessere Sicherheitsmaßnahmen geben muss.

Eine Lösung: Verschlüsselung!

Natürlich könnten Sie Ihre Excel-Tabelle nach jeder Aktualisierung (zum Beispiel manuell) verschlüsseln und zur Sicherheit nicht nur auf Ihrem PC sondern zusätzlich auf einem externen Datenträger ablegen. Aber wenn Sie schon soweit denken, dann ist es nur noch ein ganz kleiner Schritt zu einer automatischen Verschlüsselungslösung.

Es werden inzwischen eine ganze Menge sogenannter Passwort-Manager als Smartphone-Apps und PC-Programme angeboten. Ich möchte Ihnen hier eine dieser Lösungen beispielhaft vorstellen, mit der ich persönlich gute Erfahrungen gemacht habe. – Leser dieses Beitrags, die Alternativen kennen, sind herzlich eingeladen, diese in den Kommentaren zu nennen! (Davon können wir alle profitieren.)

Passwortsicherheit: SafeInCloudMein Vorschlag lautet: SafeInCloud

Das Programm gibt es als Smartphone-App für Android und iOS sowie für klassische Betriebssysteme unter macOS und Windows. Jede dieser Versionen erlaubt es, Zugangsdaten oder sonstige Informationen auf einzelnen „Karten“ abzuspeichern. Die eingegebenen Daten werden automatisch nach jeder Änderung über einen Algorithmus mit 256-bit gemäß Advanced Encryption Standard (AES) verschlüsselt und auf dem Gerät abgelegt.

Außerdem ist der Name der App Programm: „Safe In Cloud“ – Das verschlüsselte Datenpaket kann man auf Wunsch in verschiedenen Cloud-Diensten (Google Drive, Dropbox, OneDrive, oder auf eigenen NAS-Servern) sichern. Von dort aus können die Daten auf beliebig viele zusätzliche Geräte ver- und geteilt werden.
Das bedeutet, dass man seine Zugangsdaten über mehrere Geräte in Echtzeit synchronisieren kann. Daten, die man auf dem Smartphone eingegeben hat, stehen unverzüglich auch zum Abruf auf dem PC bereit; und umgekehrt.

Der bestechende Vorteil: Was man auf einem Gerät eintippt, wird sowohl auf diesem Gerät (verschlüsselt) abgespeichert, in der Cloud abgesichert und zusätzlich auf mehreren zusätzlichen Geräten abgelegt. Ein Datenverlust ist selbst bei Ausfall mehrerer Komponenten so gut wie ausgeschlossen.

Einziger Knackpunkt ist: Zum Verschlüsseln und Entschlüsseln braucht es ein Master-Passwort. Dieses sollte aus Sicherheitsgründen möglichst stark sein. Und man darf es unter keinen Umständen vergessen; sonst ist Schicht im Schacht und alle abgelegten Daten sind unwiederbringlich verloren.
Die Empfehlung lautet also: Notieren Sie Ihr Master-Passwort auf einem Papierstreifen und kleben diesen in den berüchtigten Kleiderschrank, möglichst bei Ihnen zu Hause und zusätzlich bei einer Person Ihres Vertrauens!

Passwortsicherheit: Was kann man mit SafeInCloud speichern?

Im Prinzip sind Ihrer Fantasie keine Grenzen gesetzt. Zusammengehörige Daten werden in separaten Datensätzen, sogenannten „Karten“ abgelegt. Also zum Beispiel die Zugangsdaten für ein E-Mailkonto:

E-Mail bei web.de
Login: ihre.mailadresse@web.de
Passwort: M1.K#mGMm16g!
URL: https://web.de

Oder speichern Sie Ihre Personalausweisdaten auf einer Karte:

Personalausweis
Nummer: N4GV1HfR91
Name: Petra Musterfrau
Geburtstag: 01.01.2001
Ausgestellt am: 03.10.2017
Gültig bis: 02.10.2027
PIN: 12345678
PUK: 1234567890
Sperrkennwort: SCHLUSS

SafeInCloud Screenshot
SafeInCloud Screenshot

Sogar Bilder kann man in Datensätze aufnehmen. (Allerdings sollte diese Möglichkeit sparsam verwendet werden, da das Datenvolumen dadurch erheblich anwächst, worunter die Ver- und Entschlüsselungszeiten leiden.)

Für die einzugebenden Datenfelder gibt es verschiedene Formate: freier Text, Nummern, Login-Daten, Passwort, Ablaufdatum, URL, E-Mail, Telefon, Datum, PIN etc.
Der Titel eines jeden Kartenfeldes (oben in den Beispielen kursiv dargestellt) ist frei wählbar. Dadurch werden dem Aufbau einer Karte keine Grenzen gesetzt. – Werden Sie kreativ! Schloss & Ende


Passwortsicherheit: Anbieterangaben

  • Preise aktuell, einmalig „auf Lebenszeit“: 8,49 Euro im Google Play Store; 8,99 Euro im Apple App Store; kostenfrei für macOS und für Windows
  • Hersteller: Andrey Shcherbakov, SafeInCloud Password Manager (Webseite auf englisch oder russisch, die App bietet aber ein deutsches Interface)
  • In Entwicklung seit: 2012

Passwortsicherheit, Teil 1

Je häufiger wir uns im Internet bewegen, je mehr internette Dienste wir in Anspruch nehmen, desto wichtiger wird die Passwortsicherheit, also die Notwendigkeit, sich ein wohl überlegtes Konzept zur Vergabe von Passwörtern – oder Kennwörtern – zurecht zu legen.

Passwortsicherheit: Kennwort wählen

Mindestens acht Zeichen, Groß- und Kleinbuchstaben, Ziffern und Symbole? Wer soll sich denn das noch merken können? Und dann sollen Passwörter für verschiedene Dienste auch noch unterschiedlich sein? – Kein Panik, so schwierig ist die Sache dann doch nicht.

Passwortsicherheit: Gestuftes Passwort-Konzept

Überlegen Sie sich etwa drei Sicherheitsstufen, in die Sie Ihre Internetzugänge einteilen können:

  1. Finanziell Relevantes (Homebanking, Depotzugänge, Kreditkartenverwaltung, Versicherungsportale etc.)
  2. Identitäts-Portale, also besonders Zugänge zu E-Mail-Konten oder zu eigenen Webseiten
  3. Bloßer Informationszugang (Zeitungsabonnements, Infodienste etc.)

Für die Sicherheitsstufe 1 gilt: ein einmaliges Passwort für jeden einzelnen Dienst. Darüber hinaus sollten diese Passwörter regelmäßig gegen neue getauscht werden. (Ja, ich weiß, das ist lästig und erleichtert das Merken sicherlich nicht. Um so wichtiger ist Ihr Konzept.)

Für die Sicherheitsstufe 2 könnten leicht abgeschwächte Bedingungen für die Passwortsicherheit gelten: Sie könnten die Passwörter bei verschiedenen Diensten durchwechseln und nicht jedesmal neu erfinden.

Für die Sicherheitsstufe 3 können Sie einfachere Passwörter verwenden, die Sie nicht unbedingt häufig zu wechseln brauchen. – Welches Risiko besteht hier? Dass im schlimmsten Fall Fremde Ihre Abonnements mitlesen?


Diese Einstufungskriterien in verschiedenen Sicherheitsstufen erscheinen Ihnen arg vage formuliert? – Bedenken Sie, dass Ihre persönlich Situation, insbesondere hinsichtlich des Grades Ihres Engagements in Online-Diensten, erheblich die Notwendigkeiten bei der Festlegung von vernünftigen Sicherheitskonzepten bestimmt. Wenn Sie unsicher sind, lassen Sie sich beraten. Glauben Sie mir, es lohnt sich!

Wie konstruiere ich sichere Passwörter?

Sie können sich natürlich willkürliche und dadurch sehr sichere Kennwörter vorschlagen lassen. Doch wer kann sich schon unzusammenhängende Zeichenfolgen von acht oder mehr Stellen merken?

Denken Sie doch einfach an Ihre Vergangenheit und legen Sie sich Sätze zurecht, die Dritte nicht kennen oder erraten können; also zum Beispiel:

Meinen ersten Kuss hat mir Gabi Müller mit sechzehn gegeben!

Verwenden Sie von jedem Wort des Satzes nur den Anfangsbuchstaben, ersetzen Sie Zahlbegriffe durch Ziffern:

M1.KhmGMm16g!

Das ist schon ziemlich sicher: 13 Stellen, Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Wenn Sie noch einen draufsetzen wollen, dann ersetzen Sie noch ein oder zwei Buchstaben durch ähnlich aussehende Sonderzeichen. Das H ähnelt zum Beispiel einem #:

M1.K#mGMm16g!

Ein solches Kennwort ist nur noch mit sehr hohem Aufwand zu knacken, prüfen Sie es nach*. Diesen Aufwand wird kaum ein Hacker betreiben, solange es Menschen gibt, die „123456“ als Kennwort verwenden.

Weitere Möglichkeiten zum Buchstabenzauber

  • Optisch ähnlich aussehende Sonderzeichen: # statt H, 9 statt g, 4 statt A, 3 statt E, 7 statt T, ! statt i, & statt B, ( statt C, $ statt S; seien Sie kreativ!
  • Jahreszahlen oder Uhrzeiten könnten durch @ ergänzt werden: also an Stelle von „im Jahr 1995“ könnte im Passwort „@95″ stehen.
  • Fügen Sie an wichtigen Stellen Ihres Satzes ein ! ein: „2005 wurde Melanie geboren“ wird dann zu „@05!wMg“

Wenn Sie solche Kennwörter für die Sicherheitsstufen 1 und 2 verwenden, minimieren Sie Ihr Sicherheitsrisiko erheblich. Schloss & Ende


Wenn Sie diesen Beitrag interessant fanden, lesen Sie doch auch den zweiten Teil zum Thema Passwortsicherheit: da erkläre ich, wie und wo Sie Kennwörter notieren … und wo nicht!


Fußnote:

*) Prüfprogramme für die Güte von Passwörtern gibt es im Internet wie Sand am Meer. Und interessanter Weise errechnen sie alle für das gleiche Kennwort unterschiedliche Zeitspannen, wie lange es dauern würde, es zu knacken. Trotzdem geben solche Prüfungen Aufschluss darüber, wie sicher ein Passwort ist. Hier verlinke ich einmal drei deutschsprachige Online-Prüfprogramme zum Ausprobieren:

  • checkdeinpasswort.de (bereits oben im Text verlinkt)
  • experte.de/passwort-check ist ausführlicher in der Ergebnisbegründung und prüft außerdem, ob das Passwort schon einmal in bekannten Hacker-Listen aufgetaucht ist.
  • password.kaspersky.com stammt vom renomierten Virenschutz-Experten Kaspersky und gibt spaßige Vergleiche an, was man in derZeit machen könnte, bis das Kennwort geknackt ist.