Was bedeuten 3 Punkte bei Threema?

Threema (englische Aussprache: /ˈθɹiː.mə/) ist ein freier[9] Ende-zu-Ende-verschlüsselter Schweizer Instant-Messaging-Dienst zur Nutzung auf Smartphones und Tablets. Die Software ist auf Sicherheit, Datenschutz und Datenvermeidung ausgelegt und erfordert im Gegensatz zu den meisten Konkurrenzprodukten für die Nutzung weder eine Telefonnummer noch sonstige personenbezogene Angaben.[10][11] Mit Threema OnPrem können Organisationen mit hohen Sicherheitsanforderungen Threema Work als Server selbst betreiben – getrennt von Threemas Infrastruktur.[12]

Der Name Threema ist vom Akronym EEEMA, kurz für End-to-End-Encrypting Messaging Application, abgeleitet, wobei die drei E durch den Begriff Three (englisch für drei) ersetzt wurden.[13][14]

Die zugehörige Software ist kostenpflichtig und für Mobilgeräte mit den Betriebssystemen Android (ab Version 5.0)[15] und iOS (ab Version 15)[16] verfügbar. Unter Windows Phone / Windows 10 Mobile ist Threema seit Juni 2020 nicht mehr benutzbar.[17][18] Über die Webanwendung „Threema Web“ und seit 2021 über die Desktop-App[19] kann Threema auch am Desktop-Computer genutzt werden, wenn zusätzlich die Smartphone-App installiert wird.[20]

Mit Threema können Textnachrichten, Bilder, Videos, der eigene Standort und Sprachnachrichten versandt sowie Sprach- und Videoanrufe getätigt werden. Unter Android und iOS können ab Version 2.4 Dateien beliebiger Art mit bis zu 50 MB versendet werden.[21][22] Seit Januar 2015 gibt es auch die Möglichkeit, Umfragen innerhalb einer Konversation oder im Gruppenchat durchzuführen.[23]

Threema bietet Unterstützung für Android-Wear-Smartwatches (ab Version 2.0), Android Auto und kann in der Familie mit Google Play Family Library genutzt werden, wenn man es nach dem 2. Juli 2016 erworben hat.

Am 15. Februar 2017 wurde Threema Web offiziell veröffentlicht. Damit können Nutzer der Android-App (ab Version 3.0) Nachrichten über den Computer versenden. Es erfolgt eine vollständige Synchronisation aller Nachrichten mit der Android-App. Auch Threema Web ist Freie Software.[25] Die Unterstützung für iOS folgte im Oktober 2018.[26]

Entwickelt und gegründet wurde Threema vom Schweizer Manuel Kasper mit seiner Kasper Systems GmbH.[27] Betreiber ist die Schweizer Threema GmbH.[28] Laut Aussage von Threema befinden sich alle Server des Dienstes in der Schweiz.[27][29]

Im Jahr 2018 bestand das Unternehmen aus 15 Mitarbeitern, wobei je etwa die Hälfte in Softwareentwicklung bzw. in Kommunikation und Marketing tätig waren.[30]

Zur Expansion in weitere Länder und Geschäftsfelder gab das Unternehmen im September 2020 bekannt, den deutschen Finanzinvestor Afinum gefunden zu haben.[31]

Seit dem 21. Dezember 2020 sind die Threema-Apps für Android und iOS sowie verschiedene Bibliotheken und Server-Komponenten[32] quelloffen.[33]

Sicherheit ist einer der Entwicklungsschwerpunkte von Threema. So werden Nachrichten ausschliesslich Ende-zu-Ende-verschlüsselt verschickt.[27] Diese Aussage und die Wirksamkeit der dokumentierten Sicherheits- und Datenschutzmechanismen wurden bei externen Audits im November 2015,[34] im März 2019[35] und im Oktober 2020[36] bestätigt. Das Versenden der Nachrichten erfolgt über Schweizer Server[37] des in der Schweiz ansässigen Herstellers Threema GmbH. Die Kommunikation zwischen den Threema-Servern und dem Endgerät ist zudem durch eine Transportverschlüsselung gesichert.

Threema nutzt die quelloffene Programmbibliothek „NaCl“ für Kommunikation und Verschlüsselung.[38] Es werden 256 Bit lange asymmetrische Schlüssel verwendet, die mittels Elliptische-Kurven-Kryptografie erzeugt werden und die laut Aussage des NIST mit 3072 Bit langen RSA-Schlüsseln vergleichbar seien.[39] Dieser Schlüssel wird benutzt, um für jede gesendete Nachricht einen einmaligen symmetrischen 256-Bit-Schlüssel zu erhalten. Zum endgültigen Verschlüsseln der Nachricht wird der XSalsa20 Stream Cipher genutzt. Weiterhin ist die Kommunikation zwischen dem Threema-Server und dem Endgerät ebenfalls verschlüsselt.[40] Ein 128 Bit langer Verifikationscode sowie eine zufällige Anzahl an „kryptographischen Füllbytes“ werden zu jeder Nachricht hinzugefügt, um Manipulationen am Inhalt der Nachricht zu verhindern.

Threema bietet ausserdem Perfect Forward Secrecy, allerdings nur für die Kommunikation zwischen dem Server und der App.[41] Die Ende-zu-Ende-Verschlüsselung bietet dagegen keine Perfect Forward Secrecy, da dafür beide Gesprächspartner zur gleichen Zeit online sein müssten. Spezielle Implementationen von Perfect Forward Secrecy lehnen die Hersteller ab, da dies ihrer Meinung nach die Komplexität des Protokolls und der Server unnötig erhöhen würde. So würde dies das Risiko für Sicherheitslücken und Ausfälle der Server vergrössern.[42]

Bei Gruppenchats wird die Nachricht für jeden Empfänger separat verschlüsselt und einzeln zugestellt. Die Threema-Server können dadurch weder nachvollziehen, welche Gruppen es gibt, noch wer Mitglied in einer Gruppe ist. Medien werden dagegen verschlüsselt einmalig auf die Threema-Server hochgeladen. Der symmetrische Schlüssel zum Entschlüsseln des Mediums wird danach wie eine normale Nachricht an alle Gruppenmitglieder verschickt, welche diese entschlüsseln, das Medium herunterladen und danach die Datei entschlüsseln.[43]

Beim ersten Start von Threema wird der Nutzer aufgefordert, seinen Finger auf dem Touchscreen zu bewegen, um Zufallsdaten für die spätere Verschlüsselung zu sammeln. Seit Februar 2015 werden die Bewegungen des Geräts zusätzlich beim Erstellen einer ID miteinbezogen.[44] Anschliessend kann die Threema-ID optional mit der eigenen Telefonnummer und E-Mail-Adresse verknüpft werden. Neben jedem Kontakt befindet sich eine Sicherheitsstufe, die durch drei Punkte dargestellt wird. Es zeigt an, wie sicher der Nutzer sein kann, dass der gespeicherte öffentliche Schlüssel des Kontakts tatsächlich zu diesem gehört. Wird dieser öffentliche Schlüssel nicht geprüft, können Man-in-the-Middle-Angriffe nicht ausgeschlossen werden.

Es gibt folgende drei Sicherheitsstufen:

1. Die Threema-ID und der öffentliche Schlüssel wurden durch den Server übertragen. Es gibt keine Übereinstimmung der Daten mit dem lokalen Adressbuch, sodass sich der Nutzer nicht sicher sein kann, mit der Person zu kommunizieren, die sie vorgibt zu sein.
2. Die Telefonnummer oder E-Mail-Adresse des Kontakts wurde im lokalen Adressbuch gefunden. Der Nutzer kann sich so ziemlich sicher sein, mit der gewünschten Person zu kommunizieren.
3. Dies stellt die höchste Sicherheitsstufe dar. Die ID und der öffentliche Schlüssel wurden durch das Scannen des QR-Codes des Kontakts überprüft. Der Nutzer kann sich somit sehr sicher sein, mit der gewünschten Person zu kommunizieren.

Eine Gruppenchat-Funktion für bis zu 256 Teilnehmer[45] ist in den aktuellen Versionen für alle Betriebssysteme verfügbar. In den Gruppenchats hat der Nutzer, der die Gruppe ursprünglich erstellt hat, besondere Rechte („Admin“). Er alleine darf das Profilbild und den Gruppennamen festlegen. Personen können zu einer Gruppe (vom Administrator) hinzugefügt und ab Version 2.3 für Android und iOS nachträglich wieder entfernt werden. Des Weiteren gibt es bei der Android-Version eine Funktion, Kontakte zu Verteilerlisten hinzuzufügen.

Es gibt keinen Online-Status der Kontakte, und es ist nicht möglich, einen persönlichen Statustext zu definieren. Man kann jedoch den „Gelesen“-Status der Nachrichten in den Einstellungen aktivieren oder deaktivieren. In Gruppenchats gibt es keine „Gelesen“-Anzeige.

Da alle Daten ausschliesslich lokal auf dem Gerät gespeichert werden, war es früher nicht möglich, seine Threema-ID, Chatverläufe und restliche Daten auf ein anderes Gerät zu übertragen, ohne dass man ein Backup seiner Daten erstellt hat. Daher wird von Threema ausdrücklich empfohlen, eine Sicherheitskopie („backup“) zu erstellen, da ansonsten – beispielsweise beim Verlust des Gerätes – keine Möglichkeit besteht, die Threema-ID (mit dem zugehörigen privaten Schlüssel) wiederherzustellen.[46] Bei der Deinstallation der Android-App werden, wie es bei Android normal ist,[47] alle Daten aus dem internen Speicher gelöscht, d. h., sowohl die Threema-ID mit dem privaten Schlüssel als auch die restlichen Daten wie Chatverläufe und Medien sind nach der Deinstallation entfernt. Unabhängig davon bietet Threema allerdings ein separates Verzeichnis, in welchem die (auf Wunsch des Benutzers) entschlüsselten Medien und die Datensicherungen abgespeichert werden.

Seit Dezember 2018 (ab Version 3.6 Android und Version 4.1 für iOS) wird mit Threema Safe eine eigene anonyme Backup-Lösung angeboten. Diese sichert plattformunabhängig Threema-ID, Kontakte und Gruppen verschlüsselt auf dem Threema-Server bzw. auf Wunsch auch auf einem gewählten Server des Nutzers,[48] siehe den Abschnitt zu „Threema Safe“.

Bei der iOS-Version bleibt bei der Deinstallation die Threema-ID mit dem privaten Schlüssel erhalten, da dieser mit in das iCloud-Backup eingeht. Der Schlüssel wird vorher allerdings mit einem einmaligen Schlüssel des Gerätes (dem UID-Key) verschlüsselt, sodass er nur auf demselben Gerät wiederhergestellt werden kann. Die Kontakte, Nachrichten und Medien werden bei einer Deinstallation allerdings gelöscht.[49]

Über die Website des Anbieters[50] lassen sich Threema-IDs widerrufen. Ab Version 2.20 für iOS bzw. Version 2.21 für Android ist dies nur mit dem in der App festgelegten Widerrufspasswort möglich.[51]

Über eine vom Hersteller vorgegebene Webseite oder eine selbstgehostete Instanz der quelloffenen Threema Web-Anwendung können Nutzer Threema auch über den Desktop (oder andere Geräte mit Browsern, die die Systemvoraussetzungen erfüllen) nutzen. Durch Einscannen eines speziellen QR-Codes auf der Webseite wird eine sogenannte Sitzung erstellt, und der benutzte Webbrowser und Threema App verbinden sich über WebRTC/SaltyRTC miteinander.[52] Durch WebRTC wird via ICE mit Threema-eigenen STUN- und TURN-Servern eine möglichst direkte Verbindung zwischen beiden Geräten hergestellt, d. h., befinden sich beide Geräte in demselben Netzwerk, werden die Daten nur in diesem Netzwerk ausgetauscht. Durch das eigens dafür entwickelte Protokoll SaltyRTC, welches auf WebRTC „aufsetzt“, werden die ausgetauschten Daten zusätzlich (zur TLS-basierten Verschlüsselung von WebRTC) mit der NaCl-Verschlüsselungsbibliothek Ende-zu-Ende-verschlüsselt.[53] Dazu wird SaltyRTC als Signalling-Protokoll[54] und ein von Threema-betriebener SaltyRTC-Server als Signalling-Server eingesetzt, um Metadaten, die für den Verbindungsaufbau benötigt werden, auszutauschen. Im Gegensatz zu „purem“ WebRTC muss diesem SaltyRTC-Server für eine sichere Verbindungsherstellung nicht vertraut werden, was durch einen entsprechenden (für die Sitzung gültigen) Schlüssel realisiert wird[55], der durch „Übertragung“ durch den QR-Code beiden Geräten bekannt ist.

Nach der Verbindungsherstellung kann der Nutzer Nachrichten versenden und empfangen, Gruppen verwalten und Handy-Kontakte (inklusive Telefonnummern und E-Mail-Adresse) auf dem Desktop anzeigen.[56] Die Erstellung oder Teilnahme an Umfragen ist derzeit (Stand: Februar 2017) nicht möglich. Um Sitzungen schneller wiederherstellen zu können, kann der Nutzer vor Einscannen des QR-Codes ein Passwort festlegen, mit dem die Sitzung mit der NaCl verschlüsselt,[53] lokal im Browser (im Local Storage) gespeichert und so durch Eingabe des Passworts beim nächsten Besuch der Seite entschlüsselt und wiederhergestellt werden kann.[57] Dabei wird mittels eines weiteren Threema-Servers ein Push (bei Android via Google Cloud Messaging) an die Threema-App gesandt, welcher diese aufweckt und so die Wiederherstellung der Sitzung initiiert. Die gespeicherte Sitzung kann zudem (ohne Passworteingabe) im Browser gelöscht werden.

Die Nachrichten werden bei Threema Web jeweils vom Handy verarbeitet, an den Web Client gesendet bzw. im Web Client (vom Nutzer) entgegengenommen und über die Threema-App versandt. Ein Betrieb des Web Clients ohne eine verbundene Threema-App ist somit nicht möglich.

Threema Web ist mit der Android-App ab der Version 3.0 sowie der iOS-App ab Version 4.0[26] nutzbar. Als Browser werden aktuelle Browser-Versionen empfohlen, wobei Safari nur mit der iOS-Version der App funktioniert.[58]

Am 15. Mai 2017 veröffentlichte Threema Updates, die für alle unterstützen Plattformen Profilbilder einführten, die vom Nutzer für seine eigene Threema-ID selbst festgelegt werden können.[59] Die Profilbilder können optional gesetzt werden und werden ausschliesslich Ende-zu-Ende-verschlüsselt beim Nachrichtenversand an andere Nutzer gesendet. Der Nutzer kann dabei bestimmen, ob das Profilbild an alle Nutzer, denen er Nachrichten sendet, nur an ausgewählte Kontakte oder gar nicht versandt werden soll. Wenn letzteres gewählt wird, sieht man somit nur selbst sein Profilbild. Als Empfänger des Profilbildes kann der Nutzer ebenfalls entscheiden, ob die selbstgewählten Profilbilder angezeigt werden sollen (entspricht der Voreinstellung) oder nicht, wodurch – wie zuvor – die evtl. eigens festgelegte Kontaktbilder benutzt werden.

Am 7. August 2017 startete Threema einen öffentlichen Beta-Test für iOS und Android-Nutzer der App, mit dem VoIP-Anrufe ermöglicht werden. Zum Verbindungsaufbau werden dabei „normale“ Threema-Nachrichten benutzt, d. h., es wird nur die Threema-ID zur Identifizierung der Teilnehmer benutzt.[60] Damit entfällt eine zwangsläufige Angabe der Telefonnummer, wie bei anderen Anbietern üblich. Für die Audio-Kodierung wird eine konstante Bitrate (mit dem Opus-Codec[53]) verwendet, um zu verhindern, dass Angreifer aufgrund der variablen Grösse des Datenstroms (bei variabler Bitrate) Inhalte erraten können.[61][62] Zur Verschlüsselung selbst wird WebRTC genutzt, wobei (D)TLS 1.2 und festgelegte Ciphersuites verwendet werden. Threema-Anrufe bieten auch auf Ende-zu-Ende-Ebene Forward Secrecy.[53]

Ist der angerufene und anrufende Kontakt über einen QR-Code verifiziert (grüne Vertrauensstufe), wird die Verbindung, wenn möglich, standardmässig ebenfalls direkt von Gerät zu Gerät (Peer-to-Peer) aufgebaut. Da dabei zwangsläufig die IP-Adresse den Gesprächsteilnehmern gegenseitig bekannt wird, kann dieses Verhalten in den Einstellungen deaktiviert werden, womit alle Anrufe über Threema-Server geleitet werden. In diesem Fall werden die IP-Adressen den Gesprächsteilnehmern nicht bekannt.

Die Anruf-Funktion lässt sich vollständig deaktivieren. Am 14. September 2017 veröffentlichte Threema die finalen Updates für die iOS- und Android-Versionen der App, die dieses Feature beinhalteten.

Am 13. Dezember 2018 veröffentlichte Threema eine neue Variante zur Datensicherung unter dem Namen „Threema Safe“, zunächst nur für die Android-Version.[48] Unterstützung für die iOS-Version wurde am 5. Februar 2019 mit Version 4.1 implementiert.[63] Dieses ersetzt die bei Android zuvor verwendete Integration in das Android-System-Backup, die nach Aussagen von Threema nicht zuverlässig funktionierte.[64] Das neue Backup-System führt einmal am Tag automatisch eine Sicherung der Threema-ID, Kontakte, einiger Threema-Einstellungen und weiterer Daten durch.[65] Das Backup wird dabei komprimiert und mittels der NaCl-Bibliothek verschlüsselt, bevor es standardmässig zu einem Server von Threema hochgeladen wird. Der dabei genutzte Schlüssel zur Verschlüsselung wird aus einem mindestens 8-stelligen Passwort des Nutzers sowie der Threema-ID mittels scrypt generiert. Die entstandene Ausgabe wird dabei teilweise als Dateiname genutzt, sodass der Server (oder ein Angreifer, der die Daten herunter lädt) das hochgeladene Backup keiner Threema-ID zuordnen kann. Ausserdem sollte der Server die Anfragen auf die Dateien limitieren, um Brute-Force-Angriffe, die zum Download der Datei führen könnten, zu erschweren.[42][66] Das Backup soll plattformübergreifend funktionieren und so beispielsweise auch bei einem Wechsel des Betriebssystems eine Wiederherstellung des Backups nur mit der Threema-ID sowie dem gewählten Passwort möglich sein.[67]

Ausserdem kann das Backup ebenfalls auf einem eigenen Server, der WebDAV unterstützt, gespeichert werden.[68] So kann es derzeit beispielsweise mit OwnCloud/Nextcloud[69] oder mit einer inoffiziellen, quelloffenen Server-Implementierung in der Programmiersprache Rust genutzt werden.[70]

Es sollte beachtet werden, dass das Backup nicht die Chatverläufe und Medien sichert und so gewöhnlich auch nur einige Kilobyte gross ist. Die Möglichkeit des lokalen Datenbackups in einer ZIP-Datei (unter Android), sowie des alleinigen Backups der eigenen ID bleibt dabei erhalten.

Am 9. April 2020 wurde eine Betaversion für Videoanrufe veröffentlicht.[71] Am 10. August 2020 sind die finalen Updates für die vollständig Ende-zu-Ende verschlüsselten Videoanrufe erschienen.[72]

Da sich die Server von Threema nach Angaben des Herstellers ausschliesslich in der Schweiz befinden, unterliegt das Unternehmen unter anderem dem schweizerischen Bundesgesetz über den Datenschutz[73] und der Datenschutz-Grundverordnung.[37] Das Rechenzentrum ist ausserdem ISO 27001 zertifiziert.[74]

Threema bietet an, das eigene Adressbuch mit den Threema-Servern abzugleichen. Stimmt die Telefonnummer oder E-Mail-Adresse eines Kontakts im Adressbuch mit der Threema-Datenbank überein, wird die Kontakt-ID automatisch in die Threema-Kontaktliste eingefügt. Anstatt das lokale Adressbuch auf einen Server hochzuladen, wie es andere Messaging-Dienste praktizieren, werden von den Kontaktdaten (E-Mail-Adresse und Telefonnummer) nur Prüfsummenwerte (SHA-256-HMAC mit einem statischen Schlüssel) zum Server gesendet.[75] Wegen der geringen Anzahl der möglichen Zahlenkombinationen einer Telefonnummer kann die zu einer Prüfsumme gehörende Telefonnummer allerdings leicht per Brute-Force ermittelt werden.[76] Adressbuchdaten werden laut dem Hersteller nur im Arbeitsspeicher des Servers gehalten und nach der Prüfung auf bekannte Kontakte wieder gelöscht.

Beim optionalen Verknüpfen der eigenen Threema-ID mit der E-Mail-Adresse oder Telefonnummer wird nur der SHA-256-HMAC auf dem Server gespeichert. Die Telefonnummern wurden dagegen bis 2017 im Klartext gespeichert.[73][77] Als Grund dafür wurde von Mitarbeitern die leichte Angriffsmöglichkeit mit Brute-Force-Angriffen genannt.[78] Seit 2018 werden allerdings auch die Telefonnummern beim Upload gehasht gespeichert.[37] Die Verknüpfung beider Daten zur Threema-ID kann zudem jederzeit entfernt werden. Die App kann so vollkommen anonym und ohne Angabe personenbezogener Daten benutzt werden.

Gruppennachrichten werden an jeden Empfänger einzeln versandt, um zu verhindern, dass der Server die Zusammensetzung der Gruppen erfährt.

Die Stiftung Warentest bewertete Threema im Februar 2014 als einzige von fünf getesteten Messenger-Apps als unkritisch in Sachen Datenschutz.[79]

Die auf dem Gerät gespeicherten Daten werden verschlüsselt gespeichert und können bei Android optional mit einem Passwort versehen werden.[80]

Seit Ende 2016 veröffentlicht die Threema GmbH einen jährlichen Transparenzbericht, in dem sie Behördenanfragen offenlegt und die Art der in diesen Anfragen mitteilbare Daten erläutert.[77][81]

Im Sommer 2013 und Frühjahr 2014 gehörte Threema zeitweise zu den beliebtesten kostenpflichtigen Apps im deutschsprachigen Raum.[82][83] Im Zuge des „iTunes Rewind“ wurde Threema zu der meistverkauften iPhone-App des Jahres 2014 gekürt.[84] Am 21. Februar 2014 verdoppelte Threema die Anzahl seiner Nutzer innerhalb eines Tages auf 400.000.[85] Grund dafür war die Übernahme von WhatsApp durch Facebook. Von Februar bis April versiebenfachte sich die Anzahl der Nutzer auf mehr als 2,8 Millionen.[86][87] Im Dezember 2014 lag sie bei 3,2 Millionen Nutzern.[88] Bis Juni 2015 verzeichnete Threema 3,5 Millionen Käufe und im Januar 2018 nutzten rund 4,5 Mio. Menschen Threema.[89] Im Januar 2020 waren es bereits 8 Millionen Nutzer.[90]

Nachdem WhatsApp im Januar 2021 angekündigt hatte, in Zukunft Daten an den Mutterkonzern Facebook weiterzugeben, wurde ein massenhaftes Abwandern zu anderen Messenger-Apps prophezeit.[91][92] Neben Signal[93] verzeichnete auch Threema einen deutlichen Anstieg an Neuregistrierungen.[94][95]

Stand Januar 2021 nutzen weltweit über 9 Millionen Personen Threema, davon 2 Millionen Nutzer „Threema Work“ in über 5000 Unternehmen bzw. Institutionen.[96] Am 1. Juni 2021 hat Threema auf Twitter verkündet, dass sie jetzt über 10 Mio. aktive Nutzer haben.[97] Im Blogeintrag anlässlich des zehnten Jahrestages der Veröffentlichung der App wird Ende 2022 die Zahl von 11 Millionen Privatnutzern genannt.[98]

Da der Quelltext der Anwendung lange nicht veröffentlicht wurde,[27][99] konnte man die Entwicklerangaben zu den Funktionen und der Sicherheit des Programms lange nur mittels Reverse-Engineering überprüfen,[100] was der Hersteller in seinen Lizenzbedingungen nicht explizit ausschliesst und was auch bereits durchgeführt wurde.[43] Im Dezember 2020 jedoch ist Threema Open-Source-Software geworden,[101] sodass dieser Kritikpunkt hinfällig geworden ist und sich jeder technisch qualifizierte Interessent inzwischen selbst von der Sicherheit der Implementierung überzeugen kann. Alternativ kann die Sicherheit beispielsweise durch ein unabhängiges externes IT-Sicherheitsaudit überprüft werden. Da ein solches externes IT-Sicherheitsaudit versionsgebunden ist, müsste dieses für jede neue Version ebenfalls erneut durchgeführt werden. Aus wirtschaftlichen Gründen verzichtete der Hersteller daher zunächst auf den Auditprozess.[102] Ende 2015 wurde das Programm von der cnlab security AG, einem IT-Sicherheitsdienstleister aus der Schweiz, auditiert und für sicher befunden.[103][104] 2019 wurde durch das Labor für IT-Sicherheit der FH Münster erneut ein Audit durchgeführt.[35] Dabei wurde – im Gegensatz zum ersten Test – der gesamte Audit-Report veröffentlicht. Die Tester fanden dabei in den Android- und iOS-Apps des Unternehmens einige wenige unkritische Schwachstellen („low to medium risk“), merkten allerdings an, dass diese schnell behoben wurden. Zusätzlich bestätigten sie, dass die in dem Whitepaper und auf der Webseite von Threema getätigten Aussagen korrekt sind und attestierten, dass Threemas „Sicherheits- & Privatsphärenfeatures intakt und effektiv“ („[Threema’s] security and privacy features are intact and effective.“) seien.[105] Bei dem seit Ende 2020 veröffentlichten Quellcode ist sogar nachvollziehbare Herstellung der ausführbaren Dateien gegeben, so dass die Sicherheit von beliebigen fachlich versierten Personen oder Unternehmen geprüft werden kann, man also nicht mehr gemäss dem Autoritätsargument Audit-Dienstleistern vertrauen muss. Vor Veröffentlichung des Quellcodes liess Threema erneut einen externen Audit vom deutschen Unternehmen Cure53 durchführen. Im Ergebnis wurden einige kleinere Fehler behoben, und Cure53 bestätigte eine hohe Codequalität und beschrieb die „Struktur des Projekts“ als „aussergewöhnlich solide“.

Der Hersteller bietet zusätzlich mit seiner Validation-Logging-Funktion die Möglichkeit an, verschlüsselte Nachrichten auf ihre Verschlüsselungsgüte hin zu untersuchen. Ob die Nachrichten aber auch tatsächlich genau so übertragen werden, lässt sich nicht eindeutig ermitteln, da der Kommunikationsaustausch zwischen den Teilnehmern über eine TLS-verschlüsselte Verbindung mit dem Server des Herstellers erfolgt. Die Validierung zeigt somit lediglich, ob die NaCl-Bibliothek korrekt angewendet wurde.[106]

Im August 2013 wurde bekannt, dass die verschlüsselt versendeten Nachrichten unter iOS im Klartext auf dem Speicher des Gerätes gespeichert werden, sofern das verwendete Gerät nicht über eine Codesperre geschützt ist.[107] Diese auf dem Gerätespeicher befindlichen Daten werden bei Aktivierung der Datensicherung und bei Aktivierung des iCloud-Backups ebenfalls in die iCloud hochgeladen. Die Daten werden jedoch, zumindest beim iCloud-Backup, zusätzlich durch die eindeutige Geräte-ID (UID) des Gerätes verschlüsselt.[108]

Threema ist laut Anbieter auf die private Nutzung „zugeschnitten“.[109] Dies scheint eine geschäftliche Nutzung nicht auszuschliessen. Angeboten für geschäftliche Nutzung werden folgende Produkte:

Seit dem 20. März 2015 bietet Threema den Dienst „Threema Gateway“ für Geschäftskunden an. Ähnlich einem SMS-Gatewaydienst lassen sich damit Nachrichten übermitteln und empfangen. Bei Threema werden diese allerdings verschlüsselt zugestellt. Anwendungsfälle sind nach eigenen Angaben beispielsweise der sichere Versand von mTAN, eTAN oder OTP, Alarmierungen für Blaulichtdienste, sicherer Passwortaustausch, sicherer Newskanal für interne Kommunikation oder eine vertrauliche Kundenkommunikation. Zur Nutzung des Gateways ist eine Registrierung und der Erhalt eines API-Keys erforderlich, wobei zwischen einer Variante ohne Ende-zu-Ende-Verschlüsselung und – mit Aufpreis bei der Einrichtungsgebühr – mit Ende-zu-Ende-Verschlüsselung gewählt werden kann.[110] Eine selbst festgelegte (Gateway-)Threema-ID ist im Angebot mit enthalten, wobei die ID zwingenderweise immer mit einem Stern (*) am Anfang der ID beginnt, um sie von „normalen“ Threema-IDs unterscheiden zu können.[111] Die Software zur Verschlüsselung der Nachrichten ist Open Source und kann zur vollständigen Ende-zu-Ende-Verschlüsselung genutzt werden. Die Einbindung der Funktion ist mittels einer API möglich. Ein Software Development Kit in den Sprachen PHP, Python und Java, lizenziert unter der MIT-Lizenz,[112][113][114] wird von Threema dafür bereitgestellt.[115]

Seit dem 8. Juni 2015 kann man das Gateway ausserdem mit begrenzter Nachrichtenanzahl gratis über ein Web-Interface testen und ein Profilbild für die eigene Threema-ID festlegen.[116]

Am 24. August 2015 wurde die Funktion eingeführt, Bilder und andere Dateien (mit einer Maximalgrösse von 20 MB) über das Gateway zu versenden.[117]

Seit dem 25. Mai 2016 bietet Threema eine spezielle Version der Threema App für Unternehmen an („Threema Work“), welche sich zusätzlich zur „normalen“ auf Privatkunden ausgerichteten Version der App installieren und auch über MDM-Systeme verteilen lässt.[118] Diese Version der App kann seit November 2016 auch über Reseller vertrieben werden.[119]

Anfang 2017 gab Threema auf Twitter bekannt, dass eines der grössten Krankenhäuser der Niederlande (das Universitätsklinikum Academic Medical Center) Threema Work benutzt.[120] Auch Daimler setzt Threema Work als „sichere Chat-Lösung“ ein.[121][122]

Anfang Dezember 2017 aktualisierte Threema die Management-Weboberfläche, welche es Administratoren nun auch erlaubt, Threema ohne eine spezielles MDM-System zu konfigurieren. Ausserdem können grundlegende Nutzungsstatistiken (Betriebssystemversion, Nutzeranzahl, …) angezeigt werden.[123] Gleichzeitig wurde das Produktportfolio vereinfacht, so dass es, ausser für NGOs und Bildungsinstitutionen[124], nur noch Angebote mit periodischer Zahlung gibt. Es wurde stattdessen eine kostenlose Testphase eingeführt.[125]

Am 3. April 2018 wurde mit Threema Education eine preisvergünstigte Edition von Threema Work für Bildungseinrichtungen veröffentlicht.[126] Kurz nach Veröffentlichung wurde das Preismodell geändert, sodass bei Threema Education, im Gegensatz zu Threema Work, nur noch eine einmalige Zahlung benötigt wird und keine wiederkehrenden Kosten entstehen.[127]

Anfang 2019 gab Threema bekannt, dass die Schweizer Bundesbehörden Threema Work zur internen Kommunikation nutzen werden.[128] Am 13. Juni 2019 folgte die Bekanntgabe, dass Bosch Threema Work benutzt.[129] Ab April 2020 wurden Lizenzen für Lehrkräfte des Landes Baden-Württemberg kostenlos und freiwillig zur dienstlichen Kommunikation freigegeben.[130]

Anfang 2022 gab auch die Schweizer Armee bekannt, dass zukünftig für die dienstliche Kommunikation ausschliesslich Threema verwendet werden soll. Als Grund für die Abkehr von WhatsApp und anderen Messenger-Apps nennt die Armee die Faktoren Sicherheit und Anonymität. Es handelt sich dabei allerdings um ein zeitlich befristetes Pilotprojekt, denn bei einem institutionalisierten Einsatz müsste der Schweizer Bund eine Ausschreibung vornehmen, auf die sich auch andere Anbieter bewerben könnten.[131]

Auf einer Mercedes-Veranstaltung im April 2017 wurde das Beta-Projekt „Threema Broadcast“ vorgestellt. Dies sei zur Verteilung „periodische Information“ an „grössere Nutzergruppen“ gedacht und bilde mit den zwei anderen Produkten die Threema Business Solutions.[132] Offiziell vorgestellt wurde das Produkt am 9. August 2018.[133]

Mit Threema Broadcast können Feeds (ähnlich wie öffentliche Newsletter), geschlossene Verteilerlisten (um eine feste Gruppe an Kontakten zu erreichen) und Chatbots erstellt werden, sowie spezielle (zentralisierte) Gruppenchats verwaltet und moderiert werden.[134] Die Aufzeichnung/Verwaltung eines Gruppenchats erfolgt dabei durch eine im Gruppenchat vorhandene Broadcast-ID, die auch den Gruppenadmin darstellt. Ob die Nachrichten von dieser ID aufgezeichnet werden, lässt sich durch alle Gruppenmitglieder abfragen.[135] Das Angebot ist hauptsächlich für „Top-Down-Kommunikation“ ausgelegt, z. B. zum Versenden von Newslettern oder Beantworten von Kundenfragen.[136]

Die Verwaltung erfolgt über ein Webinterface und ist – im Vergleich zur Threema Gateway mit der SDK-Methode – nicht Ende-zu-Ende-verschlüsselt. Stattdessen werden die Nachrichten zentral auf den Threema-Servern verwaltet und verschlüsselt. Für den Nutzer funktioniert es ähnlich wie Threema Gateway. So sind beispielsweise Threema Broadcast IDs auch an einem Stern (*) am Anfang der ID erkennbar, wobei sich die ID standardmässig mit „BC“ fortsetzt, allerdings kostenpflichtig ebenfalls frei gewählt werden kann.[137] Es kann einzeln in verschiedenen Preispaketen – je nach Nutzeranzahl – erworben werden, oder mit Threema Work oder Threema Education, in dem es mit enthalten ist, genutzt werden.

Neben der offiziellen Support-Webseite existiert ein deutschsprachiges Threema-Forum. Dort ist seit Oktober 2015 auch das offizielle Support-Team von Threema aktiv.[138]

Threema wird in der Amazon-Serie „The Terminal List – Die Abschussliste“ in Folge 2 in Minute 22:53 als sicherer Instant Messenger anstelle von WhatsApp empfohlen.

Wie sieht man bei Threema ob die Nachricht gelesen wurde?

Was bedeuten die einzelnen Zeichen bei Threema?

Was ist der Echo Test bei Threema?

Was bedeutet die rote Linie bei Threema?