T-Systems oder Vodafone?

Telefonate per App verschlüsseln

Smartphones abhörsicher per App? Telekom und Vodafone haben jeweils eigene Apps für verschlüsselte Telefongespräche herausgebracht: „Encryption App" und „Secure Call". Die Apps haben einige Gemeinsamkeiten – wesentliche Unterschiede liegen allerdings in den Details.

„Moment. Wir gehen auf die verschlüsselte Leitung.“ Und schon kann James Bond mit M plaudern, ohne dass lästige Mithörer Staatsgeheimnisse erfahren. Toll. In den Pinewood Studios ist alles überlebensgroß und supereinfach.

Mittlerweile ist verschlüsseltes Telefonieren jedoch auch im echten Leben einfacher geworden: Seit kurzem gibt es Smartphones mit Prozessorleistungen, die eine ausreichend schnelle Verschlüsselung mittels Software erlauben.

Heute wird das Internet als Trägermedium für verschlüsselte Telefongespräche eingesetzt. Dadurch ist es nun möglich, diesen Dienst auch kleineren Unternehmen anzubieten. Die beiden großen Telefongesellschaften in Deutschland – Telekom und Vodafone – haben  jeweils eigene Apps für verschlüsselte Telefongespräche herausgebracht. Die Apps haben einige Gemeinsamkeiten – wesentliche Unterschiede liegen allerdings in den Details.

Die Encryption App der Telekom-Tochter T-Systems ist bereits seit der CeBIT 2014 auf dem Markt und wurde von den Kryptoexperten der Gesellschaft für sichere Mobile Kommunikation (GSMK) aus Berlin entwickelt, die auch eigene Kryptotelefone anbietet. Die App ergänzt das Kryptographie-Portfolio der Telekom und T-Systems um eine reine Softwarelösung.

Konkurrent Vodafone hat seit kurzem ebenfalls eine Verschlüsselungs-App mit dem Namen Secure Call im Angebot, die vom Kryptographie-Spezialisten Secusmart entwickelt wurde.

Schnelle Verschlüsselung per App

Die beiden Apps haben ähnliche Basisdaten: Sie sind zurzeit für Android und iOS verfügbar, eine Version für Windows 10 ist in Planung. Beide Apps sind zwar für die Mobiltelefonie gedacht, nutzen dabei aber nicht den normalen Mobilfunk. Stattdessen arbeiten sie mit „Voice over IP“ (VoIP), und zwar entweder über die Datennetze der Mobilfunkbetreiber oder in einem lokalen WLAN.

Beide Betreiber legen Wert darauf, dass die Infrastruktur sich ausschließlich in deutschen Rechenzentren befindet. Sie bieten zudem eine Ende-zu-Ende-Verschlüsselung an, bei der keinerlei Daten auf den Servern in den Rechenzentren gespeichert werden.

Mit ihren jeweiligen Apps positionieren sich beide Anbieter im B2B-Markt und richten sich an Unternehmen, wobei Vodafone zusätzlich eine Version für Privatanwender anbieten will. Die Preisgestaltung ist sehr ähnlich: Vodafone verlangt 14,95 Euro pro Monat und Nutzer, die Telekom staffelt die Preise zwischen 17,90 und 19,90 Euro pro Monat und Nutzer. Sie bietet darüber hinaus einen individuell verhandelbaren Preis ab 200 Endgeräten an – ein Angebot, das eher auf Großunternehmen zugeschnitten ist.

Bei den Grundfunktionen sind sich beide Apps ähnlich: Wenn zwei Gesprächspartner verschlüsselt miteinander telefonieren wollen, müssen beide die App auf ihrem Smartphone installiert haben und die Anmeldeprozeduren durchlaufen haben. Anschließend kann es losgehen, die Gesprächspartner können sich mit den Apps erreichen und geschützt telefonieren.

Unterschiede im Detail

In den Details gibt es jedoch einige interessante Unterschiede. Generell wirkt die Encryption App von T-Systems funktionsreicher als die Konkurrenz von Vodafone. So hat die T-Systems-App einen deutlich geringeren Bandbreitenbedarf. Der Anbieter spricht von nur 4,8 Kilobit/Sekunde, während die Vodafone-App immerhin 10 Kilobit/Sekunde von der verfügbaren Kapazität einfordern soll. Der geringe Bandbreitenbedarf der Encryption-App von T-Systems macht den Einsatz auch unter widrigen Umständen sehr robust. Dies bedeutet, dass auch bei dürftiger Netzabdeckung das 2G-Netz ausreicht.

Beide Apps nutzen ein aufwendiges Verschlüsselungsverfahren, das die T-Systems-App auch für die verschlüsselte Übertragung von Nachrichten an andere Nutzer der App einsetzt. Ein Merkmal besonders sicherer Verschlüsselungsverfahren: Selbst wenn einer der beiden Algorithmen in Zukunft gebrochen werden sollte, ist die Datenverschlüsselung weiterhin sicher. Zudem besteht keine Möglichkeit, die Kommunikation über die Apps zu entschlüsseln oder zugänglich zu machen. Die Endgeräte tauschen die Schlüssel vor dem Gespräch aus und löschen sie anschließend. Der Provider hat keinen Zugriff auf die Schlüssel.

Für Spezialisten: Die Telekom-App verschlüsselt die Kommunikation mit zwei parallel arbeitenden Algorithmen. Die App verschleiert außerdem die Verbindungsdaten der Gesprächsteilnehmer, was deren Interpretationen auf Geschäftsbeziehungen verhindert. Sie setzt dabei auf AES und Twofish mit einer Schlüssellänge von jeweils 256 Bit. Dabei handelt es sich um für jedes Gespräch zufällig erzeugte Schlüssel, die geschützt mit Diffie-Hellmann-Schlüsseltausch übermittelt werden. Vodafone geht sehr ähnlich vor und verschlüsselt die Gespräche mit AES 128 Bit. Auch hier gibt es zufällig erzeugte Schlüssel, die geschützt (Diffie-Hellmann) übermittelt werden. Eine Verschlüsselung von Nachrichten ist erst in der nächsten Version vorgesehen.

Offener Quellcode

Unternehmen, die ihre Sicherheit noch erhöhen wollen, können Secure Call im Rahmen einer eigenen Public-Key-Infrastruktur einsetzen, also den Schlüsseltausch in Eigenregie abwickeln. Das ist für die betreffenden Unternehmen ein großer Vorteil, der aber kleineren Unternehmen ohne großen IT-Etat verschlossen ist.

Eine weitere Besonderheit der T-Systems-App ist der offene Quellcode des Entwicklungspartners GSMK. Der gesamte Source Code kann, wie bei Open Source Software üblich, von jeder hinreichend qualifizierten Person eingesehen und überprüft werden. So will der Hersteller belegen, dass keine Hintertüren oder Schwachstellen im Code versteckt sind. Die App von Secusmart dagegen ist gar nicht für dritte Personen einsehbar - die Anwender müssen dem Unternehmen vertrauen.

Die Mobile Encryption App der T-Systems basiert auf dem GSMK CryptoPhone Security Kernel. Er ist nach FIPS 140-2 zertifiziert. Dadurch ist das GSMK-Telefon für den Einsatz durch Behörden vieler NATO-Länder zugelassen.

Darüber hinaus haben Telekom-Sicherheitsexperten ein eigenes Code-Review in die Wege geleitet. Damit ist eine Grundforderung zahlreicher Sicherheitsexperten wenigstens annähernd erfüllt: Eine Verschlüsselung-App sollte durch möglichst viele unabhängige Gutachter geprüft werden, damit die Anwender Vertrauen in die Technologie bekommen und sie auch tatsächlich einsetzen.

Bildquelle: Thinkstock

Anmerkung: Eine frühere Version dieses Artikels stellte die Verschlüsselungsverfahren der Vodafone-App fehlerhaft dar. Dies ist jetzt entsprechend der Hinweise von Vodafone korrigiert.

©2019Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok