Verschwindende Nachrichten können den Umfang des auf teilnehmenden Geräten gespeicherten Gesprächsverlaufs verringern. Sie garantieren nicht, dass jede Kopie einer Nachricht verschwunden ist, und ein Timer ist kein Zertifikat für eine forensisch sichere Datenbereinigung.
Die nützliche Frage lautet nicht, ob Löschen „echt“ oder „unecht“ ist. Sie lautet: Welche Kopie wird aus welchem Speicherort und unter welchen Annahmen gelöscht? Der sichtbare Chat einer App, ihre lokale Datenbank, ein heruntergeladener Anhang und der Screenshot eines Empfängers sind unterschiedliche Kopien.
Was ein Timer für verschwindende Nachrichten leisten kann
Ein Timer teilt mitwirkender Software mit, wann sie Inhalte nach den Regeln des Produkts entfernen soll. Diese Regeln können variieren: Die Zeit kann beim Senden oder Lesen beginnen, eine Einstellung kann nur für neue Nachrichten gelten, und verknüpfte Geräte können verzögerte Zustellung gesondert behandeln.
Signals Anleitung zu verschwindenden Nachrichten warnt ausdrücklich davor, die Funktion als Schutz vor einem Empfänger anzusehen, der einen Nachweis behalten möchte. Diese Einschränkung gilt unabhängig davon, wie sorgfältig die lokale Löschung umgesetzt ist.
Ein Empfänger kann vor Ablauf der Frist einen Bildschirm fotografieren, eine Textpassage kopieren oder eine Datei speichern. Schadsoftware mit Zugriff auf Klartext kann dasselbe tun, ohne darauf zu warten, dass jemand einen Screenshot macht.
Warum das Löschen aus dem Speicher komplizierter ist als das Entfernen einer Sprechblase
Das Löschen eines Datenbankeintrags oder einer Datei überschreibt nicht zwangsläufig sofort jeden physischen Speicherort, an dem sich die Daten einmal befanden. Datenbanken, temporäre Dateien, Backups und die Verwaltung von Flash-Speicher können das Entfernen erschweren. Daraus folgt jedoch nicht, dass jede gelöschte Nachricht auf jedem modernen Telefon leicht wiederherstellbar ist.
Die Wiederherstellbarkeit hängt von App, Betriebssystem, Speicherverschlüsselung, Schlüsselverfügbarkeit, Gerätezustand und den Fähigkeiten des Angreifers ab. Aussagen über eine bestimmte App benötigen Belege für diese App und Version, nicht eine allgemeine Aussage über SQLite oder Flash-Speicher.
Was kryptografisches Löschen hinzufügt
Kryptografisches Löschen soll verschlüsselte Daten unzugänglich machen, indem die zu ihrer Entschlüsselung benötigten Schlüssel sicher beseitigt werden. NIST behandelt diesen Ansatz in seiner aktuellen Leitlinie zur Bereinigung von Datenträgern SP 800-88 Revision 2.
Bei einem Nachrichtensystem hängt sein Nutzen von mehreren Bedingungen ab:
- Die betreffenden Inhalte wurden vor der Speicherung angemessen verschlüsselt.
- Der gelöschte Schlüssel ist tatsächlich erforderlich, um diese Inhalte wiederherzustellen.
- Kein verbleibender Schlüssel, kein Backup und kein aufbewahrter Ableitungszustand kann ihn rekonstruieren.
- Alle relevanten Schlüsselkopien werden berücksichtigt, nicht nur eine Variable im Arbeitsspeicher.
- Klartextkopien und unabhängige Kopien bei Empfängern werden gesondert behandelt.
Schlüssel pro Nachricht oder Datei können differenzierte Aufbewahrungsregeln unterstützen. Ihre Existenz allein beweist keine sichere Löschung. Wird ein Anhangsschlüssel gelöscht, während er in einer zugänglichen älteren Nachricht erhalten bleibt, kann ein Wiederherstellungsweg bestehen bleiben.
Vier Kopien, die unterschiedliche Kontrollen benötigen
| Kopie | Was zu prüfen ist |
|---|---|
| Nachricht innerhalb der App | Verhalten des Timers, lokale Aufbewahrung und Behandlung verknüpfter Geräte |
| Heruntergeladenes Foto oder Dokument | Galerie, Downloads, Exporte und Speicher anderer Apps |
| Backup oder übertragener Verlauf | Ob abgelaufene Inhalte oder nutzbare Schlüssel wiederherstellbar bleiben |
| Eigene Kopie des Empfängers | Vertrauen und Vereinbarung zur Weitergabe; Fernlöschung kann keinen garantierten Rückruf bieten |
Die vollständige Geräteverschlüsselung bleibt nützlich, auch wenn eine App separate Inhaltsschlüssel verwendet. Diese Kontrollen schützen unterschiedliche Situationen; keine sollte als irrelevant abgetan werden.
Verschwindende Nachrichten realistisch einsetzen
Wählen Sie eine zum Gespräch passende Aufbewahrungsdauer und stellen Sie sicher, dass die Teilnehmer sie verstehen. Prüfen Sie, ob beim Speichern von Medien eine separate Kopie entsteht. Prüfen Sie das Backup-Verhalten und was geschieht, wenn ein offline befindliches verknüpftes Gerät wieder eine Verbindung herstellt.
Wenn Sie ein Gerät ausmustern müssen, folgen Sie dem Bereinigungsverfahren des Betriebssystems oder Ihrer Organisation. Betrachten Sie einen Chat-Timer nicht als Ersatz für Maßnahmen bei der Geräteentsorgung.
Bei Livara beschreibt die Sicherheitsseite Schlüssel pro Datei, und das Bedrohungsmodell benennt Risiken durch Empfänger und Endgeräte. Diese Fakten belegen für sich genommen weder kryptografisches Löschen pro Nachricht noch forensisch sichere Löschung auf jedem Gerät. Dieser Artikel erhebt keinen solchen Anspruch zur Implementierung.
Verschwindende Nachrichten sind vor allem als Kontrolle der Aufbewahrung nützlich. Behandeln Sie unumkehrbares Löschen als stärkere Behauptung, die gesonderte Belege erfordert.
