Interner Cache, Galerie und RAM sind drei unterschiedliche Grenzen; das Löschen einer Kopie beweist nicht, dass alle Kopien gelöscht sind.
Ende-zu-Ende-Verschlüsselung schützt den Übertragungsweg eines Bildes; nach dem Öffnen hängt die Sicherheit der sichtbaren Kopie auch vom Gerät und der Speicherpraxis der App ab. Doch nicht jede temporäre Datei unter Android ist öffentlich, und nicht jedes zwischengespeicherte Bild gelangt automatisch in die Galerie.
Unterscheiden Sie zur Risikobewertung statt der vagen Formulierung „Cache-Leck“ drei Orte: den privaten App-Speicher, gemeinsamen Speicher wie die Galerie und den aktiven Prozessspeicher beziehungsweise RAM. Jeder hat andere Zugriffsregeln und einen anderen Lebenszyklus.
Wo kann ein entschlüsseltes Bild zurückbleiben?
| Ort | Typischer Zweck | Sicherheitsaspekt |
|---|---|---|
| Privater interner App-Cache | Ein Bild schnell erneut anzeigen | Andere gewöhnliche Apps sollten nicht frei darauf zugreifen können |
| Galerie oder gemeinsamer Speicher | Bilder speichern, bearbeiten oder teilen | Apps mit Berechtigung und Sicherungsdienste können möglicherweise darauf zugreifen |
| RAM und Speicher von Darstellungskomponenten | Bildverarbeitung während der Nutzung | Vorübergehende Speicherung bedeutet keinen Schutz vor einem kompromittierten Gerät |
| Exportierte Kopie oder Vorschau | Eine Datei in einer anderen App öffnen | Sie kann einen unabhängigen Löschlebenszyklus haben |
Die Android-Speicherdokumentation unterscheidet zwischen app-spezifischem und gemeinsamem Speicher. Die Aussage „jede Cache-Datei wird von MediaStore indiziert“ ist deshalb falsch; Speicherpfad, verwendete API und Berechtigungen sind entscheidend.
Welchen Schutz bietet der interne Cache?
Android trennt den privaten internen Speicher einer App von anderen gewöhnlichen Apps. Die offizielle Anleitung empfiehlt diesen Speicher für sensible temporäre Daten. Eine Cache-Datei kann bereits vor der Deinstallation von der App oder dem System gelöscht werden; Entwickler sollten die Bereinigung jedoch nicht allein einem Speichermangel auf dem Gerät überlassen. Siehe die Anleitung zu app-spezifischen Dateien.
Dieser Schutz ist nicht gleichbedeutend mit „niemand kann die Datei extrahieren“. Der Zugriff eines Angreifers auf ein gesperrtes oder entsperrtes Telefon, ein verwundbares Betriebssystem oder ein Gerät mit Root-Zugriff ist nicht derselbe. Eine belastbare forensische Aussage muss Gerätemodell, Systemversion, Sperrzustand und Art des Angreiferzugriffs benennen.
Warum garantiert die Speicherung im RAM keine vollständige Löschung?
Wird keine unverschlüsselte Kopie auf den Datenträger geschrieben, kann das die Anzahl dauerhafter Kopien verringern. Auch die Bereinigung sensibler Puffer kann Teil eines defensiven Designs sein. Die bloße Nennung von „RAM-Nullsetzung“ rechtfertigt aber nicht, die Wiederherstellungswahrscheinlichkeit mit null anzugeben.
Ein Bild kann während der Verarbeitung in mehrere Puffer, Bibliotheken oder Darstellungskomponenten kopiert werden. Das Löschen eines Puffers beweist für sich allein nicht, dass alle Kopien gelöscht sind. Selbst ohne dauerhafte Datei kann Schadsoftware, die während der Anzeige Zugriff auf die Daten hat, sie kopieren. Verschlüsselung und Speicherverwaltung ergänzen einander und ersetzen sich nicht.
Was können Nutzer tun?
- Prüfen Sie das Speichern in der Galerie getrennt vom automatischen Download. Medien für die Anzeige innerhalb der App zu empfangen ist nicht zwangsläufig dasselbe wie das Speichern in der Galerie.
- Kontrollieren Sie Fotosicherungen. Ein exportiertes Bild kann unabhängig vom Chat in die Cloud gelangen.
- Prüfen Sie Foto- und Dateiberechtigungen anderer Apps. Verwechseln Sie den für eine konkrete Aufgabe nötigen Zugriff nicht mit dauerhaftem Zugriff auf die Fotosammlung.
- Prüfen Sie das Verhalten mit einem Testbild. Beobachten Sie, welche Kopie nach Empfang, Öffnen, Speichern und Löschen in der Galerie oder einer anderen App bleibt.
- Prüfen Sie vor dem Löschen von App-Daten den Wiederherstellungsweg. „Cache leeren“, „Speicherinhalt löschen“ und Abmelden haben unterschiedliche Folgen; die zweite Option kann Schlüssel oder benötigte lokale Daten entfernen.
Ein Test mit einem nicht sensiblen Bild ist nützlich. Dass eine Datei nicht in der Galerie erscheint, beweist aber nicht, dass keinerlei Spuren auf dem Gerät vorhanden sind.
Wie sollten Entwickler die Bereinigung testen?
Die Prüfung sollte den gesamten Medienweg abdecken: Empfang, Entschlüsselung, Anzeige, Teilen, Schließen der Ansicht, Abmelden und erneutes Anmelden. Laufende Downloads oder Vorschauerzeugungen müssen mit der Abmelderichtlinie abgestimmt werden; andernfalls könnte nach der Bereinigung eine neue Datei geschrieben werden. Das ist ein testbares Szenario, keine bewiesene Aussage über alle Messenger.
Testen Sie eine bestimmte Version und dokumentieren Sie Dateispeicherorte sowie das Ergebnis jedes Schritts. Die Android-Sicherheitsempfehlungen betonen minimale Zugriffsrechte und die Aufbewahrung sensibler Daten an geeigneten Orten.
Was bedeutet das für Livara?
Livaras Bedrohungsmodell garantiert keinen Schutz eines kompromittierten oder entsperrten Geräts. Dokumentation zur Übertragungsverschlüsselung allein belegt nicht die Aussage, dass „keine unverschlüsselte Kopie im Cache bleibt“. Dafür müssen eine bestimmte App-Version und ihre Medienwege untersucht werden.
Fazit: Kennen Sie die Orte und die Anzahl der Bildkopien. Weniger zusätzliche Kopien, eine geeignete Gerätesperre und Updates sind wichtig; das Versprechen „keine Wiederherstellung“ ist ohne Tests und Bedrohungsmodell kein verlässlicher Maßstab.
