Wie angekündigt, wird der Quellcode der Threema-Apps in Kürze offengelegt. So entsteht volle Transparenz, und Sachverständige haben künftig die Möglichkeit, sich mit eigenen Augen von Threemas Sicherheit zu überzeugen.
Die Veröffentlichung des Quellcodes ist allerdings kein Ersatz für einen professionellen Sicherheitsaudit durch externe Experten. Dass der Quellcode einer Software offenliegt, heisst noch nicht, dass sich qualifizierte Fachleute die Mühe machen, den Code systematisch zu untersuchen. Denn neben fundierten Fachkenntnissen erfordert so eine Untersuchung bei Apps von Threemas Grössenordnung auch reichlich Zeit.
Nachdem zuletzt das Labor für IT-Sicherheit der FH Münster im Jahr 2019 einen Audit durchführte, haben wir diesmal Cure53 damit betraut. In minutiöser Kleinarbeit unterzogen Experten des renommierten Sicherheitsunternehmens die Threema-Apps während insgesamt 16 Personentagen einer gründlichen Prüfung.
So sorgfältig und gewissenhaft die Untersuchung auch durchgeführt wurde, ernsthafte Schwachstellen hat sie keine zutage gefördert. Im Gegenteil, die Experten loben Threemas Grundstruktur und Codequalität in höchsten Tönen:
«Cure53 muss herausstreichen, dass der Gesamteindruck der Codequalität und der allgemeinen Struktur des Projekts nur als aussergewöhnlich solide beschrieben werden kann. Aufbau und Umsetzung wurden zweifellos von einem seltenen Team erfahrener und sicherheitsaffiner Entwickler durchgeführt. Nach Ansicht von Cure53 sollte kein Zweifel daran bestehen, dass der Schwerpunkt dieser Prozesse darauf liegt, eine hochsichere Messaging-Applikation bereitzustellen, ohne dabei die User Experience zu beeinträchtigen.» (S. 17)
Von den wenigen unkritischen Verbesserungsvorschlägen, die Cure53 vorbrachte, sind einige bereits in den aktuellen App-Versionen berücksichtigt, und die anderen werden mit kommenden Updates umgesetzt. Hier gibt’s den kompletten Audit-Bericht zum Nachlesen: