SIMSme: Wie schlägt sich der Security-Messenger der Deutschen Post?

Mit SIMSme hat die Deutsche Post einen kostenlosen Messenger vorgestellt, der vertrauensvolle Kommunikation mithilfe von Ende-zu-Ende-Verschlüsselung verspricht. In unserer zweiten großen Messenger-Testrunde schauen wir uns heute an, ob und wie es der Post gelungen ist, Usability und Sicherheit in einem Messenger zu vereinen:

SIMSme: Bedienbarkeit & Features von

SIMSme ist wie bereits erwähnt kostenfrei für Android, Windows Phone und iOS erhältlich. Die Messenger-App funktioniert sowohl auf Tablets als auch auf Smartphones (kann für jedes Endgerät mit eigener Mobilfunknummer heruntergeladen werden) und soll es über In-App-Käufe erlauben, die Sicherheit weiter zu erhöhen. Anwender können neben Textnachrichten auch Multimedia-Dateien (Bilder, Videos, Audios) sowie Standortinformationen austauschen.

Nach der kinderleichten Installation über den jeweiligen App-Store erfahren wir nach dem ersten Öffnen der App einiges über die Features. Unter anderem, dass das selbst festgelegte Passwort nicht an die Deutsche Post AG übertragen wird und dass wir es uns deshalb gut merken sollten. Wir haben die Möglichkeit, vor der Registrierung die AGB einzusehen – sehr gut, das fehlte uns in der ersten Testrunde voriges Jahr häufig. Beim Festlegen des Passworts verzichtet SIMSme leider auf eine Sicherheitsampel, jedoch wird die Wichtigkeit eines sicheren Passworts betont, da dieses Passwort die App verschlüsselt. Zur Identifikation geben wir unsere Mobilfunknummer ein und erhalten postwendend eine SMS mit einem Bestätigungscode.

Nach erfolgreicher Registrierung finden wir sämtliche Kontakte aus unserem Telefonbuch auch in der App. Via SMS oder E-Mail können wir Freunde zu SIMSme einladen. Das recht umfangreich ausfallende Menü erlaubt Einstellungen zu den Chats (blockierte Kontakte, Hintergrundbild und sichern von Medien auf dem Mobilgerät) sowie zu den Benachrichtigungen und zum eigenen Profil. Datenschutz, AGB und Informationen über SIMSme können wir aus der App heraus aufrufen, auch Lizenz und Impressum sind direkt zu finden.

Insgesamt macht es einem SIMSme einfach: mit einem Fingertipp können wir nun einen neuen Chat oder eine neue Gruppe eröffnen; Gruppen bieten Platz für bis zu 30 Teilnehmer. Kurz nach Release der App hat das, wenn man den Redaktionskollegen der Netzpiloten glaubt, nicht allzu gut funktioniert: das User Interface ließ in Bezug auf intuitive Bedienung zu wünschen übrig, die App sei, wenn überhaupt, auf Beta-Niveau – so das vernichtende Fazit des Tests kurz nach Erscheinen. In unserem Test hat SIMSme diese Kinderkrankheiten hinter sich gelassen, wir konnten problemlos einzeln und in der Gruppe chatten und Medien austauschen.

AGB & Datenschutzvereinbarungen von SIMSme

Nicht nur die App verweist einfach und schnell auf die AGB und Datenschutzbestimmungen, sondern auch die Website ist so aufgeräumt, dass wir schnell fündig werden. Die deutschsprachigen Allgemeinen Geschäftsbedingungen definieren zunächst Begrifflichkeiten, anschließend erfahren wir, dass sämtliche Nachrichten direkt nach dem Herunterladen durch den Empfänger vom Server gelöscht werden, spätestens jedoch nach einer 30-Tage-Frist. Wurde das Feature durch In-App-Käufe erworben, kann der Nutzer bestimmen, wann sich eine Nachricht selbst zerstört. Weiter erklären die AGB, dass die Ende-zu-Ende-Verschlüsselung in SIMSme so gestaltet ist, dass unverschlüsselte Informationen weder übertragen noch auf dem Server gespeichert werden. Die zum Entschlüsseln erforderlichen Schlüssel verlassen das jeweilige Endgerät nicht. Der SIMSme-Server und alle dazugehörigen Komponenten entsprechen den Vorgaben nach der ISO 27001. Das Rechenzentrum befindet sich in Deutschland; ein Datentransfer ins Ausland erfolgt nicht. Da der Server keine Passwörter speichert, findet die Authentifizierung ausschließlich auf freigegebenen (via Code bestätigten) Endgeräten statt.

Für das sichere Verwahren des Passworts ist laut AGB der Nutzer verantwortlich. Sie als Nutzer stellen die Deutsche Post von Ansprüchen Dritter frei und kommen für Schäden allein auf, die durch etwaig kompromittierte Konten entstehen, falls Sie dies selbst zu verschulden haben. Die Deutsche Post wird weder nach Ihrem privaten Schlüssel fragen noch diesen gespeichert halten. Dass anonymisierte und statistische Nutzerdaten gesammelt werden, können Sie in den Datenschutzeinstellungen der App verhindern. Eine Rückverfolgung bis zu Ihnen sei laut AGB durch die gesammelten Daten nicht möglich. Die Deutsche Post behält sich vor, Leistungen zum Teil oder komplett durch Dritte erbringen zu lassen. Der Kundendienst ist unter erreichbar. Möchten Sie Ihren Account schließen, können Sie Ihr Nutzerkonto zunächst auf dem Server löschen, anschließend deinstallieren Sie die App.

Die Datenschutzrichtlinien klären zunächst, was personenbezogene Daten sind und anschließend, wie diese behandelt werden: Ihre Login-Daten (Nutzername, Mobilfunknummer und Passwort) werden lokal verschlüsselt und gespeichert. Dies trifft auch auf Ihre Kommunikationsdaten inklusive sämtlicher Medien zu. Auf den in Deutschland stehenden Servern werden zum Nutzerabgleich Ihre Telefonnummer sowie eine verschlüsselte Liste Ihrer Kontakte gespeichert. Ihre Ende-zu-Ende-verschlüsselten Nachrichten gelangen in einen Zwischenspeicher und werden wie oben erwähnt nach Abruf oder 30 Tagen gelöscht. Darüber hinaus erfasst die Deutsche Post über die App keine persönlichen Daten.

Anonymisierte Daten zu Ihrem Nutzerverhalten (beispielsweise die Anzahl versendeter Nachrichten) werden jedoch gesammelt und statistisch von der Adeven GmbH, Berlin, aufbereitet. In den Datenschutzeinstellungen der App können Sie dem widersprechen. Melden Sie sich bei SIMSme an, werden Kontakte, die Sie in Ihrem Telefonbuch haben und die ebenfalls SIMSme nutzen, darüber informiert. Darüber hinaus sollen personenbezogene Daten ausschließlich zur Abwicklung und zum Beantworten Ihrer Fragen sowie zum Weiterentwickeln des Dienstes verwendet werden.

Die Datenschutzrichtlinien erklären weiter, dass das von Ihnen gewählte Passwort den privaten Schlüssel des bei Erstellung Ihres Accounts generierten RSA-Schlüsselpaars verschlüsselt. Nur Sie kennen Ihr Passwort und geht dieses verloren, können Sie Ihren Account nicht mehr nutzen. Am Ende der Datenschutzvereinbarung wird uns die Datenschutzbeauftrage der Deutschen Post AG genannt und der Hinweis gegeben, dass Auskunftersuchende mit ihr einen Ansprechpartner finden.

Die Sicherheit von SIMSme

Im August 2014 erhielt SIMSme das TÜViT-Siegel „Trusted App“. Sämtliche Nachrichten werden automatisch beim Absender verschlüsselt und nur der Empfänger hat die Möglichkeit, die Nachricht zu entschlüsseln (Ende-zu-Ende-Verschlüsselung). Dies soll das Mitlesen durch Dritte verhindern. Ein neuer AES-256-Schlüssel wird für jede neue Nachricht generiert und via RSA-2048 über eine OpenSSL-Verbindung ausgetauscht. In der Annahme von Kontakten unterscheidet der SIMSme-Messenger drei Sicherheitsstufen:

• Niedrig: Der Server überträgt die SIMSme-ID und den Schlüssel. Ein Abgleich mit dem lokalen Adressbuch findet nicht statt, sodass Sie sich als Nutzer nicht sicher sein können, ob die Person, mit der Sie kommunizieren, auch wirklich die ist, die sie vorgibt zu sein.
• Mittel: Telefonnummer oder E-Mail-Adresse wurden lokal in Ihrem Adressbuch gefunden. Somit können Sie sich ziemlich sicher sein, mit der Person zu kommunizieren, die sie vorgibt zu sein.
• Hoch: In dieser höchsten Sicherheitsstufe prüfen Sie ID und Schlüssel durch das Scannen des QR-Codes Ihres Kontakts. Sie können sich nun sehr sicher sein, mit der Person zu kommunizieren, die sie vorgibt zu sein.

Optional können Sie das Feature „selbstzerstörende Nachrichten“ erwerben. Mit dieser Selbstzerstörungsfunktion bestimmen Sie, nach welcher Zeitspanne – Sekunden oder Minuten – Ihre Nachricht zerstört wird. Da sich die SIMSme-Server in Deutschland befinden, unterliegen sie dem deutschen Bundesdatenschutzgesetz.

Leider können die Angaben, die die Deutsche Post AG zu ihrer Verschlüsselung macht, nicht überprüft werden, da der Quellcode nicht veröffentlicht wird. Weiter verzichtet die App auf die Möglichkeit, den AES-Schlüssel manuell einzugeben. Da der RSA-Schlüssel ausschließlich von der App generiert wird, können Sie weder die Schlüssellänge beeinflussen noch eigene Schlüsselpaare generieren. Leider ist es nicht möglich, den öffentlichen RSA-Key nicht preiszugeben, da der Keyserver nicht umgangen werden kann. Dass eine aktuelle Mobilfunknummer angegeben werden muss, um sich überhaupt bei SIMSme zu registrieren, ist ebenfalls schade; das bekommen andere Messenger besser hin.

Fazit SIMSme: So definiert die Deutsche Post Sicherheit

Sicherheit made in Germany – mit der länderspezifischen TLD von Montenegro (.me): Das möchte die Deutsche Post AG mit SIMSme erreichen. Schade, dass wir uns die Verschlüsselung nicht im Quellcode anschauen können; die Zertifizierung durch die TÜViT beruhigt hier jedoch. Etwas kritisch sehen wir die Tatsache, dass die Selbstzerstörungsfunktion hinzugekauft werden muss – dies bieten zahlreiche Messenger kostenfrei an. Klar: SIMSme möchte auch finanziert werden, dazu lesen wir jedoch in den FAQ, dass später Unternehmens-Accounts geplant sind, die dann Einnahmen generieren sollen. Kritisch sehen wir auch die Pflicht, die Mobilfunknummer anzugeben – andere Messenger, die sich ebenfalls Sicherheit auf die Fahnen schreiben, lösen das besser: die Anmeldung verlangt weder nach Klarnamen noch nach Telefonnummern und viele dieser Messenger verzichten zudem darauf, das Telefonbuch zu durchschnüffeln.

Die Grundidee stimmt allerdings: unverschlüsselt gehen weder Nachrichten rein noch raus, auch Medienanhänge werden Ende-zu-Ende-verschlüsselt versendet. Die Server stehen in Deutschland, Nachrichten werden maximal 30 Tage lang gespeichert und sowohl die AGB als auch die Datenschutzvereinbarungen sind eindeutig und transparent verfasst. SIMSme lässt sich leicht bedienen, Fehler, wie es sie in der Vergangenheit wohl häufiger gab, konnten wir nicht feststellen.

Zusammenfassung SIMSme

• Verbreitung: Android, iOS, Windows Phone (jedes Endgerät mit eigener Mobilfunknummer)
• Einschränkungen: BlackBerry OS
• Installation: einfach
• Kontakte rüberziehen: Telefonbuch wird automatisch durchsucht, außerdem QR-Code scannen
• Optik/ Bedienbarkeit: intuitive Bedienung, vergleichsweise umfangreiches Menü, vielfältige Funktionen, allerdings muss die Selbstzerstörungsfunktion von Nachrichten gesondert erworben werden (In-App-Kauf)
• Flexibilität: Text- und Medienversand, Einzel- und Gruppenchats
• Kosten: kostenfrei, jedoch ggf. In-App-Käufe
• Orga/ Land hinter dem Service: Deutsche Post AG, Deutschland
• Verschlüsselung: Ende-zu-Ende-Verschlüsselung, sehr gut
• Quellcode: nicht offen
• Datenschutz: Datenschutzrichtlinien leicht auffindbar & gut verständlich, keine Hintertüren, bis auf die Sammlung anonymisierter Nutzerdaten durch die Adeven GmbH, der jedoch widersprochen werden kann
• AGB: leicht auffindbar & gut verständlich
• Zuverlässigkeit: vergangene Probleme wurden soweit ausgeräumt
• Sicherheitsprobleme: keine
• Jugendfilter: nicht vorhanden
• Datenspeicherung: Nachrichten werden nach dem Herunterladen durch den Empfänger gelöscht, spätestens nach 30 Tagen auch ohne herunterladen. Speicherung nach Vorgaben der ISO 27001; Rechenzentrum befindet sich in Deutschland, Passwörter werden nicht gespeichert, Telefonnummern zur Kontakte-Erkennung in gehashter Form
• XMPP: nein
• Finanzierung: durch In-App-Käufe, Cross-Finanzierung mit anderen Post-Leistungen (geplant ist zudem ein Business-Messenger-Modell)

Update: Deutsche Post verkauft SIMSme

13. März 2019 | Die Deutsche Post verkauft den Messenger SIMSme der bei Privatkunden ein Flop war an das Münchner Startup Brabbler. Die Deutsche Post erhält durch den Verkauf allerdings Anteile an dem Startup. Brabbler, mit 76 Beschäftigten, betreibt den gesicherten Messenger Ginlo und gehört den GMX-Gründern Karsten Schramm, Peter Köhnkow und Eric Dolatre. Unseren Testbericht über das Freemail-Angebot von GMX aus dem Jahr 2016 können sie im Blogbeitrag „E-Mail-Anbieter-Test: Web.de & GMX“ nachlesen.