Ende-zu-Ende-verschlüsseltes Teilen des Standorts bedeutet: Dein Standort wird auf deinem Handy unleserlich gemacht und erst auf den Handys der Menschen wieder lesbar, mit denen du teilst. Die Firma hinter der App leitet die unleserlichen Daten weiter, kann sie aber nicht lesen. Das schützt dich, wenn ein Server gehackt oder missbraucht wird. Es versteckt nicht alles, und es schützt dich nicht vor jemandem, den du selbst zum Teilen gewählt hast.
Die Erklärung in einfachen Worten
Stell dir eine verschlossene Kiste vor. Du legst deinen Standort auf deinem Handy hinein und schließt sie ab. Die Kiste reist durchs Internet und liegt kurz auf einem Server. Nur die Handys in deinem Kreis haben einen Schlüssel, der sie öffnet.
Die Electronic Frontier Foundation beschreibt dieselbe Idee für Nachrichten: Bei Ende-zu-Ende-Verschlüsselung wird eine Nachricht auf dem Gerät des Absenders unleserlich gemacht, nur der endgültige Empfänger kann sie entschlüsseln, und auch die Server der App können nicht mitlesen. Dem stellt sie eine Verschlüsselung gegenüber, die Daten nur auf den einzelnen Teilstrecken schützt, sodass der Anbieter in der Mitte sie noch lesen kann. Siehe die Anleitung der EFF what you should know about encryption (auf Englisch).
Ein Standort ist nur eine weitere Nachricht. Es gilt dasselbe Prinzip.
Warum das bei einer Familien-App wichtig ist
Eine Standort-App für die Familie führt ein sehr persönliches Protokoll: wo du schläfst, wo deine Kinder zur Schule gehen, zu welcher Ärztin oder welchem Arzt du gehst, wann du nicht zu Hause bist. Liegt dieses Protokoll lesbar auf dem Server einer Firma, ist es nur so sicher wie die Firma, ihre Beschäftigten, ihre Zulieferer und ihr letztes Sicherheitsupdate.
Mit Ende-zu-Ende-Verschlüsselung liegen auf dem Server unleserliche Daten. Ein Einbruch, ein geleaktes Passwort oder ein neugieriger Mitarbeiter erbeutet Chiffretext, keine Karte deiner Familie. Das ist ein anderes Versprechen als „Wir versprechen, nicht hinzusehen“.
Wie Orma es macht
Jeder Kreis hat seinen eigenen Schlüssel. Er wird auf einem Handy erzeugt und nur von Handy zu Handy weitergegeben, über Einladungslinks oder Bestätigungen auf deinen eigenen Handys.
- Dein Live-Standort, dein Standortverlauf, gespeicherte Orte, Ankünfte und Abfahrten, SOS-Alarme, Profilfotos sowie die Namen von Personen und Kreisen werden auf deinem iPhone verschlüsselt, bevor sie es verlassen.
- Unsere Server speichern nur die unleserliche Version.
- Der Schlüssel in einem Einladungslink steht in dem Teil des Links nach dem
#, der nicht an unsere Server gesendet wird. - Push-Mitteilungen enthalten allgemeinen Text wie „Jemand in deinem Kreis braucht Hilfe“. Dein iPhone setzt die Namen ein, nachdem es sie entschlüsselt hat.
Bekommst du ein neues Handy, erhält es den Schlüssel nicht automatisch. Dein altes Handy fragt „Ist das dein neues Handy?“, und du vergleichst die Codes auf beiden Bildschirmen, bevor du bestätigst. Alle im Kreis erfahren, wenn ein neues Handy dazukommt. Die Anleitung Deine Orma-Kreise auf ein neues iPhone umziehen führt dich durch.
Wovor Ende-zu-Ende-Verschlüsselung schützt
- Ein Einbruch in den Server. Kommt jemand an die Datenbank, bekommt er unleserliche Standorte.
- Ein unehrlicher oder gehackter Betreiber. Beschäftigte der Firma können deinen Standort nicht lesen, weil sie den Schlüssel nicht haben.
- Mitlesen im Netzwerk. Die Daten werden unleserlich gemacht, bevor sie unterwegs sind.
- Verkauf oder Herausgabe. Eine Firma kann nicht verkaufen oder herausgeben, was sie nicht lesen kann. Wir verkaufen auch keine Daten und geben sie nicht für Werbung weiter. Siehe die Datenschutzerklärung.
Wovor sie nicht schützt
Darüber sollte man ehrlich sein.
Die Menschen in deinem Kreis
Die Mitglieder deines Kreises haben den Schlüssel. Sie sehen, was du teilst, so ist es gedacht. Das ist der Sinn eines Kreises. Lade nur Menschen ein, denen du vertraust, und bedenke, dass jede Person in einem Kreis theoretisch kopieren oder einen Screenshot machen könnte, was sie sieht.
Ein gehacktes Handy
Hat jemand dein entsperrtes Handy oder läuft Schadsoftware darauf, hilft die Verschlüsselung auf dem Übertragungsweg nicht. Die Daten müssen auf dem Handy lesbar sein, damit die App funktioniert. Nutze einen Code.
Eine manipulierte App
Ende-zu-Ende-Verschlüsselung setzt voraus, dass die App auf deinem Handy tut, was sie sagt. Würde die App selbst verändert, hielte der Schutz nicht. Das ist ein Grund, warum die Aussagen einer Firma konkret sein sollten, nicht vage.
Metadaten
Metadaten sind die Informationen rund um deine Daten, etwa wer mit wem wann gesprochen hat, nicht der Inhalt selbst. Die EFF erklärt, dass Metadaten alles außer dem Inhalt deiner Kommunikation sind, wie ein Umschlag, der Absender und Ziel zeigt, ohne den Brief darin preiszugeben.
Für Orma brauchen unsere Server einiges davon, um den Dienst zu betreiben. Sie können sehen:
- deine E-Mail-Adresse aus „Mit Apple anmelden“ (das kann eine private Relay-Adresse von Apple sein)
- in welchen Kreisen du bist und welche Handys zu deinem Konto gehören
- wann sich etwas ändert, etwa wann ein Standort-Update oder ein Hinweis gesendet wurde
- Zeiten des Meldens
- Push-Tokens und IP-Adressen in kurzlebigen Protokollen
Sie können nicht sehen, wo du bist, wo deine Orte liegen, wie deine Kreise heißen oder wie die Menschen darin heißen. Die Datenschutzerklärung listet genau auf, was wir sehen können und was nicht.
Apple liefert außerdem Push-Mitteilungen aus. Weil der Push-Text von Orma allgemein gehalten ist, sieht Apple darin keine Namen oder Details.
So beurteilst du jede App, die „Ende-zu-Ende-verschlüsselt“ verspricht
Stell diese Fragen an jede App, auch an unsere.
- Was genau ist verschlüsselt? Nur Standorte oder auch Orte, Namen und Hinweise?
- Was kann die Firma noch sehen? Eine gute Antwort ist eine konkrete Liste, nicht „sehr wenig“.
- Wie bekommen neue Handys den Schlüssel? Kann ein Server unbemerkt ein Handy zu deinem Konto hinzufügen und den Schlüssel erhalten, ist die Verschlüsselung schwächer, als sie klingt.
- Wer kann es sonst noch lesen? Den Mitgliedern des Kreises wird von Haus aus vertraut. Wird das klar gesagt?
- Was passiert mit alten Daten? Orma bewahrt den Standortverlauf 30 Tage auf und löscht ihn dann.
Wie das ins große Ganze passt
Standortdaten sind wertvoll, und eine ganze Branche kauft und verkauft sie. Warum das wichtig ist, erklären wir in Wohin deine Standortdaten gehen und warum es wichtig ist. Ende-zu-Ende-Verschlüsselung ist eine Antwort auf dieses Problem: Am sichersten verhinderst du den Verkauf deines Standorts, wenn die Firma ihn nie lesen kann.
FAQ
Können die Macher von Orma meinen Standort sehen?
Nein. Dein Standort wird auf deinem iPhone mit einem Schlüssel verschlüsselt, den nur die Handys deines Kreises haben. Unsere Server speichern unleserliche Daten. Sie können Konto- und Kreisdetails sehen, etwa in welchen Kreisen du bist und wann Updates stattfinden.
Was sind Metadaten, und sieht Orma sie?
Metadaten sind Informationen über deine Daten statt der Daten selbst, etwa Zeitpunkte und Kontodetails. Unsere Server sehen einiges davon, zum Beispiel in welchen Kreisen du bist, wann ein Update gesendet wurde und Zeiten des Meldens. Alles steht in der Datenschutzerklärung.
Verhindert Ende-zu-Ende-Verschlüsselung, dass die Menschen in meinem Kreis meinen Standort sehen?
Nein. Sie haben den Schlüssel und sehen, was du teilst, so ist es gedacht. Du entscheidest, wer in deinem Kreis ist, und du kannst jederzeit aufhören zu teilen oder einen Kreis verlassen.
Ist Ende-zu-Ende-Verschlüsselung dasselbe wie eine sichere Verbindung (HTTPS)?
Nein. Eine sichere Verbindung schützt Daten auf dem Weg zum Server, und der Server kann sie dann lesen. Bei Ende-zu-Ende-Verschlüsselung kann der Server sie gar nicht lesen.