Threema (englische Aussprache: //) ist ein Ende-zu-Ende-verschlüsselter Schweizer Instant-Messaging-Dienst zur Nutzung auf Smartphones und Tablets. Die Software ist auf Sicherheit, Datenschutz und Datenvermeidung ausgelegt und erfordert im Gegensatz zu den meisten Konkurrenzprodukten für die Nutzung weder eine Telefonnummer noch sonstige personenbezogene Angaben. Mit «Threema OnPrem» können Organisationen mit hohen Sicherheitsanforderungen «Threema Work» als Server selbst betreiben – getrennt von Threemas Infrastruktur.
Name Der Name Threema ist vom Akronym EEEMA, kurz für End-to-End-Encrypting Messaging Application, abgeleitet, wobei die drei E durch den Begriff Three (englisch für drei) ersetzt wurden.
Funktionsumfang Die zugehörige Software ist kostenpflichtig und für Mobilgeräte mit den Betriebssystemen Android ab Android 7.0 (mit Funktionseinschränkungen ab Android 5.0) und iOS ab iOS 17 (mit Funktionseinschränkungen ab iOS 10) verfügbar. Unter Windows Phone / Windows 10 Mobile ist Threema seit Juni 2020 nicht mehr benutzbar.threema.ch Über die Webanwendung «Threema Web» und seit 2021 über die Desktop-App kann Threema auch am Desktop-Computer genutzt werden, wenn zusätzlich die Smartphone-App installiert wird.
Mit Threema können Textnachrichten, Bilder, Videos, der eigene Standort und Sprachnachrichten versandt sowie Sprach- und Videoanrufe getätigt werden. Unter Android und iOS können ab Version 2.4 Dateien beliebiger Art mit bis zu 50 MB versendet werden. Seit Januar 2015 gibt es auch die Möglichkeit, Umfragen innerhalb einer Konversation oder im Gruppenchat durchzuführen.
Threema bietet Unterstützung für Android-Wear-Smartwatches (ab Version 2.0), Android Auto und kann in der Familie mit Google Play Family Library genutzt werden, wenn man es nach dem 2. Juli 2016 erworben hat.Threema Blog: Grosses Update für Android 9. Dezember 2014.
Am 15. Februar 2017 wurde Threema Web offiziell veröffentlicht. Damit können Nutzer der Android-App (ab Version 3.0) Nachrichten über den Computer versenden. Es erfolgt eine vollständige Synchronisation aller Nachrichten mit der Android-App. Auch Threema Web ist Freie Software. Die Unterstützung für iOS folgte im Oktober 2018.
Seit 2023 können sowohl mit der Android- wie auch mit der iOS-Version von Threema Gruppengespräche und -videotelefonate durchgeführt werden. Diese sind Ende-zu-Ende-verschlüsselt.
Entwicklung Threema wurde ursprünglich vom Schweizer Manuel Kasper mit seiner Kasper Systems GmbH erschaffen. Gemeinsam mit den Software-Entwicklern Silvan Engeler und Martin Blatter gründete er am 11. März 2014 im Kanton Schwyz die Threema GmbH, welche die Software weiterentwickelt und betreibt. Geschäftsführender Gesellschafter war Martin Blatter. Laut Aussage von Threema befinden sich alle Server des Dienstes in der Schweiz.
Im Jahr 2018 bestand das Unternehmen aus 15 Mitarbeitern, wobei je etwa die Hälfte in Softwareentwicklung bzw. in Kommunikation und Marketing tätig waren.
Zur Expansion in weitere Länder und Geschäftsfelder gab das Unternehmen im September 2020 bekannt, den deutschen Finanzinvestor Afinum gefunden zu haben.
Seit dem 21. Dezember 2020 sind die Threema-Apps für Android und iOS sowie verschiedene Bibliotheken und Server-Komponenten quelloffen.Heise: Threema-Apps sind nun komplett quelloffen, abgerufen am 21. Dezember 2020.
Seit dem 9. September 2024 sind die Gründer von Threema nicht mehr in der Geschäftsleitung des Unternehmens vertreten.
Am 8. Juli 2026 erfolgte die Umwandlung der Threema GmbH in die Threema AG.
Sicherheit Sicherheit ist einer der Entwicklungsschwerpunkte von Threema. So werden Nachrichten ausschliesslich Ende-zu-Ende-verschlüsselt verschickt. Diese Aussage und die Wirksamkeit der dokumentierten Sicherheits- und Datenschutzmechanismen wurden bei externen Audits im November 2015, im März 2019 und im Oktober 2020 bestätigt. Das Versenden der Nachrichten erfolgt über Schweizer Server des in der Schweiz ansässigen Herstellers Threema GmbH. Die Kommunikation zwischen den Threema-Servern und dem Endgerät ist zudem durch eine Transportverschlüsselung gesichert.
Threema nutzt die quelloffene Programmbibliothek «NaCl» für Kommunikation und Verschlüsselung.threema.ch, 1. März 2014: Es werden 256 Bit lange asymmetrische Schlüssel verwendet, die mittels Elliptische-Kurven-Kryptografie erzeugt werden und die laut Aussage des NIST mit 3072 Bit langen RSA-Schlüsseln vergleichbar seien. (englisch). Dieser Schlüssel wird benutzt, um für jede gesendete Nachricht einen einmaligen symmetrischen 256-Bit-Schlüssel zu erhalten. Zum endgültigen Verschlüsseln der Nachricht wird die Stromchiffre XSalsa20 genutzt. Weiterhin ist die Kommunikation zwischen dem Threema-Server und dem Endgerät ebenfalls verschlüsselt.Teltarif.de, 2. Oktober 2013, Hans-Georg Kluge: Erfahrungsbericht: Threema sichert Chats mit Verschlüsselung ab. Ein 128 Bit langer Verifikationscode sowie eine zufällige Anzahl an «kryptographischen Füllbytes» werden zu jeder Nachricht hinzugefügt, um Manipulationen am Inhalt der Nachricht zu verhindern.
Threema bietet außerdem , für die Kommunikation zwischen dem Server und der App, sowie seit Dezember 2022 (manuell) bzw. seit August 2023 (automatisch) auch zwischen den per Ende-zu-Ende-Verschlüsselung geschützten Chats, sofern die App-Versionen der kommunizierenden Personen auf einem aktuellen Stand sind.threema.chthreema.ch
Bei Gruppenchats wird die Nachricht für jeden Empfänger separat verschlüsselt und einzeln zugestellt. Die Threema-Server können dadurch weder nachvollziehen, welche Gruppen es gibt, noch wer Mitglied in einer Gruppe ist. Medien werden dagegen verschlüsselt einmalig auf die Threema-Server hochgeladen. Der symmetrische Schlüssel zum Entschlüsseln des Mediums wird danach wie eine normale Nachricht an alle Gruppenmitglieder verschickt, welche diese entschlüsseln, das Medium herunterladen und danach die Datei entschlüsseln.
Funktionen der Software Sicherheitsstufen Farbcode Sicherheit ••• Geringe Sicherheit; keine Prüfung, ob mit dem beabsichtigten Kontakt kommuniziert wird ••• Kontakt im Adressbuch gefunden; nicht über QR-Code verifiziert ••• Kontakt über QR-Code verifiziert•••Verifizierungsstufe Threema Work. Blaue Punkte: interner Kontakt
Beim ersten Start von Threema wird der Nutzer aufgefordert, seinen Finger auf dem Touchscreen zu bewegen, um Zufallsdaten für die spätere Verschlüsselung zu sammeln. Seit Februar 2015 werden die Bewegungen des Geräts zusätzlich beim Erstellen einer ID miteinbezogen.Threema Blog: iOS Update 2.1.1 11. Februar 2015. Anschliessend kann die Threema-ID optional mit der eigenen Telefonnummer und E-Mail-Adresse verknüpft werden. Neben jedem Kontakt befindet sich eine Sicherheitsstufe, die durch drei Punkte dargestellt wird. Es zeigt an, wie sicher der Nutzer sein kann, dass der gespeicherte öffentliche Schlüssel des Kontakts tatsächlich zu diesem gehört. Wird dieser öffentliche Schlüssel nicht geprüft, können Man-in-the-Middle-Angriffe nicht ausgeschlossen werden.
Es gibt folgende drei Sicherheitsstufen:
Die Threema-ID und der öffentliche Schlüssel wurden durch den Server übertragen. Es gibt keine Übereinstimmung der Daten mit dem lokalen Adressbuch, sodass der Nutzer ohne weitere (externe oder indirekte) Informationen keine Bestätigung hat, mit jener Person zu kommunizieren, die sie vorgibt zu sein. Die Telefonnummer oder E-Mail-Adresse des Kontakts wurde im lokalen Adressbuch gefunden. Der Nutzer kann davon ausgehen, mit dem effektiven Inhaber der Telefonnummer resp. Mail-Adresse zu kommunizieren – und somit mit der gewünschten Person, sofern dessen Nummer oder Mail-Adresse nicht gehackt wurden. Die ID und der öffentliche Schlüssel wurden durch das Scannen des QR-Codes des Kontakts manuell überprüft. Der Nutzer kann somit davon ausgehen, mit der gewünschten Person zu kommunizieren. Dies stellt die höchste Sicherheitsstufe dar.
Gruppenchat Eine Gruppenchat-Funktion für bis zu 256 Teilnehmer ist in den aktuellen Versionen für alle Betriebssysteme verfügbar. In den Gruppenchats hat der Nutzer, der die Gruppe ursprünglich erstellt hat, besondere Rechte («Admin»). Er alleine darf das Profilbild und den Gruppennamen festlegen. Personen können zu einer Gruppe (vom Administrator) hinzugefügt und ab Version 2.3 für Android und iOS nachträglich wieder entfernt werden. Des Weiteren gibt es bei der Android-Version eine Funktion, Kontakte zu Verteilerlisten hinzuzufügen.
Online-Status Es gibt keinen Online-Status der Kontakte, und es ist nicht möglich, einen persönlichen Statustext zu definieren. Man kann jedoch den «Gelesen»-Status der Nachrichten in den Einstellungen aktivieren oder deaktivieren. In Gruppenchats gibt es keine «Gelesen»-Anzeige.
Sicherung von Daten Da alle Daten ausschliesslich lokal auf dem Gerät gespeichert werden, war es früher nicht möglich, seine Threema-ID, Chatverläufe und restliche Daten auf ein anderes Gerät zu übertragen, ohne dass man ein Backup seiner Daten erstellt hat. Daher wird von Threema ausdrücklich empfohlen, eine Sicherheitskopie («backup») zu erstellen, da ansonsten – beispielsweise beim Verlust des Gerätes – keine Möglichkeit besteht, die Threema-ID (mit dem zugehörigen privaten Schlüssel) wiederherzustellen.Threema, FAQ – Wieso ist es wichtig, dass ich ein Backup meiner ID erstelle? Bei der Deinstallation der Android-App werden, wie es bei Android normal ist,Android, developer.android.com alle Daten aus dem internen Speicher gelöscht, d. h., sowohl die Threema-ID mit dem privaten Schlüssel als auch die restlichen Daten wie Chatverläufe und Medien sind nach der Deinstallation entfernt. Unabhängig davon bietet Threema allerdings ein separates Verzeichnis, in welchem die (auf Wunsch des Benutzers) entschlüsselten Medien und die Datensicherungen abgespeichert werden.
Seit Dezember 2018 (ab Version 3.6 Android und Version 4.1 für iOS) wird mit Threema Safe eine eigene anonyme Backup-Lösung angeboten. Diese sichert plattformunabhängig Threema-ID, Kontakte und Gruppen verschlüsselt auf dem Threema-Server bzw. auf Wunsch auch auf einem gewählten Server des Nutzers, siehe den Abschnitt zu «Threema Safe».
Bei der iOS-Version bleibt bei der Deinstallation die Threema-ID mit dem privaten Schlüssel erhalten, da dieser mit in das iCloud-Backup eingeht. Der Schlüssel wird vorher allerdings mit einem einmaligen Schlüssel des Gerätes (dem UID-Key) verschlüsselt, sodass er nur auf demselben Gerät wiederhergestellt werden kann. Die Kontakte, Nachrichten und Medien werden bei einer Deinstallation allerdings gelöscht.Threema, FAQ – Warum erhalte ich keine oder verzögerte Push-Benachrichtigungen?
Widerrufen der Threema-ID Über die Website des Anbietersmyid.threema.ch lassen sich Threema-IDs widerrufen. Hierzu wird ein Widerrufspasswort benötigt, das zuvor in der App festgelegt werden muss. Dieses kann seit der Version 2.20 für iOS bzw. Version 2.21 für Android festgelegt werden.
Threema Web