Kaum ein Handy hat eine Duress-PIN, also haben wir in Morse Messenger eine Notlöschung eingebaut

Eine Duress-PIN (von englisch duress, Zwang) ist ein zweiter Entsperrcode. Du richtest sie neben deinem normalen Code ein. Wenn dich jemand je unter Druck setzt, dein Handy zu entsperren, gibst du stattdessen die Duress-PIN ein, und das Handy löscht sich, statt sich zu öffnen.

Die Idee dahinter ist einfach. Ende-zu-Ende-Verschlüsselung schützt deine Nachrichten unterwegs, und ein gesperrtes Handy schützt sie, solange sie darauf liegen. Beides hilft nicht mehr, sobald dich jemand zwingt, es zu entsperren. In diesem Moment ist Löschen der einzige Schutz, der noch bleibt.

Und es geht nicht nur um dich. In deinen Chats stecken auch die Worte anderer: von dem Freund, der dir etwas im Vertrauen erzählt hat, von deiner Familie, von den Leuten, mit denen du arbeitest. Das Löschen schützt auch sie.

Ein paar Momente, in denen es darauf ankommt:

• Jemand schnappt sich dein Handy, während es entsperrt ist, oder zwingt dich, es zu entsperren.
• Ein Partner, der dein Handy kontrolliert. Für jemanden in einer kontrollierenden Beziehung kann ein Chat mit einem Freund oder einer Beratungsstelle darauf gefährlich sein.
• Journalisten, Aktivisten und alle, denen Menschen etwas Heikles anvertrauen. Wenn du mit Quellen arbeitest, deckt unser Ratgeber Nachrichten für Journalisten den Rest ab.

Höchstwahrscheinlich nicht. GrapheneOS, ein alternatives Android-System für Pixel-Handys, hat 2024 eine eingeführt. Gibst du sie irgendwo ein, wo das Handy nach seiner PIN fragt, wird sie „das Gerät unwiderruflich löschen“, wie GrapheneOS selbst schreibt.

iPhones, Samsung-Handys und Pixels mit Googles eigener Software haben nichts Vergleichbares. Am nächsten kommt dem auf dem iPhone eine Einstellung, die es nach 10 fehlgeschlagenen Codeeingaben löscht, und die hilft nicht, wenn dich jemand zwingt, den richtigen Code einzugeben. Und wenn du ein ganzes Handy löschst, ist alles weg: deine Fotos, deine anderen Apps, einfach alles.

Auch Messenger-Apps schließen die Lücke meist nicht. Die meisten lassen dich nur in der App dein Konto löschen oder deine Chats leeren, und die Leute, mit denen du geschrieben hast, behalten meist ihre Kopie.

Also haben wir sie in Morse eingebaut. Die Notlöschung ist standardmäßig aus, denn ein Knopf, der alles löscht, sollte keiner sein, den man aus Versehen drückt. So schaltest du sie ein:

1. 1Öffne den Tab Du, dann Datenschutz & Sicherheit.
2. 2Tippe auf Panikknopf. Mit unserem nächsten Update bekommt er seinen neuen Namen, Notlöschung.
3. 3Schalte Panikknopf anzeigen ein. Wenn du willst, schalte außerdem Auch gespeicherte Fotos & Videos löschen ein.

Ab dann erscheint ein Löschknopf in der App und auf dem Sperrbildschirm von Morse. Zwei Fingertipps löschen alles: der Knopf, dann Alles löschen. Du musst Morse vorher nicht entsperren.

Morse gibt es für das iPhone. Die Notlöschung steckt auch in der Android-App, die bald erscheint.

Innerhalb weniger Sekunden:

1. 1Morse bittet unseren Server, dein Konto zu löschen, solange dein Handy noch Verbindung hat.
2. 2Es vernichtet den Schlüssel, der die Datenbank von Morse öffnet. Jede Nachricht und jeder Kontakt darin wird auf einen Schlag unlesbar.
3. 3Es löscht die Datenbankdateien und alles, was der Schlüssel nicht abdeckt: Fotos und Videos, die du geöffnet hast, Sprach- und Kameraaufnahmen, temporäre Dateien, Benachrichtigungen auf deinem Bildschirm, die Zahl am App-Symbol und deine Zwischenablage, falls darin noch etwas liegt, das du in Morse kopiert hast.
4. 4Es prüft, dass nichts übrig ist, und nimmt sich alles, was überlebt hat, noch einmal vor.
5. 5Die Handys deiner Kontakte entfernen deinen Einzelchat mit ihnen und dich aus ihren Kontakten.

Danach ist Morse wieder auf seinem Willkommensbildschirm, als wäre es gerade erst installiert worden. Wiederherstellen lässt sich auch nichts: Die Schlüssel, die die Daten von Morse öffnen, werden nur für dein Handy gespeichert, also lässt sich nicht einmal ein Backup davon auf einem anderen Gerät lesen.

Warum einen Schlüssel vernichten, statt Dateien zu löschen? Auf dem Flash-Speicher eines Handys ist eine gelöschte Datei nicht zuverlässig weg. Der Chip verteilt seine Schreibvorgänge, damit er sich gleichmäßig abnutzt, und so können alte Daten an Stellen liegen bleiben, an die eine App nicht herankommt. Deshalb verlässt sich Morse nicht aufs Löschen. Seine Datenbank ist auf deinem Handy verschlüsselt, mit einem Schlüssel im geschützten Schlüsselspeicher des Handys. Vernichte diesen Schlüssel, und was noch auf dem Chip liegt, ist Rauschen. Das nennt man Crypto-Erase, und es dauert bei zehntausend Nachrichten nicht länger als bei zehn.

Aber ist dieser Schlüssel nicht auch nur weitere Daten auf demselben Chip? Berechtigte Frage, und die PIN-Sperre ist die Antwort. Mit eingeschalteter PIN-Sperre von Morse ist der Datenbankschlüssel selbst doppelt verschlossen: mit deiner PIN und mit einem Schlüssel, den die Secure Enclave auf dem iPhone oder der Android Keystore unter Android verwahrt und der sich nie aus dem Handy herauskopieren lässt. Das Löschen entfernt auch diesen Hardwareschlüssel. Selbst wenn also irgendwo auf dem Chip eine verschlossene Kopie des Datenbankschlüssels liegen bleibt, gibt es nichts mehr, was sie öffnen könnte.

Warum geht das auf dem Sperrbildschirm? Weil man einen Schlüssel nicht braucht, um ihn zu vernichten. Das Löschen öffnet die Datenbank nie, also kann Morse es ohne deine PIN. Das Einzige, was das Löschen braucht, während Morse gesperrt ist, ist die Erlaubnis, dein Konto auf unserem Server zu löschen. Dafür bewahrt Morse ein Lösch-Token auf, das auch im gesperrten Zustand lesbar ist. Es taugt nur zum Löschen des Kontos: Es kann nichts lesen und nichts senden.

Warum der Server zuerst dran ist: Die Handys deiner Kontakte erfahren nur über unseren Server, dass du weg bist. Also fragt Morse zuerst den Server, solange dein Handy noch verbunden ist, und wartet nur kurz. Ein langsames Netz hält das Löschen auf deinem Handy nie auf: Kommt keine Antwort, wird dein Handy trotzdem gelöscht.

Vor all dem stoppt Morse alles, was es im Hintergrund ausführt, damit mitten im Löschen nichts neue Daten schreibt. Dann kommt das Konto dran, dann der Schlüssel, dann die Dateien, dann die Prüfung.

Gespeicherte Fotos waren der knifflige Teil. Ein iPhone kann nicht „die Fotos, die diese App gespeichert hat“ auflisten, also führt Morse beim Speichern jedes Fotos eine eigene Liste und löscht sie anhand dieser Liste. iOS lässt dich das Löschen von Fotos bestätigen, so will es Apple, deshalb löscht Morse zuerst deine Chats, und diese Frage kann nichts aufhalten. Unter Android 10 und neuer löscht Morse die Fotos und Videos, die es in seinen eigenen Ordnern gespeichert hat.

Wenn du das ganze Bild willst, wie Morse deine Daten speichert und schützt: Es steht in unserem Sicherheits-Whitepaper (auf Englisch).

Löschen klingt einfach: alles löschen. Die meiste Arbeit steckte in den Stellen, an denen sich „alles“ versteckt, und in den Dingen, die dazwischenkommen können:

• Mitten im Löschen kann eine Nachricht ankommen. Auf dem iPhone kümmert sich ein kleiner, separater Prozess um Benachrichtigungen, der jederzeit aufwachen kann, und eine Nachricht, die er gespeichert hat, während die Datenbank vernichtet wurde, könnte überleben. Deshalb weist das Löschen diesen Prozess an, nicht mehr zu schreiben, bevor irgendetwas gelöscht wird.
• Ein Teil des Aufräumens läuft über die eigenen Dienste des Handys: das Entfernen der Zahl am App-Symbol, der Benachrichtigungen auf deinem Bildschirm und der Vorschläge, die dein Handy aus deinen Chats gelernt hat. Die lassen sich manchmal Zeit mit der Antwort. Keiner von ihnen darf das Löschen aufhalten: Jeder bekommt ein kurzes Zeitlimit, und das Löschen geht weiter.
• Eine Datei ist nicht weg, solange noch etwas auf sie verweist. Um Videos abzuspielen, legt die App zusätzliche Verknüpfungen zu entschlüsselten Dateien an. Hätte man nur den Medienordner gelöscht, wären diese Videos also auf dem Handy geblieben. Das Löschen leert stattdessen den ganzen temporären Ordner, egal was darin liegt.
• Um die Fotos zu löschen, die Morse gespeichert hat, braucht es auf dem iPhone vollen Zugriff auf deine Fotomediathek, um den Morse sonst nie bittet. Deshalb ist es ein eigener Schalter: Du gewährst diesen Zugriff nur, wenn du willst, dass auch diese Fotos gelöscht werden.

Das Löschen ist nur so gut wie seine Liste. Ein Messenger bewahrt Dinge an mehr Stellen auf, als du vielleicht denkst: die Datenbank, der Schlüsselspeicher des Handys, Einstellungen, Caches, temporäre Dateien, die Teile der App, die im Hintergrund laufen. Jede einzelne davon steht auf einer einzigen Liste, auf dem iPhone und unter Android, mit Tests.

Diese Liste kann nur dann hinterherhinken, wenn die App wächst, also haben wir das Vergessen schwer gemacht: Eine Regel in unserer Codebasis besagt, dass kein neuer Ort zum Speichern von Daten ausgeliefert wird, ohne dass er zum Löschen hinzugefügt wird, mit einem Test, in derselben Änderung.

Und das Löschen geht nie davon aus, dass es geklappt hat. Wenn es fertig ist, prüft es jeden Eintrag auf der Liste und nimmt sich alles, was noch da ist, noch einmal vor.

Auf unserer Seite entfernt das Löschen dein Konto und alles, was daran hängt: deine Schlüssel, Nachrichten, die noch darauf warten, dir zugestellt zu werden, deine Registrierung für Push-Benachrichtigungen, dein verschlüsseltes Profil und Profilbild, deine offenen Kontaktanfragen und deine Profile in Gruppen. Dann teilt der Server den Handys deiner Kontakte mit, dass du weg bist.

Der Eintrag zu deinem Abonnement im App Store bleibt bestehen, als benutzt markiert und nicht mehr mit deiner Morse ID verbunden, sodass er nicht auf ein neues Konto übertragen werden kann. Deine Nachrichten waren auf unserem Server ohnehin nie lesbar: Er reicht immer nur verschlüsselte Nachrichten weiter.

Besser, du kennst die Grenzen jetzt, als dass du sie im schlimmsten Moment entdeckst:

Es gibt kein Rückgängig. Das Konto ist weg, und du brauchst ein neues.

Die Notlöschung deckt den Moment davor ab. Eine Duress-PIN deckt den Moment selbst ab: eine zweite PIN für den Sperrbildschirm von Morse, die du eingeben kannst, wenn dich jemand zwingt, die App zu öffnen, und die alles löscht, statt sie zu öffnen. Sie kommt in einem künftigen Update.

Bis dahin halten zwei Dinge klein, was auf dem Spiel steht. Schalte verschwindende Nachrichten für die Chats ein, auf die es ankommt, damit von vornherein weniger auf deinem Handy liegt. Und Morse hat keine verknüpften Geräte, also kann niemand deine Nachrichten von einem anderen Handy aus lesen, indem er heimlich eins hinzufügt, während er deins in der Hand hat.