Eine umfassende kryptografische Analyse fand mehrere Angriffsvektoren gegen Threemas eigens entwickeltes ("bespoke") Protokoll; eine 2023 veröffentlichte öffentliche Kritik argumentierte, die App nutze ein selbst entwickeltes Protokoll entgegen bewährter Standards ("best-practice norms") — Threema entgegnete, der verwundbare Code stamme aus einem alten Protokoll. Eine fokussierte Analyse zeigte zudem praktische Integritätslücken (Timestamp- und Reihenfolge-Angriffe) sowie Backup-bezogene Seitenkanäle, die Schlüssel offenlegen können, sofern keine Gegenmaßnahmen ergriffen werden.
Klartext anzeigen
**Wichtige Korrektur zur bisherigen Blackstone-Einordnung von Threema:** Anders als Signal (dessen Protokoll extern, wissenschaftlich geprüft und offen ist, siehe F8/Batch 40) nutzt Threema ein selbst entwickeltes Protokoll, das von unabhängigen Kryptografie-Forschern kritisiert wurde. Threema selbst bestätigt teilweise die Kritik (verwundbarer Code aus altem Protokoll), weist eine generelle Unsicherheit aber zurück. Für Blackstones Ehrlichkeitsprinzip wichtig: Diese Nuance sollte im Masterplan-Kapitel zu Messengern ergänzt werden — Threema ist nicht per se unsicher, aber die Vertrauensbasis unterscheidet sich grundlegend von Signal (Community-geprüftes offenes Protokoll vs. Eigenentwicklung mit dokumentierten Schwachstellen).