Sicherheit
Wie leisefunk deine Nachrichten schützt
Hier steht, was die App technisch tut, damit niemand mitliest, was auf deinem Handy und auf unserem Server liegt und was wir noch nicht können. Alles stammt aus unserem eigenen Quellcode und unseren Tests. Eine Prüfung durch Dritte gab es bisher nicht, deshalb steht das Wichtigste dazu gleich unten bei den Grenzen.
Ende-zu-Ende verschlüsselt
Signal-Protokoll mit Post-Quanten-Schlüsselaustausch. Nur du und dein Gegenüber können Nachrichten lesen.
Ein Server, der wenig weiß
Zugestellte Nachrichten werden sofort gelöscht. Ein automatischer Test schlägt an, sobald jemand neue Daten speichern will.
Verschlüsselt auf dem Handy
Datenbank mit SQLCipher, Anhänge einzeln mit AES-256 verschlüsselt, keine Cloud-Sicherung durch Android.
Anrufe nur über unseren Server
Dein Gegenüber sieht nie deine IP-Adresse. Kein Google-Server vermittelt das Gespräch.
Schlüsselwechsel fällt auf
Ändert sich der Schlüssel eines Kontakts, stoppt die App und fragt nach. Dazu gibt es die Sicherheitsnummer zum Vergleichen.
Keine Telefonnummer
Kein Adressbuchabgleich, keine E-Mail-Adresse. Du meldest dich mit einem Nutzernamen an.
Nachrichten und Verschlüsselung
leisefunk nutzt das Signal-Protokoll in der Bibliothek libsignal. Sie gehört zu den am besten untersuchten Verschlüsselungs-Bibliotheken für Messenger. Das Protokoll ist nicht von uns, die Anbindung in der App schon.
| Verfahren | Signal-Protokoll (libsignal): Double Ratchet, X25519 und Kyber-1024 im Schlüsselaustausch (PQXDH). |
|---|---|
| Einmalschlüssel | Die App hinterlegt Einmal-Schlüssel und einen signierten Kyber-Schlüssel. Ein bereits benutzter Reserve-Schlüssel wird nicht noch einmal akzeptiert (Schutz gegen Wiederholung). |
| Schlüsselwechsel | Ein neuer Schlüssel bei einem Kontakt wird nie stillschweigend übernommen. Senden und Empfangen pausieren, bis du bestätigst. Das gilt auch in Gruppen. |
| Sicherheitsnummer | 60 Stellen, für beide Seiten gleich. Wer sie vergleicht, schließt einen Angriff beim ersten Kennenlernen aus. |
| Anhänge | Fotos, Videos und Dateien werden auf deinem Handy mit AES-256-GCM verschlüsselt. Der Schlüssel steht nur in der verschlüsselten Nachricht, der Server sieht Chiffretext unter einer Zufallsnummer. |
| Gruppen | Bis 20 Mitglieder. Jede Nachricht wird für jedes Mitglied einzeln verschlüsselt, es gibt keinen gemeinsamen Gruppenschlüssel. Neue Mitglieder sehen keinen alten Verlauf. |
Auf deinem Handy
| Datenbank | Alle Nachrichten, Kontakte und die Schlüssel der Verschlüsselung liegen in einer SQLCipher-Datenbank. Ihr Schlüssel besteht aus 32 Zufallsbytes und wird vom Android-Keystore deines Handys geschützt. |
|---|---|
| Keine Cloud-Kopie | Android darf von leisefunk keine Sicherung in die Cloud machen (allowBackup ist aus). |
| App-Sperre | PIN und Fingerabdruck. Die App sperrt sich, wenn du sie verlässt. |
| Bildschirmfotos | Standardmäßig gesperrt, auch das Vorschaubild in der App-Übersicht ist ausgeblendet. Du kannst es in den Einstellungen erlauben. Ein Foto vom Bildschirm mit einem zweiten Gerät verhindert das nicht. |
| Transport | Nur verschlüsselte Verbindungen (TLS), unverschlüsselter Verkehr ist in der App ausgeschaltet. |
Eine ehrliche Einschränkung: Die PIN sperrt die Oberfläche der App, sie ist nicht der Schlüssel der Datenbank. Wer dein entsperrtes Handy oder ein aufgebrochenes Gerät in der Hand hat, ist mit der PIN allein nicht aufgehalten. Eine Sperre, die auch die Datenbank verschlüsselt, ist bisher nur eine Idee.
Auf dem Server
| Nachrichten | Verschlüsselt, nur bis zur Zustellung. Danach sofort gelöscht, unzugestellt höchstens 30 Tage. |
|---|---|
| Anmeldung | Dein Anmelde-Token wird auf dem Server nur als Prüfsumme (SHA-256) gespeichert, nicht im Klartext. |
| Wiederherstellungsschlüssel | 25 Zeichen (125 Bit Zufall), auf dem Server nur als Prüfsumme. Fehlversuche werden gezählt. |
| Datensparsamkeit prüfbar | Ein automatischer Test vergleicht die Datenbank mit einer Liste erlaubter Tabellen und Spalten. Kommt etwas Neues dazu, schlägt er an und die Datenschutzerklärung muss mit angepasst werden. |
| Standort | Server in Deutschland (Hosting bei manitu). |
Anrufe
| Gesprächsweg | Immer über den eigenen Vermittlungsserver (coturn). Dein Gegenüber sieht deine IP-Adresse nie, und es werden keine Dienste von Google für das Gespräch genutzt. |
|---|---|
| Verbindungsaufbau | Angebot und Antwort laufen verschlüsselt über die vorhandene Chat-Verschlüsselung. Der Fingerabdruck der Gesprächsverschlüsselung steht darin, der Server kann sich nicht dazwischenschalten. |
| Was der Server speichert | Nichts. Ein Anruf für jemanden ohne Verbindung bleibt höchstens 45 Sekunden im Arbeitsspeicher. Zugangsdaten für den Vermittlungsserver gelten eine Stunde. |
| Missbrauchsschutz | Nur bestätigte Kontakte können anrufen, blockierte nicht. Du kannst Anrufe in den Einstellungen ganz ausschalten. |
Was der Server trotzdem sieht
Ein Messenger kann ohne Zustellung nicht arbeiten. Darum sieht der Server wer wem schreibt, deinen Nutzernamen, deine öffentlichen Schlüssel und bei Gruppen wer Mitglied ist (damit Größe, Zustimmung und Ausschluss durchgesetzt werden können). Gruppenname, Bild und Inhalte bleiben verschlüsselt. Push-Benachrichtigungen laufen über Google, dabei geht nur ein leeres Weck-Signal ohne Absender, Text oder Anhang durch.
Alle Einzelheiten, auch die unbequemen, stehen in der Datenschutzerklärung.
Wo die Grenzen liegen
- Kein unabhängiges Audit. Kein externes Unternehmen hat leisefunk bisher geprüft. Ein Audit ist eine Überlegung für später, entschieden ist es nicht.
- Quellcode nicht öffentlich. Du kannst nicht selbst nachlesen, was die App tut. Die Prüfsumme der App-Datei steht im Download-Bereich, damit du wenigstens erkennst, ob die Datei von uns stammt.
- Ein Gerät pro Konto. Es gibt keine Anmeldung auf mehreren Geräten.
- Metadaten sind sichtbar (siehe oben): wer wem schreibt und wer in welcher Gruppe ist.
- Erstes Kennenlernen: Beim ersten Kontakt vertraut die App dem Schlüssel, den sie bekommt. Erst der Vergleich der Sicherheitsnummer macht das sicher.
- Testversion: leisefunk läuft nur auf Android und ist in der Testphase.
Was noch kommt
- Eine Wartezeit nach mehreren falschen PIN-Eingaben.
- Ein verschlüsseltes Backup des Chatverlaufs, das du selbst ablegst.
- Als Idee: eine optionale Passphrase, die auch die Datenbank schützt.
Das sind Vorhaben, keine Zusagen mit Termin. Die ersten beiden sind schon in Arbeit. Sobald etwas davon in der App ist, steht es hier und in der Datenschutzerklärung.
Sicherheitslücke gefunden?
Schreib uns bitte an info@leisefunk.de. Wir lesen jede Meldung und antworten.
Kostenlos ausprobieren · Für Android 8 oder neuer
Häufige Fragen
Kann der Betreiber meine Nachrichten lesen?
Nein. Nachrichten, Anhänge und Anrufsignale sind Ende-zu-Ende-verschlüsselt. Der Server sieht nur, wer wem schreibt, und kann den Inhalt nicht lesen.
Welche Verschlüsselung nutzt leisefunk?
Das Signal-Protokoll mit der Bibliothek libsignal: Double Ratchet und ein Schlüsselaustausch mit Post-Quanten-Anteil (PQXDH mit Kyber-1024).
Wurde leisefunk von Dritten geprüft?
Nein, bisher nicht. Es gibt weder ein unabhängiges Sicherheitsaudit noch veröffentlichten Quellcode. Die Aussagen auf dieser Seite beruhen auf unserem eigenen Quellcode und eigenen Tests.
Was sieht der Server trotz Verschlüsselung?
Wer wem schreibt (für die Zustellung), Gruppenzugehörigkeiten, deinen Nutzernamen und öffentliche Schlüssel. Zugestelltes wird sofort gelöscht, Unzugestelltes spätestens nach 30 Tagen.
Wie erkenne ich, ob ein Kontakt wirklich er selbst ist?
Vergleiche die 60-stellige Sicherheitsnummer im Chat, am besten persönlich oder über einen anderen Weg. Wechselt der Schlüssel eines Kontakts, hält die App das Senden an, bis du es bestätigst.
Stand: 3. November 2026, bezogen auf Version 0.17.6.