Metadaten
Welche Metadaten können rund um eine verschlüsselte Nachricht noch existieren?
Was Verschlüsselung schützt und was rund um einen Collogue-Link weiterhin sichtbar sein kann.
Veröffentlicht: 27. April 2026
Grenzen der aktuellen Implementierung
Der aktuelle Client verschlüsselt den Text im Browser und legt den verschlüsselten Inhalt in der URL ab. Das separat geteilte Passwort gehört nicht zum Link. Es gibt keinen Anwendungsserver zum Speichern, Abrufen, Löschen oder als Einmalansicht für Nachrichten.
Weiterer Kontext
Direkte Antwort: Verschlüsselung kann den Nachrichteninhalt schützen, ohne jedes Ereignis in seinem Umfeld zu verbergen. In der aktuellen clientseitigen Implementierung erzeugt die App keine Nachrichten-IDs, Ablaufangaben oder Zugriffsereignisse. Netzwerkinfrastruktur außerhalb dieses Codes kann trotzdem gewöhnliche Verbindungsmetadaten verarbeiten. Inhaltsvertraulichkeit und Anonymität sind unterschiedliche Eigenschaften.
Eine verschlüsselte Nachricht kann unlesbar und dennoch als Silhouette sichtbar sein.
Ein Beobachter weiß möglicherweise nicht, was Alice an Bob gesendet hat. Er kann trotzdem wissen, dass um 14:03 Uhr eine Nachricht erstellt wurde, dass ihre verschlüsselte Nutzlast 840 Byte groß war, dass die Anfrage aus einem bestimmten Netzwerk kam und dass zehn Minuten später auf den Link zugegriffen wurde.
Ob diese Fakten relevant sind, hängt vom Bedrohungsmodell ab.
Inhalt ist die Nachricht selbst.
Nicht jedes System sammelt jeden dieser Werte.
Eine geeignete Verschlüsselung sollte den Chiffretext ohne den Schlüssel rechnerisch unbrauchbar machen, um daraus den Klartext zu lernen.
- genaue Wörter;
- Passwörter;
- Tokenwerte;
- persönliche Notizen;
- strukturierte Inhalte.
- das Vorhandensein von Chiffretext;
- seine ungefähre Größe;
- der Zeitpunkt des Hochladens;
- der Zeitpunkt der Anfrage;
- die Netzwerkteilnehmer, von denen Anfragen ausgehen.
Kryptografische Systeme schützen die Bedeutung oft leichter als die Umstände.
- die Verbindung des Benutzers;
- ein VPN;
- ein Unternehmens-Gateway;
- ein Mobilfunkanbieter;
- ein Reverse-Proxy;
- ein Sicherheits-Scanner;
- ein gemeinsam genutztes Netzwerk.
Das ist keine perfekte Identität, aber weiterhin möglicherweise sensible Metadaten.
Ermitteln Sie, ob Collogue oder seine Infrastruktur diese Daten speichert, wie lange und zu welchem Zweck.
Nennen Sie Collogue nicht anonym, nur weil kein Konto erforderlich ist.
Eine undurchsichtige Kennung ist einer Kennung vorzuziehen, die Benutzer- oder Inhaltsinformationen enthält. Sie bleibt ein verknüpfbares Ereignismerkmal, wenn sie in mehreren Protokollen auftaucht.
Verschlüsselung verbirgt die ungefähre Länge des Klartexts normalerweise nicht, sofern keine Auffüllung hinzugefügt wird.
Für die meisten kurzen Geheimnisse ist das nicht das Hauptrisiko. In manchen Kontexten können Größenmuster den Nachrichtentyp oder eine Aktivität verraten.
Behaupten Sie nicht, dass Collogue die Größe verbirgt, solange eine Auffüllung nicht überprüft wurde.
Zeitstempel für Erstellung und Ablauf können für die Durchsetzung des Lebenszyklus erforderlich sein.
Sie können zugleich ein Aktivitätsmuster offenlegen.
Analyse, Fehlerberichte, CDNs, Schriftarten, Einbettungen und Support-Widgets können Anfragemetadaten erhalten.
- die Erstellungsseite;
- die Ergebnisseite;
- die Anzeigeseite;
- der Zustand mit entschlüsselter Nachricht;
- die Seiten „Wie Datenschutz funktioniert“.
Datenschutzsensible Routen sollten unnötige externe Anfragen vermeiden.
Wenn sensible Kennungen oder Schlüssel in URLs erscheinen, erfordern Navigation und das Laden von Ressourcen eine sorgfältige Referrer-Policy.
- ob der Schlüssel in einem Fragment, einer Abfrage oder einem Pfad liegt;
- ob auf Nachrichtenseiten Ressourcen Dritter geladen werden;
- der
Referrer-Policy-Header; - Attribute für externe Links;
- die Erfassung von URLs durch Analysewerkzeuge.
Fragmente werden normalerweise nicht in HTTP-Anfragen gesendet, können aber durch Seitenskripte und Benutzeraktionen trotzdem offengelegt werden.
Kein einzelnes Wort wie „privat“ beantwortet all diese Fragen.
Ein transparentes Angebot benennt, welche Ebene es schützt.
- Verwenden Sie ein vertrauenswürdiges Gerät.
- Vermeiden Sie für besonders sensible Austausche öffentliche oder überwachte Umgebungen.
- Verwenden Sie temporäre Zugangsdaten.
- Fügen Sie keinen unnötigen Kontext hinzu.
- Prüfen Sie, ob bereits das Vorhandensein und der Zeitpunkt des Austauschs sensibel sind.
- Nutzen Sie ein zugelassenes Anonymitätssystem, wenn Anonymität – nicht nur Inhaltsvertraulichkeit – erforderlich ist.
- Befolgen Sie bei regulierten Daten die Organisationsrichtlinien.
Collogue sollte sich nicht als Anonymitätsnetzwerk darstellen, solange es diese Eigenschaften nicht tatsächlich bietet.
Es sollte den genauen Klartext bei geeigneter Verschlüsselung nicht preisgeben, kann aber eine ungefähre Länge oder ein Nachrichtenmuster verraten.
Collogue kann Nachrichteninhalte innerhalb seines überprüften Modells schützen, darf aber nicht mit einem Anonymitätsnetzwerk verwechselt werden.