Threema Sicherheit 2026: Signal und WhatsApp im Datenschutz-Check

Von den drei großen Messengern gibt Threema am wenigsten über dich preis: Anmeldung ohne Telefonnummer, Server in Zürich, einmalig rund 6 Euro. Die Threema Sicherheit ist mehrfach extern auditiert worden, zuletzt 2024 die Desktop-App. Signal ist die stärkste kostenlose Alternative und verschlüsselt seit Oktober 2025 als einziger der drei quantensicher, verlangt aber eine Handynummer. WhatsApp schützt die Inhalte technisch genauso gut, sammelt drumherum jedoch die meisten Daten.

Die drei Messenger auf einen Blick

Erst die harten Fakten nebeneinander. „Metadaten“ meint dabei alles rund um eine Nachricht: wer mit wem, wann und wie oft schreibt. Der Inhalt selbst ist bei allen dreien Ende-zu-Ende verschlüsselt, also nur auf den Geräten von Absender und Empfänger lesbar.

Kriterium	Signal	Threema	WhatsApp
Kosten	kostenlos	einmalig ca. 6 € (je nach App-Store und Land)	kostenlos
Anmeldung ohne Telefonnummer	nein	ja, per zufälliger Threema-ID	nein
Nummer vor Chatpartnern verbergen	ja, per Benutzername	entfällt	in Vorbereitung
Ende-zu-Ende standardmäßig	ja	ja	ja
Quantensichere Verschlüsselung	ja, seit Oktober 2025	in Entwicklung (IBM-Kooperation)	nein
Firmensitz / Server	USA (Stiftung)	Schweiz (Freienbach, Rechenzentrum Zürich)	Meta (USA/Irland)
Quelloffen	Client und Server	Clients inklusive Desktop	nein
Metadaten-Sammlung	minimal	gering	umfangreich
Mehrere Geräte	Handy plus verknüpfte Rechner und Tablets	nur Beta: Handy plus bis zu zwei Rechner	Handy plus bis zu vier verknüpfte Geräte
Werbung in der App	nein	nein	ja, in Status und Kanälen

Threema Sicherheit: Was die ETH-Analyse wirklich ergeben hat

Wer nach einer Threema-Sicherheitslücke sucht, landet fast immer bei derselben Geschichte. Im Januar 2023 veröffentlichte die Applied Cryptography Group der ETH Zürich eine Analyse des damaligen Threema-Protokolls und beschrieb sieben Angriffsmöglichkeiten in drei verschiedenen Bedrohungsmodellen – vom Wiederherstellen privater Schlüssel bis zum Vortäuschen eines Servers. Für die Einordnung wichtig: Diese Szenarien setzten sehr weitgehende Voraussetzungen voraus, etwa Kontrolle über den Server oder Zugriff auf das entsperrte Gerät. Ein Mitlesen von Chats „aus dem Netz heraus“ war nie darunter. Die Forscher hatten Threema im Oktober 2022 informiert und die üblichen 90 Tage bis zur Veröffentlichung gewartet; ein Großteil der Punkte war zum Zeitpunkt der Veröffentlichung bereits behoben.

Parallel arbeitete Threema am Nachfolger: Das Protokoll Ibex löste die kritisierte Fassung ab und brachte Perfect Forward Secrecy in die Chats. Perfect Forward Secrecy heißt, dass die Schlüssel laufend wechseln – wer einen aktuellen Schlüssel erbeutet, kann damit alte Nachrichten trotzdem nicht entschlüsseln. Im Juli 2023 legte ein Team der Universität Erlangen-Nürnberg einen formalen Sicherheitsbeweis für Ibex vor und fand dabei keine Protokollfehler. Die ETH-Gruppe selbst weist darauf hin, dass sie Ibex nicht im Detail geprüft hat.

Dazu kommen externe Audits der Berliner Firma Cure53: Im Oktober 2020 nahm sie die Mobil-Apps auseinander und bezeichnete die Code-Qualität als ungewöhnlich solide, im Januar 2024 folgte die neue Desktop-App – ohne kritische Befunde, nur mit kleineren Konfigurations- und Stabilitätsproblemen, die schnell geschlossen wurden. Ein Blick auf die Sicherheitsseite von Threema zeigt außerdem, dass nicht nur Nachrichten verschlüsselt werden, sondern auch Profilbilder, Gruppennamen und Mitgliederlisten.

Unterm Strich ist die Threema Sicherheit heute besser dokumentiert und häufiger unabhängig geprüft als bei den meisten Konkurrenten. Der Vorfall von 2023 ist kein Grund, die App zu meiden – er ist eher der Beleg dafür, dass externe Analysen funktionieren.

Gibt es 2026 eine neue Threema-Sicherheitslücke?

Stand August 2026 ist keine neue, öffentlich dokumentierte Schwachstelle im Threema-Protokoll bekannt. Die Suchtreffer zu „Threema Sicherheitslücke“ führen weiterhin auf die ETH-Analyse von Januar 2023 und deren zahlreiche Nacherzählungen – Meldungen, die inzwischen drei Jahre alt sind und ein Protokoll betreffen, das so nicht mehr im Einsatz ist.

Das größere Risiko liegt ohnehin woanders: bei veralteten App-Versionen, bei ungesicherten Backups und beim entsperrten Gerät selbst. Kein Protokoll der Welt hilft, wenn jemand dein Handy in der Hand hält und es keine Sperre hat. Wer Sicherheitsmeldungen ernst nimmt, prüft deshalb zuerst, ob Betriebssystem und Messenger auf dem aktuellen Stand sind, und erst danach, welche Schlagzeile gerade kursiert.

Verschlüsselung: Hier zieht Signal gerade davon

Ein hartnäckiger Irrtum lautet „WhatsApp ist unverschlüsselt“. Das stimmt nicht. WhatsApp nutzt seit 2016 dasselbe Signal-Protokoll wie Signal selbst und verschlüsselt Nachrichten, Anrufe und Dateien Ende-zu-Ende. Threema baut auf der Krypto-Bibliothek NaCl und dem Ibex-Protokoll auf und verschlüsselt ebenfalls jede Kommunikationsform standardmäßig.

Ein echter Unterschied ist seit Oktober 2025 dazugekommen: Signal hat seinen Double Ratchet um einen dritten, quantensicheren Schlüsselmechanismus erweitert (intern SPQR, öffentlich „Triple Ratchet“). Dahinter steckt ML-KEM-768, ein von der US-Normungsbehörde NIST standardisiertes Verfahren, das auch dann standhält, wenn irgendwann leistungsfähige Quantencomputer existieren. Der Zweck ist das Szenario „heute mitschneiden, später entschlüsseln“ – Datenverkehr, den jemand jetzt abgreift und aufhebt.

Threema hat dieses Rennen aufgenommen, ist aber später dran: Ende Februar 2026 kündigte das Unternehmen eine Forschungskooperation mit IBM Research an, um ebenfalls ML-KEM in den Messenger zu bringen. Einen Termin für die fertige Umsetzung gibt es bislang nicht. WhatsApp hat zu Post-Quantum-Verfahren im Messenger nichts angekündigt. Für den Alltag ist das kein akuter Nachteil – für Menschen mit langem Schutzbedarf, etwa in Recherche oder Beratung, ist es aber ein Argument.

Metadaten: der eigentliche Datenschutz-Unterschied

Verschlüsselung schützt, was du schreibst. Metadaten verraten, dass und mit wem du schreibst – daraus lässt sich ein Beziehungsprofil bauen, ohne je eine Nachricht zu lesen. Genau hier trennen sich die drei:

• Signal speichert nach eigenen Angaben pro Konto praktisch nur das Registrierungsdatum und den letzten Verbindungstag – keine Kontaktlisten, keinen sozialen Graphen. Das Verfahren „Sealed Sender“ verbirgt zusätzlich, wer der Absender einer Nachricht ist.
• Threema kommt ganz ohne verknüpfte Identität aus. Telefonnummer und E-Mail sind optional; hinterlegst du sie für den Kontaktabgleich, werden sie als Hashwert gespeichert, also als nicht rückrechenbare Prüfsumme. Die Server stehen in einem Rechenzentrum in Zürich.
• WhatsApp verarbeitet laut eigener Datenschutzerklärung Geräteinfos, Verbindungsdaten und grobe Standortangaben. Diese Metadaten gehören zum Meta-Ökosystem – der Punkt, an dem der Messenger bei Datenschützern durchfällt.

Ohne Telefonnummer chatten: Threema-ID gegen Signal-Benutzername

Threema erzeugt bei der Installation eine zufällige, achtstellige Threema-ID. Du kannst den Messenger vollständig anonym nutzen – ohne Nummer, ohne E-Mail-Adresse. Das ist bis heute der klarste Vorteil im Vergleich.

Signal hat seit Februar 2024 nachgezogen, aber nur halb: Benutzernamen erlauben die Kontaktaufnahme ohne Nummernaustausch, und die Telefonnummer ist für Chatpartner standardmäßig nicht mehr sichtbar. Zur Registrierung brauchst du trotzdem eine Mobilfunknummer, an die der Freischaltcode per SMS geht. WhatsApp arbeitet ebenfalls an Nutzernamen, flächendeckend ausgerollt ist die Funktion für Privatnutzer noch nicht – die Nummer bleibt dort vorerst dein Ausweis.

Praktische Konsequenz: Wer seine Nummer vor Fremden verbergen will, kommt mit Signal gut zurecht. Wer sie dem Anbieter gar nicht erst geben will, braucht Threema.

Threema Nachteile: was du vor dem Kauf wissen solltest

Der Messenger ist gut, aber nicht in jedem Punkt die bequemste Wahl. Fünf Dinge, die vor dem Kauf zählen:

• Er kostet Geld. Rund 6 Euro einmalig, je nach App-Store und Land unterschiedlich. Keine Abo-Kosten, aber eine Hürde, wenn du Freunde und Familie überzeugen willst.
• Die Reichweite ist klein. Ein Messenger ist nur so nützlich wie die Kontakte darin. Signal ist in Deutschland die realistischere WhatsApp-Alternative, Threema bleibt Nischenlösung – auch weil der Einstieg Geld kostet.
• Mehrere Geräte gehen nur eingeschränkt. Die Multi-Device-Funktion läuft über Threema 2.0 für Desktop und ist eine Beta: Handy plus maximal zwei Rechner, Tablets sind angekündigt, aber nicht fertig.
• Noch keine quantensichere Verschlüsselung. Die IBM-Kooperation steht am Anfang, während Signal die Umstellung bereits ausrollt.
• Neuer Eigentümer. Im Januar 2026 hat der Frankfurter Finanzinvestor Comitis Capital die Threema Holding übernommen. Firmensitz, Rechtsraum und Serverstandort bleiben die Schweiz, und am Geschäftsmodell ohne Werbung hat sich nichts geändert – aber wer Datenschutz kauft, kauft auch die Absichten des Eigentümers. Das ist ein Punkt, den man im Blick behält, kein Grund zur Panik.

Ehrliche Gegenrechnung: Das Bezahlmodell ist zugleich das stärkste Argument. Ein Messenger, den du bezahlst, muss dich nicht als Produkt verkaufen.

Serverstandort, CLOUD Act und Chatkontrolle

Wo ein Anbieter sitzt, entscheidet, welche Behörde theoretisch Zugriff verlangen kann. Signal unterliegt als US-Stiftung dem amerikanischen CLOUD Act, der Herausgabeverlangen erlaubt – weil dort kaum etwas gespeichert ist, läuft das weitgehend ins Leere. WhatsApp gehört ebenfalls einem US-Konzern, hat aber deutlich mehr herauszugeben. Threema sitzt in der Schweiz, unterliegt dem Schweizer Datenschutzgesetz und der DSGVO; die Schweizer Armee hat ihren Angehörigen im Dienst ausdrücklich wegen des CLOUD Act ausschließlich Threema verordnet.

Auf EU-Ebene läuft parallel die Debatte um die sogenannte Chatkontrolle, und die hatte 2026 zwei Etappen. Die alte, freiwillige Ausnahme von der ePrivacy-Richtlinie – sie erlaubt Anbietern, unverschlüsselte Inhalte auf Missbrauchsdarstellungen zu scannen – lief zunächst am 3. April 2026 aus. Am 9. Juli 2026 stimmte das EU-Parlament dann doch für eine Verlängerung bis 2028; der Versuch, sie zu blockieren, verfehlte mit 314 zu 276 Stimmen die nötige absolute Mehrheit. Ein Änderungsantrag, der Ende-zu-Ende-verschlüsselte Dienste wie Signal, Threema und WhatsApp ausdrücklich ausnimmt, wurde angenommen. Details zum Verfahren stehen bei netzpolitik.org.

Die dauerhafte Regelung – die CSA-Verordnung, im Volksmund Chatkontrolle 2.0 – hängt weiter im Trilog zwischen Kommission, Rat und Parlament. Nach dem aktuellen Kompromissstand sollen verschlüsselte Inhalte ausgenommen bleiben, womit ein verpflichtendes Scannen direkt auf dem Gerät (Client-Side-Scanning) vom Tisch wäre. Entschieden ist das nicht. Für deine Messenger-Wahl heißt das im Moment: Die Ende-zu-Ende-Verschlüsselung aller drei Apps steht rechtlich nicht zur Disposition, die Debatte darüber aber schon.

Werbung und KI: Was sich bei WhatsApp 2026 geändert hat

WhatsApp bleibt technisch verschlüsselt, wird aber wirtschaftlich enger an Meta gebunden. Nach längerer Abstimmung mit der irischen Datenschutzbehörde sind Anzeigen im Updates-Tab – also in Status und Kanälen – seit Anfang 2026 auch in der EU angelaufen. Ausgespielt werden sie über grobe Signale wie ungefähren Standort, Gerätesprache, abonnierte Kanäle und, falls du dein Konto verknüpft hast, Interessenkategorien aus Facebook und Instagram. Private Chats bleiben werbefrei und dienen laut Meta nicht als Datenquelle.

Dazu kommt die KI-Assistenz. Meta AI liest keine Unterhaltungen mit, an denen sie nicht beteiligt ist; sobald du sie aber in einem Chat ansprichst, verlässt dieser Teil der Nachricht die Ende-zu-Ende-Strecke und wird auf Servern verarbeitet. Seit Mai 2026 öffnet Meta den Messenger unter dem Druck des Digital Markets Act auch für KI-Assistenten anderer Anbieter. Für die Privatsphäre gilt dieselbe Regel wie vorher: Was du einem Bot schreibst, ist nicht mehr nur zwischen dir und deinem Gegenüber. Wer das nicht will, spricht die Assistenten schlicht nicht an und prüft in den Chat-Einstellungen, welche KI-Funktionen aktiv sind.

Backups: die stille Schwachstelle

Ende-zu-Ende-Verschlüsselung nützt wenig, wenn der Chatverlauf offen in der Cloud liegt. WhatsApp bietet seit 2021 verschlüsselte Backups für Google Drive und iCloud an – aktivieren musst du sie selbst, sonst landet die Sicherung beim Cloud-Anbieter, ohne dass dein Schlüssel sie schützt. Threema und Signal setzen auf lokale beziehungsweise passwortgeschützte Sicherungen.

Bei Threema hängt zusätzlich alles an der ID-Sicherung, die du vor einem Gerätewechsel notieren solltest. Ohne sie ist die ID verloren – und mit ihr die Erreichbarkeit für alle Kontakte, die dich nur über diese ID kennen. Das ist der häufigste selbstverschuldete Datenverlust bei diesem Messenger und ärgerlicherweise der, der sich in zwei Minuten verhindern lässt.

Drei Einstellungen, die im Alltag wirklich zählen

1. Updates zeitnah einspielen. Die 2023 diskutierten Schwächen sind längst behoben – aber nur in aktuellen App-Versionen. Das gilt für alle drei Messenger gleichermaßen und ist der größte Hebel für die Threema Sicherheit im Alltag.
2. Sicherung und Zugangsschutz prüfen. Bei Threema die ID-Sicherung notieren, bei Signal die PIN merken, bei WhatsApp das verschlüsselte Backup einschalten. Dazu eine Bildschirmsperre, die den Namen verdient.
3. Kontaktabgleich bewusst entscheiden. Threema fragt beim Start, ob es dein Adressbuch abgleichen darf – „nein“ ist die datensparsamere Antwort und kostet dich nur etwas Komfort beim Finden von Kontakten.

Welcher Messenger für wen?

• Maximale Datensparsamkeit, Geld egal: Threema – anonym nutzbar, Schweizer Server, einmalig rund 6 Euro.
• Bester Kompromiss aus Datenschutz und Reichweite, kostenlos: Signal – quelloffen, kaum Metadaten, Nummer per Benutzername verbergbar und als einziger bereits quantensicher.
• Alle Kontakte sind ohnehin dort: WhatsApp – die Inhalte sind verschlüsselt; wer bleibt, aktiviert verschlüsselte Backups und geht die Datenfreigaben in den Einstellungen einmal komplett durch.

Der entscheidende Faktor ist selten die perfekte App, sondern ob deine Gesprächspartner mitkommen. Zwei Messenger parallel zu betreiben ist deshalb kein Widerspruch, sondern der übliche Weg: WhatsApp für den Verein und die Nachbarschaft, Signal oder Threema für alles, was dich wirklich betrifft.

Häufige Fragen

Wie sicher ist Threema?

Threema verschlüsselt Nachrichten, Anrufe, Profilbilder und Gruppendaten Ende-zu-Ende, läuft ohne Telefonnummer und speichert kaum Metadaten. Das Ibex-Protokoll erhielt 2023 einen formalen Sicherheitsbeweis, die Desktop-App prüfte Cure53 im Januar 2024 ohne kritische Funde.

Gibt es 2026 eine aktuelle Threema-Sicherheitslücke?

Nein. Die bekannten Lücken stammen aus der ETH-Analyse vom Januar 2023 und betrafen das alte Protokoll; sie sind mit dem Ibex-Update behoben. Eine neue, öffentlich dokumentierte Protokollschwachstelle ist nicht bekannt.

Was sind die Nachteile von Threema?

Einmalpreis von rund 6 Euro, kleine Nutzerbasis, Multi-Device nur als Beta mit maximal zwei Rechnern und noch keine quantensichere Verschlüsselung. Seit Januar 2026 gehört Threema zudem einem Frankfurter Finanzinvestor.

Signal oder Threema – was ist besser?

Threema, wenn du dem Anbieter deine Telefonnummer gar nicht erst geben willst: anonyme ID, Schweizer Server, einmalig rund 6 Euro. Signal, wenn kostenlos, größere Reichweite und die seit Oktober 2025 quantensichere Verschlüsselung wichtiger sind.

Ist WhatsApp wirklich unverschlüsselt?

Nein. WhatsApp verschlüsselt Inhalte seit 2016 mit dem Signal-Protokoll Ende-zu-Ende. Das Datenschutzproblem sind die Metadaten – wer wann mit wem schreibt – sowie Werbung und KI-Funktionen rund um den Messenger.