Signal (Messenger)

Verschlüsselung

Die Anwendung verschlüsselt automatisch Unterhaltungen, die mit anderen registrierten Signal-Benutzern geführt werden. Signal ermöglicht das verschlüsselte Senden von Textnachrichten, Dokumenten, Fotos und Kontaktinformation in Einzel- oder Gruppenchats, sowie Gruppentelefonate mit zuschaltbarer Videofunktion mit bis zu 40 Teilnehmern.^[26] Die Verschlüsselung bietet folgende Eigenschaften:

• Ende-zu-Ende-Verschlüsselung bedeutet, dass auch der Betreiber keinen Zugriff auf den Inhalt von Nachrichten hat, die mit Signal versendet werden.
• Perfect Forward Secrecy bedeutet, dass auch bei Bekanntwerden des geheimen persönlichen Langzeitschlüssels eines Benutzers zurückliegende Nachrichten nicht entschlüsselt werden können. Dies liegt daran, dass für jede Nachricht aus dem Langzeitschlüssel ein eigener temporärer Schlüssel erzeugt wird, der nach Übermittlung verworfen wird.^[27]
• Authentifizierung mittels abfotografierbarer Schlüssel-Fingerabdrücke erlaubt den Benutzern zu verifizieren, dass sie wirklich nur mit derjenigen Person kommunizieren, die für den Empfang der Nachrichten vorgesehen ist. Man-in-the-Middle-Angriffe können hierdurch ausgeschlossen werden.^[28][29]
• Glaubhafte Abstreitbarkeit schützt Benutzer (bspw. in repressiven Regimen) davor, dass ihnen eine bestimmte Nachricht zugeschrieben werden kann. Da die Urheberschaft von Nachrichten nicht nachvollziehbar ist, bleibt also der Quellenschutz gewahrt.^[30]
• Verschlüsselte Benutzerprofile erlauben es, Benutzerfotos und Namen zwischen den Benutzern zu übertragen, ohne dass der Betreiber diese einsehen kann.^[31]
• Einmalig anzeigbare Medien (englisch View-Once) erlaubt es Mediendateien zu versenden, die nach einmaligem Ansehen aus der Unterhaltung entfernt werden. Diese Funktion führte Signal in seiner Beta-Version 2019 ein.^[32]
• Post-Quanten-Kryptographie: Im September 2023 wurde das Signal-Protokoll durch die Integration des quantensicheren Schlüsselkapselungsverfahren Kyber gegen rückwirkende Attacken durch Quantencomputer abgesichert.^[33]

Neben diesen Maßnahmen zur Transportverschlüsselung werden von Signal sowohl in der iOS- als auch in der Android-Variante die auf dem Smartphone abgelegten Daten durch SQLCipher verschlüsselt.^[34][35] Die Verschlüsselung der lokal gespeicherten Chatverläufe wird nicht für die Desktop-Version angeboten.^[36][37]

Auf den Servern des Betreibers werden Kontoeinstellungen, Kontakte und blockierte Kontakte nicht im Klartext gespeichert, sondern mit einer PIN verschlüsselt, die nur dem Nutzer bekannt ist.^[38][39] Bei Gruppenchats sind die Mitgliederliste und der Admin-Status der Mitglieder sowie andere Gruppendetails als verschlüsselte Liste auf den Servern gespeichert (sogenannte Gruppen neuen Typs).^[40][41]

Sicherheit

Der vollständige Quellcode der Signal-Clients und des Servers ist öffentlich auf GitHub zugänglich.^[4][5][7] Ausgenommen hiervon ist lediglich eine Komponente in der Spam-Erkennung.^[42] Diese Zugänglichkeit ist nur bei sehr wenigen Anwendungen in dieser Sparte der Fall und erlaubt interessierten Personen und Organisationen, den Code auf Schwachstellen zu untersuchen und dessen sichere Funktionalität zu verifizieren. Fortgeschrittene Benutzer haben auch die Möglichkeit, eigene Versionen von Signal für Android zu kompilieren und diese mit der durch den Betreiber verteilten Version zu vergleichen (reproducible builds).^[43]

Im Oktober 2014 wurde von Wissenschaftlern der Ruhr-Universität Bochum eine Analyse des damals noch TextSecure-Protokoll genannten Protokolls veröffentlicht: Neben einigen anderen Punkten entdeckten sie auch eine bisher unbekannte Schwachstelle (key-share attack), kamen jedoch insgesamt zu dem Ergebnis, dass das Protokoll sicher sei.^[44][45]

Im Oktober 2016 analysierte eine Forschergruppe der University of Oxford, der Queensland University of Technology und der McMaster University das Signal-Protokoll formal.^[46] Nach eigener Aussage ist es die erste akademische Analyse dieser Art für das Produkt. Laut Forschungsergebnis ist das Signal-Protokoll sicher und erfüllt die Anforderungen wie Forward Secrecy.^[22]

Im Januar 2018 entdeckten Sicherheitsforscher der Ruhr-Universität Bochum in einer weiteren Analyse unter anderem eine theoretische Lücke in der Konzeption von Gruppenchats. So kann ein Angreifer, der die Gruppen-ID und Telefonnummer eines Gruppenteilnehmers kennt, sich selbst dieser Gruppe hinzufügen und die eigentlich verschlüsselten Nachrichten lesen.^[47][48] Allerdings würden alle anderen Gruppenmitglieder über den neu Hinzugestoßenen benachrichtigt.^[49]

Für die Benutzung von Signal ist – wie bei der Mehrzahl der Konkurrenzprodukte – eine Telefonnummer erforderlich. Die Macher von Signal sind sich darüber im Klaren, dass hierdurch ein Teil der Anonymität verloren geht. Laut ihnen wird dieser Nachteil dadurch aufgewogen, dass sich Benutzer durch ihre Telefonnummern leicht und komfortabel gegenseitig in der App als Kontakte finden können.^[50] Um trotzdem Anonymität zu gewährleisten, werden von Signal niemals Telefonnummern im Klartext an den Server zum Abgleich geschickt. Vielmehr werden die Nummern zunächst auf dem Gerät des Nutzers verschlüsselt und dann zum Abgleich in einen verschlüsselten, für Dritte nicht zugänglichen Arbeitsspeicher der Server übermittelt.^[51] Letztlich ist es das Ziel der Betreiber, selbst keine Kenntnis davon zu haben, wer mit wem wann worüber kommuniziert.^[50]

Seit 2017 lässt sich Signal auch ohne Googles Push-Dienst nutzen, so dass Google nicht mehr sieht, wann ein Nutzer eine Nachricht erhält.^[52]

Zwar ist der Code für die Serverplattform öffentlich zugänglich, was eine Föderierbarkeit grundsätzlich möglich machen würde, jedoch haben sich die Betreiber dagegen ausgesprochen.^[53] Föderierung nehme ihnen die Flexibilität zu schnellen und umfassenden Anpassungen der Plattform und führe somit zu einer starken Entwicklungsverlangsamung, wie sie sich bei E-Mail und XMPP beobachten lässt.^[54] Zwar ist es jedermann möglich, einen eigenen Signal-Server und damit einen Signal-Dienst zu betreiben, deren Nutzer könnten jedoch nicht mit jenen des offiziellen Dienstes kommunizieren.

Die Abschaffung der SMS- und MMS-Verschlüsselung ab Version 2.7 im Frühjahr 2015 wurde von verschiedenen Seiten kritisiert, die diese Funktion schätzten.^[55]

Die Möglichkeit Signal unter Android zum Versand von SMS zu nutzen, wurde 2023 vollständig entfernt. Als Gründe wurden genannt, dass der Versand von SMS grundsäztlich als nicht sicher erachtet wird und die Funktion zudem verwirrend für Nutzer sei sowie Kosten verursachen kann, wenn bei der Nutzung übersehen wird, dass der Versand einer Nachricht als SMS anstatt einer Signal-Nachricht erfolgt - üblicherweise, wenn auf der Empfangsseite nicht ebenfalls die Signal App installiert ist.^[56]

Nach jahrelanger Entwicklung wurde im Februar in der Beta-Version, im März in den öffentlichen Versionen die Funktion eingeführt, sich mit anderen Nutzern nicht nur über die Telefonnummer, sondern auch über einen Benutzernamen verknüpfen zu können. Dieser kann frei mit kleinen Einschränkungen ausgewählt und auch geändert werden, an den Benutzernamen wird nach einem Punkt automatisch eine Zahl angehängt. Zudem kann in den Datenschutz-Einstellungen angegeben werden, ob Kontakte, welche über den Benutzernamen verknüpft wurden, die eigene Telefonnummer sehen können oder nicht. Für die Nutzung von Signal ist somit weiterhin eine Telefonnummer notwendig, Chats können allerdings nun völlig anonym gestartet und geführt werden.^[57]

Zensurumgehung

Signal nutzt zur Umgehung von Zensur ein sogenanntes Domain Fronting, basierend auf Server Name Indication (SNI) und Transport Layer Security (TLS), welches zum Ziel hat, den eigentlichen Endpunkt einer Kommunikation zu verschleiern. Hierbei teilen sich mehrere, unterschiedliche und verschlüsselt abrufbare Dienste in unterschiedlichen Domains einen physischen Serverzugang unter einer IP-Adresse, beispielsweise auf dem für HTTPS genutzten TCP-Port 443. Von außen ist aufgrund der im Rahmen von TLS eingesetzten Verschlüsselung nicht unterscheidbar, welcher Dienst dabei kontaktiert wird. Zugänge wie HTTPS können im Regelfall wegen ihrer Popularität nicht so einfach abgeschaltet werden, ohne weitreichende Störungen zu verursachen. Da Google-Dienste weltweit große Popularität genießen, entschied Signal, Domain Fronting in Zusammenhang mit Google-Diensten zu verwenden. Diese Funktion muss von Nutzern eigens in den Einstellungen der App aktiviert werden.

Am 17./18. Dezember 2016 wurde Signal in Ägypten blockiert.^[58][59] Wenige Tage später wurde eine neue Version veröffentlicht, bei der Domain Fronting zur Zensurumgehung implementiert wurde.^[60] Wegen der US-Sanktionen gegen den Iran stehen dort Google-Dienste nicht zur Verfügung, weshalb auch Domain Fronting in Verbindung mit Google nicht funktioniert.^[61] Edward Snowden kritisierte daraufhin die US-Sanktionspolitik in diesem Punkt und forderte US-Politiker auf, die Google-Dienste und somit Signal im Iran verfügbar zu machen.^[62]

Einige Anbieter, wie beispielsweise Amazon Web Services (AWS) und seit 2018 auch Google, lassen Domain Fronting auf ihren Servern nicht mehr zu.^[63][64]

Krypto-Wallet für MobileCoin

Im April 2021 wurde in der Beta-Version eine Bezahlfunktion für die Privacy-Coin-Kryptowährung MobileCoin für Großbritannien integriert. Im September 2021 wurden dann in der Release-Version 5.23 Deutschland, Frankreich und die Schweiz für diese Zahlungen freigeschaltet.^{[65][66][67][68]} Sicherheitsexperte Bruce Schneier kommentierte das Vorhaben als „unglaublich schlechte Idee“ (Original: „I think this is an incredibly bad idea“). Dadurch steige die Komplexität des Produkts, seine Moral werde verwässert und Behörden würden zu Ermittlungen bzw. Regulierungen eingeladen. Er sehe zudem keine Notwendigkeit, beide Dienste zu kombinieren: Signal könnte sichere Kommunikation und sichere Finanztransaktionen in unabhängig operierenden Apps anbieten.^[69]

Einstellungsmöglichkeiten

Seit Mai 2020 bietet Signal die Möglichkeit, mittels einer selbst gewählten persönlichen Identifikationsnummer (PIN) Kontakte und Einstellungen verschlüsselt auf den Servern zu speichern.^[70] Auch besteht bei der iOS-Version die Möglichkeit, bei einem Gerätewechsel den gesamten Unterhaltungsverlauf zu transferieren, im März 2021 wurde diese Funktion auch bei der Android-Version implementiert.

Seit September 2020 steht auch eine Version für Videotelefonie auf dem Desktop (ab Version 1.35.1) zur Verfügung.^[71] Seit Februar 2022 ist es Nutzern möglich, ihre registrierte Rufnummer in der App zu ändern, ohne dabei ihren Unterhaltungsverlauf zu verlieren.^[72]

Linux-Desktop

Für den Linux-Desktop gibt es verschiedene Installationsmöglichkeiten: einen offiziellen Build für Debian-basierte Distributionen, sowie inoffizielle Builds für Flatpak, Snap (als Snappy primär für Ubuntu entwickelt) und RPM (ursprünglich von Red Hat entwickelt).^{[73][74][75][76]}

Seit Februar 2020 ist Signal die empfohlene Anwendung für Instant-Messaging der Europäischen Kommission und ihrer Mitarbeiter.^[14][15] Gleichzeitig empfahl auch Jan Penfrat von der European Digital Rights (EDRi), einer internationalen Vereinigung von Bürgerrechtsorganisationen, die sich dem Datenschutz und der Freiheit der Bürger in der Informationsgesellschaft verschrieben hat, die Nutzung von Signal.^[15] Weitere prominente Nutzer von Signal sind Elon Musk,^[77] Edward Snowden,^[78] der Deutsche Fußball-Bund,^[79] Ärzte ohne Grenzen^[80] sowie internationale Medien wie New York Times,^[81] Der Spiegel^[82] oder CNN.^[83] Signal wird außerdem von verschiedenen Chatgruppen in der deutschen Bundespolitik genutzt.^[84]

Im August 2021 nutzten einer Studie der Bundesnetzagentur zufolge 13 % der Deutschen Signal.^[85] Im Vergleich zu 2019 bedeutete dies einen Anstieg um 9 Prozentpunkte und damit das stärkste Nutzerwachstum unter allen Messengern.^[86] Bei einer anderen Studie unter deutschen Messenger-Nutzern im September 2021 gaben 24 % der Befragten an, Signal zu nutzen – ein Anstieg um 16 Prozentpunkte im Vergleich zu 2020.^[87]

Weltweit wurde die Anzahl der aktiven Nutzer im Januar 2021 auf 40 Millionen geschätzt. Allerdings konnte Signal im Laufe des Jahres 2021 über 100 Millionen zusätzliche Downloads verzeichnen.^[88] Dieser massive Anstieg an Nutzerzahlen ist mutmaßlich auf die Änderung der Datenschutzrichtlinien bei WhatsApp im Mai 2021 zurückzuführen.^[89][90] Der Tweet „Use Signal“ von Elon Musk im Januar 2021 beschleunigte diesen Prozess und führte zur zeitweiligen Überlastung der Registrierungsserver von Signal.^[91] Bereits im Juni 2020 wurde im Zuge der Proteste gegen die Tötung von George Floyd in den Vereinigten Staaten der Messenger innerhalb von ein paar Tagen in den Vereinigten Staaten über 120.000-mal installiert.^[92]

Laut Google Play ist die App seit März 2022 auf mehr als 100 Millionen Android-Geräten installiert.^[93][94]

Stiftungs- und Unternehmensstruktur

Bei Signal gibt es eine Doppelstruktur innerhalb der Stiftung. Signal Messenger LLC, eine Limited Liability Company nach US-Recht, ist die Entwicklerin der App und eine Tochter der Signal Technology Foundation, die der Kryptograph Moxie Marlinspike im Jahr 2018 zusammen mit dem WhatsApp-Mitgründer Brian Acton gegründet hat.^[95] Die Signal Technology Foundation ist eine gemeinnützige Stiftung und nach Abschnitt 501(c)(3) des Internal Revenue Codes steuerbefreit.^[96][97] Im dreiköpfigen Vorstand der Foundation sitzen Moxie Marlinspike, Brian Acton, sowie die Sicherheitsforscherin, ehemalige Google-Mitarbeiterin und Google-Kritikerin Meredith Whittaker, die seit September 2022 Präsidentin des Vorstands ist.^[98][99]

Die Signal Technology Foundation veröffentlicht ihre Jahresberichte nicht auf ihrer Webseite, sie lassen sich aber über den Non-Profit-Explorer des US-Projekts ProPublica aufrufen.^[96] Laut „Form 990“-Bericht für 2019 wurde Brian Acton als „President“ und einziges Mitglied der Foundation genannt.^[96] Dieser habe laut einem Bericht von Heise online das alleinige Recht, Vorstandsmitglieder zu wählen, zu entfernen und über relevante Änderungen im Stiftungs-Status zu entscheiden.^[100]

Marlinspike war lange Jahre Geschäftsführer (CEO) der Signal Messenger LLC und hat im Januar 2022 seinen Rücktritt bekannt gegeben. Bis eine Nachfolge gefunden ist, agiert Brian Acton als Übergangs-CEO.^[101]

Finanzierung und Betriebskosten

Wie sich aus dem Jahresbericht der Signal Technology Foundation für 2019 ergibt, hat Brian Acton der Stiftung am 28. Februar 2018 ein zinsfreies Darlehen in Höhe von 105 Millionen US-Dollar gegeben, mit einer Laufzeit von 50 Jahren. Im Laufe des Jahres 2019 hat er 75,4 Millionen US-Dollar des ursprünglichen Darlehens in Eigenkapital der Signal Technology Foundation umgewandelt.^[100] Das war die erste Großinvestition in das Projekt. Das Geld sollte unter anderem zur Qualitätsverbesserung von Sprachnachrichten eingesetzt werden.^[46] In einem Blogeintrag des Signal-Gründers Marlinspike von Februar 2018 war von einem „initial funding“ von 50 Millionen US-Dollar die Rede.^[95]

2019 hatte die Signal Technology Foundation laut des „Form 990“-Jahresberichts Gesamteinnahmen in Höhe von 19,4 Millionen US-Dollar. Der größte Posten waren öffentliche Fördergelder. Die konkreten Geldgeber wurden nicht genannt.^[96] Für 2020 wurden Gesamteinnahmen von 14,9 Millionen US-Dollar angegeben.^[96]

Das Projekt finanziert sich unter anderem durch eine unbekannte Zahl von teilweise privaten Spenden über die Freedom of the Press Foundation.^[102] Seit Ende 2021 bittet Signal aktiv um direkte Einzelspenden, die über die App und über die Webseite möglich sind.^[103][104]

Von 2013 bis 2016 erhielt Signal bzw. das Vorgängerprojekt Open Whisper Systems Förderung in Höhe von 2,955 Millionen US-Dollar^[105] vom Open Technology Fund des staatlichen US-Auslandssenders Radio Free Asia, der der United States Agency for Global Media untersteht^[106][107] und über den in der Vergangenheit ähnliche Projekte gefördert wurden, z. B. die Anonymisierungs-Netzwerke Tor und I2P, die Messenger Cryptocat und Briar, sowie WireGuard, Delta Chat und NoScript.^[108][109] Bei der Bewilligung der Zahlungen vermittelte Ian Schuler, Mitglied des Truman National Security Projects und damaliger Manager der Internet Freedom Programs des US-Außenministeriums,^{[107][110][111]} damals unter Hillary Clinton.^[112] Auch ist ein Preisgeld der Knight-Stiftung im Juni 2014 in Höhe von 416.000 US-Dollar,^[113][114] sowie ein Zuschuss in Höhe von 5.000 US-Dollar der Shuttleworth Foundation bekannt.^[115]

Im Jahr 2023 wurden erstmals Kosten und Aufwand für den Betrieb des Messengers bekanntgegeben. Dementsprechend werden 14 Millionen Dollar für die Infrastrukturkosten aufgewendet. Der Aufwand für die 50 Mitarbeiter stellt sich auf 19 Millionen Dollar.^[116]

Signal verwendet für seine Kommunikationsdienstleistungen die Server-Infrastruktur von Amazon Web Services, Google, Microsoft und Cloudflare.^[117] Die Domain signal.org ist bei Amazon Web Services registriert.^[118] Im Jahr 2019 hat Signal etwa 900.000 US-Dollar an Amazon Web Services gezahlt. Ein weiterer Dienstleister ist das US-Unternehmen Twilio Inc., an das Signal 2019 etwa eine Million US-Dollar für „Phone Verification Services“ gezahlt hat.^[100]

Im August 2022 wurde bekannt, dass bei einem Phishing-Angriff auf Twilio Hacker Einblick in die Telefonnummern von 1.900 Signal-Usern erlangt hatten. Laut Signal haben die Angreifer explizit nach drei Telefonnummern gesucht. Von einem der Betroffenen habe man eine Meldung erhalten, dass die Nummer neu registriert worden sei, schrieb Signal. Die Signal-Infrastruktur selbst war jedoch nicht betroffen. Auf Grund der Verschlüsselung und des „Zero-Knowledge-Prinzips“ betonte Signal, dass die Nachrichten-Archive, Kontaktlisten, Profilinformationen oder geblockte Nutzer oder Nummern von den Angreifern nicht eingesehen werden konnten. Mit der Option Registrierungssperre bietet Signal seit einigen Jahren einen Schutz vor solchen Re-Registrierungsangriffen.^[119]

Entwicklung unter dem Namen TextSecure ab 2010

Der Sicherheitsforscher Moxie Marlinspike und der Robotiker Stuart Andersen gründeten 2010 Whisper Systems.^[120][121] Zusätzlich zu der Veröffentlichung von TextSecure im Mai 2010 wurde RedPhone, eine Applikation zur verschlüsselten Sprachtelefonie, entwickelt.^[122] Zudem entwickelte Whisper Systems eine Firewall und weitere Dienstprogramme, um andere Arten von Daten ebenfalls zu verschlüsseln.^[120] RedPhone und TextSecure spielten während des Aufkommens des Arabischen Frühlings eine Rolle für die Kommunikation der Protestierenden.^[123]

Am 28. November 2011 verkündete Twitter den Kauf von Whisper Systems für eine nicht verlautbarte Summe.^[124] Kurz nach der Übernahme wurde Whisper Systems RedPhone außer Betrieb gestellt^[125] und später im Juli 2012 als freie Software veröffentlicht. Manche kritisierten die Entfernung mit dem Argument, dass die Applikation speziell zur Hilfe für Leute innerhalb eines repressiven Regimes gedacht war und dass die nicht angekündigte Abschaltung Menschen wie beispielsweise die Ägypter während der Vorkommnisse der Revolution in Ägypten 2011 gefährdet habe.^[126]

TextSecure wurde etwa einen Monat nach der Übernahme durch Twitter ebenfalls als freie Software veröffentlicht.^[120][127] Die Applikation wird seitdem gemeinschaftlich entwickelt, und es wurden schon mehrere Veröffentlichungen auf Basis dieser Arbeit freigegeben. Das Nachfolgeprojekt wurde Open Whisper Systems genannt.^[128]

Open Whisper Systems arbeitete seit März 2013 an einer iOS-Version von TextSecure, die unter dem Namen „Signal“ veröffentlicht wurde.^{[129][130][131]}

Im September 2013 wurde die erfolgreiche Integration des TextSecure-Protokolls in das freie Betriebssystem für Mobilgeräte CyanogenMod ab Version 11.0 verlautbart, wodurch die Benutzerbasis wuchs.^{[132][133][134]} Ab Version 13.0 wurde die Integration wieder entfernt und mit dem 1. Februar 2016 auch die Unterstützung des Dienstes eingestellt.^[135]

Entwicklung unter dem Namen Signal ab 2014

In der Eröffnungsrede bei der South by Southwest 2014 lobte Edward Snowden, Aufdecker der NSA-Ausspähaffäre, die Anwendungen von Open Whisper Systems für deren einfache Benutzbarkeit.^[136][137]

Am 29. Juli 2014 veröffentlichte Open Whisper Systems die App Signal für iOS, die zunächst nur verschlüsselte Telefonie unterstützte. Mit Version 2.0 wurde die verschlüsselte Textnachrichtenkommunikation zwischen Signal und TextSecure möglich.

Im November 2014 wurde bekannt, dass Konkurrent WhatsApp die TextSecure-Verschlüsselung mit Hilfe des Teams von Open Whisper Systems in seine Android-App eingebaut hat.^[138] Eine Implementierung für iOS folgte. Eine Kommunikation zwischen TextSecure- und WhatsApp-Benutzern ist jedoch nicht möglich.^[139] Inwieweit sich der Datenschutz für die Nutzer von WhatsApp damit erhöht, ist umstritten.^[140]

Ab Version 2.7 werden nur Nachrichten, die über die Datenverbindung gesendet werden, verschlüsselt. SMS und MMS werden somit, anders als in den vorigen Versionen, nicht mehr verschlüsselt. Diese Entscheidung wurde unter anderem wie folgt begründet:^[55]

• kompliziertes Verfahren bei der SMS-Verschlüsselung (manueller Schlüsseltausch; Statuskontrolle, ob der Empfänger verschlüsselt empfangen kann)
• Kompatibilitätsprobleme bei iOS: Verschlüsselte SMS funktionieren dort nicht
• große Mengen an Metadaten, die bei SMS und MMS zwangsläufig und unkontrollierbar entstehen
• Fokus auf die Programmentwicklung: Die Pflege der SMS- und MMS-Verschlüsselung mit ihren vielen kleinen Sonderfällen beansprucht wertvolle Ressourcen, die die Weiterentwicklung der Software hemmen.

Im Juli 2015 wurde Version 2.23.2 veröffentlicht. Dabei mussten vom Nutzer zusätzliche Berechtigungen akzeptiert werden. Diese werden jedoch noch nicht alle genutzt, sondern dienen zukünftigen Fähigkeiten wie z. B. dem Versenden von Kalendereinträgen oder verschlüsselter Telefonie (Redphone-Integration).

Im November 2015 wurde Version 3.1.1 veröffentlicht. Textsecure wurde zu Signal umbenannt und unterstützte nun verschlüsselte Telefonie (Redphone-Integration).^[141]

Am 2. Dezember 2015 wurde eine Programmversion für Computer („Desktop-Variante“) in Form einer Chrome-App vorgestellt. Sie war vorerst nur in Verbindung mit der Android-Version nutzbar, mittlerweile unterstützt sie auch die iOS-Version. Außerdem befand sie sich zunächst in einer geschlossenen Betaphase, in der potentielle Nutzer eine Einladung vor der Installation anfordern mussten.^[142] Am 7. April 2016 startete die öffentliche Betaphase.^[143] Die Google-Chrome-App wurde Oktober 2017 eingestellt, und Signal wurde als eigenständige Electron-App für Windows, macOS und Linux veröffentlicht.^[144]

Entwicklung ab 2017

Am 14. Februar 2017 wurde mit Version 3.29.6 (Android) verschlüsselte Videotelefonie implementiert.^[145] Aktuell (2021) werden Gruppenanrufe mit bis zu 40 Teilnehmern unterstützt.^[26]

Im Oktober 2019 wurde bekannt, dass das Europäische Parlament eine Verwendung von Signal durch die Parlamentarier mit der Begründung nicht zulasse, dass es sich nicht um Standardsoftware handele und die Parlamentarier weiterhin auf WhatsApp verwiesen worden sind.^[146] Das hatte Beschwerden zur Folge, da WhatsApp Metadaten an den Facebook-Konzern übermittelt. Die Systemadministratoren prüften daher den Einsatz von Signal.^[147]

Die Europäische Kommission drängte hingegen im Februar 2020 ihre Mitarbeiter zur Installation von Signal.^[148]

Im April 2020 appellierten die Betreiber an US-Bürger und -Entscheidungsträger, das Earn IT Act genannte Gesetzesvorhaben abzulehnen. Das Gesetz sieht vor, dass Anbieter haftbar gemacht werden können, wenn sie Strafverfolgungsbehörden keinen Einblick in die verschlüsselte Kommunikation der Anwender geben. Dem kann Signal aufgrund seiner Ende-zu-Ende-Verschlüsselung nicht nachkommen.^[149][150]

Im Juli 2020 wurde Signal nach der Verabschiedung des chinesischen Sicherheitsgesetzes für Hongkong die am häufigsten heruntergeladene App in Hongkong, sowohl im Apple App Store als auch im Google Play Store.^[151]

Im März 2021 empfahlen die Vereinten Nationen den Einwohnern Myanmars, Signal und Protonmail zu nutzen, um Beweise für Menschenrechtsverletzungen, die während des Putsches von 2021 begangen wurden, weiterzuleiten und aufzubewahren.^[152]

Kritisiert wird, dass die Stiftung hinter Signal intransparent ist, keine Satzung veröffentlicht hat und keine ausführlichen Finanz- oder Jahresberichte publiziert. Außerdem sind die Entscheidungsstrukturen hierarchisch und die Macht stark konzentriert. Signal hat gegenüber Behörden keinen Vertreter für Datenschutz benannt, wie dies nach EU-Recht notwendig ist. Kontaktversuche seitens Behörden bleiben unbeantwortet.^[153]

• Siehe: Liste von mobilen Instant-Messengern
• Session – ein Fork des Signal-Messengers, der ein dezentrales Netzwerk auf Blockchain-Basis als Server-Ersatz nutzt und keine Benutzeridentifikation wie eine Telefonnummer oder E-Mail-Adresse kennt.

Weitere Inhalte in den Schwesterprojekten der Wikipedia:
	Commons	– Medieninhalte (Kategorie)
	Wikidata	– Wissensdatenbank

• Offizielle Website
• Signal für Android auf GitHub (englisch)
• Signal für iOS auf GitHub (englisch)
• Details zum Signal-Protokoll (Version 2, verwendet Axolotl-Ratchet)
• Mike Kuketz: Signal: Hohe Sicherheit und Zero-Knowledge-Prinzip. In: kuketz-blog.de. 8. Dezember 2020; abgerufen am 12. Dezember 2022.