Signal führt Automatic Key Verification zum Schutz vor Man-in-the-Middle-Angriffen ein

Signal hat Automatic Key Verification eingeführt, eine neue Sicherheitsfunktion, mit der Nutzer überprüfen können, ob ihre verschlüsselten Unterhaltungen abgefangen oder manipuliert wurden. Die Funktion ergänzt Signals bestehendes System mit Sicherheitsnummern um automatische Prüfungen und soll die sichere Verifizierung für alltägliche Nutzer vereinfachen.

Signal führt ein System für Schlüsseltransparenz ein

Automatic Key Verification basiert auf Schlüsseltransparenz, einem System, das überprüft, ob die Telefonnummer oder der Benutzername eines Signal-Kontos dauerhaft mit dem richtigen öffentlichen Verschlüsselungsschlüssel verknüpft ist.

Dies ist wichtig, da ein Man-in-the-Middle-Angriff erfolgreich sein kann, wenn ein Angreifer heimlich den Verschlüsselungsschlüssel eines Nutzers austauscht. Ein böswilliger Akteur, der Zugriff auf die Systeme von Signal erlangt hat, könnte beispielsweise versuchen, seinen eigenen Schlüssel mit dem Konto eines Opfers zu verknüpfen.

Signal zufolge hilft das neue System dabei, solche Unstimmigkeiten zu erkennen. Es kombiniert Prüfungen durch den Nutzer, dessen Signal-Kontakte und unabhängige externe Prüfer.

Cloudflare und Trail of Bits fungieren dabei als externe Prüfer. Ihre Aufgabe besteht darin, sicherzustellen, dass die Einträge der öffentlichen Schlüssel im gesamten Signal-Ökosystem konsistent bleiben.

Automatische Verifizierung beseitigt eine häufige Hürde

Bisher mussten Signal-Nutzer, die einen Chat manuell verifizieren wollten, ihre Sicherheitsnummern mit ihrem Kontakt vergleichen. Dafür war häufig ein persönliches Treffen oder die Nutzung eines anderen vertrauenswürdigen Kommunikationskanals erforderlich.

Automatic Key Verification bietet eine vergleichbare Sicherheit, ohne dass dieser zusätzliche Schritt notwendig ist. Stattdessen führt die App die Verifizierung im Laufe der Zeit automatisch durch.

Nutzer können die Funktion über die Datenschutzeinstellungen von Signal aktivieren. Sie können außerdem in einem bestehenden Chat die Ansicht für die Sicherheitsnummer öffnen und dort die automatische Verifizierung auswählen.

Nach erfolgreicher Prüfung zeigt Signal ein grünes Häkchen und die Meldung „Encryption verified“ an. Dies bestätigt, dass der öffentliche Schlüssel des Kontakts den automatischen Verifizierungsprozess erfolgreich durchlaufen hat.

Nutzer können Sicherheitsnummern weiterhin manuell überprüfen

Automatic Key Verification ist optional. Nutzer, die sich nicht auf Signal oder die unabhängigen Prüfer verlassen möchten, können die Funktion in den Datenschutzeinstellungen deaktivieren.

Anschließend können sie weiterhin Signals manuelles Verfahren zur Überprüfung von Sicherheitsnummern verwenden. Die neue Funktion soll diese bestehende Möglichkeit ergänzen und nicht vollständig ersetzen.

Signal zufolge schaffen die wiederholten Prüfungen durch Nutzer, Kontakte und Prüfer langfristig mehr Sicherheit darüber, dass sich der Schlüssel eines Kontakts nicht unerwartet geändert hat.

Die Funktion konzentriert sich auf einen wichtigen Bestandteil sicherer Kommunikation: die Bestätigung, dass der mit einem bestimmten Signal-Konto verknüpfte Verschlüsselungsschlüssel authentisch und weltweit konsistent ist.

Signal geht weiterhin gegen Phishing-Angriffe vor

Die Einführung folgt auf weitere Sicherheitsänderungen, die Signal im Mai 2026 vorgenommen hat. Das Unternehmen fügte Warnungen und Bestätigungen innerhalb der App hinzu, damit Nutzer verdächtige externe Anfragen erkennen können, bevor sie darauf reagieren.

Die Änderungen folgten auf Phishing-Kampagnen mit gefälschten Warnmeldungen des Signal Supports. Bei den Angriffen wurde Signals Funktion Linked Device missbraucht, um Zugriff auf gezielt angegriffene Konten, Chats und Kontaktlisten zu erhalten.

Behörden in den USA, Deutschland und den Niederlanden warnten vor den Kampagnen, die sich gegen hochrangige und prominente Nutzer richteten. Die Aktivitäten wurden mit russischen staatlich verbundenen Bedrohungsakteuren in Verbindung gebracht.

Im Juni setzte das US-Außenministerium Belohnungen von bis zu 10 Millionen US-Dollar für Informationen aus, die zur Identifizierung von Mitgliedern der Hackergruppen UNC5792 und UNC4221 beitragen könnten. Die Gruppen wurden mit umfassenderen Phishing-Operationen gegen Signal-Nutzer in Verbindung gebracht.

Automatic Key Verification fügt eine weitere Sicherheitsebene hinzu, indem es Signal-Nutzern hilft, unbefugte Änderungen zu erkennen, durch die ansonsten verschlüsselte Unterhaltungen offengelegt werden könnten.