geschätzte Lesezeit: 14 min

Corona-Pandemie: Schwächt die Impfung das Immunsystem?

So dockt ein Sars-CoV-2-Virus mittels des Spike-Proteins am Rezeptor einer Zelle an. Corona-Impfungen benutzen die Erbinformationen des Spike-Proteins, um eine Abwehreraktion des Immunsystems zu aktivieren

Ein Überblick über das derzeitige Corona-Geschehen und wissenschaftliche Reaktionen.

Derzeit infizieren sich in den EU-Ländern sehr viele Menschen mit den leicht übertragbaren Omikron-Varianten und durchlaufen eine Erkrankung; augenscheinlich meist in kurzfristig oft beschwerlicher, aber bald vorübergehender Form. Entsprechend ihrem hohen Anteil in der Bevölkerung, sind die meisten der Betroffenen gegen Corona geimpft, vielfach geboostert.

Andererseits bekunden Ungeimpfte in den Social Media, dass sie sich vor einer Ansteckung bewahren konnten und führen das auf ihre natürliche Widerstandskraft zurück. Andere haben sich zwar angesteckt, vermelden aber einen leichten Verlauf oder Symptomfreiheit. So kann der Eindruck entstehen, dass die Impfungen nutzlos seien, ja sogar die natürliche Widerstandskraft schwächen könnten.

Anhand der Wirkweise von Impfungen und unter Bezugnahme auf datenbasierte Untersuchungen soll hier geprüft werden, ob dieser subjektive und auf begrenzte Erfahrungen zurückgehende Eindruck zutrifft.

Die Ansicht, dass das Immunsystem durch Impfungen geschwächt würde, verkennt das Prinzip von Impfungen. Impfungen stärken das Immunsystem spezifisch, indem sie es auf einen Erreger vorbereiten. Die Impfung bietet dem Körper eine Komponente des Erregers, die Abwehrmechnismen gegen den gesamten Erreger in Gang setzen, unter anderem Antikörperbildung gegen den Erreger. Bei einer späteren Infektion erinnert sich das Immunsystem sofort – mit Hilfe der Gedächtniszellen – und reagiert sehr schnell mit einer Vielzahl von Abwehrmechanismen, die ohne die vorherige Impfinfektion sehr viel langsamer und mühsamer einträten.

Dies ist im Falle des Sars-CoV-2-Virus wichtig, weil das Virus Eigenschaften hat, die das natürliche und erworbene Abwehrssystem unterlaufen oder stören können (letzteres z. B. durch eine Immunüberreaktion). Wer sich mit der Funktionsweise des Sars-CoV-2-Virus beschäftigt hat, weiß das.

Wird der Virenbefall nicht rechtzeitig und wirksam abgewehrt, können sich die Eindringlinge aufgrund ihrer Umgehungstricks sehr schnell im Körper verbreiten und ihr Zellschädigungswerk beginnen. Die Findigkeit des neuartigen Coronavirus und seiner Varianten, Abwehrstrategien zu umgehen, zeigt sich selbst bei der Anwendung antiviraler Mittel. Neue Laborstudien zeigen [1], dass das Coronavirus auf eine Weise mutieren kann, die es weniger anfällig für das an sich erfolgreiche Pfizer-Medikament "Paxlovid" macht.

Bisher keine Hinweise auf "infektionsverstärkende Antikörper"

Es ist nicht einzusehen, dass die spezifische Abwehrstärkung gegen einen Erreger durch eine Impfung das sonstige, angeborene und erworbene Immunsystem schwächt. Das könnte allenfalls kurzfristig der Fall sein, solange es das Abwehrsystem mit der Impfreaktion beschäftigt ist. Es gibt auch – entgegen einigen Meldungen – bisher keine Hinweise auf sogenannte "infektionsverstärkende Antikörper", die durch die Corona-Impfungen entstehen sollen.

Die Feststellung von manchmal geringeren Antikörperwerten als bei ungeimpft Infizierten – nach Impfdurchbrüchen – bedeutet nicht, dass das Immunsystem von Geimpften weniger gut auf das Virus reagiert. Sie gehen vielmehr auf durch die Impfung bewirkte mildere Krankheitsverläufe zurück, bei denen weniger Antikörper gebildet werden.

Das Immunsystem von infizierten Geimpften ist bereits trainiert, reagiert rascher wirksam und muss weniger Antikörper bilden als bei Ungeimpften. In vielen Fällen deuten die angeblichen durch Impfungen hervorgerufenen Schwächungen des Immunsystems eher auf die Effizienz der Impfungen als auf eine Beeinträchtigung der Immunabwehr.

Keine Impfung schützt vor Infektionen, aber sie versetzt das Immunsystem in die Lage, den Erreger rasch und in den meisten Fällen wirkungsvoll zu bekämpfen. Das angeborene Immunsystem verändert ("reprogrammiert") sich insofern, als es sich gegen den durch die Impfung angezielten Erreger wappnet.

Wenn man so will: Impfungen trainieren das Immunsystem gegen bestimmte virale oder bakterielle Herausforderungen, ein Vorgang, der auch sonst ständig stattfindet, aber nicht immer gegen alle Infektionen hilft.

Die Geschichte der Seuchen und Pandemien zeigt deutlich, dass kein Verlass darauf ist, dass das menschliche Immunsystem mit übermächtigen Erregern wie z.B. dem Pocken-, Ebola- oder Hanta-Virus fertig wird, wenn man es nur mit natürlichen Mitteln stärken und einfach gewähren lässt.

Schon immer haben sich Maßnahmen wie frühes Eingreifen mit Isolierungen, Abstandswahrung, Hygienekontrollen, Desinfektionen, Maskenschutz und in der Neuzeit mit Impfungen bewährt.1 [2]

Dass solche Maßnahmen lebensrettend wirken, zeigt der Vergleich zwischen den immensen und unnötigen Todeszahlen in den USA während der Trump-Regierung mit ihrer Verharmlosungspolitik und den ganz geringen in Australien mit seiner rigiden Zero-Covid Politik. Wobei sich zeigte, dass die durch eine überzogene Abschirmungspolitik herbeigeführte übereilte Öffnung sowie ein zu spätes, alleiniges Setzen auf die Impfwirkung den Einzug der Virusvarianten auf den australischen Kontinent nicht verhindern konnte.

Bei einigen Impfungen lässt der Impfschutz durch Verringerung der Antikörper mit der Zeit nach, sodass Auffrischungsimpfungen nötig sind. Drei mRNA-Impfungen gegen Sars-CoV-2 reduzieren nach den vorliegenden Daten und den meisten Untersuchungen schwere Krankheitsverläufe.2 [3] Das trifft auch noch bei den gegenwärtig vorherrschenden Omikron-Virusvarianten zu.

Dass der Schutz derzeit nachlässt und begrenzt ist, hängt damit zusammen, dass die Impfungen für die Ur-(Wuhan-)Typen entwickelt wurden und die Viren sich durch genetische Mutationen in der Wirkungsweise verändert und angepasst haben. Evolutionär setzt sich die Variante durch, die am erfolgreichsten beim Befall von Wirtskörpern ist, was bedeutet, dass sich Varianten entwickeln, die weniger durch die Erstimpfungen behindert werden.

Dementsprechend kommt eine – allerdings zeitlich und an Untersuchungspersonen begrenzte – amerikanische Untersuchung [4] zu dem Ergebnis:

...unterstützt unsere Studie die Behauptung, dass die aktuellen Covid-19-Impfstoffe hochwirksam gegen die Entwicklung schwerer Krankheiten sind ... aber nur begrenzten Schutz gegen Durchbruchsinfektionen bieten, insbesondere durch die Omikron-Unterline. Daher ist eine Auffrischungsimpfung erforderlich, um eine robuste sterilisierende Immunität in den Atemwegen aufzubauen, einschließlich einer Infektion durch Omikron-Sublinien und zukünftigen Varianten.

Andere Untersuchungen [5] bestätigen diesen Befund:

Unsere Daten deuten darauf hin, dass Omikron-Unterlinien zwar neutralisierenden ... Antikörperreaktionen entgehen, die durch primäre Impfstoffserien ausgelöst werden, Impfstoff-Booster jedoch einen ausreichenden Schutz gegen eine durch Omikron induzierte schwere Erkrankung bieten können.

Das RKI nennt unter Berufung auf Studien Prozent- und Zeitdauerzahlen der Impfwirksamkeit gegen schwere Verläufe:

Studien zum Impfschutz wiesen dabei auf eine Impfeffektivität gegen hospitalisierungspflichtige Erkrankung von 64 Prozent ... nach zweifacher Impfung hin, die innerhalb von 6 Monaten auf 44 Prozent ... abnimmt, sich durch eine dritte Impfdosis auf 92 Prozent ... steigern lässt und auch 10+ Wochen nach dritter Impfung noch 83 Prozent ... beträgt.

Die Veränderung der Viren ist der Grund, warum eine Infektion mit frühen Virustypen nicht gegen eine Reinfektion durch Omikron-Varianten schützt. Auch hier sind Impfungen angebracht, die die Immunreaktionen "auffrischen."

Klinische Beobachtungen und Meldedaten deuten darauf hin, dass die derzeit zu zwei Dritteln vorherrschende Omikron-Untervariante BA5 virulenter ist, kränker macht und dem Immunsystem besser entkommt als BA2.

Die Gefahr in der jetzigen Situation ist, dass sich durch die immer noch bestehenden Impflücken, mangelnde Vorsichtmaßnahmen und den Anstieg der Infektionen "Fluchtmutanten" entwickeln, die den Impfschutz unterlaufen und auch häufiger zu schweren Verläufen führen könnten als die jetzt vorherrschenden Varianten. Die Anzahl von Long-Covid-Patienten und darunter langfristig Covid-19-Erkrankter wird zunehmen. Vor allem bei chronisch Covid-19-Kranken befürchtet man die Bildung neuer Mutanten.

"Eine schnelle Folge von Untervarianten [von Omikron] ist [derzeit] die Normalität, aber eine völlig neue Variante könnte immer noch entstehen", fasst ein Artikel [6] in Science die Situation zusammen.

Die bisherige Beruhigung an der "Corona-Front" könnte trügerisch sein. Klinische Beobachtungen und Meldedaten deuten darauf hin, dass schon die derzeit zu zwei Dritteln vorherrschende Omikron-Untervariante BA5 virulenter ist, kränker macht und dem Immunsystem besser entkommt als die vorher verbreitete Subvariante BA2.

Mit den jetzigen Impfstoffen – über die Boosterimpfung hinaus – immer wieder neu zu impfen, scheint nicht der geeignete Weg in die Zukunft zu sein. Das wird von Fachleuten nur in bestimmten Fällen, etwa bei stark Gefährdeten, empfohlen. Abhilfe kann hier ein polyvalenter Impfstoff (pancoronavirus vaccine) bringen, der – ähnlich bei den Grippeimpfungen – Schutz gegen viele und auch neue Varianten bietet. An ihm wird gearbeitet [7].

Eine Pandemie ist nicht zu Ende, wenn Politiker dem Frust nachgeben

Aber auch der müsste ständig weiterentwickelt werden. Wie auch immer, solange das Virus grassiert und es massenweise Infektionen gibt – die nicht immer harmlos sind –, Reinfektionen und Impfdurchbrüche vorkommen, ist es leichtsinnig, sich auf Genesenenimmunität, Impfschutz oder natürliche Widerstandskraft zu verlassen und auf zusätzliche individuelle und gesellschaftliche Schutzmaßnahmen zu verzichten. Eine Pandemie ist nicht dadurch zu Ende, dass ein Teil der Bevölkerung keine Lust mehr hat, einschränkende Maßnahmen hinzunehmen und Politiker dem nachgeben.

Jede Impfung kann Nebenwirkungen haben. Im Falle der klassischen Massenimpfungen (Pocken, Masern, Kinderlähmung u.a.) – gegen Krankheiten, die ohne Impfung meist schwer oder tödlich verlaufen – sind die Fälle von schweren Nebenwirkungen im Einzelfall tragisch, aber angesichts millionenfacher Lebensrettungen vertretbar. So wurden die Pocken durch die weltweiten Impfaktionen ausgerottet und existieren derzeit nur noch in Labors. Auch Polio und Masern wurden durch Impfaktionen weltweit stark zurückgedrängt.

Gegenüber den Impfstoffen dieser Art wird eingewendet, dass die gegen Corona eingesetzten Impfungen neu, zu schnell entwickelt wurden und – was Nebenwirkungen betrifft – relativ unerforscht seien. Die daraus resultierenden Befürchtungen sind weit verbreitet. Dagegen lässt sich einwenden, dass die mRNA-Impf-Technik seit ca. 30 Jahren bekannt ist und seit 10 Jahren in der Krebsforschung angewendet wird (mRNA= messenger ribonucleic acid / Boten-Ribonukleinsäure).

Die Technik besteht darin, bei der Corona-mRNA-Impfung (Moderna, Biontech) nur einen Bestandteil des Sars-CoV-2-Virus in den Körper einzuschleusen, nämlich eine Information, den Bauplan des mRNA-Spike-Proteins, mit dem es an Zellen andockt und so die Abwehr gegen das Spike-Protein und damit gegen das Eindringen des gesamten Virus zu aktivieren.

Das ist ein schonendes Impfverfahren, das den Körper mit möglichst wenig "schwer verdaulichen" Stoffen belastet. Die mRNA und die Zusatzstoffe (Fette) werden im Körper schnell abgebaut – sie verändern die Erbsubstanz der Zellen, die DNA, auch nicht, da sie nicht mit ihr interagieren – aber die Gedächtnisleistung des Immunsystems bleibt.

Die Vektorimpfung (Astrazeneka, Johnson & Johnson) hat ein ähnliches Wirkprinzip, nur dass hier der Spike-Protein-Bauplan nicht durch Fettstoffe, sondern durch ein harmloses, abbaubares Vektorvirus eingeschleust wird.

Hundertprozentiger Schutz wurde nie versprochen

Durch den Ausbruch der Covid-19-Pandemie wurde die bisher unterfinanzierte mRNA-Technik und Forschung aktiviert und aufgrund des bekannten Verfahrens konnten relativ schnell Impfstoffe entwickelt werden. Es zeigt sich jetzt, dass die Impfungen aufgrund der veränderten Virenlage nicht mehr die großen Erwartungen erfüllen, die man in sie gesetzt hat. Es wurde auch nie von den Fachleuten behauptet, dass die Impfungen totalen Schutz bieten würden.

Doch wie bei allen Impfverfahren war ihre Entwicklung ein medizinischer Durchbruch, ohne den der Verlauf der Pandemie noch gravierender gewesen und dies auch heute noch wäre.

Forschende des Londoner Imperial College haben für das erste Jahr der Impfungen errechnet [8], dass ohne diese global 31,4 Millionen Todesfälle im Zusammenhang mit dem Coronavirus zu erwarten gewesen wären. 19,8 Millionen davon seien durch die Impfungen vermieden worden – 12,2 Millionen davon in Ländern mit hohem oder mittlerem Einkommen. Knapp 600.000 Todesfälle hätten verhindert werden können, wenn das Ziel der WHO erreicht worden wäre, bis Ende 2021 40 Prozent der Weltbevölkerung gegen Corona zu impfen.

Im Falle des Sars-CoV-2-Virus hätte eine weltweite hohe Impfquote die Bildung und Ausbreitung von Mutanten reduziert und – verbunden mit den notwendigsten, konsequent durchgeführten Präventivmaßnahmen – Corona wahrscheinlich endemisch werden lassen. In Ländern, wo es möglich gewesen wäre, hätte auch eine frühzeitige, informativ gut vermittelte Impfpflicht dazu beitragen können.

Derzeit wird das Auftreten von Post-Vac-Syndromen gegen die Corona-Impfungen angeführt. Dass nach diesen Impfungen leichtere oder schwerwiegende Beschwerden auftreten können, ist nicht zu bestreiten, manchmal erinnern sie an Long-Covid-Symptome.

Das ist aber ein unsicheres Feld, es gibt nicht einmal eine die Symptome einigermaßen erfassende Definition des sogenannten Post-Vac-Syndroms. Der Nachweis, dass schwerwiegende Beschwerden mit der Impfung zusammenhängen, ist nicht leicht zu erbringen, sodass man von "Verdachtsfällen" spricht. Von 2020 bis 2022 liegt die Melderate schwerwiegender Fälle in Deutschland bei 0,2 bis 0,5 je 1.000 Impfdosen, je nach Impfstoff.3 [9]

Unter diesen Fällen wurden bis zum 20. Juni 2022 nach Auskunft des PEI in Deutschland bei fast 65 Millionen Geimpften etwa 192 Fälle des chronischen Erschöpfungssyndroms ME/CFS nach einer Impfung gemeldet – und sieben Fälle eines sogenannten Post-Vaccine-Syndroms.

Das Risiko nach einer Covid-19-Infektion länger anhaltende und gravierende Beschwerden – "Long/Post Covid" – zu bekommen als nach einer Impfung ist weitaus höher. Es liegt nach einer evidenzbasierten deutschen Studie [10] (11.710 vollständig Befragte) bei 20 bis 30 Prozent, auch unter Erwachsenen in den unteren und mittleren Altersgruppen dieser Kohorte, selbst bei mildem Verlauf der Erkrankung. Nachgewiesenermaßen kann Covid-19 bei immunschwachen Personen auch chronisch werden.

Nach einem Zusammenhang mit Corona-Impfungen wurde in der deutschen Studie nicht gefragt. Verschiedene Untersuchungen belegen, dass mehrfach geimpfte Personen deutlich seltener an Long- bzw. Post-Covid-Symptomen leiden als ungeimpft Infizierte.4 [11]

Das Corona-Virus mit seinen Folgen habe "Millionen Menschen zum Schatten ihres früheren Selbst" gemacht – so die Autorin eines Science-Artikels über "Hinweise zu Long Covid". Sie referiert die verbreitetsten Theorien zur Frage, was Long Covid verursachen könnte. Alle beruhen auf klinischen und in Laboruntersuchungen erhobenen Befunden, bei denen verschiedene bleibende "Abnormitäten" nach der Covid-19-Erkrankung bei Long-Covid-Patienten festgestellt wurden.

Eine ist, dass Virenreste an verschiedenen Körperstellen verbleiben können. Entsprechend der Unsicherheit der Ursachen und der Komplexität der Symptome befinden sich Therapien erst im Versuchsstadium.

Wie üblich ist die Forschung in all diesen Bereichen im Fluss, genauso wie das Viren- bzw. Infektionsgeschehen und die menschlich-gesellschaftlichen sowie politischen Reaktionen hierauf. Befunde und Aussagen zum Viren- und Infektionsgeschehen sind nicht immer eindeutig und übereinstimmend. Ich zeichne nicht isolierte, sondern auf Konsens zulaufenden gegenwärtige Aussagetendenzen nach. Es geht hier nicht um "Meinungen" oder "Glauben", sondern um klinische Beobachtungen und datenbasierte Befunde, soweit ich sie als informationssuchender Nichtfachmann übersehen kann.

Nach wie vor gilt [12]:

Ein Virus diskutiert nicht. Ein Virus kümmert sich nicht um deine oder meine Meinung. Ein Virus lebt nach eigener Naturgesetzmäßigkeit. Also lamentiere nicht, sondern benutze Deinen Verstand! Tue das Notwendige und schütze Dich und mich und andere!

Wenn man so will: Es spielt sich ein Wettbewerb um die Selbstbehauptung zwischen zwei Naturwesen ab, dem Sars-CoV-19-Virus und dem Menschen. Es ist noch lange nicht ausgemacht, wer die Oberhand gewinnen wird.

Je besser wir in der Forschung werden, je wirksamer unsere Impfungen und Mittel werden, desto größer wird der Druck auf das Virus – und es verändert sich schneller und gewissermaßen gezielter. Es ist ein spannendes Wechselspiel. Das Virus ist einfallsreich – aber die Menschen sind es auch.

Luka Cicin-Sain [13], Infektionsforscher

Hoffentlich!

Literatur

Paul-Ehrlich-Institut: Sicherheitsbericht [14];

R.S. Peter u.a.: Prevalence, determinants, and impact on general health and working capacity of post-acute sequelae of COVID-19 six to 12 months after infection: a population-based retrospective cohort study from southern Germany [15];

Helmholtz-Gemeinschaft: Was kommt nach Omikron? [16];

Helmholtz-Gemeinschaft: Schützt eine Corona-Impfung vor Long Covid? [17];

Quarks.de: Gibt es Long Covid nach der Impfung? [18];

Watson u.a.: Global impact of the first year of COVID-19 vaccination: a mathematical modelling study [19], The Lancet Infectious Deseases, 23/06/22

J.E. Bowen u.a.: Omicron spike function and neutralizing activity elicited by a comprehensive panel of vaccines [20], ScienceImmunology, 22/07/22;

J.Cohen: Why efforts to make better, more universal coronavirus vaccines are struggling [21], ScienceImmunology, 22/07/22;

J. Tang u.a.: Respiratory mucosal immunity against SARS-CoV-2 following mRNA vaccination [22], ScienceImmunology, 22/07/22;

J. Couzin-Frankel: Clues to Long Covid:;https://www.science.org/content/article/what-causes-long-covid-three-leading-theories [23], Science, 16/06/22;

K. Kupferschmidt: As Omicron rages on, scientists have no idea what comes next, Science 19/07/22;

R.F. Service: Bad news for Paxlovid? Coronavirus can find multiple ways to evade COVID-19 drug, Science, 29/06/22


URL dieses Artikels:
https://www.heise.de/-7203817

Links in diesem Artikel:
[1] https://www.science.org/content/article/bad-news-paxlovid-coronavirus-can-find-multiple-ways-evade-covid-19-drug
[2] https://www.heise.de/tp/features/Corona-Pandemie-Schwaecht-die-Impfung-das-Immunsystem-7203817.html?view=fussnoten#f_1
[3] https://www.heise.de/tp/features/Corona-Pandemie-Schwaecht-die-Impfung-das-Immunsystem-7203817.html?view=fussnoten#f_2
[4] https://www.science.org/doi/10.1126/sciimmunol.add4853
[5] https://www.science.org/doi/10.1126/science.abq0203
[6] https://www.science.org/content/article/omicron-rages-scientists-have-no-idea-what-comes-next
[7] https://www.science.org/content/article/why-efforts-make-better-more-universal-coronavirus-vaccines-are-struggling
[8] https://www.thelancet.com/journals/laninf/article/PIIS1473-3099(22)00320-6/fulltext
[9] https://www.heise.de/tp/features/Corona-Pandemie-Schwaecht-die-Impfung-das-Immunsystem-7203817.html?view=fussnoten#f_3
[10] https://www.medrxiv.org/content/10.1101/2022.03.14.22272316v1.full.pdf
[11] https://www.heise.de/tp/features/Corona-Pandemie-Schwaecht-die-Impfung-das-Immunsystem-7203817.html?view=fussnoten#f_4
[12] https://lobosgegenwartswahrnehmung.blogspot.com/search?updated-max=2020-11-26T18:11:00%2B01:00&max-results=7
[13] https://www.helmholtz.de/newsroom/artikel/was-kommt-nach-omikron/
[14] https://www.pei.de/SharedDocs/Downloads/DE/newsroom/dossiers/sicherheitsberichte/sicherheitsbericht-27-12-20-bis-31-03-22.pdf?__blob=publicationFile&v=5
[15] https://www.medrxiv.org/content/10.1101/2022.03.14.22272316v1.full.pdf
[16] https://www.helmholtz.de/newsroom/artikel/was-kommt-nach-omikron/
[17] https://www.helmholtz.de/newsroom/artikel/schuetzt-eine-corona-impfung-vor-long-covid/
[18] https://www.quarks.de/gesundheit/gibt-es-long-covid-nach-der-impfung/
[19] https://www.thelancet.com/journals/laninf/article/PIIS1473-3099(22)00320-6/fulltext
[20] https://www.science.org/doi/10.1126/science.abq0203
[21] https://www.science.org/content/article/why-efforts-make-better-more-universal-coronavirus-vaccines-are-struggling
[22] https://www.science.org/doi/10.1126/sciimmunol.add4853
[23] https://www.science.org/content/article/what-causes-long-covid-three-leading-theories

geschätzte Lesezeit: 36 min

(If you aren’t interested in the background information, feel free to skip to the meat of this post. If you’re in a hurry, there’s a summary of results at the end.)


Around this time last year, I was writing Going Bark: A Furry’s Guide to End-to-End Encryption and the accompanying TypeScript implementation of the Extended 3-Way Diffie-Hellman authenticated key exchange (Rawr X3DH). In that blog post, I had said:

The goal of [writing] this is to increase the amount of end-to-end encryption deployed on the Internet that the service operator cannot decrypt (even if compelled by court order) and make E2EE normalized. The goal is NOT to compete with highly specialized and peer-reviewed privacy technology.

This effort had come on the heels of my analysis of bizarre choices in Zoom’s end-to-end encryption, and a brief foray into the discussion into the concept of cryptographic deniability.

I’m stating all this up-front because I want to re-emphasize that end-to-end encryption is important, and I don’t want to discourage the development of E2EE. Don’t let a critical post about someone else’s product discourage you from encrypting your users’ data.

Soatok hugs a giant heart
Art: Swizz

Until recently, but especially at the time I wrote all of that, Threema had not been on my radar at all, for one simple reason: Until December 2020, Threema was not open source software.

In spite of this, Threema boasts over 1 million installs on the Google Play Store.

Partly as a result of being closed source for so long, but mostly the Threema team’s history of over-emphasizing the legal jurisdiction they operate from (Switzerland) in their claims about privacy and security, most of the cryptography experts I know had quietly put Threema in the “clown-shoes cryptography” bucket and moved on with their lives. After all, if your end-to-end encryption is well implemented and your engineers prioritized privacy with metadata collection, jurisdiction shouldn’t matter.

What changed for me was, recently, a well-meaning Twitter user mentioned Threema in response to a discussion about Signal.

In response, I had casually glanced through their source code and pointed out a few obvious WTFs in the Twitter thread. I had planned on following up by conducting a thorough analysis of their code and reporting my findings to them privately (which is called coordinated disclosure, not “responsible disclosure”).

But then I read this bit of FUD on their Messenger Comparison page.

Signal requires users to disclose personally identifiable information. Threema, on the other hand, can be used anonymously: Users don’t have to provide their phone number or email address. The fact that Signal, being a US-based IT service provider, is subject to the CLOUD Act only makes this privacy deficit worse.

Threema – Messenger Comparison
Art: LvJ

Thus, because of their deliberate misinformation (something I’ve opposed for years), Threema has been disqualified from any such courtesy. They will see this blog post, and its contents, once it’s public and not a moment sooner.

How Are Threema’s Claims FUD?

Threema’s FUD comparison against Signal.

The quoted paragraph is deceptive, and was apparently designed to make their prospective customers distrustful of Signal.

The CLOUD Act isn’t black magic; it can only force Signal to turn over the data they actually possess. Which is, as demonstrated by a consistent paper trail of court records, almost nothing.

As usual, we couldn’t provide any of that. It’s impossible to turn over data that we never had access to in the first place. Signal doesn’t have access to your messages; your chat list; your groups; your contacts; your stickers; your profile name or avatar; or even the GIFs you search for. As a result, our response to the subpoena will look familiar. It’s the same set of “Account and Subscriber Information” that we can provide: Unix timestamps for when each account was created and the date that each account last connected to the Signal service.

That’s it.

The Signal blog

Additionally, their claim that “Threema […] can be used anonymously” is, at best, a significant stretch. At worst, they’re lying by omission.

Sure, it’s possible to purchase Threema with cryptocurrency rather than using the Google Play Store. And if you assume cryptocurrency is private (n.b., the blockchain is more like tweeting all your financial transactions, unless you use something like Zcash), that probably sounds like a sweet deal.

However, even if you skip the Google Play Store, you’re constantly beaconing a device identifier to their server (which is stored on your device) whenever a license key check is initiated.

Bear in mind, over 1 million of their installed base is through the Google Play Store. This means that, in practice, almost nobody actually takes advantage of this “possibility” of anonymity.

Additionally, their own whitepaper discusses the collection of users’ phone number and email addresses. Specifically, they store hashes (really HMAC with a static, publicly known key for domain separation, but they treat it as a hash) of identifiers (mobile numbers, email addresses) on their server.

Circling back to the possibility of anonymity issue: When it comes to security (and especially cryptography), the defaults matter a lot. That’s why well-written cryptographic tools prioritize both correctness and misuse resistance over shipping new features. The default configuration is the only configuration for all but your most savvy users, because it’s the path of least resistance. Trying to take credit for the mere existence of an alternate route (bypassing the Google Play Store, paying with cryptocurrency) that few people take is dishonest, and anyone in the cryptography space should know better. It’s fine to offer that option, but not fine to emphasize it in marketing.

The only correct criticism of Signal contained within their “comparison” is that, as of this writing, they still require a phone number to bootstrap an account. The phone number requirement makes it difficult for people to have multiple independent, compartmentalized identities; i.e. preventing your professional identity from intersecting with your personal identity–which is especially not great for LGBTQIA+ folks that aren’t out to their families (usually for valid safety reasons).

This obviously sucks, but fails to justify the other claims Threema made.

With all that out of the way, let’s look at Threema’s cryptography protocol and some of their software implementations.

Art: LvJ

Threema Issues and Design Flaws

To be up front: Some of the issues and design flaws discussed below are not security vulnerabilities. Some of them are.

Where possible, I’ve included a severity rating atop each section if I believe it’s a real vulnerability, and omitted this severity rating where I believe it is not. Ultimately, a lot of what’s written here is my opinion, and you’re free to disagree with it.

List of Issues and Vulnerabilities Discovered in Threema

Issues With Threema’s Cryptography Protocols

This first discussion is about weaknesses in Threema’s cryptography protocol, irrespective of the underlying implementation.

At its core, Threema uses similar cryptography to Tox. This means that they’re using some version of NaCl (the library that libsodium is based on) in every implementation.

This would normally be a boring (n.b. obviously secure) choice, but the security bar for private messaging apps is very high–especially for a Signal competitor.

It isn’t sufficient for a secure messenger competing with Signal to just use NaCl. You also have to build well-designed protocols atop the APIs that NaCl gives you.

No Forward Secrecy

The goal of end-to-end encryption is to protect users from the service provider. Any security property guaranteed by transport-layer cryptography (i.e. HTTPS) are therefore irrelevant, since the cryptography is terminated on the server rather than your peer’s device.

The Threema team claims to provide forward secrecy, but only on the network connection.

Forward secrecy: Threema provides forward secrecy on the network connection (not on the end-to-end layer).

This is how Threema admits a weakness in their construction. “We offer it at a different [but irrelevant] layer.”

That’s not how any of this works.
Art: LvJ

Their whitepaper acknowledges this deficit.

As I’ve demonstrated previously, it’s not difficult to implement Signal’s X3DH AKE (which offers forward secrecy) using libsodium. Most of what I’ve done there can be done with NaCl (basically use SHA512 instead of BLAKE2b and you’re golden).

The X3DH handshake is essentially multiple Curve25519 ECDH handshakes (one long-term, one short-term e.g. biweekly, one totally ephemeral), which are mixed together using a secure key derivation function (i.e. HKDF).

To the state of the art for secure messaging that Threema claims, Forward Secrecy is table stakes. Threema’s end-to-end encryption completely lacks this property (and transport-layer doesn’t count). No amount of hand-waving on their part can make this not a weakness in Threema.

The specification for X3DH has been public for 5 years. My proof-of-concept TypeScript implementation that builds atop libsodium is nearly a year old.

If the Threema team wanted to fix this, it would not be hard for them to do so. Building a usable messaging app is much harder than building X3DH on top of a well-studied Curve25519 implementation.

Threema IDs Aren’t Scalable

Severity: Low
Impact: Denial of Service

Threema IDs are 8-digit alphanumeric unique identifiers, chosen randomly, that serve as a pseudonymous mapping to an asymmetric keypair.

This means there are 36^{8} possible Threema IDs (2.8 trillion). This is approximately 2^{41.3594}, so we can say there’s about a 41-bit keyspace.

That may seem like a large number (more than 100,000 the human population), but they’re chosen randomly. Which means: The birthday problem rears its ugly head.

Threema will begin to experience collisions (with 50% probability) after 2^{20.6797} (roughly 1.7 million) Threema IDs have been reserved.

At first, this won’t be a problem: If you collide with someone else’s Threema ID, you just have to generate another one. That’s just an extra round-trip for the Threema server to say “LOL NO try again”. In fact, given the Google Play Store estimates for the number of Threema installs, they’re probably in excess of the birthday bound today.

Quick aside: One known problem with Threema IDs is that users don’t know they’re supposed to back them up, so when they switch phones, they lose access to their old IDs and secret keys. Aside from the obvious social engineering risk that emerges from habitually tolerating new Threema IDs for all contacts (“I lost my old Threema ID, again, so blindly trust that it’s me and not a scammer”), there’s a bigger problem.

Since Threema IDs are used by each app to identify peers, it’s not possible for Threema to recycle expired IDs. In order to do so, Threema would need to be able to inspect the social graph to determine which Threema IDs can be freed, which would be a huge privacy violation and go against their marketing.

So what happens if someone maliciously reserve-then-discards billions of Threema IDs?

Due to the pigeonhole principle, this will eventually lead to an address space exhaustion and prevent more Threema users from being onboarded. However, trouble will begin before it gets this far: At a certain point, legitimate users’ attempts to register a new Threema ID will result in an unreasonable number of contentions with reserved IDs.

Neither the Threema website nor their whitepaper discusses how Threema can cope with this sort of network strain.

Facepaw
Art: LvJ

This problem could have been prevented if the Threema designers were more cognizant of the birthday bound.

Additionally, the fact that Threema IDs are generated server-side is not sufficient to mitigate this risk. As long as IDs are never recycled unless explicitly deleted by their owner, they will inevitably run head-first into this problem.

Peer Fingerprints Aren’t Collision-Resistant

Severity: Informational
Impact: None

From the Threema whitepaper:

Truncating a SHA-256 hash to 128 bits doesn’t give you 128 bits of security against collision attacks. It gives you 64 bits of security, which is about the same security that SHA-1 gives you against collision attacks.

This is, once again, attributable to the birthday bound problem that affects Threema IDs.

Soatok Explains it All
Art: Swizz

Related: I also find it interesting that they only hash the Curve25519 public key and not the combination of public key and Threema ID. The latter construction would frustrate batch attacks by committing both the public key (which is random and somewhat opaque to users) and the Threema ID (which users see and interact with) to a given fingerprint:

  • Finding a collision against a 128-bit probability space, where the input is a public key, can be leveraged against any user.
  • Finding a collision against a 128-bit probability space, where the input is a public key and a given Threema ID, can only be leveraged against a targeted user (i.e. that Threema ID).

Both situations still suck because of the 128-bit truncation, but Threema managed to choose the worse of two options, and opened the door to a multi-user attack.

Impact of the Peer Fingerprint Bypass

To begin with, let’s assume the attacker has compromised all of the Threema servers and is interested in attacking the security of the end-to-end encryption. (Assuming the server is evil is table stakes for the minimum threat model for any end-to-end encrypted messaging app.)

Imagine a situation with Alice, Bob, and Dave.

Alice pushes her Threema ID and public key to the server (A_id, A_pk), then chats with Bob legitimately (B_id, B_pk). Bob suggests that Alice talks to his drug dealer, Dave (D_id, D_pk).

The attacker can obtain knowledge of everyone’s public keys, and begin precomputing fingerprint collisions for any participants in the network. Their first collision will occur after 2^{64} keypairs are generated (with 50% probability), and then collisions will only become more frequent.

What happens when an attacker finds fingerprint collisions for people that are close on the social graph?

When Alice goes to talk with Dave, the attacker replaces her public key with one that collides with her fingerprint, but whose secret key is known to the attacker (M_pk1). The attacker does the same thing in the opposite direction (D_id, M_pk2).

When Alice, Bob, and Dave compare their fingerprints, they will think nothing is amiss. In reality, an attacker can silently intercept Alice’s private conversation with Dave.

The full range of key exchanges looks like this:

  Alice -> Bob:  (A_id, A_pk)
  Alice -> Dave: (A_id, M_pk1)
  Bob -> Alice:  (B_id, B_pk)
  Bob -> Dave:   (B_id, D_pk)
  Dave -> Bob:   (D_id, D_pk)
  Dave -> Alice: (D_id, M_pk2)
  SHA256-128(A_pk) == SHA256-128(M_pk1), A_pk != M_pk1
  SHA256-128(D_pk) == SHA256-128(M_pk2), D_pk != M_pk2

Alice will encrypt messages against M_pk2, rather than D_pk. But the fingerprints will match for both. Dave will respond by encrypting messages against M_pk1, instead of A_pk. The attacker can sit in the middle and re-encrypt messages on behalf of the recipient. Even if both Alice and Dave compare the fingerprints they see with what Bob sees, nobody will detect anything.

(Bob’s communications remain unaffected since he already downloaded everyone’s public keys. This only affects new conversations.)

This is why you only need a collision attack to violate the security of the peer fingerprint, and not a preimage attack.

To be clear, a targeted attack is much more expensive (roughly several trillion times the cost of a general attack; 2^{107} versus 2^{64}).

This is a certificational weakness, and I’m only including it as further evidence of poor cryptographic engineering by Threema’s team rather than an overt vulnerability.

Update (2021-11-08): Remember, this is a list of issues I discovered, not specifically a list of vulnerabilities. People trying to argue in the comments, or my inbox, about whether this is “really” a vulnerability is getting a little tiring; hence, this reminder.

How to Fix Threema’s Fingerprints

First, you need to include both the Threema ID and curve25519 public key in the calculation. This will frustrate batch attacks. If they were to switch to something like X3DH, using the long-term identity key for fingerprints would also be reasonable.

Next, calculate a winder margin of truncation. here’s a handy formula to use: 128 + \log_2(P) where P is the expected population of users. If you set equal to 2^{40}, you end up with a fingerprint that truncates to 168 bits, rather than 128 bits.

This formula yields a probability space with a birthday bound of 2^{84} for collisions, and a preimage cost of 2^{128} (even with a trillion Threema IDs reserved), which plainly isn’t going to ever happen.

No Breadcrumb for Cryptography Migrations

Severity: Informational
Impact: Frustration of Engineering Efforts

There is no concept of versioning anywhere in Threema’s protocols or designs, which means that one day migrating to better cryptography, without introducing the risk of downgrade attacks, simply isn’t possible.

The lack of any cryptography migration breadcrumb also prevents Threema from effectively mitigating security weaknesses inherent to their protocols and designs. You’ll see why this is a problem when we start looking at the implementations.

Cryptography migrations are difficult in general, because:

  1. Secure cryptography is not backwards compatible with insecure cryptography.
  2. In any distributed system, if you upgrade writers to a new cryptography protocol before your readers are upgraded too, you’ll cause availability issues.

The asynchronous nature of mobile messaging apps makes this even more challenging.

Inconsistency with Cryptographic Randomness

Severity: None
Impact: Annoyed Cryptography Auditors

Threema commits the same sin as most PGP implementations in misunderstanding the difference between /dev/random and /dev/urandom on Linux.

See also: Myths about /dev/urandom and How to Safely Generate a Random Number. From the latter:

Doesn’t the man page say to use /dev/random?

You should ignore the man page. Don’t use /dev/random. The distinction between /dev/random and /dev/urandom is a Unix design wart. The man page doesn’t want to admit that, so it invents a security concern that doesn’t really exist. Consider the cryptographic advice in random(4) an urban legend and get on with your life.

Emphasis mine.

If you use /dev/random instead of urandom, your program will unpredictably (or, if you’re an attacker, very predictably) hang when Linux gets confused about how its own RNG works. Using /dev/random will make your programs less stable, but it won’t make them any more cryptographically safe.

Emphasis not mine.

This is an easy fix (/dev/random -> /dev/urandom), but it signals that the whitepaper’s author lacks awareness of cryptographic best practices.

And it turns out, they actually use /dev/urandom in their code. So this is just an inconsistency and an annoyance rather than a flaw.

Source: UNDERTALE

Update (2021-11-08): Yes, I’m aware that the Linux RNG changed in 5.6 to make /dev/random behave the way it always should have.

However, Linux 5.6 is extremely unlikely to help anyone affected by the old Android SecureRandom bug that Threema has implied as part of their threat model when they called it out in their Cryptography Whitepaper, so I didn’t originally deem it fit to mention.

Invisible Salamanders with Group Messaging

Severity: Medium
Impact: Covert channel through media messages due to multi-key attacks

Note: This was discovered after the initial blog post was published and added later the same day.

Threema doesn’t do anything special (e.g. TreeKEM) for Group Messaging. Instead, groups are handled by the client and messages are encrypted directly to all parties.

This provides no group messaging authentication whatsoever. A user with a malicious Threema client can trivially join a group then send different messages to different recipients.

Imagine a group of five stock traders (A, B, C, D, E). User A posts a message to the group such that B, C, and D see “HOLD” but user E sees “SELL”.

An attacker can have some real fun with that, and it’s probably the easiest attack to pull off that I’ll discuss in this post.

User E won’t have much recourse, either: Users B, C, and D will all see a different message than User E, and will think E is dishonest. Even if User E provides a screenshot, the rest of the users will trust their own experiences with their “private messaging app” and assume User E is spinning yarns to discredit User A. It would then be very easy for A to gaslight E. This is the sort of attack that us LGBTQIA+ folks and furries are often, sadly, all too familiar with (usually from our families).

Additionally, there’s an invisible salamanders attack with media files.

Invisible Salamanders is an attack technique in systems where traditional, fast AEAD modes are employed, but more than one key can be selected. The security modes of most AEAD modes assumed one fixed symmetric encryption key held by both parties in their security designs.

To exploit the Invisible Salamanders attack:

  1. Generate two (or more) Xsalsa20-Poly1305 keys that will encrypt different media files to a given ciphertext + tag.
  2. Send a different key to a different subset of group participants.

Both parties will download the same encrypted file, but will see a different plaintext. Threema cannot detect this attack server-side to mitigate impact, either.

Art: LvJ

Encrypting multiple plaintexts, each under a different key, that produce an identical ciphertext and authentication tag is possible with AES-GCM, AES-GCM-SIV, and even Xsalsa20-Poly1305 (NaCl secretbox, which is what Threema uses).

Preventing this kind of misuse was never a security goal of these modes, and is generally not recognized as a vulnerability in the algorithms. (It would only qualify as a vulnerability if the algorithm designers stated an assumption that this violated.) However, Invisible Salamanders absolutely is a vulnerability in the protocols that build atop the algorithms. Thus, it qualifies as a vulnerability in Threema.

Here’s a Black Hat talk by Paul Grubbs explaining how the Invisible Salamanders technique works in general:

This isn’t a problem for i.e. Signal, because the Double Ratchet algorithm keeps the key synchronized for all group members. Each ciphertext is signed by the sender, but encrypted with a Double Ratchet key. There’s no opportunity to convince one partition of the Group to use a different key to decrypt a message. See also: Sesame for multi-device.

The reason the vulnerability exists is that Poly1305, GMAC, etc. are fast symmetric-key message authentication algorithms, but they are not collision-resistant hash functions (e.g. SHA-256).

When you use a collision-resistant hash function, instead of a polynomial evaluation MAC, you’re getting a property called message commitment. If you use a hash function over the encryption key (and, hopefully, some domain-separation constant)–or a key the encryption key is deterministically derived from–you obtain a property called key commitment.

In either case, you can claim your AEAD mode is also random-key robust. This turns out to be true of AES-CBC + HMAC-SHA2 (what Signal uses), due to HMAC-SHA2.

Art: Scruff
Invisible Salamanders Mitigation with NaCl

First, you’ll need to split the random per-media-file key into two keys:

  1. A derived encryption key, which will take the place of what is currently the only key.
  2. A derived authentication key, which will be used with crypto_auth and crypto_auth_verify to commit the ciphertext + tag.

It’s important that both keys are derived from the same input key, and that the key derivation relies on a strong pseudorandom function.

Pseudocode:

function encryptMediaV2(data: Buffer, fileKey: Buffer) {
  const encKey  = HmacSha256('File Encryption Key', fileKey);
  const authKey = HmacSha256('Media Integrity Key', fileKey);
  const encrypted = NaCl.crypto_secretbox(data, nonce, encKey);
  const commitment = NaCl.crypto_auth(encrypted, authKey);
  return Buffer.concat([commitment, encrypted]);
}
function decryptMediaV2(downloaded: Buffer, fileKey: Buffer) {
  const tag = downloaded.slice(0, 32);
  const ciphertext = downloaded.slice(32);
  const authKey = HmacSha256('Media Integrity Key', fileKey);
  if (!NaCl.crypto_auth_verify(tag, ciphertext, authKey)) {
    throw new Exception("bad");
  }
  const encKey  = HmacSha256('File Encryption Key', fileKey);
  return NaCl.crypto_secretbox_open(ciphertext, nonce, encKey);
}

This code does two things:

  1. It derives two keys instead of only using the one. You could also just use a SHA512 hash, and then dedicate the left half to encryption and the right half to authentication. Both are fine.
  2. It uses the second key (not for encryption) to commit the ciphertext (encrypted file). This provides both message- and key-encryption.

If you didn’t care about message-commitment, and only cared about key-commitment, you could just skip the crypto_auth entirely and just publish the authKey as a public commitment hash of the key.

This corresponds to Type I in the Key Committing AEADs paper (section 3.1), if you’re trying to build a security proof.

Of course, the migration story for encrypted media in Threema is going to be challenging even if they implement my suggestion.

Issues With Threema Android

Weak Encryption with Master Key (LocalCrypto)

Severity: Low/High
Impact: Weak KDF with Crib (default) / Loss of Confidentiality (no passphrase)

The on-device protection of your Master Key (which also protects your Curve25519 secret key) consists of the following:

  1. A hard-coded obfuscation key (950d267a88ea77109c50e73f47e06972dac4397c99ea7e67affddd32da35f70c), which is XORed with the file’s contents.
  2. (Optional) If the user sets a passphrase, calculate the PBKDF2-SHA1 of their passphrase (with only 10,000 iterations) and XOR the master key with this output.

If the user opts to not use a passphrase, if their phone is ever seized from a government agency, it might as well be stored as plaintext.

Art: LvJ

To be charitable, maybe that kind of attack is outside of their (unpublished) threat model.

Even if a user elects to store a passphrase, the low iteration count of PBKDF2 will allow for sophisticated adversaries to be able to launch offline attacks against the encrypted key file.

The 4-byte SHA1 verification checksum of the plaintext master key gives cracking code a crib for likely successful attempts (which, for weak passphrases, will almost certainly mean “you found the right key”). This is somehow worse than a typical textbook MAC-and-Encrypt design.

The checksum-as-crib is even more powerful if you’ve sent the target a photo before attempting a device seizure: Just keep trying to crack the Master Key then, after each time the checksum passes, decrypt the photo until you’ve successfully decrypted the known plaintext.

The verification checksum saves you from wasted decryption attempts; if the KDF output doesn’t produce a SHA1 hash that begins with the verification checksum, you can keep iterating until it does.

Once you’ve reproduced the file you sent in the first place, you also have their Curve25519 secret key, which means you can decrypt every message they’ve ever sent or received (especially if the Threema server operator colludes with their government).

Art: LvJ

Also, Array.equals() isn’t constant-time. Threema should know this by now thanks to their Cure53 audit finding other examples of it a year ago. It’s 2021, you can use MessageDigest.isEqual() for this.

Update: An Even Faster Attack Strategy

SHA1 can be expensive in a loop. A much faster technique is to do the XOR dance with the deobfuscated master key file, then see if you can decrypt the private_key file.

Because this file is AES-CBC encrypted using the Master Key, you can just verify that the decryption result ends in a valid padding block. Because Curve25519 secret keys are 32 bytes long, there should be a full 16-byte block of PKCS#7 padding bytes when you’ve guessed the correct key.

You can then use the 4-byte SHA-1 checksum and a scalarmult vs. the target’s public key to confirm you’ve guessed the correct password.

Thanks to @Sc00bzT for pointing this attack strategy out.

File Encryption Uses Unauthenticated CBC Mode

Severity: Low
Impact: Unauthenticated encryption (but local)

Threema’s MasterKey class has an API used elsewhere throughout the application that encrypts and decrypts files using AES/CBC/PKCS5Padding. This mode is widely known to be vulnerable to padding oracle attacks, and has a worse wear-out story than other AES modes.

Unlike the care taken with nonces for message encryption, Threema doesn’t bother trying to keep track of which IVs it has seen before, even though a CBC collision will happen much sooner than an Xsalsa20 collision. It also just uses SecureRandom despite the whitepaper claiming to avoid it due to weaknesses with that class on Android.

Additionally, there’s no domain separation or protection against type confusion in the methods that build atop this feature. They’re just AES-CBC-encrypted blobs that are decrypted and trusted to be the correct file format. So you can freely swap ciphertexts around and they’ll just get accepted in incorrect places.

Tangent: The Pure-Java NaCl implementation they use when JNI isn’t available also uses SecureRandom. If you’re going to include a narrative in your Cryptography Whitepaper, maybe check that you’re consistently adhering to it?

Cache-Timing Leaks with Hex-Encoding (JNaCl)

Severity: Low
Impact: Information disclosure through algorithm time

This isn’t a meaningfully practical risk, but it’s still disappointing to see in their pure-Java NaCl implementation. Briefly:

  1. JNaCl definition for hex-encoding and decoding
  2. OpenJDK definition for Character.digit()
  3. OpenJDK definition for CharacterDataLatin1.digit()

Because this implementation uses table lookups, whenever a secret (plaintext or key) goes through one of the JNaCl hexadecimal functions, it will leak the contents of the secret through cache-timing.

For reference, here’s how libsodium implements hex-encoding and decoding.

Art: Swizz

Issues With Threema Web

I’m not going to spend a lot of time on the Threema Web project, since it’s been in maintenance-only mode since at least January.

Insecure Password-Based Key Derivation

Severity: High
Impact: Insecure cryptographic storage

While SHA512 is a good cryptographic hash function, it’s not a password hash function. Those aren’t the same thing.

Threema’s Web client derives the keystore encryption key from a password by using the leftmost 32 bytes of a SHA512 hash of the password.

/**
 * Convert a password string to a NaCl key. This is done by getting a
 * SHA512 hash and returning the first 32 bytes.
 */
private pwToKey(password: string): Uint8Array {
    const bytes = this.stringToBytes(password);
    const hash = nacl.hash(bytes);
    return hash.slice(0, nacl.secretbox.keyLength);
}

Once again, just because you’re using NaCl, doesn’t mean you’re using it well.

This code opens the door to dictionary attacks, rainbow tables, accelerated offline attacks, and all sorts of other nasty scenarios that would have been avoided if a password hashing algorithm was used instead of SHA512.

Also, this is another cache-timing leak in most JavaScript engines and the entire method that contains it could have been replaced by Uint8Array.from(password, 'utf-8').

Threema can’t claim they were avoiding the UInt8Array.from() method there because of compatibility concerns (e.g. with IE11) because they use it here.

Art: LvJ

Summary of Results

In the cryptography employed by Threema, I was able to quickly identify 5 6 issues, of which 2 3 directly negatively impact the security of their product (Threema IDs Aren’t Scalable can lead to address exhaustion and Denial-of-Service; Peer Fingerprints Aren’t Collision-Resistant allows moderately-funded adversaries to bypass fingerprint detection for a discount).

Both security issues in the Threema cryptography protocol were caused by a poor understanding of the birthday bound of a pseudorandom function–something that’s adequately covered by Dan Boneh’s Cryptography I course.

Additionally, the total lack of forward secrecy invalidates the Threema marketing claims of being more private or secure than Signal.

Update (3:45 PM): After initially publishing this, I realized there was a third security issue in the cryptography protocol, concerning Group Messaging: Invisible Salamanders.

In the Android app, I was able to identify 3 issues, of which 2 directly negatively impact the security of their product (Weak Encryption With Master Key (LocalCrypto) provides a very weak obfuscation or somewhat weak KDF (with a checksum) that, either way, makes leaking the key easier than it should be; File Encryption Uses Unauthenticated CBC Mode introduces all of the problems of CBC mode and unauthenticated encryption).

Finally, I only identified 1 security issue in the web client (Insecure Password-Based Key Derivation) before I saw the maintenance notice in the README on GitHub and decided it’s not worth my time to dive any deeper.

I did not study the iOS app at all. Who knows what dragons there be?

Art: LvJ

There were a few other issues that I thought existed, and later realized was false. For example: At first glance, it looked like they weren’t making sure received messages didn’t collide with an existing nonce (n.b. only on messages being sent)–which, since the same key is used in both directions, would be catastrophic. It turns out, they do store the nonces on received messages, so a very obvious attack isn’t possible.

The fact that Threema’s developers built atop NaCl probably prevented them from implementing higher-severity issues in their product. Given that Threema Web finding, I can’t help but ponder if they would have been better served by libsodium instead of NaCl.

Threema has been publicly audited (twice!) by vendors that they hired to perform code audits, and yet so many amateur cryptography mistakes persist in their designs and implementations years later. From their most recent audit:

Cure53’s conclusion doesn’t jive with my observations. I don’t know if that says something about them, or something about me, or even something much more meta and existential about the nature of cryptographic work.

Art: Riley

Is Threema Vulnerable to Attack?

Unfortunately, yes. In only a few hours of review, I was able to identify 3 vulnerabilities in Threema’s cryptography, as well as 3 others affecting their Android and web apps.

How Severe Are These Issues?

While there are several fundamental flaws in Threema’s overall cryptography, they mostly put the service operators at risk and signal a lack of understanding of the basics of cryptography. (Namely: discrete probability and pseudorandom functions.)

The biggest and most immediate concern for Threema users is that a malicious user can send different media messages to different members of the same group, and no one can detect the deception. This is a much easier attack to pull off than anything else discussed above, and can directly be used to sew confusion and enable gaslighting.

For Threema Enterprise users, imagine someone posting a boring document in a group chat for work purposes, while also covertly leaking confidential and proprietary documents to someone that’s not supposed to have access to said documents. Even though you all see the same encrypted file, the version you decrypt is very different from what’s being fed to the leaker. Thus, Threema’s vulnerability offers a good way for insider threats to hide their espionage in plain sight.

The remaining issues discussed do not put anyone at risk, and are just uncomfortable design warts in Threema.

Recommendations for Threema Users

Basically, I don’t recommend Threema.

Art: LvJ

Most of what I shared here isn’t a game over vulnerability, provided you aren’t using Threema for group messaging, but my findings certainly debunk the claims made by Threema’s marketing copy.

If you are using Threema for group messaging–and especially for sharing files–you should be aware of the Invisible Salamanders attack discussed above.

When in doubt, just use Signal. It’s free, open source, private, and secure.

The reason you hear less about Signal on blogs like this is because, when people like me reviews their code, we don’t find these sorts of problems. I’ve tried to find problems before.

If you want a federated, desktop-first experience with your end-to-end encryption without a phone number, I don’t have any immediate replacement recommendations. Alternatives exist, but there’s no clear better option that’s production-ready today.

If you want all of the above and mobile support too, with Tor support as a first-class feature enabled by default, Open Privacy is developing Cwtch. It’s still beta software, though, and doesn’t support images or video yet. You also can’t install it through the Google Play Store (although that will probably change when they’re out of beta).

Looking forward, Signal recently announced the launch of anti-spam and spam-reporting features. This could indicate that the phone number requirement could be vanishing soon. (They already have a desktop client, after all.) If that happens, I implore everyone to ditch Threema immediately.

Disclosure Timeline

This is all zero-day. I did not notify Threema ahead of time with these findings.

Threema talks a big talk–calling themselves more private/secure than Signal and spreading FUD instead of an honest comparison.

If you’re going to engage in dishonest behavior, I’m going to treat you the same way I treat other charlatans. Especially when your dishonesty will deceive users into trusting an inferior product with their most sensitive and intimate conversations.

Threema also like to use the term “responsible disclosure” (which is a term mostly used by vendors to gaslight security researchers into thinking full disclosure is unethical) instead of the correct term (coordinated disclosure).

Additionally, in cryptography, immediate full disclosure is preferred over coordinated disclosure or non-disclosure. The responsibility of a security engineer is to protect the users, not the vendors, so in many cases, full disclosure is responsible disclosure.

They use this term everywhere.

That’s just a pet peeve of mine, though. Can we please dispense of this paleologism?


If you’re curious about the title, Threema’s three strikes were:

  1. Arrogance (claiming to be more private than Signal)
  2. Dishonesty (attempting to deceive their users about Signal’s privacy compared with Threema)
  3. Making amateur mistakes in their custom cryptography designs (see: everything I wrote above this section)

Hi Soatok

Thanks for this extensive review. I am a Signal/Threema and user and value such disclosure a lot (even though I only understand parts of the technical details).
I wonder what your thoughts are on the “National Security Letters” which are used by the US government. Other countries obviously have similar mechanisms, but in my understanding this means that e.g. the FBI can theoretically subpoena the hell out of an organization without it beeing known to the public for an indefinite amount of time and without a judges authorization… (my information is based on the story from the internet archive organization). This always lets me hesitate a bit from trusting US based services.

Thanks for the article
(Also: Why are you blue? 😉

My thoughts on National Security Letters are as such:

1. They suck, and should not exist.
2. People vastly overestimate the kinds of information that NSLs can be used for. According to the EFF, they can be used to obtain: customer’s name, address, length of service, communications (phone and Internet) records, and banking and other financial and credit information.

This means they can’t be used to compel a company to backdoor their product/service. And that’s what a lot of people expect NSLs to be capable of.

Despite being based in the US, Signal doesn’t know your name or address. who you’re talking to, or your financial information. If they never collect it, an NSL can’t be used to obtain it.

I enjoy reading your blog posts they have a good balance of approachability and rigor. I will preface my question with the caveat that I am not an expert and they are asked in earnest and not criticism. This one led to a couple of questions that might be appropriate for clarification or another blog post depending on their length.
Can expound on the fingerprint bypass in either this post or another. It seems like for 2 ** 64 to be the threshold for finding useful collisions there would need to be an impossible number of legitimate users (otherwise you’d just be finding collisions with yourself). Furthermore, I believe you would need to find a collision in both directions between parties in communication, decreasing the attack probability further and making it not a straightforward birthday problem application.
You seem to indicate that hashing the identity with the fingerprint and truncation is still bad. This would appear to remove the birthday attack. Is the issue that truncating the hash weakens it below 128 bits? Is 128 bits not enough if so why? Is it an issue with an inconsistent strength in primitive and paying and giving an overly optimistic impression of the end strength?

“It seems like for 2 ** 64 to be the threshold for finding useful collisions there would need to be an impossible number of legitimate users (otherwise you’d just be finding collisions with yourself).”

If you were trying to create an untargeted collision, 2**64 is the attack cost. If you’re trying for a targeted attack, you’d need a preimage attack.

“You seem to indicate that hashing the identity with the fingerprint and truncation is still bad. This would appear to remove the birthday attack. Is the issue that truncating the hash weakens it below 128 bits?”

It’s still bad because the security threshold is only 64 bits, not 128 bits. You always use the lowest number for attack cost when certifying an application. However, it would be sufficient to mitigate untargeted attacks, so I’m left wondering why they didn’t do that.

Ref the birthday attack, only the (presumably infinitesimal) minority of collisions with a legitimate user matter though? Alternatively stated wouldn’t the overwhelming majority of collisions be where you control both colliding keys, and thus don’t need the collision to impersonate. Consider the degenerate case where there are only two legitimate users on the system and each attacker generated key/id and the probability of each attacker generated key colliding with a legitimate user is 2/(2**128) vs the impossible case where there are 2**128 legitimate users and every attacker generated key collides with a legitimate user. Furthermore since you need to have a collision for both parties you are MitM ing, then don’t you also need a probability of two parties communicating to estimate the probability of being able to MitM a connection?

If you can sub the public key out (there are 2**252 or so Curve25519 keypairs, there are 2**128 fiingerprints, so you can get 2**124 public keys for each fingerprint, and a multi-user preimage cost is 2**104.

I don’t know why everyone is obsessing over a certificational weakness so much. The Invisible Salamanders attack is the real interesting one.

thank you for your article. The lack of PFS has bothered me for a long time. Nice to read from someone who confirms that transport security is not enough in this context.

geschätzte Lesezeit: 7 min

Handelskriege und militärische Eskalation: Die Summe des Vermeidbaren

Ein Beispiel: Deutschland hätte sich und ganz Europa viel ersparen können. Foto: Michael Coghlan / A Radical Then and Now Shot / CC-BY-SA-2.0

Die Bilanz der gewaltsamen Tode und Zerstörungen, die in der Weltgeschichte vermeidbar gewesen wären, ist erdrückend

"Die Weltgeschichte ist auch die Summe dessen, was vermeidbar gewesen wäre." Dieser nachdenkenswerte Satz wird in Deutschland neben Bertrand Russel meistens Konrad Adenauer zugeschrieben, dem ersten Kanzler der jungen Bundesrepublik. Was Deutschland sich und Europa hätte ersparen können, wenn es die Hitler-Diktatur nicht zugelassen hätte, war nach der totalen Niederlage und Zerstörung der wichtigsten Städte natürlich eine müßige Frage.

Deutschland hatte mit dem Feuer gespielt und auch erhebliche Teile der Bevölkerung, die nicht unbedingt mit den Nationalsozialisten sympathisierten, hatten sich von den anfänglichen Blitzkriegserfolgen berauschen lassen. Diese Masseneuphorie ist heute kaum nachvollziehbar, sie ist aber auch in milderer Dosierung ein höchst gefährlicher kollektiver Geisteszustand und heute durch unkontrollierbare Desinformation noch gefährlicher als damals.

Von der kleinsten Rebellengruppe bis zu den größten Armeen unserer Tage spielt die notwendigerweise indoktrinierte Psychologie des einzelnen Soldaten wie der Führungsebenen eine entscheidende Rolle für Kampfkraft und Einsatzbereitschaft. Und falls Bertrand Russel die Vermeidbarkeiten der Weltgeschichte nicht so definiert hat, trifft er mit einem anderen Zitat den wunden Punkt der militärischen Motivierungs-Notwendigkeit zentral:

"Patrioten sprechen immer von der Notwendigkeit, für das Vaterland zu sterben, nicht aber von der Notwendigkeit, für das Vaterland zu töten." Während nach Aussetzung der Wehrpflicht nur noch wenige junge Deutsche freiwillig beide Notwendigkeiten ins Auge fassen, darf man bei einer Reihe großer Armeen davon ausgehen, dass die wirtschaftlichen und gesellschaftlichen Voraussetzungen dieser Länder den Dienst entweder als ehrenvoll oder aber als materiell attraktiv erscheinen lassen.

Goldgräberstimmung für Söldnerdienste

Die moderne Entwicklung, dass immer öfter gut bezahlte Söldnerdienste an zahlreichen Schauplätzen eingreifen, deutet darauf hin, dass Bertrand Russels moralische Differenzierung zwischen Sterben und Töten dabei weniger eine Rolle spielt als Profit- und Verdienstmöglichkeiten.

Nicht nur die russische Gruppe Wagner wird gut bezahlt, bei den britischen und amerikanischen "Private Military Companies" (PMCs) werden je nach Gefährlichkeit des Einsatzes bis zu 2000 US-Dollar pro Tag gezahlt. In Afghanistan waren über mehrere Jahre mehr Söldner im Einsatz als reguläre Soldaten und starben auch deutlich mehr als diese.

Nach einem nicht datierten Artikel im Spec Ops Magazine [1] beschäftigen die PMCs zusammen mehr als 625.000 Personen, ein Milliardengeschäft, denn für die nationale Sicherheit fließen Steuermittel immer leichter als etwa für Bildung.

"Der Krieg ist eine bloße Fortsetzung der Politik mit anderen Mitteln." Diese oft zitierte Definition des preußischen Generals Carl von Clausewitz lenkt allzu leicht von den wichtigen Einschränkungen seines 1832 erschienen Buches "Vom Kriege" ab. Es geht Clausewitz nämlich sehr wohl um die Verhältnismäßigkeit zwischen Einsatz, Opfern, Schäden und Gewinn, nämlich die eigentlich wichtigste Frage, ob ein verlustreicher Krieg zur Durchsetzung politischer Ziele gerechtfertigt werden kann.

Seit Urzeiten haben Kriegsvorbereitungen und Drohszenarien ausgereicht, um politische oder wirtschaftliche Ziele gegenüber schwächeren Staaten durchzusetzen. Die möglicherweise "elegantere" Erpressungsmethode kann dabei ein "Handelskrieg" sein, eine Bezeichnung, die in den zwei oder drei letzten Jahren ständig kommuniziert wird.

Wenn einem Handelskrieg allerdings durch Rüstungswettläufe auf beiden Seiten Nachdruck verliehen wird, wie das derzeit zwischen den USA und China und seit Februar mit Russland der Fall ist, sollten die Alarmglocken eigentlich lauter klingen. Muss man davon ausgehen, dass wirtschaftliche Nadelstiche immer stärker werden müssen, um noch wirksam zu sein, oder dass eine Sanktionsspirale am Ende doch militärische Gewalt auslöst?

Es ist erschreckend genug, daß die Frage einer gewaltsamen Auseinandersetzung zwischen den beiden Supermächten immer wieder gestellt und diskutiert wird. Dabei geht es häufig genug um technische Details, welche Raketen wie weit fliegen und wie genau sie treffen können, wie viele U-Boote und Flugzeugträger notwendig sind, und viele ähnliche.

Aus dem Kalten Krieg werden Überlegungen aufgewärmt, welche Überlebenschancen welche Teile der Bevölkerung haben und ob allein die 1,4 Milliarden Chinesen den Ausschlag geben würden, weil militärisch nur ein Bruchteil von ihnen umgebracht werden kann. Da verselbständigen sich zusehends die technisch-militärischen Aspekte gegenüber der Priorität der politischen Ziele und der notwendigen Gewinn- und Verlustrechnung des Generals von Clausewitz.

Als Kolonialbesitz noch "selbstverständlich" war

Als ein bis heute warnendes Beispiel, wie leicht die politische Lage außer Kontrolle geraten kann, sei hier an die Beziehungen zwischen den USA und Japan Ende der 1930er-Jahre erinnert. Als die Japaner nach einem inszenierten Attentat 1931 in China einmarschierten und den Vasallenstaat Mandschukuo errichteten, war Kolonialbesitz in Europa, aber auch für die USA, noch eine Selbstverständlichkeit.

Aber die japanische Expansion bedrohte eben diese Selbstverständlichkeiten, in Burma und Malaya für die Briten, in Indochina für die Franzosen, in Indonesien für die Niederländer und in den Philippinen für die USA. Zur Erinnerung: US-Präsident Roosevelt bewilligte 1934 zwar die Unabhängigkeit der Philippinen, allerdings mit einer Übergangsperiode von zehn Jahren.

China, unterstützt von den USA, das dem Regime von Chiang Kai-Schek den Rücken stärkt, ruft wegen der Mandschurei-Annexion den Völkerbund an, der sie ohne weitere praktische Folgen verurteilt, was 1933 zum Austritt Japans führt. Die USA, weiterhin in den Philippinen engagiert, stehen diplomatisch für das Selbstbestimmungsrecht Chinas ein und erklären in der Hoover-Stimson Doktrin, dass Mandschukuo nicht anerkannt werden darf.

Heldentod als "größte Ehre"

In Japan entwickelt sich unterdessen ein ins Maßlose übersteigerter Nationalismus, Armee und Marine fühlen sich so gut wie unbesiegbar. Das Erziehungssystem bereitet die männliche Jugend auf die vorgeblich erstrebenswerteste Lebenserfüllung in der Armee vor, als größte Ehre gilt der Heldentod für den Kaiser.

Fast parallel dazu wird nach Hitlers Machtübernahme 1933 die Militarisierung in Deutschland mit ganz ähnlichen Opfertodmythen vorangetrieben. Japan war schon länger an deutscher Technik interessiert, besonders der militärischen. Eine engere Zusammenarbeit entstand aber erst mit dem Dreimächtepakt vom September 1940, von den Vertragspartnern auch als Achse Berlin-Rom-Tokio bezeichnet.

Dem nach den britischen Opiumkriegen im 19. Jahrhundert und durch die folgenden ungleichen Verträge gedemütigten und durch innenpolitisches Chaos geschwächten China gelingt es immerhin und über den Völkerbund hinaus, eine Koalition gegen Japan zu schmieden.

1939 kündigen die USA den Handelsvertrag mit Japan von 1911 auf, 1940 stellen die USA, Großbritannien, Australien, die Niederlande und andere die Lieferung von strategischen Rohmaterialien wie Öl, Eisenerz und Stahl an Japan ein. Japanische Guthaben in den USA werden eingefroren.

Der spätere amerikanische Außenminister Dean Acheson, entscheidend an dieser Politik beteiligt, nennt diese Maßnahmen, die Japan tatsächlich in die Enge treiben, "full-blooded financial warfare against Japan". Die Kriegsrhetorik umfasst nun eindeutig den internationalen Handel, wenn auch in der guten Absicht, die japanische Expansion und weitere Kriege zu vermeiden. Tatsächlich geht die politische Rechnung allerdings nicht auf.

Kaiser Hirohito will zunächst keinen Krieg, muss aber in der innenpolitischen Krise im Herbst 1941 und nach dem Zusammenbruch diplomatischer Rettungsversuche den General Hideki Tojo zum Premierminister ernennen, einen dezidierten militärischen Hardliner. Die USA bestehen unerbittlich auf Rückzug, der für Japan, das inzwischen auch tief nach Südostasien vorgedrungen ist, nicht in Frage kommt.

Japan empfindet die Forderungen der USA als Ultimatum, Kaiser Hirohito ist mit einem Präventivschlag einverstanden, und am Morgen des 7. Dezember 1941 versenkt die japanische Marine-Luftwaffe die pazifische Flotte der USA in Pearl Harbour.

Die Wirksamkeit von Handelssanktionen wird bis heute unterschiedlich beurteilt, unterlaufen werden sie offenbar regelmäßig. Der Washingtoner Think Tank Cato Institute hält übrigens Wirtschaftssanktionen für das beliebteste und gleichzeitig unwirksamste außenpolitische Instrument der USA und fordert eine radikale Reform.

Japan wurde im Weltkrieg durch das Ölembargo zwar geschwächt, konnte aber aus indonesischen Lagerstätten und synthetischem Öl etwa 80 Prozent der Vorkriegsproduktion aufrechterhalten, was den Krieg nicht spürbar verkürzt hat. Und ungeplante militärische Zwischenfälle sind natürlich jederzeit möglich, wenn die Spannungen und gegenseitigen Verdächtigungen ein ausreichend gefährliches Niveau erreicht haben.

Warum Putin sich offenbar doppelt verrechnet hat

Geschichte wiederholt sich nicht? Thukydides meinte im Gegenteil, sie sei eine ewige Wiederholung. Aber vielleicht hält sich China eher an seinen klassischen Kriegstheoretiker Sun Tsu: "Der, der weiß, wann er kämpfen sollte und wann nicht, wird siegreich sein".

Russlands Präsident Wladimir Putin hat das nicht gewusst und sich mit der Ukraine-Invasion offenbar doppelt verrechnet. Er und seine Generäle haben die Verteidigungsfähigkeit der Ukrainer unterschätzt, obwohl sie hätten wissen können, dass deren Armee seit der Krim-Annexion massiv von Großbritannien und den USA ausgebildet und aufgerüstet worden war.

Und die massive Waffenhilfe der USA, der Nato und vieler europäischer Länder hat er ebenfalls nicht vorhergesehen, was ihn umso gefährlicher macht, je weiter die russische Armee selbst in die Enge getrieben wird. Einen Rückzug hinter die ukrainischen Grenzen von 1991 und die Rückeroberung des Donbass und der Krim kann sich im Kreml niemand vorstellen. Wahrscheinlich ist deshalb, dass die russischen Angriffe noch heftiger und brutaler und die Waffenarsenale ausgeweitet werden, bis zu taktischen Atomwaffen.


URL dieses Artikels:
https://www.heise.de/-7200915

Links in diesem Artikel:
[1] http://www.special-ops.org

geschätzte Lesezeit: 5 min

Exklusiv: So haben die EU-Staaten ihren Gas-Notfallplan zum Scheitern gebracht

Verordnung sollte die EU gegen einen Lieferstopp aus Russland wappnen. Doch viele Staaten traten effektiven Regeln entgegen. Ein internes EU-Dokument macht nun das Ausmaß des Streits deutlich.

Der Notfallplan der EU für den Fall einer drohenden Gaskrise im Herbst und Winter ist stärker verwässert worden als bisher bekannt war. Das geht aus dem jüngsten internen Entwurf für eine Ratsverordnung "über koordinierte Maßnahmen zur Senkung der Gasnachfrage" (GS-VO) hervor, der Telepolis exklusiv vorliegt. Das Dokument war in der vergangenen Woche unter Hochdruck erarbeitet worden und hatte unter den EU-Mitgliedsstaaten massive Debatten provoziert.

Vor allem der Versuch der EU-Kommission, verpflichtende Gas-Sparziele festzulegen, war auf Widerstand gestoßen. Letztlich scheiterte dieses Vorhaben in seiner ursprünglichen Form an der Gegenwehr meist südeuropäischer Staaten, aber auch Frankreichs.

Die Bundesregierung hingegen konnte sich mit ihren ambitionierten Zielen nicht durchsetzen. Deutschen Diplomaten waren nach eigenen Angaben mit der Vorgabe in die Gespräche am Freitag vergangener Woche und am Montag dieser Woche gegangen, ein Einsparziel von 20 Prozent auszuhandeln. Am Ende einigten sich die Delegationen nach heftigem Streit auf 15 Prozent.

In der internen, dritten Überarbeitung der Verordnung wird nun klar: Auch an anderen Stellen des Dokuments wurden die ursprünglichen Ziele abgeschwächt. Das ist auch eine Teilniederlage für die tschechische Ratspräsidentschaft, die bei den Sitzungen des Ausschusses der Ständigen Vertreter der Mitgliedstaaten (AStV) hinter verschlossenen Türen vor einer drohenden Notlage gewarnt hatte. Sie appellierte laut Gesprächsprotokollen "eindringlich" an die Mitgliedsstaaten, ein "Signal der Einigkeit und der Solidarität auszusenden". Die Gaslieferungen aus Russland könnten jederzeit komplett eingestellt werden.

Die dritte Überarbeitung des Verordnungstextes ist nun ein Ergebnis der Beratungen im AStV am Montag und wurde von einem sogenannten Sonderenergierates am Dienstag dieser Woche abgesegnet. "Die wichtigste noch offene Frage unter den Mitgliedsstaaten war die Berücksichtigung nationaler Besonderheiten", heißt es nun in einem internen EU-Dokument, das die Debatte zusammenfasst und das Telepolis ebenfalls vorliegt. Mehrere Mitgliedsstaaten hätten "Vorbehalte hinsichtlich eines zu hohen Zielwerts für die verpflichtende Nachfragesenkung" geltend gemacht.

EU-Gas-Notfallplan: freiwillig, freiwillig, freiwillig …

Dreizehnmal kommt in dem Verordnungstext, der in der deutschen Übersetzung 23 Seiten umfasst, nun das Wort "freiwillig" vor. Nur einmal davon wird der nicht verbindliche Charakter der Einsparziele problematisiert. An dieser Stelle heißt er: "Ein Unionsalarm sollte nur ausgerufen werden, falls sich die Maßnahmen zur freiwilligen Nachfragereduzierung als unzureichend erweisen, um dem Risiko eines schwerwiegenden Versorgungsengpasses zu begegnen."

Aus dem internen EU-Dokument: Das gefettete "freiwillig" wurde hier noch eingefügt.

In mehreren Passus aber sind ursprünglich verbindliche Ziele in optionale Regelungen geändert worden. So wurde das Wort "freiwillig" in der Präambel des dritten Entwurfs in eine zentrale Aussage eingefügt: "Bei der Höhe der freiwilligen Nachfragereduzierung sollte den Gasnachfragemengen Rechnung getragen werden, die im Falle einer vollständigen Einstellung der russischen Gaslieferungen nicht geliefert würden."

Über eine weitere Einschränkung hatten mehrere Nachrichtenagenturen in dieser Woche bereits berichtet: Der ursprüngliche Plan, nach dem die EU-Kommission im Fall der befürchteten vollständigen Einstellung der russischen Gaslieferungen einen "Unionsalarm" auslösen kann, konnte nicht durchgesetzt werden. Der "Unionsalarm" hätte zur Folge gehabt, dass das grundsätzliche Einsparziel von 15 Prozent des Gaskonsums im Vergleich zum Durchschnittsverbrauch der letzten fünf Jahre zwingend wird.

Stattdessen übertrugen die Vertreter der Mitgliedsstaaten diese Entscheidungsmacht dem Europäischen Rat, also sich selbst. Damit dürfte ein obligatorischer Sparplan in weite Ferne rücken: Telepolis hatte schon am Dienstag unter Berufung auf beteiligte Diplomaten berichtet [1], dass sich eine große Ländergruppe gegen eine Pflichtregel gewehrt und Ausnahmeregelungen gefordert hatte; darunter neben der mächtigen französischen Delegation auch Belgien, Griechenland, Italien, Malta, die Slowakei, Spanien und Portugal.

In einem Einschub des jüngsten Entwurfs heißt es dazu: "Bei der Übertragung einer Durchführungsbefugnis an den Rat wird der politischen Natur des Beschlusses, eine Verpflichtung zur unionsweiten Nachfragesenkung auszulösen, und den horizontalen Auswirkungen für die Mitgliedstaaten gebührend Rechnung getragen."

Massive Einschränkungen bei Pflichtregelung und "Unionsalarm"

Offensichtlich wird der Widerstand zahlreicher EU-Mitgliedsstaaten gegen ein gemeinsames und verpflichtendes Vorgehen angesichts einer drohenden Gaskrise auch in einem anderen Textanschnitt, dem umkämpften Artikel 5 der Verordnung, der die Pflichtregeln behandelt. Dieses Thema war in der Präambel und im Verordnungstext um jeweils mehrere einschränkende Einschübe ergänzt worden.

Einige Mitgliedstaaten seien "aufgrund ihrer spezifischen geografischen oder physischen Situation nicht in der Lage, erhebliche Mengen an Pipelinegas für andere Mitgliedstaaten freizugeben", ist in der aktuellen Version der Verordnung zu lesen. Diesen Staaten "sollte daher die Möglichkeit eingeräumt werden, einen Grund oder mehrere Gründe für die Beschränkung der Verpflichtung zur Nachfragereduzierung geltend zu machen".

Zahlreiche Einschübe zum umstrittenen Artikel 5 der GS-VO definieren Ausnahmen von der Gas-Sparpflicht.

Es folgt erneut eine nachträgliche Relativierung des ursprünglichen Textes. Den Mitgliedstaaten sollte es freistehen, welche geeigneten Maßnahmen zur Erreichung der Nachfragesenkung sie wählen, heißt es in der "Gas-Verordnung" oder "GS-VO".

Ursprünglich sollten die EU-Staaten bei der Ermittlung geeigneter Maßnahmen zur Nachfragesenkung und bei der Priorisierung von Kundengruppen an den Maßnahmenkatalog "Gaseinsparungen für den Winter" vom 20. Juli 2022 gebunden werden. Nun findet sich an der Stelle ein Zusatz: Die Staaten müssen die definierten Maßnahmen demnach nur noch "in Erwägung ziehen".

Ausgenommen von den Sparzielen sind zudem nun EU-Mitgliedsstaaten, deren Stromnetz "nur mit dem Elektrizitätssystem eines Drittlandes synchronisiert" ist und die Zulieferungen aus dieser Quelle verliert. Gleiches gilt für Gasnetze, solange der betreffende EU-Staat "nicht direkt mit einem Gasverbundnetz eines anderen Mitgliedsstaates verbunden ist".

Diese Regelungen nehmen die baltischen Staaten Estland. Lettland und Litauen de facto von der GS-VO aus – sie sind weitgehend von Strom- und Gaslieferungen aus Russland abhängig.

Geltungsdauer des Notfallplans begrenzt

Mit Verweis auf den "Ausnahmecharakters der Maßnahmen" haben die EU-Delegationen den Notfallplan in dieser Woche schließlich zeitlich begrenzt. Die Kommission war zu Beginn der Verhandlungen über die Gas-Verordnung ursprünglich von einer zwei Jahre andauernden Versorgungskrise ausgegangen – auch ohne einen vollständigen Lieferstopp Russlands. So lange sollten auch die Verordnung – oder eben der "Notfallplan" – gelten.

Nun heißt es in dem Entwurf der Verordnung, sie solle nach ihrem Inkrafttreten für einen Zeitraum von einem Jahr Gültigkeit haben. Nach neun Monaten ab Beginn der Anwendung dieser Verordnung sollte die Kommission dem Rat über ihre Funktionsweise Bericht erstatten und könne "gegebenenfalls vorschlagen, ihre Geltungsdauer zu verlängern".

Vertreter der Erdgaswirtschaft in Deutschland haben sich unabhängig von dem EU-Notfallplan bereits skeptisch gezeigt, ob die Gasspeicher mittel- und langfristig hinreichend gefüllt werden können: "Sollte es bei einer auf 20 Prozent reduzierten Liefermenge bleiben, ist eine ausreichende Befüllung der Gasspeicher in unseren Augen nicht realistisch", zitierte die Nachrichtenagentur dpa den Vorstand des Branchenverbandes Zukunft Gas, Timm Kehler.

Aktuell drohe wegen der hochsommerlichen Temperaturen und aufgrund der zuverlässigen Lieferungen aus Norwegen und den Niederlanden aber keine Gasmangellage, so Kehler weiter.

Was im Herbst und Winter geschieht, bleibt unklar. Auf den Notfallplan der EU können sich die Bürgerinnen und Bürger aber wohl nicht mehr verlassen.


URL dieses Artikels:
https://www.heise.de/-7192379

Links in diesem Artikel:
[1] https://www.heise.de/tp/features/Erdgas-Warum-der-Notfallplan-der-EU-ein-Dokument-des-Scheiterns-ist-7190514.html

geschätzte Lesezeit: 4 min

Potsdam - Der wissenschaftliche Beirat des Lernorts Garnisonkirche, eine wiederaufbaukritische Initiative der evangelischen Martin-Niemöller-Stiftung und der Universität Kassel, fordert die Garnisonkirchenstiftung und die Fördergesellschaft zum Wiederaufbau zur Distanzierung vom sogenannten „Ruf aus Potsdam“ auf. Das Dokument aus dem Jahr 2004, mit dem seinerzeit die Spendensammlung für den Wiederaufbau angekurbelt werden sollte und auf das sich die Stiftung bis heute bezieht, sei geprägt von Argumenten der sogenannten Neuen Rechten, lautet die Kritik. Stiftung und Fördergesellschaft müssten sich „von den geschichtsrevisionistischen Formulierungen des Rufs aus Potsdam“ distanzieren und die Satzung der Stiftung entsprechend ändern, heißt es in einem offenen Brief an die beiden Institutionen, über den die Wiederaufbaukritiker am Donnerstag zuerst die Presse informierten. Die Stiftung wies die Kritik zurück.

Jörg Schönbohm, Matthias Platzeck, Jann Jakobs, Wolfgang Huber (v.l.) 2004 beim Start des "Ruf aus Potsdam".
Jörg Schönbohm, Matthias Platzeck, Jann Jakobs, Wolfgang Huber (v.l.) 2004 beim Start des "Ruf aus Potsdam".Foto: Andreas Klaer

Anders als der „Ruf aus Dresden“, mit dem für den Wiederaufbau der Frauenkirche geworben wurde, fehle im „Ruf aus Potsdam“ ein klares Eingeständnis der deutschen Kriegsschuld, bemängeln die Kritiker. Stattdessen artikuliere der Text in Bezug auf den Zweiten Weltkrieg eine „Opferperspektive“. Der Bombenangriff auf Potsdam werde als „überflüssiger Zerstörungsakt“ beschrieben, obwohl belegt sei, „dass er der militärischen Infrastruktur in Vorbereitung auf den Angriff auf Berlin galt“.

„Historisch falsche Narrative“ aus dem Dokument bestimmten den Diskurs bis heute

Architekturhistoriker Philipp Oswalt ist Mitglied des wissenschaftlichen Beirats des Lernorts Garnisonkirche.
Architekturhistoriker Philipp Oswalt ist Mitglied des wissenschaftlichen Beirats des Lernorts Garnisonkirche.Foto: Andreas Klaer

Außerdem zeichne der „Ruf aus Potsdam“ ein „idealisiertes und verfälschtes“ Bild der Geschichte der Garnisonkirche. So werde der „Tag von Potsdam“ 1933 als „Missbrauch des Ortes“ dargestellt, obwohl dokumentiert ist, dass der damalige Generalsuperintendent Otto Dibelius maßgeblich zum Zustandekommen beigetragen hatte. Die Kirche habe für den militärischen Widerstand vom 20. Juli 1944 auch mitnichten eine entscheidende Rolle gespielt. „Das ist der Versuch, sich etwas zuzuschreiben, was nicht durch historische Tatsachen gedeckt ist“, sagte der Architekturhistoriker Philipp Oswalt, Mitunterzeichner des offenen Briefs, am Donnerstag. In der Garnisonkirche seien stattdessen Angriffskriege, der Völkermord an den Herero und Nama und Gewalt „christlich begründet und gesegnet“ worden. Die „historisch falschen Narrative“ aus dem Dokument von 2004 bestimmten bis heute den öffentlichen Diskurs, sagte Oswalt.

Von rechtsnationalen Kreisen angeschoben, von Rechtsradikalen bis heute begrüßt

Welche Rolle rechtsextreme Kräfte bei der Genese des Wiederaufbauprojekts spielten, hat Oswalt in einem 41-seitigen Beitrag im Fachblatt „Vierteljahreshefte für Zeitgeschichte“ und in einem Gastbeitrag in der Wochenzeitung „Die Zeit“ anhand teils neuer Dokumente nachgezeichnet. Damit wolle er auch den Vorwurf, man hänge „Verschwörungsmythen“ an – erhoben 2020 vom Historiker Paul Nolte, dem Vorsitzenden des Wissenschaftlichen Beirats der Wiederaufbaustiftung – entkräften.

Oswalts Fazit: Rechtsnationale Kreise um den Initiator und ehemaligen Bundeswehroffizier Max Klaar hätten das Projekt in seiner heutigen Form entscheidend geprägt. Rechtspopulisten und Rechtsradikale würden bis heute den Wiederaufbau begrüßen. Sollte der Turm oder das Kirchenschiff tatsächlich mit originalgetreuer Fassade ohne sichtbaren Bruch entstehen, könnte das Gebäude – unabhängig von der Qualität der inhaltlichen Arbeit – zum Identifikationsort rechter Kräfte werden. „Ich finde es überraschend, wie unbekümmert man mit der Problematik umgeht“, sagte Oswalt dazu.

Stiftung weist Kritik zurück: "Einen Ort des Friedens schaffen"

Die Garnisonkirchenstiftung wies Kritik zurück. Der im Wiederaufbau befindliche Turm zeige „in der inhaltlichen Arbeit der Stiftung schon jetzt sein Profil als Demokratieforum“, sagte Sprecherin Maria Zach auf Anfrage. Sie verwies auf die kritische Begleitung durch den eigenen wissenschaftlichen Beirat bei der Konzeption der Ausstellung und der Arbeit am künftigen „Lernort bundesweiter Bedeutung“. Auch die in Stein gemeißelte mehrsprachige Friedensbotschaft im Turmsockel zeige als „bauliche Veränderung“ die Ausrichtung des Projekts: „Einen Ort des Friedens schaffen, an dem aus der Geschichte für die Zukunft gelernt wird.“ Die Stiftung habe sich „mehrfach deutlich und öffentlich von Max Klaar, seinen Forderungen und der Traditionsgemeinschaft distanziert“.

Die Stiftung Garnisonkirche weist Kritik zurück.
Die Stiftung Garnisonkirche weist Kritik zurück.Foto: Andreas Klaer

Oswalt hält dagegen: Kritik an Klaar sei erst geäußert worden, als dessen Ausstieg aus dem Projekt feststand und die unter seiner Regie gesammelten Spendenmillionen an andere kirchliche Projekte verteilt waren: „Erst ab 2015, als das Geld geflossen war, gab es erste Äußerungen der Abgrenzung“, sagte Oswalt. 

Klaar treibende Kraft für den Einstieg der Kirche in das Projekt 

Nach seinen Recherchen waren Klaar und die von diesem 1984 gegründete Traditionsgemeinschaft Potsdamer Glockenspiel treibende Kraft für den Einstieg der Kirche in das Projekt. Oswalt verweist auf ein Treffen zwischen Klaar und dem damaligen Landesbischof Wolfgang Huber, heute der Vorsitzende des Kuratoriums der Wiederaufbaustiftung, am 10. Juli 2000. Im Gespräch, von dem Klaars Tischvorlage erhalten ist, machte Klaar seine Bedingungen – originalgetreuer Wiederbau des Turms, kirchliche Nutzung, Ausstellung zum 20. Juli 1944 in den oberen Etagen – deutlich. Fast alles sei letztlich so umgesetzt worden, sagte Oswalt. Zu diesem Zeitpunkt lehnte der Kirchenkreis Potsdam das Vorhaben noch ab. Oswalt hat im Briefwechsel zwischen Huber und dem damaligen Potsdamer Superintendenten Hans-Ulrich Schulz auch den Hinweis darauf gefunden, dass sich Huber 2003 gegen die Veröffentlichung einer Klaar-kritischen Pressemitteilung des Kirchenkreises stellte.

Huber lies eine PNN-Bitte um Stellungnahme bis Donnerstagabend unbeantwortet. Gleiches gilt für die Fördergesellschaft zum Wiederaufbau sowie für die Stadt, die in Person des Oberbürgermeisters im Stiftungskuratorium vertreten ist.