Channel Messenger

Das Problem

Deine Nachrichten zu verschlüsseln war nie der schwierige Teil.

Gesammelt wird alles drum herum — wen du kennst, mit wem du sprichst, wie oft, von wo und um welche Uhrzeit. Nichts davon wird geschützt, indem man den Text verschlüsselt; alles davon wird gesammelt, zusammengeführt und verkauft, und bei den meisten Messengern ist genau diese Aufzeichnung das Produkt.

Wer es tut

Fünf Apps, eine Gemeinsamkeit

  • WhatsApp
  • Messenger
  • Instagram
  • Telegram
  • Snapchat

Was haben all diese gemeinsam?

Der Dienst ist nicht so kostenlos, wie er aussieht. Du bist die Bezahlung.

Nicht in bar. In der Aufzeichnung, wen du kennst, mit wem du sprichst, wie oft, von wo und um welche Uhrzeit — was über ein paar Jahre erheblich mehr wert ist, als ein Abo gewesen wäre. Nichts von dem, was folgt, ist ein Geheimnis oder ein Vorwurf. Es steht so in den eigenen veröffentlichten Datenschutzrichtlinien der genannten Unternehmen.

Du hast die Daten deiner Familie preisgegeben und selbst versprochen, dass es erlaubt war

Die App hat dich um dein Adressbuch gebeten, und du hast Ja gesagt. Die Nummern darin gehören deiner Familie, deinen Kollegen, deinen Patienten, deinen Kunden — Menschen, die nie gefragt wurden, nie zugestimmt haben und die App in vielen Fällen überhaupt nicht nutzen. Deine Erlaubnis wurde anstelle ihrer akzeptiert.

Das geht weiter, als den meisten klar ist. Die eigenen Nutzungsbedingungen von WhatsApp besagen seit Jahren, dass du die Telefonnummern aus deinem Adressbuch bereitstellst und dabei “bestätigst, dass du berechtigt bist, uns diese Nummern zu übermitteln”.1 Lies das noch einmal. Du hast nicht nur die Kontaktdaten anderer Menschen weitergegeben — du hast förmlich versichert, ihre Erlaubnis dafür zu haben. Fast niemand hat je gefragt. Wird diese Information später missbraucht, hat sich das Unternehmen bereits von dir bestätigen lassen, dass die Weitergabe erlaubt war.

Und du kannst nicht nur die Telefonnummern weitergeben

Wenn dein Telefon fragt “Zugriff auf deine Kontakte erlauben?”, gibt es eine Antwort, und sie umfasst alles. Diese Berechtigung deckt jedes Feld jedes Eintrags ab: Geburtstage, Jahrestage, Privatadressen, die Beziehungsbezeichnungen, die du vergeben hast — Mutter, Ehepartner, Kind — und alles, was du je in ein Notizfeld getippt hast. Türcodes. Alarmcodes. Kontonummern. Die Passnummer, die du für eine Buchung gespeichert hast. Die Sozialversicherungsnummer, die du neben den Eintrag eines Elternteils gesetzt hast, um bei dessen Unterlagen zu helfen.

Es gibt keine Einstellung, die weniger gewährt. Was eine App aus diesem Haufen dann entnimmt, regelt einzig ihre eigene Richtlinie — die sie selbst schreibt und jederzeit ändern kann. 2013 wurde bekannt, dass das soziale Netzwerk Path die Adressbücher seiner Nutzer vollständig hochlud; es zahlte der FTC 800.000 US-Dollar und akzeptierte zwanzig Jahre unabhängiger Datenschutzprüfungen.2 Das bedeutet eine Alles-oder-nichts-Berechtigung, sobald jemand beschließt, sie voll auszunutzen.

Um genau zu sein, weil es wichtig ist: Die großen Messenger geben an, Telefonnummern zu entnehmen, nicht dein Notizfeld,3 und WhatsApp verschlüsselt Kontaktnamen inzwischen bereits auf deinem Gerät, bevor sie gespeichert werden.4 Das Problem ist nicht, dass sie alle heimlich das Geburtsdatum deiner Mutter auslesen. Es ist, dass die Tür, die du geöffnet hast, kein Schloss hat, dass das Versprechen, nur wenig zu nehmen, jederzeit widerrufen werden kann, und dass den Menschen auf der anderen Seite dieser Tür nie gesagt wurde, dass sie existiert.

Die Betroffenen können nicht einmal widersprechen

Die Betroffenen haben kein Konto, keine Beziehung zu dem Unternehmen und keine Möglichkeit zu erfahren, dass es passiert ist. Eine Löschung können sie nicht verlangen, wenn ihnen nie gesagt wurde, dass etwas erfasst wurde. Ein Unternehmen, von dem sie nie gehört haben, besitzt eine Landkarte davon, wen sie kennen — zusammengesetzt aus Tausenden Adressbüchern wie deinem.

Der Umschlag, nicht der Brief

“Wir töten Menschen aufgrund von Metadaten.”

General Michael Hayden, ehemaliger Direktor der NSA und der CIA, Johns Hopkins University, 20148

Mehrere dieser Apps verschlüsseln tatsächlich, was du schreibst, und das wollen wir nicht in Abrede stellen. Aber die Metadaten — deine Telefonnummer, dein Gerät, deine IP-Adresse und damit ungefähr, wo du dich befindest, mit wem du schreibst, wie oft, wann und welchen Gruppen du angehörst — werden erfasst und bei Meta über die anderen Produkte des Konzerns hinweg geteilt. Mit wem du um zwei Uhr nachts sprichst, und wie sich dieses Muster ändert, verrät sehr viel, ohne dass auch nur ein einziges Wort gelesen wird.

Deine Telefonnummer ist der Schlüssel, der alles verbindet

Weil deine Nummer bei diesen Diensten deine Identität ist, wird sie zum Verknüpfungsschlüssel, der dein Messaging mit jedem anderen Datensatz verbindet, der auf diese Nummer verweist: Datenhändler, Bonusprogramme, alte Datenlecks, Werbeprofile. 2021 wurden die Daten von rund 533 Millionen Facebook-Nutzern — Namen, Telefonnummern, Standorte, Geburtsdaten und E-Mail-Adressen — kostenlos in einem kriminellen Forum veröffentlicht. Die irische Datenschutzbehörde verhängte deswegen ein Bußgeld von €265 Millionen gegen Meta, und die Untersuchung betraf die Kontakt-Import-Werkzeuge von Messenger und Instagram — genau die oben beschriebene Funktion.5 Nummern wechseln nicht, und das Geburtsdatum deiner Mutter auch nicht. Das bleibt für immer.

Und wenn ein Durchsuchungsbefehl unbequem ist, lassen sich die Daten einfach kaufen

Die meisten Menschen nehmen an, die Polizei brauche einen Gerichtsbeschluss, um zu verfolgen, wo sie gewesen sind. Seit 2018 stimmt das, wenn der Staat ein Telefonunternehmen zwingt, die Daten herauszugeben. Es stimmt nicht, wenn er sie kauft.

Tausende gewöhnliche Apps — Wetter, Spiele, Shopping, Gebets-Apps — enthalten Werbe-Kits, die im Stillen den Standort melden. Datenhändler kaufen diese Telemetrie, führen sie zusammen und verkaufen sie weiter. Regierungsbehörden gehören zu den Kunden, und das Argument, keinen Durchsuchungsbefehl zu brauchen, lautet schlicht, dass ein Kauf keine Durchsuchung sei. Das ist keine Spekulation: Der eigene US-Geheimdienstapparat hat das in einem später freigegebenen Bericht selbst festgestellt — darin wurde festgehalten, dass Behörden das Urteil des Supreme Court eng auslegen, um weiterhin geschützte Informationen kaufen zu können, und eingeräumt, dass sie Millionen Amerikaner dauerhaft ohne Durchsuchungsbefehl verfolgen könnten, solange sie dafür bezahlen.6

Auch “anonymisiert” bietet keinen Schutz. Eine Standortspur ist ein Fingerabdruck: Der Ort, an dem du schläfst, und der Ort, an dem du arbeitest, identifizieren dich für sich allein schon, und jeder weitere Ort, den du besuchst, wird diesem Namen zugeordnet. 2024 leitete die FTC ihre ersten Verfahren ein, die es Datenhändlern verbieten, sensible Standortdaten zu verkaufen — Spuren, die Besuche in Kliniken, Gotteshäusern und Suchtbehandlungen offenbarten.7

Nichts davon setzt voraus, dass irgendjemand etwas falsch gemacht hat, und nichts davon setzt voraus, dass man es dir sagt. Der Markt existiert, weil Apps datensammelnde Werbe-Kits enthalten. Um genau zu sein: Das ist kein Vorwurf an die oben genannten Messenger — sie verkaufen deinen Standort nicht an Datenhändler. Es ist das Wasser, in dem die gesamte App-Wirtschaft schwimmt, und die meisten Menschen ahnen nicht, dass es geschieht.

Channel enthält keine Werbe-Kits, keine Analyse-Tools und keinerlei Fremdcode. Es gibt keine Telemetrie zum Sammeln, also gibt es nichts zu kaufen — mit oder ohne Durchsuchungsbefehl.

Gespeicherte Nachrichten sind ein Risiko, das die Unterhaltung überdauert

Liegen Nachrichten oder Backups auf den Servern eines Unternehmens, können sie in einem Rechtsstreit oder einer Scheidung per Beschluss angefordert, im Beweisverfahren vorgelegt, beschlagnahmt oder bei einem Datenleck offengelegt werden. Kombiniere eine geleakte Nummer mit einem Namen und ein paar Beziehungen, und du hast das Rohmaterial für Phishing, SIM-Swap-Betrug und Passwort-Resets. Eine Unterhaltung von vor Jahren wird zu einem Risiko, das du nicht mehr loswirst.

Nicht jeder Messenger tut das, und es wäre unehrlich, etwas anderes anzudeuten. Signal ist eine spendenfinanzierte Non-Profit-Organisation, die ihre Nutzer nicht monetarisiert, und steht deshalb nicht auf der Liste oben. Uns ist lieber, du vertraust dieser Seite, als dass wir mit ihr eine Diskussion gewinnen.

Warum das für dich wichtig ist

Privatsphäre zählt!

Nicht, weil du etwas zu verbergen hast. Sondern weil eine Aufzeichnung darüber, mit wem du sprichst, eine Aufzeichnung darüber ist, wer du bist — dein Arzt, dein Anwalt, dein Gewerkschaftsvertreter, die Stelle, auf die du dich beworben hast, die Person, die du verlassen hast, die Diagnose, von der du noch niemandem erzählt hast.

Du kannst es nicht zurücknehmen. Daten werden kopiert, zusammengeführt, weiterverkauft, aufbewahrt, auch nachdem das Unternehmen, das sie erhoben hat, längst nicht mehr existiert, und bei einem Datenleck bei einer Firma offengelegt, mit der du nie zu tun haben wolltest. Eine Richtlinie, die dich heute schützt, kann in einer E-Mail neu geschrieben werden, die du nie lesen wirst.

Die einzige Information, die nicht geleakt, angefordert, verkauft oder bei einem Datenleck offengelegt werden kann, ist die, die nie erfasst wurde. Das ist das gesamte Konzept.

Was wir stattdessen gebaut haben

Channel

Keine bessere Datenschutzrichtlinie. Von vornherein weniger erfasst. Die einzige Aufzeichnung, die nicht geleakt, angefordert, verkauft oder bei einem Datenleck offengelegt werden kann, ist die, die nie entstanden ist — deshalb ist Channel so gebaut, dass sie nie entsteht, und wo eine Nachricht reisen kann, ohne je ein Unternehmen zu berühren, tut sie das auch.

Was Channel stattdessen tut

  • Kein Konto. Nichts zum Anmelden, nichts zum Einloggen.
  • Keine Telefonnummer oder E-Mail-Adresse nötig. Du kannst eine bestätigen, wenn du möchtest, dass Leute dich erreichen können, ohne dich vorher getroffen zu haben — und selbst dann wird nichts veröffentlicht, wenn du es nicht willst.
  • Kein Kontakt-Upload, niemals. Die App kann dir dein eigenes Adressbuch anzeigen, damit du einen Namen auswählen kannst; diese Liste verlässt dein Telefon nie.
  • Keine Analyse-Tools, keine Werbe-IDs, keine SDKs von Drittanbietern.
  • Kein Nachrichtenverlauf auf irgendeinem Server, sobald die Zustellung bestätigt ist.
  • Ist dein Kontakt in Reichweite, gar keine Internetverbindung — also keine Kosten, kein Roaming und nichts, was sich unterwegs abfangen ließe.

Die vier Wege, auf denen eine Nachricht reist

Channel nimmt den direktesten Weg, der gerade funktioniert, und probiert sie in dieser Reihenfolge aus. Jeder Weg hat einen Buchstaben, und der Buchstabe an einer Nachricht sagt dir, welcher sie übertragen hat.

  • W
    Direktes Wi-FiBeide Telefone in der Nähe. Kein Netzwerk jeglicher Art ist beteiligt.
  • B
    BluetoothBeide Telefone in der Nähe.
  • L
    Lokales NetzwerkBeide Telefone im selben Wi-Fi. Die Nachricht bleibt in diesem Netzwerk.
  • I
    Internet-PostfachUnser Server hält die versiegelte Nachricht, bis das andere Telefon sie abholt. Du kannst das für ein Profil ausschalten.

Die ersten drei verlassen den Raum nie. Das Internet ist ein Ausweichweg, keine Kopie: Kann ein Funkweg das andere Telefon erreichen, geht die Nachricht diesen Weg, und der Server bekommt sie nie zu sehen. Kann ein Funkweg das Telefon zwar sehen, kommt die Nachricht aber nicht durch, hat jeder Kontakt seine eigene Wartezeit, bevor Channel stattdessen das Postfach nutzt — von sofort bis nie, mit fünfzehn Minuten als Standard.

Neben jedem Kontakt zeigen kleine Lichter, welche Wege gerade offen sind. Ein Kontakt zeigt Warte auf sie, wenn ihm im Moment nichts eine Nachricht bringen kann. Channel sagt dir nie, dass jemand nicht auf Channel ist, weil es das nicht weiß, und das sollte auch niemand wissen, der zusieht.

In Reichweite: kein Server, kein Internet, keine Kosten

Wenn du und ein Kontakt in Bluetooth- oder Wi-Fi-Reichweite seid, geht deine Nachricht direkt von deinem Gerät zu seinem. Kein Server sieht sie, kein Netzwerk trägt sie, und es gibt nichts abzufangen, weil nichts anderswo unterwegs ist. Das funktioniert ganz ohne Empfang und ohne Datentarif — ein Keller, ein Flug, ein Schiff, ein Krankenhaus, ein Land, in dem das Netz überwacht wird. Steckt dein Telefon in der Tasche, wenn eine Nachricht so ankommt, wacht die App bei der Verbindung auf und erzeugt die Benachrichtigung selbst.

Es funktioniert auch dort, wo das Netz überlastet ist statt ganz zu fehlen — der Fall, dem die meisten Menschen tatsächlich begegnen. Ein Funkmast ist für die Menschen gebaut, die in seinem Bereich wohnen, arbeiten und durchfahren. Er ist nicht dafür gebaut, dass eine ganze Stadt voller zusätzlicher Menschen fünf Stunden lang auf einem Viertelquadratkilometer steht, die meisten davon dabei, Fotos und Videos desselben Touchdowns zu verschicken. Dein Telefon zeigt vier Balken und verschickt trotzdem keine SMS — weil Signalstärke und Kapazität zwei verschiedene Dinge sind, und die Balken dir immer nur das Erste gezeigt haben. Channel reiht sich nicht hinter dieser Menge ein, weil es den Funkmast nie um irgendetwas bittet.

Sei bei der Reichweite aber realistisch. Das ist eine Funkverbindung zwischen zwei Handys: deine Gruppe ein paar Reihen auseinander, die Bahnhofshalle, das Tailgate-Fest, das Nebenzimmer, derselbe Wagon, ein Boot, ein Keller. Sie reicht nicht von der Loge bis zu den billigen Plätzen, und sie erweitert deine Reichweite nicht über den direkten Funkkontakt hinaus. Eine Menschenmenge ist der schwierigste Fall für eine kleine Antenne — Körper absorbieren diese Frequenzen, und genau deshalb kämpft auch der Funkmast damit.

Außer Reichweite: ein Server, der nichts weiß

Die meisten Unterhaltungen finden nicht statt, während man nebeneinandersteht. Ist keine direkte Funkverbindung verfügbar, kann deine Nachricht stattdessen eingereiht und, wenn du es erlaubst, von unserem Server über das Internet übertragen werden.

Dieser Server ist kein Chatdienst. Er kann deine Nachrichten nicht lesen — sie bleiben den ganzen Weg über Ende-zu-Ende-verschlüsselt, und er hält niemals die Schlüssel. Er weiß nicht, wer du bist: keine Konten, keine Telefonnummern, keine E-Mail-Adressen. Er identifiziert dein Postfach nur über ein Token, das sich alle zehn Minuten ändert, und er ist so eingerichtet, dass er die IP-Adressen, die sich verbinden, nicht protokolliert. Eine Nachricht wird gelöscht, sobald ihr Empfang bestätigt ist, und alles, was niemand erfasst, läuft von selbst ab: standardmäßig nach sieben Tagen, höchstens nach dreißig, und du kannst es kürzer einstellen.

Wir sagen dir offen, dass dieser Weg existiert, und dass deine Nachricht dabei tatsächlich über einen Server läuft. Ein Messenger, der nur funktioniert, wenn man direkt neben seinem Kontakt steht, wäre nicht besonders nützlich, und uns ist lieber, genau zu sagen, was dieser Ausweichweg ist, als dich annehmen zu lassen, er sei etwas anderes.

Nichts Neues zu lernen

Channel sieht aus und funktioniert wie der Messenger, den du bereits nutzt — dieselbe Unterhaltungsliste, derselbe Chat-Bildschirm, dieselben Gesten. Die Privatsphäre steckt in der Technik dahinter, nicht in der Bedienung, und sie ist bewusst auf jeder Plattform identisch, damit dir der Wechsel zwischen Telefon und Computer nichts Neues beibringt.

Was in der App steckt

Alles unten befindet sich in den aktuellen Testversionen. Das Statusboard danach sagt dir, welche Teile auf echten Telefonen erprobt wurden und welche nicht.

Profile

Ein Profil ist eine eigenständige Identität: eigene Schlüssel, eigene Kontakte, eigene Unterhaltungen. Zwei Profile auf einem Telefon teilen sich nichts, und niemand, mit dem du sprichst, kann erkennen, dass zwei davon auf demselben Telefon liegen. Ein neues Profil kann als Kopie eines bestehenden starten, aber es werden nur die Einstellungen kopiert. Schlüssel, Kontakte, Nachrichten und Verifizierung nie, denn ein Profil, das die teilt, wäre keine eigenständige Identität.

Jemanden hinzufügen, persönlich oder per Einladung

Ein Telefon zeigt einen QR-Code, das andere scannt ihn, oder die beiden Telefone verbinden sich über Bluetooth oder dasselbe Wi-Fi, und jedes zeigt einen sechsstelligen Bestätigungscode zum Vergleichen. Der Code trägt einen öffentlichen Schlüssel und nichts Geheimes, du kannst ihn also bedenkenlos in der Öffentlichkeit zeigen, und stimmen die beiden Bestätigungscodes überein, ist niemand dazwischengegangen. Jede Unterhaltung hat außerdem eine Sicherheitsnummer, die ihr einmal persönlich vergleichen könnt, und Channel sagt dir Bescheid, falls sie sich je ändert. Du kannst auch einfach jemandem an eine Nummer oder Adresse schreiben, die diese Person nachweislich besitzt: Die Nachricht wird versiegelt und eingereiht, eine Einladung wird hinterlassen, und in dem Moment, in dem sie angenommen wird, geht sie ohne weiteres Zutun von dir hinaus.

Gefunden werden

Du kannst Leute dich über eine Telefonnummer oder eine E-Mail-Adresse erreichen lassen, musst aber zuerst nachweisen, dass sie dir gehört. Ein sechsstelliger Code wird per SMS, per Anruf, der die Ziffern zweimal vorliest, oder per E-Mail zugestellt. Nachweisen und Veröffentlichen sind zwei getrennte Schalter, sodass eine verifizierte Nummer privat bleiben kann, und ein nicht nachgewiesener Wert bleibt wirkungslos. Unser Server führt keine Liste verifizierter Personen und keine Liste von Nummern: Eine Einladung wird an einen aus der Nummer selbst abgeleiteten Platz adressiert und angenommen, egal ob sie je jemand abholt — der Server kann also die Frage nicht beantworten, ob eine bestimmte Nummer zu einem Channel-Nutzer gehört.

Nachrichten

Verschwindende Nachrichten mit einem Timer, den beide Seiten sehen können, entfernt von beiden Telefonen, sobald sie gesehen wurden und die Zeit abgelaufen ist. Einmal ansehen für ein Bild, während es auf dem Bildschirm ist vor Screenshots geschützt. Fotos, aus der eigenen Bildauswahl deines Telefons oder der Kamera, mit einer Einstellung, die Bilder ganz vom Internet fernhält. Lesebestätigungen, in beide Richtungen oder gar nicht. Übersetzung durch den eigenen Übersetzer des Telefons, sodass der Text zum Übersetzen nie das Telefon verlässt. Eine Zwischenablagezeile über dem Nachrichtenfeld. Und Anrufbuttons, die an die Anruf-Apps übergeben, die du bereits nutzt, statt vorzugeben, Channel würde den Anruf selbst durchführen.

Standort

Sende eine einzelne Position, im Moment des Antippens erfasst und nie gespeichert, oder teile live für 15 Minuten, eine Stunde oder 8 Stunden, aktualisiert, solange die App offen ist, und endet von selbst. Zwischen zwei Channel-Telefonen trägt die Nachricht Koordinaten statt eines Links, sodass die empfangende Person wählt, wie sie sie sieht. Ein Share kommt als eine einzelne Karte an, die sich an Ort und Stelle bewegt, statt den Chatverlauf mit neuen Zeilen zu füllen. Antippen öffnet eine Karte innerhalb von Channel mit beiden Telefonen darauf, der Entfernung und einem Pfeil, der auf das andere Telefon zeigt, und von dort kannst du an jede auf deinem Telefon installierte Karten-App übergeben. Während ein Share läuft, sitzt eine Stecknadel oben im Chatverlauf, und die teilende Person bekommt einen Countdown, den sie verlängern oder stoppen kann. Zu keinem anderen Zeitpunkt liest Channel deinen Standort.

Die Sperre und der Notfallcode

Channel kann zum Öffnen die eigene Entsperrung deines Telefons verlangen, und du kannst einen eigenen Code hinzufügen, 4 bis 8 Ziffern, der vor allem anderen abgefragt wird und selbst auf einem Telefon ohne jede Sperre funktioniert. Keiner der beiden Codes wird gespeichert, nur ein langsamer Hash davon, sodass niemand einen zurücksetzen kann, uns eingeschlossen. Ein zweiter, anderer Code löscht alles, was Channel auf dem Telefon hält: zuerst den Schlüssel, der die Speicher versiegelt, dann die Identitäten, dann jede Datei. Die App öffnet sich danach, als wäre sie frisch installiert, und nichts auf dem Bildschirm verrät, dass es passiert ist. Alles, was Channel auf die Festplatte schreibt, ist unter einem Schlüssel verschlüsselt, der in der sicheren Hardware des Telefons liegt, sodass eine kopierte Datei oder ein gestohlenes Gerätebackup ohne ihn nichts hergibt.

AI

Wo die AI läuft, hängt vom Telefon ab. Auf einem iPhone, das Apple Intelligence unterstützt, läuft sie auf dem Gerät selbst — kein Konto, kein Schlüssel, keine Kosten, und nichts verlässt das Telefon. Überall sonst, und als Ausweichlösung auf dem iPhone, fügst du dein eigenes Konto bei OpenAI, Anthropic oder xAI hinzu: Der Schlüssel bleibt auf deinem Telefon, unser Server sieht ihn nie, und du kannst mehr als eines hinzufügen. Es wird nie etwas von selbst gesendet: keine Hintergrundabrufe, keine automatischen Zusammenfassungen, keine vorgeschlagenen Antworten, um die du nicht gebeten hast. Jede Nutzung zeigt dir genau, was das Telefon verlassen wird, einschließlich der Worte der anderen Person, wenn du dich entscheidest, sie einzuschließen, und der Button, den du drückst, ist die Zustimmung. Die AI kann einen Entwurf schreiben oder überarbeiten, Rechtschreibung und Grammatik korrigieren, eine Nachricht kürzer, freundlicher oder förmlicher machen, Antworten vorschlagen, einen Thread zusammenfassen, eine einzelne Nachricht übersetzen oder eine Frage zu einem Bild beantworten. Du kannst ein Konto auch als Kontakt einschalten, sodass ChatGPT, Claude oder Grok in deiner Kontaktliste erscheint und du mit ihm chattest wie mit jedem anderen.

Sicherung und Wiederherstellung

Aus, solange du es nicht nutzt, und nie unbemerkt. Channel versiegelt deine Profile, Identitäten, Kontakte, Unterhaltungen und Einstellungen in einer Datei unter einer von dir gewählten Passphrase und übergibt sie der eigenen Dateiauswahl deines Telefons, sodass du entscheidest, wohin sie geht. Wir halten die Passphrase nie und können sie nicht wiederherstellen, und wir erhalten die Datei nie. Verschwindende Nachrichten und Einmal-ansehen-Nachrichten sind nie enthalten, und Anhänge bleiben aus Platzgründen weg. Wiederherstellen ersetzt alles auf dem Telefon, und so wechselst du auf ein neues.

Für andere übertragen

In den Einstellungen gibt es einen Schalter Relais für andere, aus, solange du ihn nicht einschaltest. Ist er an, bietet dieses Telefon an, versiegelte Post für Kontakte zu tragen, die ein anderes Telefon noch nicht erreichen kann, und sie später weiterzugeben; ein tragendes Telefon kann nicht lesen, was es trägt. Wir wollen das nicht übertreiben. Tragen zahlt sich nur aus, wenn genug Telefone mit Channel an einem Ort sind, und das wurde noch nicht auf echter Hardware bei echter Dichte gemessen. Es steckt im Produkt und im Protokoll. Es ist kein Versprechen.

Hilfe, direkt in der App

Elf Seiten schlichte Hilfe sind fest in Channel eingebaut, in denselben fünf Sprachen wie die App. Die Hilfeseiten funktionieren ohne Netzwerk, kontaktieren niemanden, und nichts, was du darin liest, wird an irgendjemanden gemeldet.

Wo es wirklich steht

Was heute funktioniert, und was nicht

Stand: 10. September 2026.

Eine Seite wie diese wird meist im Futur geschrieben. Hier steht stattdessen die Gegenwart. Jeder Punkt unten trägt ein Label, das sagt, in welchem der vier Zustände er sich befindet, und das Label wird ausgeschrieben, statt nur durch eine Farbe oder Schriftart angedeutet.

  • Ausgeliefert und getestetJetzt in den Apps, und auf echten Telefonen erprobt.
  • Ausgeliefert, noch nicht vollständig geprüftIn den aktuellen Testversionen, aber von einem Tester noch nicht durchgängig als funktionierend bestätigt.
  • In ArbeitWird gerade gebaut.
  • GeplantEntworfen und aufgeschrieben, aber noch nicht begonnen.

Ausgeliefert und getestet

  • Ausgeliefert und getestetVersiegelte Nachrichten zwischen zwei Telefonen, nur auf dem Telefon geöffnet, an das sie gesendet wurden.
  • Ausgeliefert und getestetZustellung über das Internet-Postfach, mit der Markierung an jeder Nachricht, die sagt, welcher Weg sie übertragen hat.
  • Ausgeliefert und getestetVerbinden persönlich: der QR-Code, der sechsstellige Bestätigungscode und die Sicherheitsnummer auf der Kontaktseite.
  • Ausgeliefert und getestetProfile: getrennte Schlüssel, Kontakte und Unterhaltungen, und beim Anlegen eines neuen nur die Einstellungen kopiert.
  • Ausgeliefert und getestetVerschwindende Nachrichten und Einmal ansehen, wobei das Einmal-ansehen-Bild vor Screenshots geschützt ist, während es auf dem Bildschirm ist.
  • Ausgeliefert und getestetFotos, in beide Richtungen, versiegelt wie jede andere Nachricht.
  • Ausgeliefert und getestetSenden deines Standorts und Live-Teilen für eine feste Zeit mit einem Countdown, den du verlängern oder stoppen kannst.
  • Ausgeliefert und getestetAlles, was die App auf die Festplatte schreibt, verschlüsselt unter einem Schlüssel, der in der sicheren Hardware des Telefons liegt.
  • Ausgeliefert und getestetDie Hilfeseiten in der App, und die Einstellungen, die festlegen, wie oft das Telefon nach Post sieht.

Ausgeliefert, noch nicht vollständig geprüft

Diese stecken in den aktuellen Testversionen, aber sie wurden von niemandem, der zwei Telefone in der Hand hielt, durchgängig als funktionierend bestätigt, also sagen wir dir nicht, dass sie funktionieren.

  • Ausgeliefert, noch nicht vollständig geprüftBluetooth-Erkennung zwischen einem iPhone und einem Android-Telefon. Braucht noch einen erneuten Test mit beiden Telefonen im selben Raum.
  • Ausgeliefert, noch nicht vollständig geprüftZustellung über direktes Wi-Fi und lokales Netzwerk.
  • Ausgeliefert, noch nicht vollständig geprüftDas Telefon für wartende Post aufwecken, ob nach Zeitplan oder in dem Moment, in dem ein Umschlag ankommt.
  • Ausgeliefert, noch nicht vollständig geprüftVerifizierung per Telefonanruf, der den Code zweimal vorliest.
  • Ausgeliefert, noch nicht vollständig geprüftVerifizierung per SMS, die in den USA noch auf die Registrierung bei den Mobilfunkanbietern wartet.
  • Ausgeliefert, noch nicht vollständig geprüftJemandem schreiben, der sich noch nicht mit dir verbunden hat, sodass die erste Nachricht die Einladung ist.
  • Ausgeliefert, noch nicht vollständig geprüftDie in der App gezeichnete Karte, mit der Entfernung und dem Kompasspfeil.
  • Ausgeliefert, noch nicht vollständig geprüftAI. Auf einem iPhone, das Apple Intelligence unterstützt, werden Antworten auf dem Telefon selbst erzeugt, ohne Schlüssel und ohne dass etwas irgendwohin gesendet wird; überall sonst, und als Ausweichlösung, ein eigenes Konto. Beim Antworten von einem echten Anbieter gesehen, auf einem Simulator statt auf einem Telefon.
  • Ausgeliefert, noch nicht vollständig geprüftSicherung und Wiederherstellung, einschließlich des Umzugs auf ein anderes Telefon.
  • Ausgeliefert, noch nicht vollständig geprüftDie App-PIN, der Notfallcode, und versiegelte Post für andere Leute tragen.
  • Ausgeliefert, noch nicht vollständig geprüftVerknüpfte Geräte: ein zweites Gerät verknüpfen, auswählen, welches Profil es trägt, die App-PIN, die dem Verknüpfen vorgeschaltet ist, und ein Gerät entfernen, das sofort wirkt.
  • Ausgeliefert, noch nicht vollständig geprüftHandles: einen Namen beanspruchen und darüber von jemandem erreicht werden, der weder deine Nummer noch deine Adresse kennt. Eines pro Profil, so registriert, dass der Server nie eine lesbare Liste hält.
  • Ausgeliefert, noch nicht vollständig geprüftDeine Daten löschen: alles, oder alles außer deinen Kontaktkarten, die unverbunden zurückkommen. Und ein verknüpftes Gerät von dem Telefon aus löschen, das es verknüpft hat.
  • Ausgeliefert, noch nicht vollständig geprüftReaktionen: eine von sechs, eine pro Person und Nachricht, und niemand wird darüber benachrichtigt.
  • Ausgeliefert, noch nicht vollständig geprüftEine Unterhaltung archivieren, durch Wischen der Zeile oder durch Halten, und auf demselben Weg zurückholen.
  • Ausgeliefert, noch nicht vollständig geprüftDie App auf Spanisch, Portugiesisch, Deutsch und Italienisch, passend zur Sprache des Telefons. Englisch bleibt der Referenztext.
  • Ausgeliefert, noch nicht vollständig geprüftZwei Spalten auf einem breiten Bildschirm: die Liste neben der Unterhaltung, die Kontakte neben der Karte.
  • Ausgeliefert, noch nicht vollständig geprüftDas Datum über der ersten Nachricht jedes Tages, und eine doppelt gesendete Nachricht wird erkannt statt doppelt angezeigt.
  • Ausgeliefert, noch nicht vollständig geprüftHilfeseiten, die sich ohne eine neue App-Version selbst aktualisieren können, und nur, wenn du auf den Button drückst, der sie abruft.

In Arbeit

  • In ArbeitGruppennachrichten. Die Regeln sind aufgeschrieben, und der gemeinsame Kern, der sie durchsetzt, ist gebaut und gegen generierte Testvektoren geprüft. Keine der Apps kann ihn bisher erreichen: Es wurde noch nie eine Gruppe verschickt, und dafür gibt es kein Datum.
  • In ArbeitDie Hilfeseiten auf Spanisch, Portugiesisch, Deutsch und Italienisch. Die Apps und diese Website sind bereits übersetzt; die Hilfe wird gerade fertiggestellt.

Geplant

Entworfen und festgehalten, nicht begonnen. Nichts hier trägt ein Datum, und nichts hier sollte als Versprechen gelesen werden.

  • GeplantEin Einrichtungsinterview. Ein schrittweiser erster Durchlauf zu deinem Namen und Bild, wie dein Telefon geweckt wird, welche Wege du erlaubst, die Sperre, wie du gefunden werden kannst, AI und die Karten-App, den du jederzeit schließen und fortsetzen könntest.
  • GeplantChannel-AI-Guthaben. Für Leute, die lieber kein Konto bei einem Anbieter eröffnen, die Möglichkeit, Guthaben zu kaufen und unseres zu nutzen, zum doppelten Preis dessen, was es uns kostet, offen so benannt, mit dem ehrlichen Hinweis, dass jeder, der AI viel nutzt, mit einem eigenen Schlüssel besser fährt.
  • GeplantEin eigener AI-Anbieter. Channel auf deinen eigenen Server statt den eines Unternehmens richten. Läuft auf deinem Telefon schon Tailscale, würde eine private Adresse ohne weiteren Aufwand in der App funktionieren.
  • GeplantBrücken zu anderen Chat-Netzwerken, nur dort, wo das Netzwerk wirklich einen echten Client erlaubt. Telegram und SMS auf Android sind die beiden ehrlichen Kandidaten. Eine gebrückte Unterhaltung würde als nicht durchgängig Ende-zu-Ende-versiegelt über Channel markiert, weil nur ein Ende uns gehören würde.
  • GeplantGruppenchats. Siehe In Arbeit oben — der Kern ist geschrieben, und keine der Apps kann ihn erreichen.
  • GeplantEine Desktop-App. Ein zweites Gerät zu verknüpfen funktioniert jetzt zwischen Telefonen; ein Computer ist das Teil, das noch nicht gebaut ist.
  • GeplantAI-Bilder.
  • GeplantEin eigener Code pro Profil, sodass sich ein Profil mit einem Code öffnen lässt, der die anderen nicht öffnet.

Die Dokumentation lesen

Die Entwurfsnotizen, das Übertragungsprotokoll, die Bedrohungsanalyse, die Export- und Datenschutzdokumente und die Hilfeseiten, genau wie sie in der App ausgeliefert werden, sind alle veröffentlicht unter channelmessenger.net/docs. Das zu veröffentlichen kostet uns nichts: Ein Design, das von der Geheimhaltung seiner eigenen Beschreibung abhängt, war schon kaputt. Uns ist lieber, geprüft zu werden, als dass man uns glaubt.

Wenn du einen Assistenten darauf ansetzt. /docs/all.md ist die gesamte Dokumentation in einer einzigen Markdown-Datei, gedacht zum durchgehenden Lesen.

Der Vergleich

Ehrlich, auch dort, wo wir schlechter abschneiden. Eine Tabelle, die uns nur schmeichelt, würde dir nichts sagen, und du hättest recht, dem Rest dieser Seite dann nicht zu glauben.

ChannelWhatsAppSignalTelegram
Funktioniert ohne Internet und ohne Empfang, wenn dein Kontakt in der Nähe ist✓———
Keine Telefonnummer nötig✓———
Kein Konto zu erstellen✓———
Sendet dein Adressbuch nie irgendwohin✓—~—
Standardmäßig Ende-zu-Ende-verschlüsselt✓✓✓—
Keine Werbe-IDs oder Tracking-Code von Dritten✓—✓—
Gruppenchats—✓✓✓
Sprach- und Videoanrufe—✓✓✓
Desktop-Appgeplant✓✓✓
Leute, die du kennst, nutzen es schon—✓✓✓
Kostenlos—✓✓✓
  1. Signal prüft, welche deiner Kontakte Signal nutzen, indem verschlüsselte Formen der Nummern an versiegelte Hardware gesendet werden, statt das Adressbuch selbst hochzuladen. Deutlich besser als die anderen, aber nicht nichts.
  2. Telegram verschlüsselt gewöhnliche Chats zwischen dir und seinen Servern, nicht Ende zu Ende. Nur die separaten “Geheimen Chats” sind Ende-zu-Ende-verschlüsselt, und sie sind nicht die Standardeinstellung.
  3. Channel wird kostenpflichtig sein. Die anderen sind kostenlos, weil du die Bezahlung bist — genau das ist das Argument dieser ganzen Seite, und es ist fair, uns an der anderen Seite davon zu messen.

Lies die unteren vier Zeilen noch einmal. Wir haben noch keine Gruppenchats, keine Anrufe, keine Desktop-App, und fast niemand nutzt es bisher. Das sind echte Gründe, bei dem zu bleiben, was du schon hast, und wir sagen dir das lieber selbst. Was dir der obere Teil der Tabelle bringt, ist eine Unterhaltung, die nie mit einem Unternehmen in Berührung kommt — und das ist die einzige Zeile, für die wir einen Wechsel für lohnenswert halten.

Erfahre, wenn es startet

Sag mir Bescheid, wenn es startet

Hinterlasse eine Adresse, und wir schreiben dir einmal, wenn Channel Messenger öffentlich verfügbar wird, und danach nur noch, wenn es eine neue Version zum Herunterladen gibt. Das ist der einzige Grund, warum diese Liste existiert.

Wir speichern deine Adresse und das Datum, an dem du sie geschickt hast. Sonst nichts — kein Name, keine IP-Adresse, kein Tracking. Deine Adresse wird nie verkauft, weitergegeben oder vermietet, sie wird zu nichts anderem als den beiden oben genannten Dingen verwendet, und jede E-Mail, die wir versenden, hat einen Abmelde-Link mit einem Klick. Frag uns, und wir löschen sie.

Verfügbarkeit

  • iOS — geschlossener Test
  • Android — geschlossener Test
  • macOS — geplant
  • Windows — geplant

Channel Messenger befindet sich sowohl im App Store als auch bei Google Play im geschlossenen Test und ist noch nicht öffentlich verfügbar. Diese Seite wird die Links tragen, sobald es so weit ist.

Quellen

Jede Aussage oben über ein namentlich genanntes Unternehmen stammt aus dessen eigenen veröffentlichten Bedingungen, seinem eigenen Engineering-Blog oder einer behördlichen Durchsetzungsmaßnahme. Prüf sie nach.

  1. WhatsApp, Terms of Service (Fassung vom 28. Januar 2020): “You provide us the phone numbers of WhatsApp users and your other contacts in your mobile phone address book on a regular basis, and you confirm you are authorized to provide us such numbers.” Dieselbe Klausel erscheint in der Fassung von 2016. whatsapp.com ↩
  2. Federal Trade Commission, Path Social Networking App Settles FTC Charges it Deceived Consumers and Improperly Collected Personal Information from Users’ Mobile Address Books, 1. Februar 2013 — 800.000 US-Dollar Strafe und zwanzig Jahre unabhängiger Datenschutzprüfungen. ftc.gov ↩
  3. WhatsApp, Privacy Policy, zu den aus dem Adressbuch eines Nutzers bereitgestellten Telefonnummern. whatsapp.com/legal/privacy-policy ↩
  4. Meta Engineering, IPLS: Privacy-preserving storage for your WhatsApp contacts, 22. Oktober 2024 — Kontaktnamen verschlüsselt mit einem auf dem Gerät des Nutzers erzeugten Schlüssel. engineering.fb.com ↩
  5. Data Protection Commission (Irland), Decision in Facebook “Data Scraping” Inquiry, 28. November 2022 — €265 Millionen Bußgeld und eine Verwarnung. Die Untersuchung befasste sich mit Facebook Search, dem Facebook Messenger Contact Importer und dem Instagram Contact Importer; der abgeschöpfte Datensatz umfasste rund 533 Millionen Menschen und enthielt Namen, Telefonnummern, Standorte, Geburtsdaten und E-Mail-Adressen. dataprotection.ie ↩
  6. Office of the Director of National Intelligence, Senior Advisory Group Panel Declassified Report on Commercially Available Information (datiert Januar 2022, veröffentlicht Juni 2023). Das Gremium stellte fest, dass Stellen der Intelligence Community Carpenter v. United States (2018) eng auslegen, um weiterhin Informationen von Datenhändlern kaufen zu können, für die sonst ein rechtliches Verfahren nötig wäre. dni.gov ↩
  7. Federal Trade Commission, FTC Order Prohibits Data Broker X-Mode Social and Outlogic from Selling Sensitive Location Data, 9. Januar 2024 — der erste Vergleich der Behörde mit einem Datenhändler wegen sensibler Standortinformationen; eine vergleichbare Anordnung gegen InMarket Media folgte am 18. Januar 2024. ftc.gov · InMarket-Anordnung ↩
  8. Gen. Michael Hayden, Direktor der NSA 1999–2005 und der CIA 2006–2009, in einer Rede beim Johns Hopkins University Foreign Affairs Symposium 2014, in einer Debatte mit David Cole. Fairerweise fügte er unmittelbar danach hinzu: “But that's not what we do with this metadata” — mit Bezug auf die Erfassung im Inland. Der Kernpunkt steht für sich: Der Mann, der beide Behörden geleitet hat, erklärte, dass Metadaten allein als ausreichende Grundlage für eine tödliche Maßnahme gelten, ohne dass auch nur ein Wort an Inhalt gelesen wird. Videoausschnitt, Just Security ↩