Session, entwickelt von der Oxen Privacy Tech Foundation, positioniert sich als datenschutzorientierter Messenger, der die meisten Mitbewerber übertrifft, indem die Telefonnummer-Anforderung vollständig entfällt. Bei der Installation generiert die App lokal ein kryptografisches Schlüsselpaar und weist dem Nutzer eine Session ID zu – eine lange alphanumerische Zeichenfolge, die als Identität dient. Es gibt keine Kontoregistrierung im herkömmlichen Sinne, und während der Einrichtung werden keine personenbezogenen Daten erfasst.
Sicherheitsarchitektur
Session verwendet das Signal Protocol als Grundlage, modifiziert es jedoch in wesentlichen Punkten. Die bedeutendste Abweichung ist die Entfernung der Perfect-Forward-Secrecy-Komponente des Double-Ratchet-Algorithmus. Session verwendet ein vereinfachtes Schlüsselaustauschmodell, um sein dezentralisiertes, asynchrones Nachrichtenzustellungssystem zu unterstützen. Dies ist ein echter Kompromiss: Während er die Offline-Nachrichtenspeicherung im Node-Netzwerk ermöglicht, bedeutet er, dass Session-Schlüssel nicht mit der gleichen Häufigkeit wie bei Signal rotieren. Sicherheitsforscher haben dies als eine bedeutende Reduzierung des kryptografischen Schutzes eingestuft, und potenzielle Nutzer sollten dies entsprechend abwägen.
Nachrichten werden über das Oxen Service Node Network mittels eines Drei-Hop-Onion-Routing-Systems geleitet, das konzeptionell Tor ähnelt. Dies verschleiert IP-Adressen und erschwert die Traffic-Analyse erheblich im Vergleich zu zentralisierten Messengern. Allerdings können Netzwerkgröße und -geschwindigkeit noch nicht mit der Reife von Tor mithalten, und die Nachrichtenzustellung kann in Zeiten hoher Auslastung träge wirken.
Benutzerfreundlichkeit
Die Benutzeroberfläche ist übersichtlich und jedem, der WhatsApp oder Telegram verwendet hat, weitgehend vertraut. Grundlegende Funktionen wie Text, Sprachnachrichten, Bildfreigabe, verschwindende Nachrichten und Gruppenchats funktionieren wie erwartet. Sprach- und Videoanrufe sind verfügbar, waren jedoch in der Vergangenheit weniger zuverlässig als die Kerntextfunktion. Der Desktop-Client ist funktional, obwohl die Synchronisation zwischen Geräten eine Wiederherstellungsphrase statt eines QR-Code-Scans erfordert, was die Einrichtung etwas aufwändiger macht.
Das Session-ID-System ist zwar ausgezeichnet für den Datenschutz, stellt jedoch eine echte Hürde für die Benutzerfreundlichkeit dar. Einem neuen Kontakt eine 66-stellige Hex-Zeichenfolge zu übermitteln, ist umständlicher als das Teilen eines Benutzernamens oder einer Telefonnummer. Die App begegnet diesem Problem teilweise mit lesbaren ONS-Benutzernamen (Oxen Name System), die gegen eine geringe Gebühr Session IDs zugeordnet werden können.
Preisgestaltung und Mehrwert
Session ist kostenlos herunterzuladen und zu nutzen, ohne Abonnement-Stufen oder In-App-Käufe. Die ONS-Benutzernamen-Registrierung erfordert einen kleinen Betrag in OXEN-Kryptowährung, was für weniger technikaffine Nutzer eine geringfügige Hürde darstellt. Es gibt keine kostenpflichtige Stufe, die zusätzliche Funktionen freischaltet, sodass der Datenschutz für alle Nutzer einheitlich gewährleistet ist.
Datenschutzpraktiken
Das Projekt ist transparent in Bezug auf seine Datenpraktiken. Der Open-Source-Code ermöglicht es Forschern, Aussagen unabhängig zu überprüfen, und die Foundation veröffentlicht Dokumentation über ihre Netzwerkarchitektur. Das Fehlen zentraler Server, die Nachrichteninhalte oder Nutzer-Metadaten speichern, ist ein struktureller Datenschutzvorteil gegenüber nahezu allen gängigen Alternativen.