Wer 2026 in Deutschland, \u00d6sterreich oder der Schweiz einen sicheren Messenger sucht, landet fast immer bei denselben drei Namen: Signal, WhatsApp und Threema. WhatsApp dominiert mit \u00fcber 3 Milliarden monatlich aktiven Nutzern (Stand Mai 2025, laut Meta) den Markt. Signal gilt unter Datensch\u00fctzern als Goldstandard f\u00fcr Ende-zu-Ende-Verschl\u00fcsselung. Und Threema kommt aus der Schweiz, verlangt keine Telefonnummer und wird sogar von der Schweizer Armee eingesetzt.<\/p>\n\n\n\n
Dieser Vergleich stellt die drei Apps Punkt f\u00fcr Punkt gegen\u00fcber: Verschl\u00fcsselungsprotokoll, Metadaten, Preise, Rechtsraum, DSGVO-Konformit\u00e4t und die unabh\u00e4ngigen Sicherheitsaudits. Wir nutzen ausschlie\u00dflich Daten aus 2025 und 2026 sowie \u00f6ffentlich dokumentierte Fakten. Am Ende steht ein klares Fazit mit Empfehlungen f\u00fcr f\u00fcnf verschiedene Nutzertypen, eine Umstieg-Anleitung und ein Blick auf die EU-Chatkontrolle, die ab Juni 2026 \u00fcber die Zukunft verschl\u00fcsselter Kommunikation entscheidet.<\/p>\n\n\n\n
Wer wenig Zeit hat, bekommt hier die Kurzfassung. Alle drei Apps verschl\u00fcsseln Nachrichten standardm\u00e4\u00dfig Ende-zu-Ende. Der Unterschied liegt nicht in der Verschl\u00fcsselung selbst, sondern in drei Dingen: Wer das Unternehmen kontrolliert, welche Metadaten anfallen und in welchem Rechtsraum die Server stehen.<\/p>\n\n\n\n
Das Fazit vorweg: F\u00fcr maximale Anonymit\u00e4t ohne Telefonnummer und mit europ\u00e4ischem Rechtsraum f\u00fchrt kein Weg an Threema vorbei. F\u00fcr kostenlose, quelloffene und breit getestete Verschl\u00fcsselung ist Signal die erste Wahl. WhatsApp bleibt nur dann sinnvoll, wenn alle Kontakte ohnehin dort sind und Datenschutz zweitrangig ist. Die Begr\u00fcndung mit Zahlen folgt in den n\u00e4chsten Abschnitten.<\/p>\n\n\n\n
Bevor wir in die Spezifikationen eintauchen, lohnt ein Blick auf die Herkunft und Philosophie der drei Apps. Sie k\u00f6nnten unterschiedlicher kaum sein, obwohl sie technisch teils dasselbe tun.<\/p>\n\n\n\n
Signal wird von der Signal Foundation betrieben, einer gemeinn\u00fctzigen Organisation mit Sitz in den USA. Die App ist vollst\u00e4ndig quelloffen, sowohl Client als auch Server-Code liegen offen. Das von Signal entwickelte Signal-Protokoll mit Double Ratchet, X3DH-Schl\u00fcsselaustausch und Prekeys ist die meistuntersuchte Verschl\u00fcsselungstechnik im Consumer-Bereich. Genau dieses Protokoll lizenzieren WhatsApp, Google und andere f\u00fcr ihre eigenen Apps. Signal finanziert sich \u00fcber Spenden und sammelt bewusst so wenig Daten wie technisch m\u00f6glich. Das Feature Sealed Sender verschleiert sogar, wer wem eine Nachricht schickt. Damit ist Signal nicht nur eine App, sondern die technische Referenz, an der sich alle anderen messen lassen m\u00fcssen.<\/p>\n\n\n\n
WhatsApp geh\u00f6rt seit 2014 zu Meta (damals Facebook) und ist mit \u00fcber 3 Milliarden monatlich aktiven Nutzern der mit Abstand gr\u00f6\u00dfte Messenger der Welt. Mark Zuckerberg nannte diese Zahl erstmals im Quartalsbericht f\u00fcr das erste Quartal 2025, TechCrunch berichtete am 1. Mai 2025 dar\u00fcber. Die Ende-zu-Ende-Verschl\u00fcsselung basiert auf dem Signal-Protokoll und ist f\u00fcr pers\u00f6nliche Chats und Anrufe standardm\u00e4\u00dfig aktiv. Der Knackpunkt ist nicht der Inhalt, sondern das Drumherum: WhatsApp erhebt deutlich mehr Metadaten als Signal, und Metas Datenschutzrichtlinie erlaubt es, diese Daten zwischen den Konzern-Diensten zu teilen.<\/p>\n\n\n\n
Threema wird von der Threema GmbH mit Sitz in Pf\u00e4ffikon im Kanton Schwyz entwickelt. Die App verfolgt einen radikal anderen Ansatz: keine Telefonnummer, keine E-Mail, stattdessen eine zuf\u00e4llig generierte Threema-ID. Statt Werbung oder Datenverkauf finanziert sich Threema \u00fcber einen einmaligen Kaufpreis von rund 3 Euro. Die Server stehen ausschlie\u00dflich in der Schweiz, au\u00dferhalb von EU und USA. Threema setzt nicht auf das Signal-Protokoll, sondern auf die NaCl-Kryptobibliothek mit Curve25519, XSalsa20 und 256-Bit-Schl\u00fcsseln. Die App ist quelloffen und wurde mehrfach extern auditiert.<\/p>\n\n\n\n
Die folgende Tabelle stellt alle relevanten technischen und organisatorischen Merkmale gegen\u00fcber. Sie ist die Grundlage f\u00fcr alle weiteren Abschnitte. Alle Angaben stammen aus offiziellen Quellen und der Recherche von 2025 und 2026.<\/p>\n\n\n\n Schon diese \u00dcbersicht zeigt das Muster: Signal und Threema trennen sich technisch beim Protokoll, treffen sich aber bei der Datensparsamkeit. WhatsApp verschl\u00fcsselt zwar mit Signal-Technik, verspielt den Vorteil aber durch Metadaten und die Meta-Anbindung. Die n\u00e4chsten Abschnitte erkl\u00e4ren jeden dieser Punkte im Detail.<\/p>\n\n\n\n Die wichtigste Frage zuerst: Sind die Nachrichten sicher verschl\u00fcsselt? Bei allen drei Apps lautet die Antwort ja. Aber der Weg dorthin unterscheidet sich, und Details entscheiden \u00fcber Vertrauen.<\/p>\n\n\n\n Signal und WhatsApp setzen beide auf das Signal-Protokoll. Dessen Kern ist der Double Ratchet, der f\u00fcr jede einzelne Nachricht einen neuen Schl\u00fcssel erzeugt. Selbst wenn ein Angreifer einen Schl\u00fcssel knackt, bleiben alle vorherigen und nachfolgenden Nachrichten gesch\u00fctzt. Diese Eigenschaft hei\u00dft Forward Secrecy und Post-Compromise Security. Der X3DH-Schl\u00fcsselaustausch sorgt daf\u00fcr, dass sich zwei Parteien auch dann auf einen gemeinsamen Schl\u00fcssel einigen k\u00f6nnen, wenn einer gerade offline ist. Vorberechnete Prekeys machen das m\u00f6glich.<\/p>\n\n\n\n Threema geht einen eigenen Weg. Statt des Signal-Protokolls nutzt die App die NaCl-Bibliothek (Networking and Cryptography Library) von Daniel J. Bernstein. Die Verschl\u00fcsselung l\u00e4uft \u00fcber elliptische Kurven mit Curve25519 f\u00fcr den Schl\u00fcsselaustausch (ECDH), XSalsa20 als Stromchiffre und Poly1305 zur Authentifizierung. Die symmetrischen Schl\u00fcssel sind 256 Bit lang. NaCl gilt als extrem robust und schwer falsch zu implementieren, weil die Bibliothek dem Entwickler kaum Spielraum f\u00fcr Fehler l\u00e4sst. Threema kombiniert diese Transportverschl\u00fcsselung mit einer zweiten Schicht direkt zwischen den Nutzern.<\/p>\n\n\n\n Der entscheidende Punkt: Bei Signal und Threema kann man der Verschl\u00fcsselung vertrauen, weil der gesamte Quellcode offenliegt und unabh\u00e4ngig gepr\u00fcft wurde. Bei WhatsApp ist nur die Verschl\u00fcsselungsbibliothek quelloffen, die App selbst nicht. Man muss also Meta glauben, dass die korrekte Verschl\u00fcsselung tats\u00e4chlich \u00fcberall greift und keine Hintert\u00fcr existiert. Technisch ist die Verschl\u00fcsselung von WhatsApp solide. Die Frage ist, ob man dem Konzern vertraut, der sie betreibt.<\/p>\n\n\n\n Ein praktischer Unterschied: Threema verzichtet auf serverseitige Speicherung im Klartext und l\u00f6scht Nachrichten nach der Zustellung sofort vom Server. Bei WhatsApp und Signal liegen unzugestellte Nachrichten kurzzeitig verschl\u00fcsselt auf den Servern, bis das Ger\u00e4t wieder online ist. F\u00fcr die meisten Nutzer ist dieser Unterschied gering, f\u00fcr Hochrisiko-Szenarien aber relevant.<\/p>\n\n\n\n Verschl\u00fcsselung sch\u00fctzt den Inhalt einer Nachricht. Metadaten verraten alles andere: wer mit wem kommuniziert, wann, wie oft, von welchem Ger\u00e4t, von welchem Standort. Geheimdienste sagen seit Jahren, dass Metadaten oft aussagekr\u00e4ftiger sind als der Inhalt selbst. Genau hier trennen sich die drei Apps am deutlichsten.<\/p>\n\n\n\n Signal sammelt nachweislich am wenigsten. Das einzige dauerhaft gespeicherte Datum ist die Telefonnummer zur Registrierung, und seit 2024 l\u00e4sst sich diese hinter einem Benutzernamen verbergen. Das Sealed-Sender-Feature sorgt daf\u00fcr, dass der Signal-Server bei vielen Nachrichten nicht einmal wei\u00df, wer der Absender ist. Als US-Beh\u00f6rden Signal per Subpoena zur Herausgabe von Nutzerdaten zwangen, konnte die Stiftung nur das Datum der Kontoerstellung und den Zeitpunkt der letzten Verbindung liefern. Mehr existiert schlicht nicht.<\/p>\n\n\n\n WhatsApp steht am anderen Ende. Die App erhebt umfangreiche Metadaten und Metas Datenschutzrichtlinie erlaubt ausdr\u00fccklich, dass WhatsApp-Daten von anderen Meta-Diensten genutzt werden. Dazu geh\u00f6ren Verbindungsdaten, Ger\u00e4tekennungen, IP-Adressen und das Nutzungsverhalten. Die Inhalte der Chats sind verschl\u00fcsselt, das soziale Netz dahinter ist es nicht. Wer wann mit wem spricht, ist f\u00fcr Meta sichtbar. Genau dieser Punkt sorgte 2021 f\u00fcr einen Aufschrei, als WhatsApp seine Datenschutzbestimmungen \u00e4nderte und Millionen Nutzer zu Signal und Threema wechselten.<\/p>\n\n\n\n Threema ist von Grund auf datensparsam konzipiert. Die App l\u00e4sst sich vollst\u00e4ndig anonym nutzen, ohne Zugriff auf das Adressbuch und ohne pers\u00f6nliche Kennungen. Es gibt keine Telefonnummer, keine E-Mail-Pflicht. Wer will, kann den Adressbuch-Abgleich aktivieren, muss es aber nicht. Da Threema seinen Umsatz mit dem App-Verkauf macht, gibt es kein wirtschaftliches Interesse, Daten zu sammeln. Das ist der strukturelle Unterschied: Threema verdient an der Software, Meta verdient an den Daten.<\/p>\n\n\n\n Beim Preis scheint die Sache klar: Signal und WhatsApp sind kostenlos, Threema kostet Geld. Doch der zweite Blick lohnt sich, denn kostenlos ist nicht gleich kostenlos.<\/p>\n\n\n\n Die Tabelle macht den eigentlichen Handel sichtbar. Signal ist die Ausnahme: kostenlos und ohne Datenpreis, finanziert durch Spenden, unter anderem eine Anschubfinanzierung von WhatsApp-Mitgr\u00fcnder Brian Acton. WhatsApp ist gratis, aber man bezahlt mit Metadaten, die in Metas Werbemaschine flie\u00dfen. Threema verlangt einmalig rund 3 Euro und verkauft danach nie wieder etwas: keine Werbung, kein Abo, kein Datenhandel.<\/p>\n\n\n\n F\u00fcr Unternehmen sieht die Rechnung anders aus. Threema Work wird pro Nutzer und Jahr lizenziert und ist die einzige der drei L\u00f6sungen, die rechtssicher als DSGVO-konformer Unternehmensmessenger vermarktet wird. WhatsApp Business ist f\u00fcr kleine Betriebe kostenlos, die WhatsApp Business API rechnet aber pro Konversation ab. Signal bietet keine dedizierte Business-Variante, was f\u00fcr Firmen mit Compliance-Anforderungen ein Ausschlusskriterium sein kann.<\/p>\n\n\n\n Wo ein Anbieter sitzt, entscheidet dar\u00fcber, welche Beh\u00f6rden Zugriff verlangen k\u00f6nnen. Dieser Punkt wird oft untersch\u00e4tzt, ist aber f\u00fcr viele DACH-Nutzer das eigentliche Argument.<\/p>\n\n\n\n Signal und WhatsApp unterstehen beide US-Recht. Das bedeutet, dass US-Beh\u00f6rden \u00fcber Instrumente wie den CLOUD Act oder nationale Sicherheitsbriefe Druck aus\u00fcben k\u00f6nnen. Bei Signal l\u00e4uft dieser Druck weitgehend ins Leere, weil schlicht keine Daten existieren, die man herausgeben k\u00f6nnte. Bei WhatsApp sieht das anders aus: Zwar sind die Inhalte verschl\u00fcsselt, die Metadaten aber liegen bei Meta und damit potenziell im Zugriff von US-Beh\u00f6rden.<\/p>\n\n\n\n Threema ist hier strukturell im Vorteil. Die Threema GmbH sitzt in Pf\u00e4ffikon im Kanton Schwyz, die Server stehen ausschlie\u00dflich in der Schweiz. Damit gilt Schweizer Datenschutzrecht, das zu den strengsten der Welt geh\u00f6rt, und die Daten liegen au\u00dferhalb des Zugriffs von EU- und US-Beh\u00f6rden. F\u00fcr Unternehmen, Beh\u00f6rden und Privatpersonen mit erh\u00f6htem Schutzbedarf ist genau das der ausschlaggebende Grund. Die Schweiz ist kein EU-Mitglied und damit auch nicht direkt an EU-Verordnungen gebunden, was im Kontext der EU-Chatkontrolle (dazu sp\u00e4ter mehr) relevant werden k\u00f6nnte.<\/p>\n\n\n\n Diese geografische Frage erkl\u00e4rt auch, warum sicherheitskritische Organisationen im deutschsprachigen Raum zu Threema greifen. Die Schweizer Armee hat 2022 alle kommerziellen Chat-Apps f\u00fcr den dienstlichen Gebrauch verboten und durch Threema ersetzt, wie BleepingComputer berichtete. Ein US-Anbieter w\u00e4re f\u00fcr diesen Einsatzzweck schlicht nicht infrage gekommen.<\/p>\n\n\n\n Sicherheitsversprechen sind wenig wert, wenn sie niemand pr\u00fcft. Bei Messengern z\u00e4hlt nicht die rohe Geschwindigkeit, sondern ob unabh\u00e4ngige Experten die Verschl\u00fcsselung und den Code best\u00e4tigen. Hier zeigt sich der Wert von Open Source.<\/p>\n\n\n\n Das Signal-Protokoll ist die am gr\u00fcndlichsten analysierte Verschl\u00fcsselungstechnik im Consumer-Bereich. Akademische Arbeiten, etwa formale Sicherheitsanalysen von Forschern aus Oxford und der Queensland University of Technology, haben das Protokoll mathematisch untersucht und seine Kerneigenschaften best\u00e4tigt. Weil sowohl WhatsApp als auch Signal dasselbe Protokoll nutzen, profitiert die Inhaltsverschl\u00fcsselung beider Apps von dieser Pr\u00fcfung. Der Unterschied liegt in der Implementierung und im Drumherum.<\/p>\n\n\n\n Threema wurde mehrfach extern auditiert. Bereits 2015 pr\u00fcfte das Berliner Sicherheitsunternehmen Cure53 die App, zus\u00e4tzlich gab es Audits durch das Schweizer Unternehmen cnlab. 2022 ver\u00f6ffentlichten Forscher der ETH Z\u00fcrich eine kritische Analyse einzelner Protokollschw\u00e4chen, woraufhin Threema sein Kommunikationsprotokoll auf das neue, abgesicherte Ibex-Protokoll umstellte und den gesamten Quellcode der Apps offenlegte. Diese Offenheit, auf \u00f6ffentliche Kritik mit konkreten Verbesserungen zu reagieren, ist selbst ein Qualit\u00e4tsmerkmal.<\/p>\n\n\n\nMerkmal<\/th> Signal<\/th> WhatsApp<\/th> Threema<\/th><\/tr><\/thead> Verschl\u00fcsselungsprotokoll<\/strong><\/td> Signal-Protokoll (Double Ratchet, X3DH)<\/td> Signal-Protokoll<\/td> NaCl (Curve25519, XSalsa20)<\/td><\/tr>\n E2EE standardm\u00e4\u00dfig<\/strong><\/td> Ja, nicht abschaltbar<\/td> Ja, f\u00fcr Chats und Anrufe<\/td> Ja, nicht abschaltbar<\/td><\/tr>\n Telefonnummer n\u00f6tig<\/strong><\/td> Ja (Benutzername seit 2024 m\u00f6glich)<\/td> Ja<\/td> Nein (Threema-ID)<\/td><\/tr>\n Open Source<\/strong><\/td> Ja (Client und Server)<\/td> Nein<\/td> Ja (Apps quelloffen)<\/td><\/tr>\n Betreiber<\/strong><\/td> Signal Foundation (gemeinn\u00fctzig)<\/td> Meta Platforms (b\u00f6rsennotiert)<\/td> Threema GmbH (privat)<\/td><\/tr>\n Hauptsitz \/ Rechtsraum<\/strong><\/td> USA<\/td> USA<\/td> Schweiz<\/td><\/tr>\n Serverstandort<\/strong><\/td> USA \/ Cloud<\/td> Meta-Infrastruktur<\/td> Schweiz<\/td><\/tr>\n Nutzerzahl<\/strong><\/td> nicht offiziell beziffert<\/td> \u00fcber 3 Milliarden (Mai 2025)<\/td> \u00fcber 12 Millionen<\/td><\/tr>\n Metadaten-Erhebung<\/strong><\/td> minimal (Sealed Sender)<\/td> umfangreich, Meta-weit geteilt<\/td> minimal, Verzicht auf Adressbuch m\u00f6glich<\/td><\/tr>\n Max. Gruppengr\u00f6\u00dfe<\/strong><\/td> 1.000<\/td> \u00fcber 1.000<\/td> 256<\/td><\/tr>\n Benutzername statt Nummer<\/strong><\/td> Ja (seit Feb. 2024)<\/td> geplant f\u00fcr 2026<\/td> Ja (von Anfang an)<\/td><\/tr>\n Datenweitergabe an Konzern<\/strong><\/td> nein<\/td> ja (Meta-Dienste)<\/td> nein<\/td><\/tr>\n Unabh\u00e4ngiges Audit<\/strong><\/td> umfangreich analysiert<\/td> nicht vergleichbar transparent<\/td> Cure53 (2015), cnlab<\/td><\/tr>\n Preis<\/strong><\/td> kostenlos<\/td> kostenlos<\/td> ca. 3 Euro einmalig<\/td><\/tr>\n Finanzierung<\/strong><\/td> Spenden<\/td> Werbung \/ Metas Daten\u00f6konomie<\/td> App- und Lizenzverkauf<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n Verschl\u00fcsselung im Detail: Signal-Protokoll vs NaCl<\/h2>\n\n\n\n
Datenschutz und Metadaten: Wer sammelt was?<\/h2>\n\n\n\n
Preise und Kosten im Vergleich<\/h2>\n\n\n\n
Position<\/th> Signal<\/th> WhatsApp<\/th> Threema<\/th><\/tr><\/thead> App-Kaufpreis<\/strong><\/td> 0 Euro<\/td> 0 Euro<\/td> ca. 3 Euro einmalig<\/td><\/tr>\n Laufende Kosten privat<\/strong><\/td> 0 Euro<\/td> 0 Euro<\/td> 0 Euro<\/td><\/tr>\n Bezahlung mit Daten<\/strong><\/td> nein<\/td> ja (Metadaten an Meta)<\/td> nein<\/td><\/tr>\n Werbung<\/strong><\/td> nein<\/td> in Status \/ Updates m\u00f6glich<\/td> nein<\/td><\/tr>\n Business-Variante<\/strong><\/td> nicht vorhanden<\/td> WhatsApp Business (kostenlos \/ API kostenpflichtig)<\/td> Threema Work (pro Nutzer \/ Jahr)<\/td><\/tr>\n Finanzierungsmodell<\/strong><\/td> Spenden<\/td> Daten\u00f6konomie, Business-API<\/td> App- und Lizenzverkauf<\/td><\/tr>\n Echte Kosten f\u00fcr Datenschutz<\/strong><\/td> 0 Euro<\/td> pers\u00f6nliche Daten<\/td> ca. 3 Euro<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n Standort und Rechtsraum: USA vs Schweiz<\/h2>\n\n\n\n
Benchmarks und unabh\u00e4ngige Audits<\/h2>\n\n\n\n