Signal erlaubt es jetzt, Konten ohne Telefonnummer anzulegen – eine seit Langem geforderte Änderung für einen Dienst, der darauf ausgelegt ist, möglichst wenige Daten zu speichern. Die Funktion startet zunächst auf Android und kostet einmalig 3 US-Dollar, um Spammer und andere Missbraucher von der massenhaften Anlage von Konten abzuhalten. Signal selbst bleibt kostenlos und spendenfinanziert; die Anmeldung mit Telefonnummer bleibt gratis, auch wenn man diese Nummer anschließend anderen Nutzern nicht offenlegt.
Für Konten ohne Nummer ist die Einrichtung eines Benutzernamens dringend zu empfehlen. Ein Konto ohne Telefonnummer und ohne Benutzername kann von niemandem sonst gefunden oder kontaktiert werden. Da die Signal Foundation bewusst Metadaten vermeidet, speichert sie die Verknüpfung zwischen Benutzername und Konto-Kennung nicht – ein Benutzername lässt sich also nicht auf ein neues Konto übertragen, und Nutzer müssen ihn sich selbst merken.
Bei der Anlage eines nummernlosen Kontos über die Android-App erzeugt Signal nach der Zahlung zwei Schlüssel: eine 32 Zeichen lange Kontonummer und einen doppelt so langen Wiederherstellungsschlüssel, der den Zugriff auf Backups steuert. Bei Verlust gibt es keinen anderen Weg zurück. Als zusätzliche Absicherung bietet Signal Passkeys (maximal acht) sowie Zwei-Faktor-Authentifizierung über zeitbasierte Einmalpasswörter (TOTP, bis zu zwei Apps).
Parallel dazu hat Signal die Backup-Funktionen ausgebaut. Backups auf dem Gerät selbst, bislang nur unter Android, gibt es nun auch für iOS sowie die Desktop-Versionen für Linux, macOS und Windows – in einem neuen, einheitlichen Backup-Format. Nutzer können einen beliebigen Speicherort wählen, etwa eine externe Festplatte oder ein NAS im eigenen Netz. Mediendateien landen fortan in separaten, weiterhin verschlüsselten Ordnern statt gemeinsam mit Textnachrichten in einer einzigen Datei; das ermöglicht Deduplizierung und spart Speicherplatz.
Die Änderungen beschleunigen zudem den Gerätewechsel. Die neueste App-Version kann Backup-Dateien direkt über eine lokale WLAN-Verbindung übertragen und ein Konto so deutlich schneller vom iPhone zum iPhone oder zwischen iPhone und Android umziehen als über die Server von Signal – und kostenlos.
Die im Vorjahr eingeführten Online-„Secure Backups“ bleiben auf allen Plattformen verfügbar und ergänzen Forward Secrecy: Selbst wer die Verschlüsselung eines älteren Archivs knackt, kann neuere Backups nicht öffnen. Der Textverlauf wird kostenlos ohne Zeitlimit gespeichert, dazu die Medien der jüngsten 45 Tage; ein Abo für 2 US-Dollar im Monat hebt das Medienlimit auf und erhöht den Speicher auf 100 GB pro Konto. Zahlende Nutzer können außerdem Offloading aktivieren, bei dem Signal ältere Fotos und Videos durch Miniaturansichten ersetzt, die bei Bedarf aus dem Online-Backup nachgeladen werden. Kostenlose Desktop-Nutzer erhalten ein neues „Automated Backfill“: Wird ein Konto mit einem neuen Rechner verbunden, kann dieser den Chatverlauf aus dem Online-Backup holen und Medien, die älter als 45 Tage sind, vom primären Gerät anfordern, solange beide online sind.
Signals Autoren nennen auch einen Haken: Dieselben Funktionen können Behörden, Geheimdiensten und anderen Angreifern helfen, fremde Konten zu klonen. Da sie die Verschlüsselung von Diensten wie Signal oder WhatsApp in der Regel nicht brechen können, richten sie häufig einen zweiten Desktop-Zugang zum Konto der Zielperson ein – die Autorisierung erlangen sie, indem sie unverschlüsselte Bestätigungs-SMS per Telefonüberwachung abfangen oder während einer Befragung oder Kontrolle an der Grenze unbemerkt einen QR-Code von einem Gerät scannen.
