Viel wird über Messenger und ihre Sicherheit geredet. Immer wieder gerät der Platzhirsch, WhatsApp, in die Diskussion. Immerhin ist die Kommunikation Ende-zu-Ende verschlüsselt, doch was ist mit den Metadaten? Und reicht eine Ende-zu-Ende-Verschlüsselung überhaupt aus?

Dann gehört WhatsApp zu Facebook und die Server stehen in den USA. Es gibt inzwischen viele Alternativen zu WhatsApp und doch kommt kaum einer an dem Messenger vorbei. Die angerissenen Kritikpunkt wiegen umso schwerer, sobald es um den Austausch sensibler Daten geht. Ende letzten Jahres hat die Konferenz der unabhängigen Datenschutzbehörden des Bundes und der Länder – kurz DSK in einem Whitepaper die technischen Datenschutzanforderungen an Messenger-Dienste im Krankenhausbereich festgelegt.

Zeitnah haben wir WhatsApp anhand des Kriterienkataloges überprüft. Das Ergebnis können Sie auf unserem Blog nachlesen. Wir haben uns aber auch Messenger angesehen, die nach eigenen Angaben die technischen Datenschutzanforderungen der DSK erfüllen. Gestern haben wir über den Messenger Siilo berichtet, heute möchten wir stashcat genauer unter die Lupe nehmen.

 stashcat ist ein deutscher Instant-Messaging-Dienst der stashcat GmbH aus Hannover. Der Messenger wendet sich an Unternehmen und Behörden, die rein private Nutzung ist untersagt. Ganz wichtig, um die großen Unterschiede zu anderen Messengern gleich klar zu machen: stashcat zielt immer auf eine Kommunikation innerhalb einer Organisation ab. Ob das nun ein Unternehmen, eine Behörde, ein Krankenhaus oder eine Abteilung ist, spielt keine Rolle. Die von vielen gewohnte direkte Kommunikation mit Jedermann ist nicht das Ziel von stashcat.

Neben Einzelchats gibt es die Channel-Funktion, mit der sich Gruppen oder Teams, z.B. die Kardiologie in einem Krankenhaus, austauschen können. In den Einzelchats kann man zwar auch mit mehreren Personen gleichzeitig kommunizieren, aber anders als man es sonst von Gruppenchats kennt, kann nach dem Start einer Konversation, niemand mehr in den Chat aufgenommen werden. Channels sind also die eigentlichen Gruppenchats. Darüber hinaus verfügt stashcat über eine Dateiablage, ein Umfragetool und einen Kalender.

Auch bei stashcat haben wir, analog zu unserer Betrachtung von Siilo, keine vollumfängliche Prüfung anhand des Whitepapers der DSK durchgeführt. Wir haben uns einige Punkte herausgesucht, die wir detaillierter betrachten. Wir hatten die Möglichkeit stashcat mit seinen verschiedenen Funktionen zu testen und wurden dabei von Mitarbeitern der stashcat GmbH begleitet.

Registrierung

stashcat erfordert keinen Einsatz von Telefonnummern. Selbst die erstmalige Anmeldung des Administrators bedarf keiner Telefonnummer zur Verifizierung; eine E-Mail-Adresse reicht. Nach der Erstregistrierung kann der Administrator neue Nutzer einladen. Das geht per Einladung durch einen Registrierungsschlüssel und Selbstregistrierung durch den Nutzer oder per Erstellung eines Nutzeraccounts über den Verwaltungsbereich und Zurverfügungstellung eines Registrierungsschreibens oder einer Registrierungs-E-Mail.

Fotos in der App

stashcat verfügt über eine Kamera-Funktion. Bilder oder Videos, die über stashcat aufgenommen werden, werden ausschließlich in der App gespeichert. Eine Synchronisierung mit der Foto-App des Endgerätes erfolgt nicht. Somit ist sichergestellt, dass Bilder aus der App nicht unter den normalen Fotos des Handys zu finden sind und somit auch nicht bei Cloud-Dienstleistern, wie zum Beispiel iCloud, landen. Gleiches gilt übrigens auch für die Sprachaufzeichnungen, die die App ebenfalls ermöglicht.

Angehörige der medizinischen- und Heilberufe

Bei stashcat meldet sich die Institution, das Krankenhaus, das Pflegeheim etc., als Instanz an. Dabei kann das Active Directory der Einrichtung über eine LDAP-Schnittstelle genutzt werden. Die Vorteile liegen auf der Hand: zum einen ist der Aufwand, alle Beschäftigten anzulegen viel geringer und zum anderen ist so sehr einfach sichergestellt, dass bei einem Austritt oder bei einem Abteilungswechsel automatisch die Zugänge des Einzelnen ohne manuelles Eingreifen im Messenger aktualisiert werden. Auch ein Identitätsdiebstal ist, anders als bei einer Verifizierung des einzelnen Nutzers durch den Anbieter, hier nicht möglich. Der Administrator der medizinischen Einrichtung legt Benutzerrollen fest und vergibt Rechte, z.B. wer welchen Chats beitreten kann, wer welche Unterhaltungen sehen und lesen kann und wer wo schreiben kann.

Datenspeicherung

stashcat bietet die Möglichkeit, den Messenger auf mobilen Geräten und auch als Webclientversion zu betreiben. Alle Funktionen sind sowohl mobil als auch am Computer nutzbar. Um dies gewährleisten zu können, müssen die Daten auf dem Server bleiben. Andernfalls wäre ein Zugriff von verschiedenen Geräten nicht möglich. Erwähnenswert ist auch, dass Mitglieder, die neu zu einem Chat hinzukommen, im Verlauf zeitlich zurück lesen können. Sie können auch Nachrichten lesen, die vor ihrem Beitritt in der Gruppe geschrieben wurden. Das macht es bei der ärztlichen Konsultation z.B. nicht mehr erforderlich, dass Bilder ein weiteres Mal geteilt werden müssen.

Eine automatische Datenlöschung bietet stashcat nicht an.

Jeder Nutzer hat seine eigene Dateiablage, auf die nur er Zugriff hat und das von allen Endgeräten aus. Neben der individuellen Dateiablage verfügt auch jeder Channel und jede Konversation über eine eigene Dateiablage auf die die jeweiligen Teilnehmer Zugriff haben.

Aspekte der Sicherheit

Alle Daten und Dokumente sind Ende-zu-Ende verschlüsselt. Der Zugriff auf die App ist durch einen sechsstelligen PIN-Code schützbar. Der Server steht in Deutschland.

Sonstiges

stashcat bietet einen Auftragsverarbeitungsvertrag an. Auch sind die Informationen nach Artikel 13 DSGVO verfügbar.

Fazit

stashcat hat uns durchweg überzeugt. Im Rahmen unserer summarischen Prüfung sind uns keine Abweichungen zum Whitepaper der DSK aufgefallen. Besonders die einfache interne Verwaltung hat uns überzeugt. Für Unternehmen, auch außerhalb der Medizinbranche, bietet der Messenger tolle Möglichkeiten und ist mehr als nur eine Alternative zu WhatsApp und Co. stashcat kann auch on Premise betrieben werden und ist individuell konfigurierbar. Lediglich die fehlende Möglichkeit Fotos in der App zu bearbeiten – etwa um Patientendaten auf Bildern unkenntlich zu machen – könnte man als Haar in der Suppe bezeichnen.

Weiterführende Links

stashcat Homepage

Verschlüsselung / Server

Handbuch_stashcat_iOS_3.7

| | , , | , , , , , , ,