Schattenpost: eine geheime Nachricht, versteckt in einem harmlosen Foto

Stell dir vor, du verschickst ein völlig unauffälliges Foto. Niemand sieht ihm an, dass darin eine Nachricht steckt. Und selbst wenn jemand sie fände: Sie wäre mathematisch nicht zu knacken. Genau das macht Schattenpost — ein kleines Tool, das zwei alte Kryptografie-Ideen neu zusammensteckt.

Der eigentliche Auslöser war kein technischer, sondern ein politischer: die geplante EU-Chatkontrolle. Die Vorstellung, dass private Nachrichten anlasslos und automatisiert durchleuchtet werden sollen, hat mir gereicht, um mich hinzusetzen. Schattenpost ist mein Proof of Concept — der handfeste Gegenbeweis, dass man die Sicherheit seiner Kommunikation selbst in die Hand nehmen kann. Bei etwas so Grundlegendem wie vertraulichen Nachrichten sollte man sich nicht darauf verlassen müssen, dass ein Dritter es schon gut mit einem meint.

Idee eins: das One-Time-Pad. Es ist das einzige Verschlüsselungsverfahren, das nachweislich unknackbar ist — vorausgesetzt, der Schlüssel ist zufällig, so lang wie die Nachricht und wird nur ein einziges Mal benutzt. Dann steckt in einer verschlüsselten Nachricht schlicht keine Information mehr, an der ein Angreifer ansetzen könnte. Der Haken — man muss den langen Schlüssel sicher austauschen — ist auch der Grund, warum man das Verfahren im Alltag selten sieht.

Idee zwei: Steganografie. Die verschlüsselte Nachricht wird bitweise in den unwichtigsten Bildpunkten eines Fotos versteckt. Fürs Auge bleibt das Bild identisch. Der Unterschied zur reinen Verschlüsselung ist fein, aber wichtig: Verschlüsselung verbirgt den Inhalt einer Nachricht — Steganografie verbirgt, dass überhaupt kommuniziert wird.

Damit niemand unbemerkt am Bild herumpfuscht, sichert ein Poly1305-Einmal-MAC die Nachricht gegen Manipulation ab. Wird auch nur ein Bit verändert, fällt es beim Entschlüsseln auf.

Das Beste: Alles läuft ausschließlich in deinem Browser. Kein Server, kein Upload — dein Schlüssel und dein Klartext verlassen dein Gerät nie. Schattenpost ist als installierbare App (PWA) gebaut und komplett Open Source auf meiner Gitea-Instanz.

Und jetzt der ehrliche Teil, der dazugehört: Das ist ein Hobby- und Lernprojekt, kein auditiertes Sicherheitswerkzeug. Es soll Kryptografie begreifbar machen, nicht Leben schützen. Zwei praktische Fallstricke inklusive: Verschickte Stego-Bilder immer als Datei bzw. Dokument teilen, nie als „Foto" — sonst zerstört die automatische Re-Kompression (WhatsApp & Co.) die versteckte Nachricht. Und der Schlüssel bleibt der wunde Punkt jedes One-Time-Pads: Er muss sicher zum Gegenüber kommen.

Warum ich sowas an einem Wochenende baue? Weil ich Technik am besten verstehe, wenn ich sie selbst zusammensetze. Was in solchen Experimenten entsteht, fließt direkt in meine Schulungen — konkret, angefasst, nicht nur auf der Folie. Schau rein: schattenpost.gaertner.onl