Wir schreiben gerne über die Schwächen anderer Messenger — das war zuletzt bei Telegrams Voreinstellungen der Fall. Fair ist fair: Bevor wir weiter über andere herziehen, drehen wir den Spiegel um. Hier ist, was an unserer eigenen Infrastruktur nicht so glänzt, wie unsere Marketingtexte manchmal klingen.

„Dezentral" ist gerade eher „zwei Server, ein Betreiber"

Das grösste Wort in unserem eigenen Vokabular ist „dezentral". Die ehrliche Version: Aktuell laufen genau zwei Relays. Eines auf einem gemieteten Server bei Infomaniak, eines auf einer privaten NAS in einem Wohnzimmer in der Schweiz. Beide werden vom selben kleinen Team betrieben. Das ist nicht dasselbe wie ein Netzwerk aus unabhängigen Knoten, die niemand einzeln abschalten kann — es ist ein System mit eingebauter Redundanz, aber mit derselben Kontrolle im Hintergrund.

Der Unterschied zu einem klassischen zentralen Anbieter ist trotzdem real: Die Relays sehen nach dem Schlüsselaustausch nur noch Chiffrat, nicht Klartext — das bleibt so, unabhängig davon, wie viele oder wie wenige es sind. Aber „niemand kann mitlesen" und „niemand kann abschalten" sind zwei verschiedene Versprechen, und aktuell halten wir ehrlich nur das erste vollständig. Am zweiten arbeiten wir — mehr unabhängige Betreiber sind der Plan, nicht der Ist-Zustand.

Lokale Beiträge erreichen nur, wer gerade online ist

Ein Feature, das wir bewusst so gebaut haben und über das wir trotzdem nicht restlos glücklich sind: Beiträge, die für die unmittelbare Umgebung gedacht sind — ein Flohmarkt im Quartier, eine spontane Ansage —, erreichen nur Leute, die in diesem Moment tatsächlich verbunden sind. Es gibt keinen Nachschlage-Mechanismus, der sie später noch findet, wenn sie zwei Stunden nach dem Posten das erste Mal die App öffnen. Für Beiträge, die ohnehin schnell veralten, ist das vertretbar. Für alles andere ist es eine Lücke, die wir kennen und noch nicht geschlossen haben.

Eine eingebaute Uhr, die niemand sieht

Unser Relay hält Beiträge und Verzeichniseinträge nicht für immer — nach sieben Tagen sind ältere Posts weg, sofern niemand sie zwischenzeitlich aktualisiert hat. Das ist eine bewusste Entscheidung: Ein Server, der endlos alles aufbewahrt, wird selbst zu genau dem Datenschatz, den wir vermeiden wollen. Trotzdem ist es eine zentrale Entscheidung, die für alle gleich gilt, getroffen von uns, nicht von einer Regel, die die Nutzer selbst einstellen könnten. Auch das ist weniger „dezentral" als es klingt, wenn man das Wort ernst nimmt.

Was wir bewusst so gelassen haben

Manches auf dieser Liste ist kein Bug, sondern eine Abwägung, die wir mit offenen Augen getroffen haben. Kein Volltextsuche im Chatverlauf über den Server — Konsequenz aus derselben Verschlüsselung, die wir im StrongBox-Beitrag erklärt haben. Kein Backup, das automatisch irgendwo in einer Cloud landet — wer sein Gerät verliert, muss das vorher selbst eingerichtet haben (dazu mehr im Beitrag über verlorene Handys). Das sind Kompromisse, bei denen wir bewusst die unbequemere Seite gewählt haben, weil die bequeme Seite genau die Angriffsfläche wäre, die wir vermeiden wollen.

Die eine Stelle, an der wir noch nicht zufrieden sind

Wenn wir ehrlich einen einzigen Punkt nennen müssten, der uns am meisten stört: die Zahl der unabhängigen Relay-Betreiber. Zwei Server unter einer Hand sind ein Anfang, kein Zielzustand. Das ist kein Geheimnis, das wir verstecken — es steht so in unseren eigenen technischen Unterlagen, und es ist der Grund, warum wir „dezentral" in Zukunft vorsichtiger benutzen wollen, bis mehr unabhängige Knoten laufen. Bis dahin: lieber ehrlich zwei Server nennen, als ein Netzwerk behaupten, das es noch nicht gibt.