Zum Inhalt springen
Malachi

Malachi für Android

Malachi gibt es als APK-Datei direkt hier – ohne App-Store, ohne Konto. Bitte prüfe die Datei vor der Installation; das dauert eine Minute.

Aktuelle Version

Version
1.0.0 (Versionscode 1)
Veröffentlicht
20. Oktober 2026
Voraussetzung
Android 7.0 oder neuer
Datei
malachi-1.0.0-arm64-v8a.apk (83,2 MB)
SHA-256
083635e1e24cb1f452bd13cb155fac2ca27748246e7312a34333e29bfadc5db2
Malachi 1.0.0 herunterladen (arm64-v8a, 83,2 MB)

Über Tor geht es auch: im Tor-Browser p75bcu4mna6lik35occlsoeoyke46zyikfuq2ugu3wdvu44e5c4wanyd.onion öffnen.

Was ist neu?

Malachi 1.0 – die erste Version.

Malachi ist ein privater Messenger für Android ohne Server: Nachrichten gehen direkt von Gerät zu Gerät, Ende-zu-Ende- und Post-Quanten-verschlüsselt, bei Bedarf über Tor. Kein Konto, keine Telefonnummer, keine Kontaktliste beim Anbieter.

Kostenlos:
- Chats, Gruppen mit Bildern und Sprachnachrichten, Anrufe und Gruppenanrufe annehmen
- Kontakte koppeln per QR-Code oder Telefonnummer-Abgleich über Tor (Nummern werden nirgends gespeichert)
- App-PIN und Fingerabdruck, Tor mit Bridges, selbstlöschende Nachrichten, Einmal-Medien, Secret Chat und Sicherheitscode
- Siegel-Nachrichten aus anderen Messengern öffnen und entschlüsseln
- Nachrichten geschützt kopieren (wird nach 60 Sekunden aus der Zwischenablage gelöscht)
- In 18 Sprachen, darunter Arabisch und Persisch

Vollversion (einmalig, kein Abo):
- Notfall-PIN, Löschen nach 5 falschen PINs und Fernlöschung
- Maximal anonym: alles nur über Tor
- Siegel-Modus: verschlüsselte Nachrichten über WhatsApp und Co. verschicken
- Gruppenanrufe starten
- 21 Design-Themen inklusive passendem App-Symbol
- Bildschirmschutz abschaltbar, zum Beispiel für eigene Screenshots (Secret Chat und Siegel bleiben immer geschützt)

Updates kommen signiert direkt aus der App (über Tor) oder von dieser Website.

Welche Datei brauche ich?

Für jeden Prozessortyp gibt es eine eigene, kleinere Datei. Fast alle Handys ab etwa 2017 brauchen „arm64-v8a“. Lässt sich die Datei nicht installieren („App nicht installiert“), nimm „armeabi-v7a“ (ältere 32-Bit-Geräte). „x86_64“ ist nur für Emulatoren und manche Chromebooks.

Alle Dateien dieser Version
ProzessorDateiGrößeSHA-256
arm64-v8amalachi-1.0.0-arm64-v8a.apk83,2 MB083635e1e24cb1f452bd13cb155fac2ca27748246e7312a34333e29bfadc5db2
armeabi-v7amalachi-1.0.0-armeabi-v7a.apk69,8 MB0ab10f842ab5d2dbd565051dee1cea3f9e7594956a27f00e44acc45199467d0c
x86_64malachi-1.0.0-x86_64.apk89,1 MB5e498a798143c3db4828693fc57135ecfc3e81a575343ed435b173f662a82a64

Datei prüfen

So stellst du sicher, dass die Datei vollständig ist und wirklich von Malachi stammt. Am sichersten vergleichst du die Werte zusätzlich über einen zweiten Weg, zum Beispiel einmal über die normale Adresse und einmal über die Onion-Adresse.

1. Prüfsumme (SHA-256) vergleichen

Die Ausgabe muss genau dem Wert in der Tabelle oben entsprechen. Groß- und Kleinschreibung spielt keine Rolle.

Alle Prüfsummen stehen auch in der Datei SHA256SUMS. Unter Linux prüft sha256sum -c --ignore-missing SHA256SUMS alle heruntergeladenen Dateien auf einmal.

2. Signaturzertifikat vergleichen

Jede Malachi-APK ist mit demselben Schlüssel signiert. Sein Zertifikat hat diesen SHA-256-Fingerabdruck:

fbd5d54b7e34af9c1b21910ba52049ad267e22d48140f3ac6a6c740846a9aec0

Mit apksigner aus den Android SDK Build-Tools (unter Windows apksigner.bat):

apksigner verify --print-certs malachi-1.0.0-arm64-v8a.apk

Die Zeile Signer #1 certificate SHA-256 digest: muss genau den Wert oben zeigen. keytool -printcert -jarfile malachi-1.0.0-arm64-v8a.apk zeigt denselben Wert in der Schreibweise mit Doppelpunkten:

FB:D5:D5:4B:7E:34:AF:9C:1B:21:91:0B:A5:20:49:AD:26:7E:22:D4:81:40:F3:AC:6A:6C:74:08:46:A9:AE:C0

3. Für Fortgeschrittene: signierte Versionsliste

Die Datei updates/manifest.json nennt Version, Größe und SHA-256 jeder Datei. Sie ist mit einem Ed25519-Schlüssel signiert, der nie auf diesem Server liegt (manifest.json.sig, Base64). Der öffentliche Schlüssel lautet ETAIGUc3F9MDfCh79kCJk4FhnxSLifZqdBwqA6WZ0OM (Base64url, 32 Byte; als Datei: update-schluessel.pem). Prüfen mit OpenSSL 3:

base64 -d manifest.json.sig > manifest.sig.bin
openssl pkeyutl -verify -pubin -inkey update-schluessel.pem -rawin -in manifest.json -sigfile manifest.sig.bin

Erwartete Ausgabe: Signature Verified Successfully. Danach die SHA-256 der APK mit dem Wert in manifest.json vergleichen.

Installieren

  1. Die APK auf dem Handy herunterladen (im Browser oder im Tor-Browser für Android).
  2. Die Datei öffnen. Android fragt, ob die App, mit der du sie öffnest (Browser oder Dateimanager), „unbekannte Apps installieren“ darf. Erlaube das nur für diese eine App.
  3. „Installieren“ tippen.
  4. Danach die Erlaubnis aus Schritt 2 in den Android-Einstellungen wieder entziehen.

Updates: Eine neue Version installierst du einfach über die alte; deine Chats bleiben erhalten. Android nimmt ein Update nur an, wenn es mit demselben Schlüssel signiert ist wie die installierte App. Eine gefälschte APK mit anderem Schlüssel kann dein installiertes Malachi deshalb nicht ersetzen – Android bricht dann mit einer Fehlermeldung ab. Installiere in diesem Fall nichts, sondern lade die Datei hier neu.