Fragen & Antworten

Gar nicht automatisch – und das ist Absicht. Malachi lädt kein Adressbuch hoch und kennt keine Nutzerverzeichnisse. Ihr tauscht eine Einladung aus: am besten persönlich per QR-Code, sonst als Link oder Code über einen Weg, dem ihr vertraut. Vergleicht danach den Sicherheitscode (Schild-Symbol im Chat).

Jedes Gerät ist über Tor als eigener Onion-Dienst erreichbar. Darüber finden sich eure Geräte und tauschen Nachrichten aus; je nach Verbindungsweg wechseln sie danach auf eine direkte Verbindung. Ist dein Kontakt gerade nicht erreichbar, wartet die Nachricht verschlüsselt auf deinem Gerät und geht automatisch raus, sobald ihr wieder verbunden seid.

Das hängt vom Verbindungsweg ab (Einstellungen → Verbindungsweg). Im Standard „Schnell“ sehen zwei öffentliche STUN-Dienste deutscher Anbieter und – bei einer Direktverbindung – dein Kontakt deine IP-Adresse, aber keine Inhalte. Bei „Privat“ sieht sie nur dein Kontakt bei einer Direktverbindung. Bei „Maximal anonym (nur Tor)“ (Vollversion) sieht sie niemand. Die Übersicht steht auf der Startseite.

Ende-zu-Ende: Nachrichten werden auf deinem Gerät ver- und erst beim Kontakt entschlüsselt. Jede Nachricht bekommt einen eigenen Schlüssel, der nach Gebrauch gelöscht wird (Double Ratchet). Wird ein Gerät kurzzeitig ausgespäht, erholt sich die Verbindung mit den nächsten Nachrichten wieder. Der Schlüsseltausch kombiniert das bewährte X25519 mit ML-KEM-768, einem standardisierten Verfahren, das auch gegen künftige Quantencomputer schützen soll.

Nein – das kann keine Software ehrlich versprechen. Malachi baut auf bewährten, öffentlich bekannten Verfahren auf (unter anderem X25519, ML-KEM-768 und XChaCha20-Poly1305) statt auf selbst erfundenen. Malachi wurde bisher aber nicht von einer unabhängigen Stelle geprüft. Gegen Schadsoftware auf dem Gerät oder ein entsperrtes Handy in fremden Händen hilft keine Verschlüsselung.

Mit dem Siegel-Modus verschlüsselst du Texte, Bilder, Sprachnachrichten und Dateien, die du über einen anderen Messenger wie WhatsApp oder Signal verschickst. Der andere Messenger sieht nur Geheimtext. Siegel hat einen eigenen Tresor mit eigener Passphrase, eigene Kontakte (gekoppelt per QR-Code) und speichert keinen Verlauf. Verschlüsseln gehört zur Vollversion, Entschlüsseln ist kostenlos.

Derzeit nicht. Malachi gibt es nur für Android (ab Version 7.0).

In 18: Deutsch, Englisch, Spanisch, Französisch, Italienisch, Portugiesisch (Brasilien), Niederländisch, Polnisch, Türkisch, Russisch, Ukrainisch, Arabisch, Persisch, Chinesisch (vereinfacht), Japanisch, Koreanisch, Hindi und Indonesisch.

Vergleiche SHA-256-Prüfsumme und Zertifikats-Fingerabdruck mit den Werten auf der Download-Seite – am besten über zwei Wege, etwa die normale und die Onion-Adresse. Die Anleitung steht auf der Download-Seite.

Die App sucht höchstens einmal am Tag über Tor nach einer neuen Version und lädt sie erst, wenn du darauf tippst; neue Versionen erscheinen außerdem auf der Download-Seite. Installiere sie einfach über die alte Version; deine Daten bleiben erhalten. Android nimmt ein Update nur an, wenn es mit demselben Schlüssel signiert ist wie die installierte App.

Über die Onion-Adresse erreichst du diese Website im Tor-Browser, ohne dass der Server oder jemand im Netz dazwischen deine IP-Adresse erfährt. Die Inhalte sind auf beiden Adressen dieselben.

Die App ist kostenlos. Die Vollversion kostet einmalig 2,99 € – kein Abo, kein Konto.

Damit der Kauf ohne Konto, ohne Bank- oder Kartendaten und ohne Namen möglich ist. Der Shop ist nur über Tor erreichbar und erfährt nur einen Gerätecode.

Nein. Mit Bestellnummer und Wiederherstellungscode holst du sie im Shop auf das neue Gerät – insgesamt bis zu dreimal. Deshalb den Wiederherstellungscode beim Kauf unbedingt aufschreiben.

Deine Chats liegen nur auf deinem Gerät, nicht in einer Cloud und nicht auf einem Server. Ohne das Gerät sind sie weg. Schütze die App mit einer PIN; mit der Vollversion kannst du außerdem festlegen, dass nach fünf falschen PINs alles gelöscht wird.