Wie vertrauenswürdig ist Conversations?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
13 BelegeEin öffentlicher Radically-Open-Security-Pentest von 2025 prüfte den Android-Client und veröffentlichte die Ergebnisse.
Quelle prüfen ↗Ein öffentlicher Third-Party-Kryptoaudit von 2016 prüfte das von Conversations genutzte OMEMO-Protokoll.
Quelle prüfen ↗Der OMEMO-Audit von 2016 sagte, dass Daniel Gultsch Audit-Feedback im Conversations-Code schnell verarbeitet hat.
Quelle prüfen ↗Der F-Droid-Verification-Service zeigt reproduzierbare Rebuilds für aktuelle Conversations-Releases.
Quelle prüfen ↗F-Droid sagt, dass das veröffentlichte APK von F-Droid gebaut und signiert wurde und an ein Source-Tarball gebunden ist.
Quelle prüfen ↗Die App-Privacy-Policy sagt, dass Conversations XMPP-Daten nicht auf eigenen Servern speichert oder verarbeitet.
Quelle prüfen ↗Die Provider-Privacy-Policy sagt, dass weder IP-Adressen noch Login-Zeiten gespeichert werden.
Quelle prüfen ↗Die Kontaktseite des Providers nennt Gultsch & Weiss GbR, eine Berliner Adresse und eine USt-ID.
Quelle prüfen ↗Die Provider-Privacy-Policy sagt, dass der Betrieb querfinanziert wird und Nutzerdaten daher nicht verkauft oder analysiert werden.
Quelle prüfen ↗F-Droid listete Conversations 2.19.13+free am 6. März 2026 und zeigt damit aktuelle öffentliche Wartung.
Quelle prüfen ↗Der XMPP-Newsletter Februar 2026 dokumentierte Conversations-Releases 2.19.10 bis 2.19.12.
Quelle prüfen ↗Die App-Privacy-Policy sagt, dass conversations.im optional ist und der Client sich mit fast jedem XMPP-Provider verbinden kann.
Quelle prüfen ↗Die Domain-Hosting-Seite sagt, dass Nutzer den Hosting-Provider wechseln können, ohne ihre XMPP-Adresse zu ändern.
Quelle prüfen ↗Vorbehalte
7 PunkteDer ROS-Audit von 2025 fand ein Wildcard-Hostname-Matching, das Zertifikate akzeptieren konnte, die Standard-TLS-Clients ablehnen.
Quelle prüfen ↗Der ROS-Audit von 2025 sagte, dass Conversations in seltenen TLS-Angriffspfaden weiter widerrufene Zertifikate und fehlende SCTs akzeptierte.
Quelle prüfen ↗CVE-2018-18467 dokumentierte Message-Spoofing in Conversations 2.3.4; alte Clients trugen damit ein hohes Integritätsrisiko.
Quelle prüfen ↗conversations.im sagt, dass Offline-Nachrichten, Archive und Dateien standardmäßig 90 Tage gespeichert werden, sofern Nutzer die Archivierung nicht ändern oder das Konto löschen.
Quelle prüfen ↗Die Privacy Policy sagt, dass Conversations Firebase Cloud Messaging für Push-Benachrichtigungen nutzt und damit Google in diesen Pfad bringt.
Quelle prüfen ↗Die XSF nennt Daniel Gultsch weiter als Maintainer von Conversations; damit bleibt die Projektkontinuität konzentriert.
Quelle prüfen ↗F-Droid weist darauf hin, dass einige Funktionen Server-Support brauchen; praktische Funktionsabdeckung und Vertrauen hängen also weiter vom gewählten XMPP-Server ab.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.