Nutzer können sich für den Chat registrieren, indem sie entweder in der Symbolleiste auf den Tab „Chat“ klicken oder indem sie die X Chat-App herunterladen und sich bei einem bestehenden X Account anmelden. In beiden Fällen müssen sie den Anweisungen folgen. Dadurch wird ein öffentlich-privates Schlüsselpaar erstellt, das dann von jedem Gerät aus abgerufen werden kann. Um deinen privaten Schlüssel von einem Gerät zu entfernen, melde dich von dem Konto ab.

Derzeit können sich nur bestehende X-Konten bei der X Chat-App anmelden. Zur Erstellung eines X Accounts musst du die X App für iOS oder Android herunterladen oder X.com/signup im Web besuchen und den Anweisungen folgen (weitere Informationen findest du hier).

Wir freuen uns über Feedback und arbeiten aktiv daran, jeden Aspekt des Produkts zu verbessern, von der Benutzerfreundlichkeit bis zur Protokollsicherheit.

Anders als bisher können Gruppennachrichten und Medien jetzt verschlüsselt werden.
 

Inhalt

Die Inhalte einer verschlüsselten Chat-Konversation sind stets verschlüsselt, einschließlich aller Links, Medien oder Dateien. Reaktionen auf Nachrichten sind ebenfalls verschlüsselt. Es ist wichtig zu wissen, dass zwar der Inhalt der Nachricht selbst verschlüsselt ist, die zugehörigen Metadaten (z. B. Empfänger, Erstellungszeitpunkt usw.) jedoch nicht. Wenn Posts in einem verschlüsselten Chat geteilt werden, verfügt X über eine Aufzeichnung, dass diese Posts geteilt wurden.
 

Neue Geräte

Es gibt keine Begrenzung für die Anzahl der Geräte, die Chat auf X nutzen können.
 

Sicherheitsnummern

Mit den Sicherheitsnummern kannst du verifizieren, ob die Person, mit der du den Chat führst, tatsächlich die ist, für die du sie hältst. Vergleiche die Sicherheitsnummern mit allen, mit denen du einen Chat führst. Sie sollten übereinstimmen!

Auf der technischen Seite wird die Sicherheitsnummer mit dem öffentlichen Schlüssel von beiden Personen im Chat abgeleitet. Jede Nachricht wird mit dem öffentlichen Schlüssel der anderen Person signiert, d.h. wenn die Sicherheitsnummern übereinstimmen, können die Nachrichten nicht von einer anderen Person stammen.
 

Meldung

Eine Funktion zur Meldung von Nachrichten wurde entwickelt und als Funktion hinzugefügt. Wenn du eine Nachricht gedrückt hältst, hast du die Möglichkeit, sie zu melden, wenn du der Meinung bist, dass sie gegen eine der Richtlinien von X verstößt. Diese Meldefunktion sendet die betreffende Nachricht, ihren Inhalt und die zugehörigen Metadaten, damit unsere Mitarbeiter eine Überprüfung durchführen und gegebenenfalls Maßnahmen gegen den Nutzer ergreifen können. Zur Verifizierung, ob die gemeldete Nachricht tatsächlich über das Chat-System gesendet wurde, wird eine kryptografische Methode eingesetzt, das so genannte „Message Franking“. Des Weiteren kannst du eine Meldung zu einem Account selbst einreichen; unser Team wird sich darum kümmern.

Um zu verhindern, dass dir jemand verschlüsselte Chat-Nachrichten schickt, folge dieser Person nicht oder – falls du bereits eine Direktnachrichten-Konversation mit diesem Nutzer geführt hast – blockiere sie.
 

Abmeldung und Schlüsselsicherung

Wann immer du dich bei X abmeldest, werden alle Nachrichten, einschließlich verschlüsselter Chat-Nachrichten, auf deinem aktuellen Gerät gelöscht. Das hat keine Auswirkungen auf andere Geräte, auf denen du angemeldet bist. Beachte: Wenn du sowohl in der X App als auch in der X Chat-App angemeldet bist, musst du dich bei beiden Apps abmelden, damit die Nachrichten auf deinem Gerät gelöscht werden.

Wenn du dich abmeldest, löscht X alle privaten Schlüssel und Konversationsschlüssel, es sei denn, du hast die geräteverwaltete Passcode-Option verwendet - in diesem Fall wird der Passcode in deinem iCloud-Schlüsselbund gespeichert (nur für iOS-Geräte). Wenn du dich auf demselben Gerät wieder anmeldest, kann dein Gerät die verschlüsselten Konversationen mithilfe des privaten Schlüssels, auf den das Gerät vor der Abmeldung Zugriff hatte, erneut abrufen und entschlüsseln.

Wenn du dich nicht mehr an den Passcode erinnern kannst, kannst du ihn auf einem beliebigen Gerät, auf dem du Chat bereits nutzt, zurücksetzen. Wenn die Zurücksetzung auf einem angemeldeten Gerät nicht funktioniert, kannst du deinen verschlüsselten Konversationsverlauf nicht wiederherstellen. Wir werden diese Einschränkung in naher Zukunft verbessern.
 

Vorwärtsgeheimnis

Sollte der private Schlüssel eines registrierten Geräts kompromittiert werden, könnte ein Angreifer alle verschlüsselten Chat-Nachrichten entschlüsseln, die von diesem Gerät gesendet und empfangen wurden. Mit anderen Worten: Diese Implementierung ist nicht "vorwärtssicher". Wir arbeiten an Mechanismen, die eine Rotation des privaten Schlüssels ermöglichen, um in Zukunft eine gewisse Vorwärtssicherheit zu bieten.

Im Chat können Nutzer eine Nachricht zurückziehen, wodurch sie aus dem Posteingang des Empfängers oder der Empfängerin entfernt wird. Dies ist nur bei verschlüsselten Nachrichten möglich.  Das Löschen oder Verlassen einer verschlüsselten Konversation hindert die andere Person nicht daran, dir in Zukunft eine DM zu schicken (verschlüsselt oder unverschlüsselt).

Wenn du eine (gesendete oder empfangene) verschlüsselte Nachricht oder Konversation löschst, werden die Daten sofort von deinem Gerät gelöscht (und kurz darauf auch von all deinen anderen Geräten). Du kannst sie dann nicht mehr anzeigen. Beachte, dass der Empfänger die verschlüsselte Nachricht oder Konversation, die du gelöscht hast, möglicherweise weiterhin sehen kann.

Chat bietet eine neue Funktion namens „Flüchtige Nachrichten“, mit der du eine Zeitspanne auswählen kannst, nach der die Nachrichten vom Gerät und von den Servern von X gelöscht werden. Zur Einstellung der Dauer navigierst du zum Info-Bildschirm der Konversation und tippst das Menü „Flüchtige Nachrichten“ an.

Du kannst ein Bild mit Grok bearbeiten oder Grok bitten, deine Nachricht zu analysieren. Wähle das Bild oder die Nachricht aus und öffne das Kontextmenü. Wähle "Grok fragen", um das ausgewählte Bild oder die Nachricht in der Registerkarte Grok zu öffnen. Beachte, dass das Bild oder der Text nach dem Senden an Grok nicht mehr verschlüsselt ist (der Inhalt der ursprünglichen Konversation ist weiterhin verschlüsselt).

Im Chat kannst du auch mit einem Grok Companion chatten. Deine Nachricht ist zwar durchgehend verschlüsselt, aber Grok muss sie letztendlich entschlüsseln, damit der Companion sie lesen und beantworten kann. Hier erfährst du mehr über Grok.

• Gruppenchat-Einladungen: Erstelle ganz einfach eine Gruppenkonversation, indem du einen öffentlichen Link erstellst und ihn direkt mit anderen Nutzern teilst oder in deiner Timeline veröffentlichst. Nutzer, die auf den Link klicken und eine Beitrittsanfrage stellen, werden erst hinzugefügt, wenn du sie genehmigst, und Admins können den Einladungslink für den Gruppenchat jederzeit aktivieren und deaktivieren. Benutzerdefinierte Avatare und der Name des Gruppenchats sind unverschlüsselt und öffentlich zugänglich.

• Sprachnotizen: Nimm eine Sprachnotiz auf, indem du das Audiosymbol rechts neben dem Textfeld auswählst. Wenn du die Notiz fertig aufgenommen hast, wähle den Stopp-Button aus. Du kannst dir die Sprachnotiz anhören, bevor du sie in der Konversation versendest.

Für Ende-zu-Ende-verschlüsselte Chats auf X muss jeder Nutzer über ein Schlüsselpaar aus privatem und öffentlichem Schlüssel verfügen. Dieses Schlüsselpaar dient dazu, auf sichere Weise Konversationsgeheimnisse auszutauschen, mit denen deine Nachrichten vom Absender zum Empfänger verschlüsselt werden. Eine der größten Herausforderungen bei der End-to-End-Verschlüsselung ist die sichere Aufbewahrung des privaten Schlüssels – wer Zugriff darauf hat, könnte deine Nachrichten lesen.

Viele Apps speichern private Schlüssel ausschließlich auf deinem Gerät, was jedoch den nahtlosen Zugriff auf deine Chats über mehrere Geräte hinweg erschweren kann – und das entspricht nicht den Erwartungen der meisten X-Nutzer.

Deshalb speichert X deinen privaten Schlüssel mit dem Open-Source-Protokoll Juicebox sicher und geschützt in der Cloud. Das Juicebox-Protokoll teilt deinen geheimen Schlüssel in mehrere Teile auf, die auf unabhängigen Servern (sogenannten "Realms") gespeichert werden. Dein Schlüssel kann nur mit der PIN wiederhergestellt werden, die du bei der Aktivierung verschlüsselter Chats festgelegt hast – diese PIN verlässt dein Gerät niemals.

In der Implementierung von X:

• Deine Schlüsselteile sind auf drei Juicebox-Realms verteilt, die derzeit alle von X betrieben werden.

• Zwei davon sind hardwaregestützte Realms, die deine Daten mit Hardware-Sicherheitsmodulen (HSMs) verschlüsseln, bevor sie gespeichert werden.

• Zur Wiederherstellung deines Schlüssels sind mindestens zwei der drei Teile erforderlich. Dadurch ist sichergestellt, dass mindestens ein Teil aus einem hardwaregestützten Realm stammen muss, was für zusätzliche Sicherheit sorgt.

Details zur Schlüsseleinrichtungsprozedur für diese Hardware-Realms haben wir hier veröffentlicht: HSM-Realm-Schlüsselprozedur für Chat.

Nein. Das Juicebox-Protokoll ist so konzipiert, dass es Brute-Force-Angriffe verhindert, selbst wenn jemand alle Realms kontrolliert.

Hardware-gestützte Realms verfügen über einen integrierten Zähler für Rateversuche mit einem strengen Limit. Bei Chats liegt diese Grenze bei 20 falschen Versuchen. Sobald das Limit erreicht ist, sind die Schlüsselteile dauerhaft nicht mehr zugänglich. Dieser Schutz wird kryptografisch mithilfe einer Merkle-Baumstruktur durchgesetzt, wobei die Wurzel sicher in der geschützten Enklave des HSM gespeichert ist. Die Software, die auf den HSMs läuft, ist hier als Open Source verfügbar: https://github.com/juicebox-systems/juicebox-hsm-realm. 

Das bedeutet, dass selbst X deine PIN weder erraten noch per Brute-Force-Angriff herausfinden kann, um deinen privaten Schlüssel wiederherzustellen und auf deine Chats zuzugreifen.

In Zukunft wollen wir Nutzern weitere Optionen bieten, z. B. die Wahl zwischen Realms, die von verschiedenen Organisationen betrieben werden, damit das Vertrauen und die Selbstverwahrung der Schlüssel noch stärker dezentralisiert wird.

Weitere technische Details zum Juicebox-Protokoll findest du hier: juicebox.xyz/blog.

Das Chat-Protokoll wurde von einer unabhängigen Stelle geprüft und die Ergebnisse sind hier veröffentlicht: https://github.com/trailofbits/publications/blob/master/reviews/2025-10-x-xchat-securityreview.pdf