Secure messaging comparison

SANKET im Vergleich zu Threema: eine Threema-Alternative für souveräne Organisationen

Threema und SANKET haben gemeinsame Stärken: Beide benötigen keine Telefonnummer und können auf eigenen Servern sowie in physisch vom Internet und anderen Netzen isolierten Umgebungen betrieben werden. SANKET ergänzt dies in der aktuellen Version um die Post-Quanten-Verfahren PQXDH und SPQR, die Anmeldung über das eigene Verzeichnis der Organisation, signierte Gerätelisten, gegenseitige TLS-Authentifizierung der Geräte und verschlüsselte priorisierte Rundnachrichten. Der Anbieter stammt aus Indien.

Vorführung anfragen Sicherheitspapier lesen

Über Threema

Threema GmbH · Schweiz

Threema ist ein Schweizer sicherer Messenger für Privatpersonen (Threema), Organisationen (Threema Work) und den Betrieb auf eigenen Servern (Threema OnPrem). Nachrichten, Medien und Anrufe sowie Gruppennamen und Mitgliederlisten sind Ende-zu-Ende-verschlüsselt. Threema verwendet das Ibex-Protokoll; für die Registrierung ist keine Telefonnummer erforderlich. Im Februar 2026 kündigte Threema gemeinsam mit IBM Research Arbeiten an hybriden Post-Quanten-Verfahren an.

SANKET im Vergleich zu Threema: direkter Vergleich

Kriterium	SANKET	Threema
Wer kontrolliert die Infrastruktur?	Der Kunde. Eine dedizierte Installation pro Organisation auf einer Infrastruktur, die sie besitzt oder auswählt, ohne einen vom Anbieter betriebenen Dienst im Nachrichtenübertragungsweg.	Threema-Server in Zürich oder eigene Server des Kunden mit Threema OnPrem.
Bereitstellungsoptionen	Dedizierte Installation auf jeder vom Kunden gewählten Cloud in jeder gewünschten Region (oder auf der Infrastruktur von Tosh Defence), auf eigenen Servern des Kunden oder vollständig netzisoliert; auf einem einzelnen Server oder hochverfügbar mit Wiederherstellung an einem zweiten Standort.	Gehosteter Dienst oder selbst gehostetes Threema OnPrem, auch in vollständig isolierten Umgebungen ohne Netzwerkverbindung.
Wer besitzt die Schlüssel und verwaltet die Identitäten?	Der Kunde und seine Nutzer. Die Schlüssel werden auf jedem Gerät erzeugt und durch hardwaregestützte Speicherung geschützt; die Identitäten sind vom Kunden kontrollierte Sanket IDs, eine Identifizierung über eine private Telefonnummer ist nicht erforderlich.	Eine zufällig erzeugte Threema-Kennung ohne erforderliche Telefonnummer; die Verknüpfung einer Telefonnummer oder E-Mail-Adresse ist optional.
Verschlüsselungsprotokoll	Signal Protocol über die offizielle, unabhängig geprüfte libsignal-Bibliothek von Signal. Nachrichten: AES-256-CBC mit HMAC-SHA256 innerhalb von libsignal; Dateien und Anrufe: AES-256-GCM; TLS ausschließlich mit AES-256-GCM-Verschlüsselungssammlungen.	Ibex (seit 2023).
Post-Quanten-Schutz	Ja, in der aktuellen Version: PQXDH mit einem obligatorischen Post-Quanten-Kyber-Vorschlüssel und dem SPQR-Ratchet (Triple Ratchet) sowie einem hybriden X25519MLKEM768-Schlüsselaustausch am TLS-Endpunkt.	Hybrides ML-KEM mit IBM Research geplant (angekündigt im Februar 2026).
Gruppen und Anrufe sind standardmäßig Ende-zu-Ende-verschlüsselt	Ja. Einzel- und Gruppennachrichten, Reaktionen, verschlüsselte Rundmeldungen und Dateien sind stets Ende-zu-Ende-verschlüsselt; Sprach- und Videoanrufe nutzen eine AES-256-GCM-Verschlüsselung der Frames mit fünf neuen Frame-Schlüsseln pro Sekunde innerhalb von SRTP AES-256-GCM.	Ja: Text- und Sprachnachrichten, Medien und Anrufe sowie Gruppennamen und Mitgliederlisten sind Ende-zu-Ende-verschlüsselt.
Identitätsanbieter des Kunden (SSO / LDAP)	Ja. Anmeldung über das kundeneigene OIDC-, SAML 2.0- oder LDAP-Verzeichnis, Benutzerbereitstellung über SCIM 2.0 und FIDO2-Sicherheitsschlüssel für Administratoren.	Not publicly documented
Administrationsfunktionen und Geräteverwaltung	Gerätefreigabe und -widerruf, Verlustmodus und Fernlöschung, signierte Gerätelisten, gegenseitige TLS-Authentifizierung für Geräte, Richtlinien für Aufbewahrung, Weiterleitung und Zwischenablage, kundendefinierte Klassifizierungskennzeichnungen und ein per Hash-Werten verkettetes Auditprotokoll für das SIEM des Kunden.	Administrationsportal für den Betrieb auf eigenen Servern, MDM-Unterstützung sowie App-Name, Symbol und Farben unter Ihrer eigenen Marke.
Datensouveränität (eigene Rechtsordnung, in Indien entwickelt)	In Indien von Tosh Defence entwickelt. Die Daten verbleiben in der vom Kunden gewählten Rechtsordnung und auf der von ihm gewählten Infrastruktur. Die Produkte enthalten keine Analysefunktionen von Drittanbietern und sind im Betrieb nicht von ausländischen Diensten abhängig.	Threema GmbH, Schweiz; Server in Zürich.
Integrität der Softwareversionen und Kontrolle über Aktualisierungen	Mit Ed25519 signierte Versionen werden vor der Installation geprüft. Ein Festhalten am bisherigen Versionsstand und eine Rückkehr zu einer älteren Version werden verhindert; schlägt eine Aktualisierung fehl, wird der vorherige Zustand automatisch wiederhergestellt. Der Kunde entscheidet, wann die Aktualisierung erfolgt: online oder mit einem signierten Offlinepaket.	Not publicly documented
Plattformen	Native Apps für iOS, Android, Windows, macOS und Linux. Bewusst ohne Browser: Es gibt keinen Webclient, der angegriffen werden könnte.	iOS, Android, Desktop und Web.

Wer kontrolliert die Infrastruktur?

SANKET

Der Kunde. Eine dedizierte Installation pro Organisation auf einer Infrastruktur, die sie besitzt oder auswählt, ohne einen vom Anbieter betriebenen Dienst im Nachrichtenübertragungsweg.

Threema

Threema-Server in Zürich oder eigene Server des Kunden mit Threema OnPrem.

Bereitstellungsoptionen

SANKET

Dedizierte Installation auf jeder vom Kunden gewählten Cloud in jeder gewünschten Region (oder auf der Infrastruktur von Tosh Defence), auf eigenen Servern des Kunden oder vollständig netzisoliert; auf einem einzelnen Server oder hochverfügbar mit Wiederherstellung an einem zweiten Standort.

Threema

Gehosteter Dienst oder selbst gehostetes Threema OnPrem, auch in vollständig isolierten Umgebungen ohne Netzwerkverbindung.

Wer besitzt die Schlüssel und verwaltet die Identitäten?

SANKET

Der Kunde und seine Nutzer. Die Schlüssel werden auf jedem Gerät erzeugt und durch hardwaregestützte Speicherung geschützt; die Identitäten sind vom Kunden kontrollierte Sanket IDs, eine Identifizierung über eine private Telefonnummer ist nicht erforderlich.

Threema

Eine zufällig erzeugte Threema-Kennung ohne erforderliche Telefonnummer; die Verknüpfung einer Telefonnummer oder E-Mail-Adresse ist optional.

Verschlüsselungsprotokoll

SANKET

Signal Protocol über die offizielle, unabhängig geprüfte libsignal-Bibliothek von Signal. Nachrichten: AES-256-CBC mit HMAC-SHA256 innerhalb von libsignal; Dateien und Anrufe: AES-256-GCM; TLS ausschließlich mit AES-256-GCM-Verschlüsselungssammlungen.

Threema

Ibex (seit 2023).

Post-Quanten-Schutz

SANKET

Ja, in der aktuellen Version: PQXDH mit einem obligatorischen Post-Quanten-Kyber-Vorschlüssel und dem SPQR-Ratchet (Triple Ratchet) sowie einem hybriden X25519MLKEM768-Schlüsselaustausch am TLS-Endpunkt.

Threema

Hybrides ML-KEM mit IBM Research geplant (angekündigt im Februar 2026).

Gruppen und Anrufe sind standardmäßig Ende-zu-Ende-verschlüsselt

SANKET

Ja. Einzel- und Gruppennachrichten, Reaktionen, verschlüsselte Rundmeldungen und Dateien sind stets Ende-zu-Ende-verschlüsselt; Sprach- und Videoanrufe nutzen eine AES-256-GCM-Verschlüsselung der Frames mit fünf neuen Frame-Schlüsseln pro Sekunde innerhalb von SRTP AES-256-GCM.

Threema

Ja: Text- und Sprachnachrichten, Medien und Anrufe sowie Gruppennamen und Mitgliederlisten sind Ende-zu-Ende-verschlüsselt.

Identitätsanbieter des Kunden (SSO / LDAP)

SANKET

Ja. Anmeldung über das kundeneigene OIDC-, SAML 2.0- oder LDAP-Verzeichnis, Benutzerbereitstellung über SCIM 2.0 und FIDO2-Sicherheitsschlüssel für Administratoren.

Threema

Not publicly documented

Administrationsfunktionen und Geräteverwaltung

SANKET

Gerätefreigabe und -widerruf, Verlustmodus und Fernlöschung, signierte Gerätelisten, gegenseitige TLS-Authentifizierung für Geräte, Richtlinien für Aufbewahrung, Weiterleitung und Zwischenablage, kundendefinierte Klassifizierungskennzeichnungen und ein per Hash-Werten verkettetes Auditprotokoll für das SIEM des Kunden.

Threema

Administrationsportal für den Betrieb auf eigenen Servern, MDM-Unterstützung sowie App-Name, Symbol und Farben unter Ihrer eigenen Marke.

Datensouveränität (eigene Rechtsordnung, in Indien entwickelt)

SANKET

In Indien von Tosh Defence entwickelt. Die Daten verbleiben in der vom Kunden gewählten Rechtsordnung und auf der von ihm gewählten Infrastruktur. Die Produkte enthalten keine Analysefunktionen von Drittanbietern und sind im Betrieb nicht von ausländischen Diensten abhängig.

Threema

Threema GmbH, Schweiz; Server in Zürich.

Integrität der Softwareversionen und Kontrolle über Aktualisierungen

SANKET

Mit Ed25519 signierte Versionen werden vor der Installation geprüft. Ein Festhalten am bisherigen Versionsstand und eine Rückkehr zu einer älteren Version werden verhindert; schlägt eine Aktualisierung fehl, wird der vorherige Zustand automatisch wiederhergestellt. Der Kunde entscheidet, wann die Aktualisierung erfolgt: online oder mit einem signierten Offlinepaket.

Threema

Not publicly documented

Plattformen

SANKET

Native Apps für iOS, Android, Windows, macOS und Linux. Bewusst ohne Browser: Es gibt keinen Webclient, der angegriffen werden könnte.

Threema

iOS, Android, Desktop und Web.

Wo Sanket führend ist

Post-Quanten-Verschlüsselung für Nachrichten in der aktuellen Version: PQXDH mit einem verpflichtenden Kyber-Vorschlüssel und dem SPQR-Ratchet.
Integration der Kundenidentitätsverwaltung: SCIM, OIDC, SAML, LDAP und FIDO2-Sicherheitsschlüssel für Administratoren.
Signierte Gerätelisten und gegenseitige TLS-Authentifizierung für jedes zugelassene Gerät.
Verschlüsselte Rundnachricht mit Priorität und Empfangsbestätigung sowie kundenseitig festgelegten Geheimhaltungskennzeichnungen innerhalb der Verschlüsselung.
Ein indischer Anbieter und die Option einer indischen Gerichtsbarkeit für staatliche Stellen und Verteidigungsorganisationen in Indien.

Häufig gestellte Fragen

Was ist eine gute Alternative zu Threema für Organisationen?

SANKET (Sanket.Chat) von Tosh Defence. Wie Threema benötigt die Plattform keine Telefonnummer und lässt sich auf eigenen Servern oder vollständig von anderen Netzwerken isoliert betreiben. Hinzu kommen die Post-Quanten-Verfahren PQXDH und SPQR, der eigene Identitätsanbieter der Organisation und signierte Gerätelisten.

Benötigt Sanket eine Telefonnummer?

Eine Identifizierung über eine private Telefonnummer ist nicht erforderlich. Nutzer werden über eine Sanket ID identifiziert, und bei einer Installation ohne SMS-Anbieter werden keine Telefonnummern erfasst.

Ist die Nachrichtenübermittlung von SANKET schon heute quantensicher?

Ja. Jede Sitzung nutzt PQXDH mit einem obligatorischen Post-Quanten-Kyber-Prekey sowie den SPQR-Ratchet neben dem Double Ratchet, über das offizielle libsignal von Signal.

Quellen

Sources checked on 7 October 2026. Die Angaben zu Wettbewerbern stammen ausschließlich aus den aufgeführten Quellen. Wenn keine öffentliche Quelle gefunden wurde, steht in der Zelle „Nicht öffentlich dokumentiert“. Produkt- und Unternehmensnamen sind Marken ihrer jeweiligen Inhaber.

Weitere Vergleiche

Indische Alternative zu WhatsApp SANKET im Vergleich zu Arattai SANKET im Vergleich zu Sandes SANKET im Vergleich zu Signal SANKET im Vergleich zu WhatsApp SANKET im Vergleich zu Telegram SANKET im Vergleich zu Wire SANKET im Vergleich zu Rocket.Chat SANKET im Vergleich zu Element / Matrix SANKET im Vergleich zu Private Discuss SANKET im Vergleich zu SalaX Secure Messaging

Übernehmen Sie selbst die Kontrolle über Ihre Kommunikation

Sprechen Sie mit dem Team von Tosh Defence über Ihre Bereitstellung, von einer dedizierten Cloud-Installation bis hin zu einer vollständig vom Netz isolierten Infrastruktur, oder lesen Sie zunächst die vollständige Sicherheitsarchitektur.

Vorführung anfragen Sicherheitspapier lesen