Sanket versus Threema: een alternatief voor Threema voor soevereine organisaties
Threema en SANKET hebben sterke punten gemeen: er is geen telefoonnummer nodig en beide kunnen op eigen servers of fysiek van andere netwerken geïsoleerd worden geïnstalleerd. SANKET voegt daar in de huidige versie postkwantumcryptografie met PQXDH en SPQR, aanmelding via de eigen gebruikersdirectory van de organisatie, ondertekende apparatenlijsten, wederzijdse TLS-authenticatie tussen apparaten en versleutelde prioriteitsberichten aan meerdere ontvangers aan toe, en komt van een Indiase leverancier.
Over Threema
Threema GmbH · Zwitserland
Threema is een Zwitserse beveiligde berichtenapp voor particulieren (Threema), organisaties (Threema Work) en installaties op eigen servers (Threema OnPrem). De app versleutelt berichten, media en gesprekken, evenals groepsnamen en ledenlijsten, van begin tot eind, gebruikt het Ibex-protocol en vereist geen telefoonnummer voor registratie. In februari 2026 kondigde Threema aan samen met IBM Research aan hybride postkwantumcryptografie te werken.
Sanket versus Threema: vergelijking naast elkaar
| Criterium | SANKET | Threema |
|---|---|---|
| Wie beheert de infrastructuur | De klant. Eén afzonderlijke installatie per organisatie, op infrastructuur die zij bezit of kiest, zonder een door de leverancier beheerde dienst in het berichtenpad. | Servers van Threema in Zürich, of de eigen servers van de klant met Threema OnPrem. |
| Implementatieopties | Exclusieve installatie in elke door de klant gekozen regio en cloudomgeving (of op de hostinginfrastructuur van Tosh Defence), op eigen servers van de klant of volledig fysiek gescheiden van andere netwerken; op één server of met hoge beschikbaarheid en herstel via een tweede locatie. | Gehoste dienst, of zelf gehoste Threema OnPrem, ook in volledig geïsoleerde omgevingen zonder netwerkverbinding. |
| Wie beheert de sleutels en identiteiten | De klant en zijn gebruikers. Sleutels worden op elk apparaat gegenereerd en beschermd met hardwarematige opslag; identiteiten zijn Sanket IDs onder beheer van de klant, zonder dat een telefoonnummer van een consument vereist is als identiteit. | Een willekeurig Threema-identificatienummer, zonder verplicht telefoonnummer; koppeling van een telefoonnummer of e-mailadres is optioneel. |
| Versleutelingsprotocol | Signal Protocol via de officiële, onafhankelijk gecontroleerde libsignal van Signal. Berichten gebruiken AES-256-CBC met HMAC-SHA256 binnen libsignal; bestanden en gesprekken gebruiken AES-256-GCM; TLS gebruikt uitsluitend coderingssuites met AES-256-GCM. | Ibex (sinds 2023). |
| Postkwantumbescherming | Ja, in de huidige versie: PQXDH met een verplichte postkwantumvoorsleutel op basis van Kyber en de SPQR-sleutelratel (drievoudige sleutelratel), plus hybride X25519MLKEM768-sleuteluitwisseling aan de TLS-netwerkrand. | Hybride ML-KEM gepland in samenwerking met IBM Research (aangekondigd in februari 2026). |
| Groepen en gesprekken zijn standaard van begin tot eind versleuteld | Ja. Individuele berichten, groepsberichten, reacties, versleutelde berichten aan meerdere ontvangers en bestanden zijn altijd van begin tot eind versleuteld; spraak- en videogesprekken gebruiken AES-256-GCM-frameversleuteling met vijf nieuwe framesleutels per seconde, binnen SRTP AES-256-GCM. | Ja: tekst- en spraakberichten, media en gesprekken zijn van begin tot eind versleuteld, evenals groepsnamen en ledenlijsten. |
| Identiteitsprovider van de klant (SSO / LDAP) | Ja. Aanmelding via de eigen OIDC-, SAML 2.0- of LDAP-directory van de klant, gebruikersprovisioning via SCIM 2.0 en FIDO2-beveiligingssleutels voor beheerders. | Not publicly documented |
| Beheerfuncties en apparaatbeheer | Goedkeuring en intrekking van apparaten, verloren-modus en wissen op afstand, ondertekende apparaatlijsten, wederzijdse TLS-authenticatie voor apparaten, beleid voor bewaartermijnen, doorsturen en het klembord, door de klant gedefinieerde classificatielabels en een auditlogboek met hashketen voor het SIEM van de klant. | Beheerdersportaal voor installatie op eigen servers, ondersteuning voor MDM en een appnaam, pictogram en kleuren in de huisstijl van de klant. |
| Datasoevereiniteit (rechtsgebied, ontwikkeld in India) | Ontwikkeld in India door Tosh Defence. Gegevens blijven binnen het rechtsgebied en op de infrastructuur die de klant kiest, zonder analyses door derden en zonder afhankelijkheid van buitenlandse diensten tijdens het gebruik van de producten. | Threema GmbH, Zwitserland; servers in Zürich. |
| Integriteit van softwareversies en controle over updates | Met Ed25519 ondertekende versies worden vóór installatie geverifieerd, met bescherming tegen installatie bij een versiestop en tegen terugzetten naar een oudere versie, en automatisch herstel naar de vorige toestand als een upgrade mislukt. De klant bepaalt wanneer er wordt bijgewerkt, online of met een ondertekend offlinepakket. | Not publicly documented |
| Platformen | Systeemeigen apps voor iOS, Android, Windows, macOS en Linux. Het ontwerp vereist geen browser: er is geen webclient die kan worden aangevallen. | iOS, Android, desktop en het web. |
Wie beheert de infrastructuur
SANKET
De klant. Eén afzonderlijke installatie per organisatie, op infrastructuur die zij bezit of kiest, zonder een door de leverancier beheerde dienst in het berichtenpad.
Threema
Servers van Threema in Zürich, of de eigen servers van de klant met Threema OnPrem.Implementatieopties
SANKET
Exclusieve installatie in elke door de klant gekozen regio en cloudomgeving (of op de hostinginfrastructuur van Tosh Defence), op eigen servers van de klant of volledig fysiek gescheiden van andere netwerken; op één server of met hoge beschikbaarheid en herstel via een tweede locatie.
Threema
Gehoste dienst, of zelf gehoste Threema OnPrem, ook in volledig geïsoleerde omgevingen zonder netwerkverbinding.Wie beheert de sleutels en identiteiten
SANKET
De klant en zijn gebruikers. Sleutels worden op elk apparaat gegenereerd en beschermd met hardwarematige opslag; identiteiten zijn Sanket IDs onder beheer van de klant, zonder dat een telefoonnummer van een consument vereist is als identiteit.
Threema
Een willekeurig Threema-identificatienummer, zonder verplicht telefoonnummer; koppeling van een telefoonnummer of e-mailadres is optioneel.Versleutelingsprotocol
SANKET
Signal Protocol via de officiële, onafhankelijk gecontroleerde libsignal van Signal. Berichten gebruiken AES-256-CBC met HMAC-SHA256 binnen libsignal; bestanden en gesprekken gebruiken AES-256-GCM; TLS gebruikt uitsluitend coderingssuites met AES-256-GCM.
Threema
Ibex (sinds 2023).Postkwantumbescherming
SANKET
Ja, in de huidige versie: PQXDH met een verplichte postkwantumvoorsleutel op basis van Kyber en de SPQR-sleutelratel (drievoudige sleutelratel), plus hybride X25519MLKEM768-sleuteluitwisseling aan de TLS-netwerkrand.
Threema
Hybride ML-KEM gepland in samenwerking met IBM Research (aangekondigd in februari 2026).Groepen en gesprekken zijn standaard van begin tot eind versleuteld
SANKET
Ja. Individuele berichten, groepsberichten, reacties, versleutelde berichten aan meerdere ontvangers en bestanden zijn altijd van begin tot eind versleuteld; spraak- en videogesprekken gebruiken AES-256-GCM-frameversleuteling met vijf nieuwe framesleutels per seconde, binnen SRTP AES-256-GCM.
Threema
Ja: tekst- en spraakberichten, media en gesprekken zijn van begin tot eind versleuteld, evenals groepsnamen en ledenlijsten.Identiteitsprovider van de klant (SSO / LDAP)
SANKET
Ja. Aanmelding via de eigen OIDC-, SAML 2.0- of LDAP-directory van de klant, gebruikersprovisioning via SCIM 2.0 en FIDO2-beveiligingssleutels voor beheerders.
Threema
Not publicly documentedBeheerfuncties en apparaatbeheer
SANKET
Goedkeuring en intrekking van apparaten, verloren-modus en wissen op afstand, ondertekende apparaatlijsten, wederzijdse TLS-authenticatie voor apparaten, beleid voor bewaartermijnen, doorsturen en het klembord, door de klant gedefinieerde classificatielabels en een auditlogboek met hashketen voor het SIEM van de klant.
Threema
Beheerdersportaal voor installatie op eigen servers, ondersteuning voor MDM en een appnaam, pictogram en kleuren in de huisstijl van de klant.Datasoevereiniteit (rechtsgebied, ontwikkeld in India)
SANKET
Ontwikkeld in India door Tosh Defence. Gegevens blijven binnen het rechtsgebied en op de infrastructuur die de klant kiest, zonder analyses door derden en zonder afhankelijkheid van buitenlandse diensten tijdens het gebruik van de producten.
Threema
Threema GmbH, Zwitserland; servers in Zürich.Integriteit van softwareversies en controle over updates
SANKET
Met Ed25519 ondertekende versies worden vóór installatie geverifieerd, met bescherming tegen installatie bij een versiestop en tegen terugzetten naar een oudere versie, en automatisch herstel naar de vorige toestand als een upgrade mislukt. De klant bepaalt wanneer er wordt bijgewerkt, online of met een ondertekend offlinepakket.
Threema
Not publicly documentedPlatformen
SANKET
Systeemeigen apps voor iOS, Android, Windows, macOS en Linux. Het ontwerp vereist geen browser: er is geen webclient die kan worden aangevallen.
Threema
iOS, Android, desktop en het web.Waar Sanket vooroploopt
- Postkwantumberichtbeveiliging in de huidige versie: PQXDH met een verplichte Kyber-vooraf gegenereerde sleutel en het SPQR-ratelmechanisme.
- Integratie met de identiteitsvoorziening van de klant: SCIM, OIDC, SAML, LDAP en FIDO2-beveiligingssleutels voor beheerders.
- Ondertekende apparatenlijsten en wederzijdse TLS voor elk goedgekeurd apparaat.
- Versleuteld bericht met hoge prioriteit aan meerdere ontvangers, met ontvangstbevestiging en door de klant gedefinieerde classificatielabels binnen de versleuteling.
- Een Indiase leverancier en de mogelijkheid om voor Indiase overheids- en defensieafnemers onder Indiase jurisdictie te vallen.
Veelgestelde vragen
Wat is een goed alternatief voor Threema voor organisaties?
SANKET (Sanket.Chat) van Tosh Defence. Net als Threema vereist het geen telefoonnummer en kan het op de eigen servers of volledig geïsoleerd van andere netwerken worden geïnstalleerd. Daarnaast biedt het postkwantumprotocollen PQXDH en SPQR, de eigen identiteitsprovider van de organisatie en ondertekende apparaatlijsten.
Heeft SANKET een telefoonnummer nodig?
Een telefoonnummer als gebruikersidentificatie is niet vereist. Gebruikers worden geïdentificeerd met een Sanket ID, en bij een installatie zonder sms-aanbieder worden geen telefoonnummers verzameld.
Zijn berichten via SANKET nu al postkwantumveilig?
Ja. Elke sessie gebruikt PQXDH met een verplichte postkwantum-Kyber-voorafsleutel en het SPQR-ratelmechanisme naast Double Ratchet, via de officiële libsignal-bibliotheek van Signal.
Bronnen
- Technisch witboek over beveiliging en architectuur van SANKET, openbare editie 2.0 (7 oktober 2026)
- Threema: beveiliging
- Threema OnPrem
- Blog van Threema: een kwantumveilige toekomst (24 februari 2026)
- Threema Private
- Blog van Threema: anonimiteit
Sources checked on 7 October 2026. Gegevens over concurrenten zijn uitsluitend afkomstig uit de vermelde bronnen. Waar geen openbare bron is gevonden, staat in de cel 'Niet publiek gedocumenteerd'. Product- en bedrijfsnamen zijn handelsmerken van hun respectieve eigenaren.
Houd uw communicatie onder eigen beheer
Bespreek met het team van Tosh Defence uw implementatie, van een afzonderlijke cloudinstallatie tot een volledig van andere netwerken afgesloten infrastructuur, of lees eerst de volledige beveiligingsarchitectuur.