Krasznay Csaba kiberbiztonsági szakértő a Gondolj bele! csatornán 2026. október 15-én megjelent beszélgetésben az üzenetküldőkről és a VPN-ről is beszélt. Szerinte a végponttól végpontig titkosítást ígérő szolgáltatásokkal általában nincs nagy baj. A biztonsági szakmában bizalmas beszélgetéshez a Signalt tartja megszokottnak, a Telegramot pedig szürke zónának látja. A kereskedelmi VPN-ről azt mondta, hogy elrejti a forgalmat a szálloda hálózata elől, de a metaadatok a VPN-szolgáltatónál maradnak. Az otthoni, saját VPN-t jó megoldásnak tartja, ha a felhasználó a beállításához is ért. A vélemény nagy része a szolgáltatók saját dokumentumaiból jól ellenőrizhető.

Tartalom és metaadat: két külön kérdés

A végponttól végpontig titkosítás azt jelenti, hogy az üzenet tartalmát csak a küldő és a címzett eszköze tudja visszafejteni. A szolgáltató szerverén az üzenet olvashatatlan. Ez a titkosítás nem rejti el, hogy ki kivel, mikor és milyen eszközről kommunikál. Ezeket metaadatnak nevezik.

Egy cég számára mindkettő számít. A tartalom egy tárgyalási ajánlat vagy egy jelszó lehet. A metaadatból az derülhet ki, hogy a cégvezető melyik partnerrel egyeztet sűrűn egy tranzakció előtt.

Telegram: a titkos csevegés nem az alapbeállítás

A Telegram GYIK-je szerint a felhőcsevegés, vagyis a szokásos privát és csoportos csevegés szerver és kliens közötti titkosítással működik. A végponttól végpontig titkosítás csak a külön indítandó titkos csevegésre érvényes. A titkos csevegés eszközhöz kötött, és nem része a Telegram felhőjének. A titkos csevegésből üzenet nem továbbítható, és önmegsemmisítő üzenet is beállítható. A felhőcsevegést a Telegram titkosítva tárolja a saját felhőjében, hogy bármely eszközről elérhető legyen. A GYIK szerint a visszafejtő kulcsokat részekre bontva, az adatoktól külön tárolja. Az adatközpontokat különböző joghatóságok alá tartozó jogi személyek ellenőrzik.

A GYIK azt is állítja, hogy a Telegram 0 bájtnyi felhasználói üzenetet adott ki harmadik félnek. Ebbe a kormányokat is beleérti. Az adatvédelmi szabályzat 8.3 pontja ezt árnyalja. Eszerint a Telegram az illetékes igazságügyi hatóságok érvényes határozatára kiadhatja a felhasználó IP-címét és telefonszámát ezeknek a hatóságoknak. A határozatnak igazolnia kell, hogy a felhasználó olyan bűncselekmény gyanúsítottja, amely a Telegram felhasználási feltételeit is sérti. A Telegram előbb jogilag megvizsgálja a kérést. Ha adatot ad ki, azt a negyedéves átláthatósági jelentésében feltünteti. A szabályzat szerint a visszaélések kiszűrésére IP-címet, eszközadatot és felhasználónév-előzményt is gyűjthet, legfeljebb 12 hónapig.

A két állítás tehát nem mond ellent egymásnak. Az üzenet tartalmáról és az azonosító adatokról szólnak.

WhatsApp: a tartalom titkosított, a használat nyoma nem

A WhatsApp súgója szerint a személyes csevegések végponttól végpontig titkosítottak, külön beállítás nélkül. A WhatsApp a Signal titkosítási protokollját használja. A súgó a kivételeket is felsorolja. Egy vállalati fiók a Meta kiegészítő szolgáltatásait is használhatja. Ezt a csevegés jelzi, és a WhatsApp az ilyen beszélgetést nem tekinti végponttól végpontig titkosítottnak. Ugyanez áll a harmadik fél ügyintézőin keresztül kezelt csevegésekre és a fizetésekre. Ha pedig az üzenet megérkezett egy vállalathoz, arra a súgó szerint már a vállalat saját adatkezelése vonatkozik. A WhatsApp üzleti feltételei a WhatsApp Business alkalmazásnál és a vállalati platformnál a céget tekintik adatkezelőnek. Ahol a Meta adatfeldolgozó, a szerepét külön adatfeldolgozási feltételek rendezik. A platform biztonsága és integritása érdekében a Meta maga is adatkezelőként használhat személyes adatot. Az ügyfelekkel így levelező cégnek ezért a saját adatkezelési tájékoztatójában kell leírnia, mit kezd a kapott üzenetekkel.

Az európai adatvédelmi szabályzat szerint a WhatsApp gyűjti a használati adatokat is. Ilyen az utolsó aktivitás ideje, az üzenetek küldésének és fogadásának időpontja, valamint az eszköz- és kapcsolati adatok, köztük az IP-cím. A szabályzat a mentésre is kitér. Az iCloud vagy a Google mentésének használatakor ezek a szolgáltatók is megkapják az adatokat, köztük az üzeneteket.

A hatóságoknak szóló tájékoztatóban a WhatsApp részletesen az amerikai eljárást írja le. Eszerint büntetőügyben kibocsátott idézésre alapadatot ad ki, ha rendelkezésre áll: nevet, a szolgáltatás kezdetét, az utolsó aktivitás napját, IP-címet és e-mail-címet. Bírósági végzésre ezen felül például azt is, mely számokat tiltotta le a felhasználó, és ki tiltotta le őt. Bírói parancsra a fiókban tárolt tartalmat is kiadja, ha megvan: a bemutatkozó szöveget, a profilképeket, a csoportadatokat és a címjegyzéket. A tájékoztató szerint a kézbesített üzeneteket a szokásos működés során nem tárolja, a kézbesítetleneket 30 nap után törli. Büntetőnyomozásban a hatóság kérésére 90 napig megőrzi a fiók adatait, amíg a hivatalos megkeresés megérkezik. A megőrzési kérés előtt törölt tartalmat hatósági célra nem őrzi meg.

Signal: kevés adat, kevés kiadható adat

A Signal nyilvános protokoll-dokumentációja szerint a titkosítási eljárás minden üzenethez új kulcsot képez. Ha egy kulcs illetéktelen kézbe kerül, ez a dokumentáció szerint a korábbi és a későbbi üzeneteket is részben védi. Az adatvédelmi szabályzata szerint az üzenetek tartalmához nem fér hozzá, az üzenetelőzmény a felhasználó eszközén tárolódik. A még nem kézbesített üzeneteket titkosítva tartja a szerveren, amíg a címzett eszköze újra elérhető lesz. A regisztrációhoz telefonszám kell.

A Signal a hatósági megkereséseket a saját oldalán teszi közzé. A 2026. március 6-án közölt esetben a District of Columbia szövetségi bíróságán eljáró esküdtszék idézése 37 telefonszámról kért adatot. A Signal szerint hét fiók nem létezett, 24-ről nem volt adata a kért időszakra. Hat fióknál kiadta a fiók létrehozásának és az utolsó kapcsolódásnak az idejét. Ugyanezt a két adatot nevezte meg a listája legkorábbi, 2016. október 4-én közzétett esetében is. Üzenetet, névjegyzéket vagy csoporttagságot a saját közlése szerint nem tud kiadni, mert nem fér hozzá. Az adatok a Signal saját közléséből származnak, független megerősítésük nincs.

VPN: a bizalom áthelyezése, nem anonimitás

Az amerikai Szövetségi Kereskedelmi Bizottság (FTC) 2018. február 22-i útmutatója szerint a VPN-alkalmazás a forgalmat a VPN-szolgáltató szerverein vezeti át. Ha az alkalmazás titkosít, a nyilvános wifit figyelő ember csak értelmetlen adatot lát. Az útmutató szerint a VPN általában nem tesz névtelenné, csak a bizalmat helyezi át a hálózatról a VPN-szolgáltatóra. Az FTC megfogalmazásában aki VPN-alkalmazást használ, engedélyt ad az alkalmazásnak, hogy a teljes internetes forgalmát lehallgassa. Az FTC által idézett egyik kutatás közel 300 VPN-alkalmazást vizsgált, és egyeseknél hiányzó titkosítást, másoknál harmadik félnek átadott adatot talált. Az ingyenes alkalmazások egy része a forgalom vagy az adatok továbbadásából él. Az FTC szerint attól, hogy egy alkalmazás biztonságot ígér, még nem megbízható. A meglátogatott oldal azt is észlelheti, hogy a látogató VPN-t használ, és a beírt adatai alapján így is követheti.

A céges VPN-ről a brit Nemzeti Kiberbiztonsági Központ (NCSC) szervezeteknek szóló útmutatója ad támpontot. Eszerint a VPN a távoli munkatársaknak ad biztonságos hozzáférést a cég rendszereihez. Az NCSC lehetőség szerint az operációs rendszer beépített VPN-kliensét ajánlja, amely általában automatikusan frissül. A VPN-szolgáltatás viszont a cég internet felől támadható felületének része, ezért a biztonsági javításokat gyorsan telepíteni kell. Ugyanez a szempont a saját üzemeltetésű otthoni VPN-re is érvényes. Hogy ez a gyakorlatban mit jelent, azt a Check Point VPN-hibájáról, az Ivanti VPN-riasztásról és a NetScaler-kapuról szóló cikkeink mutatják.

Mit írjon a céges kommunikációs szabályba

  1. Csatorna a bizalmas témához. Határozza meg, melyik alkalmazásban folyhat bizalmas egyeztetés. A döntéshez nézze meg, hogy a végponttól végpontig titkosítás alapbeállítás-e, és kiterjed-e a csoportos beszélgetésre.
  2. Metaadat és mentés. Számoljon azzal, hogy a szolgáltató a titkosított üzenetküldőnél is tud a kapcsolatokról és az időpontokról. A felhőbe mentett üzenetre a mentést tároló szolgáltató szabályai is vonatkoznak.
  3. Ellenőrzés a csatornán kívül. A titkosítás azt védi, hogy ki olvassa az üzenetet, azt nem, hogy ki küldte. Pénzügyi kérésnél ismert telefonszámon hívja vissza a kérőt. Egy hamis hangú hívásról a CFO hangjáról szóló cikkünk szól.
  4. VPN-szolgáltató kiválasztása. Kereskedelmi VPN-nél olvassa el az adatkezelési tájékoztatót, és nézze meg, kinek adja át az adatokat. A „naplózás nélküli” ígéretet független ellenőrzés nélkül ne fogadja el. A céges VPN-kapu frissítését írja be valakinek a feladatai közé.

A titkosítás tehát nem igen vagy nem kérdés. A jó kérdés az, hogy a szolgáltató mit lát, mit tárol, és mit adhat ki. Erre a szolgáltatók saját dokumentumai választ adnak, és egy céges szabály megírása előtt ezeket érdemes elolvasni.

Gyakori kérdések

Végponttól végpontig titkosított a Telegram alapbeállításban?

Nem. A Telegram GYIK-je szerint a szokásos privát és csoportos felhőcsevegés szerver és kliens közötti titkosítással működik, és a Telegram titkosítva tárolja a saját felhőjében. Végponttól végpontig titkosítás csak a külön indítandó titkos csevegésre érvényes, amely eszközhöz kötött, és nem része a Telegram felhőjének.

Mit adhat ki a WhatsApp a hatóságnak?

A hatósági tájékoztatója az amerikai eljárást írja le: idézésre alapadatot, például nevet, IP-címet és az utolsó aktivitás napját, bírói parancsra a fiókban tárolt tartalmat, például a profilképeket, a csoportadatokat és a címjegyzéket. A kézbesített üzeneteket a szokásos működés során nem tárolja. Hogy uniós vagy magyar megkeresésre pontosan mit ad ki, a tájékoztatóból nem derül ki.

Végponttól végpontig titkosított, ha egy céggel WhatsAppon levelezem?

Nem mindig. A WhatsApp súgója szerint ha egy vállalati fiók a Meta kiegészítő szolgáltatásait használja, ezt a csevegés jelzi, és az ilyen beszélgetést a WhatsApp nem tekinti végponttól végpontig titkosítottnak. A vállalathoz megérkezett üzenetre a cég saját adatkezelése vonatkozik.

Névtelenné tesz a VPN?

Általában nem. Az FTC 2018. február 22-i útmutatója szerint a VPN elrejti a forgalmat a nyilvános wifit figyelő elől, de a bizalmat csak áthelyezi a hálózatról a VPN-szolgáltatóra, amely a teljes internetes forgalmat látja. A meglátogatott oldal azt is észlelheti, hogy a látogató VPN-t használ.

Források

Nyitott kérdések

  • A Telegram negyedéves átláthatósági jelentése egy Telegram-boton keresztül érhető el, ezért a kiadott adatok számát nem ellenőriztük.
  • A WhatsApp hatósági tájékoztatója az amerikai eljárásokat részletezi. A külföldi megkeresésekről csak annyit ír, hogy a tartalom kiadásához nemzetközi jogsegélykérelem vagy bírósági megkeresés lehet szükséges. Hogy egy uniós vagy magyar hatósági megkeresésre pontosan mit ad ki, abból nem derül ki.
  • A cikk nem vizsgálja, hogy egy adott VPN-szolgáltató naplózási ígéretét független audit igazolja-e.

Ez a cikk általános tájékoztatás, nem minősül jogi tanácsadásnak.

AI-közreműködés: AI-asszisztált. A cikk megírásában mesterséges intelligencia közreműködött. A tartalomért a Loop szerkesztősége felel. (2026)