Massive WhatsApp-Sicherheitslücke: Daten von 3,5 Milliarden Nutzern offengelegt

Österreichische Forscher haben eine gravierende Sicherheitslücke im Messengerdienst WhatsApp aufgedeckt, die den Zugriff auf Daten von 3,5 Milliarden Nutzerkonten ermöglichte. Die Wissenschaftler konnten über eine manipulierte Schnittstelle ungehindert auf das gesamte Nutzerverzeichnis zugreifen und dabei Millionen von Telefonnummern pro Stunde abfragen, ohne dass ihre Aktivitäten blockiert wurden. Meta, der Betreiber von WhatsApp, wurde über die Lücke informiert und hat die Löschung der gesammelten Daten bestätigt.

Key Takeaways

• Eine Sicherheitslücke bei WhatsApp ermöglichte Forschern den Zugriff auf Daten von 3,5 Milliarden Nutzern.
• Über 100 Millionen Telefonnummern konnten pro Stunde abgefragt werden.
• Neben Telefonnummern wurden auch öffentliche Profilbilder, Statusmeldungen und Verschlüsselungsschlüssel erfasst.
• Meta wurde über die Lücke informiert und gibt an, dass die Daten gelöscht wurden.

Umfassender Zugriff auf Nutzerdaten

Informatiker der Universität Wien und des Forschungsnetzwerks SBA Research haben eine Schwachstelle in WhatsApp entdeckt, die es ihnen erlaubte, auf das gesamte Nutzerverzeichnis zuzugreifen. Das Forscherteam nutzte eine manipulierte Schnittstelle, um über 100 Millionen Telefonnummern pro Stunde abzufragen. Laut den Forschern gab es keine technischen Hürden, und ihre Aktivitäten, die von einer einzigen IP-Adresse ausgingen, wurden von WhatsApp nicht blockiert.

Umfangreiche Metadaten und sensible Informationen

Neben Telefonnummern konnten die Wissenschaftler auch öffentliche Profilbilder, Statusmeldungen, Zeitstempel und öffentliche Schlüssel für die Ende-zu-Ende-Verschlüsselung abrufen. Aus diesen Daten ließen sich weitere Metadaten wie das Betriebssystem, das Alter des Kontos oder die Anzahl verbundener Geräte ableiten. Besonders besorgniserregend ist, dass etwa 30 Prozent der Nutzer persönliche Details in ihren Profilen hinterlegt hatten, was Rückschlüsse auf politische Einstellungen, religiöse Zugehörigkeit oder sexuelle Orientierung zuließ. In einigen Fällen wurden sogar E-Mail-Adressen von Regierungs- oder Militäreinrichtungen gefunden.

Auswirkungen in Deutschland und anderen Ländern

In Deutschland sind laut der Analyse 74,6 Millionen aktive WhatsApp-Konten betroffen, was 88 Prozent der Bevölkerung entspricht. In Österreich waren es 7,9 Millionen (86 Prozent) und in der Schweiz 8,4 Millionen (95 Prozent). Von den deutschen Nutzern hatten 51 Prozent ein öffentliches Profilbild und 35 Prozent eine persönliche Statusmeldung eingestellt.

Kryptografische Schwachstellen und Langzeitfolgen

Die Forscher stießen auch auf kryptografische Schwachstellen, darunter 2,3 Millionen wiederverwendete öffentliche Schlüssel auf mehreren Geräten. Dies könnte theoretisch das Entschlüsseln von WhatsApp-Inhalten oder die Übernahme fremder Identitäten ermöglichen. Ein Vergleich mit einem Facebook-Datenskandal von 2021 zeigte, dass 58 Prozent der damals abgegriffenen Telefonnummern immer noch aktiv sind, was die lang anhaltenden Folgen von Datenlecks unterstreicht.

Metas Reaktion und Empfehlungen

Meta wurde ab September 2024 mehrfach über die Sicherheitslücke informiert. Das Unternehmen bedankte sich bei den Forschern für ihre „verantwortungsvolle Partnerschaft“ und versicherte, dass die gesammelten Daten sicher gelöscht wurden und es keine Hinweise auf Missbrauch durch böswillige Akteure gebe.

Foto von Anton: https://www.pexels.com/de-de/foto/person-hand-bildschirm-handy-4132538/