Daten von mehr als einer Milliarde User in Gefahr: Forscher warnen vor Sicherheitslücken bei WhatsApp und Co.

Messenger-Dienste wie Signal oder WhatsApp greifen auf das Adressbuch der Nutzenden zu. Das ist zwar per se nichts Neues, das macht es allerdings nicht weniger problematisch. Schon seit der Einführung derartiger Funktionsweisen von Chat Apps sind diese umstritten. Denn den Zugriff auf die Kontakte des User Devices könnten Cyber-Kriminelle nutzen, um Nutzende auszuspionieren. Nun bekundeten Wissenschaftler erneut, in welchem Ausmaß, das Auslesen des Adressbuches die Datensicherheit der User verletzt. Eine Studie, durchgeführt von IT-Sicherheitsforschern der Uni Würzburg und der TU Darmstadt, zeigt, dass das soziale Umfeld von Nutzenden ganz einfach durch simple Crawling-Angriffe auf WhatsApp und Co. ausspioniert werden kann. Die Experten waren in der Lage, durch die zufällige Abfrage von Telefonnummern, unzählige User-Daten zu sammeln. So sei laut der Studie „die Privatsphäre von weit mehr als einer Milliarde” User in Gefahr.  

Studie zeigt: In den Messengern gesammelte Daten sagen viel über individuelles Nutzerverhalten aus 

Für die Untersuchung fragten die Wissenschaftler circa zehn Prozent aller Mobilfunknummern in den USA für WhatsApp und 100 Prozent für den Messenger-Dienst Signal ab. Die Plattformen speicherten das Profilbild, den Statustext, den Benutzernamen und wann der User zuletzt online war – und diese Daten waren für die Sicherheitsforscher offen einsehbar. So zeichnete sich ein detailliertes Bild des Nutzerverhaltens ab, das einem individuellen User deutlich zugeordnet werden konnte. Das verstoße laut den IT-Sicherheitsforschern ganz klar gegen die grundlegenden Privatsphäre- und Datenschutzansprüche der Nutzenden. Ein Grund für das Sammeln der Daten ist, dass User die Datenschutzeinstellungen häufig nicht anpassen, wie die Forscher ebenfalls herausfanden. Die Studie zeigt, dass circa 50 Prozent der US-amerikanischen WhatsApp User ein öffentliches Profilbild haben. Bei ganzen 90 Prozent ist der Infotext öffentlich einsehbar. 40 Prozent aller Nutzenden, die Signal installierten – einen als mehr oder weniger datenschutzkonform geltender Messenger-Dienst –, hatten auf ihrem Gerät ebenfalls WhatsApp installiert, häufig mit öffentlichem Profilbild. 

Leichter Zugang zu User-Daten ermöglicht Cyber-Betrug

Mit dem Zugriff auf derartige Daten und in Kombination mit Informationen aus anderen sozialen Netzwerken wäre es für Cyber-Kriminelle ein Leichtes, Fake-Profile anzulegen und diese zum Betrug zu verwenden. Die IT-Sicherheitsforscher fanden weiter heraus, dass es auf den Messenger-Dienst ankommt, in welchem Umfang Daten während des Adressbuchabgleichs öffentlich gemacht und im Zuge einer Crawling-Attacke gesammelt werden können. Auch die Privatsphäreeinstellungen seien hierbei ein nicht unerheblicher Faktor. Die Messenger-Dienste WhatsApp und Telegram übertragen das gesamte Adressbuch der User an einen Server. Signal tut dies verschlüsselter und weniger umfassend anhand von kurzen kryptographischen Hashwerten von Telefonnummern. Diese entschlüsselten die Sicherheitsforscher allerdings mithilfe leicht angepasster Angriffsstrategien und konnten so von den Prüfnummern auf die zugehörigen Telefonnummern schließen. 

Forscher teilten Messenger-Diensten ihre Ergebnisse mit 

Die Wissenschaftler teilten die Ergebnisse ihrer Studie den jeweiligen Messenger-Diensten vor der Veröffentlichung des Reports mit. WhatsApp optimierte daraufhin den Datenschutz, sodass die Chat App große Attacken mittlerweile erkennt und abwenden kann. Auch Signal hat reagiert und Maßnahmen ergriffen, um Crawling zu erschweren. Die IT-Sicherheitsexperten weisen im Zuge ihrer Studie nochmals nachdrücklich daraufhin, wie wichtig es ist, die Datenschutzeinstellungen anzupassen. Ob künftig Techniken gefunden werden, mit denen die Daten der User sicher sind und die Nutzung der Dienste nicht negativ beeinflusst wird, bleibt abzuwarten. 

Jetzt anmelden