- Ein Fehler bei der Kontaktverifizierung ermöglichte es, 3.500 Milliarden WhatsApp-Nummern aufzulisten.
- Forscher in Wien haben unbegrenzte Abfragen automatisiert und einhundert Millionen Validierungen pro Stunde erreicht.
- Meta wurde im April benachrichtigt und ergriff im Oktober Gegenmaßnahmen; verschlüsselte Nachrichten waren davon nicht betroffen.
- Risiken für Nutzer in Spanien und der EU: Phishing, Spam und Profiling; strenge Datenschutzeinstellungen werden empfohlen.
Angesichts zunehmender Datenschutzmaßnahmen hat ein Forscherteam nachgewiesen, dass eine Sicherheitslücke in der Kontaktsuche von WhatsApp die Offenlegung zahlreicher Telefonnummern ermöglichte, die bei dem Dienst registriert sind. Das Ausmaß ist erschreckend: Die Forscher konnten bis zu 3.500 Milliarden Telefonnummern identifizieren, die mit Konten verknüpft sind . Dies hat die Debatte über die Offenlegung öffentlicher Daten und deren Auswirkungen in Spanien und dem übrigen Europa neu entfacht.
Die der Universität Wien zugeschriebene und von Wired nach Veröffentlichung der technischen Details auf GitHub aufgegriffene Studie nutzte die fehlenden strengen Beschränkungen bei der Überprüfung von Zahlen. Durch automatisierte Prozesse erreichten sie Validierungsraten von fast einhundert Millionen Prüfungen pro Stunde – manuell unmöglich, aber mit speziell dafür entwickelter Software realisierbar.
Was geschah und wie wurde die Sicherheitslücke ausgenutzt?
Das Problem liegt darin begründet, dass WhatsApp Nutzern die Möglichkeit bietet, zu überprüfen, ob eine Nummer die App nutzt – eine Funktion, die das Hinzufügen neuer Kontakte vereinfachen soll. Da es keine ausreichend strenge Geschwindigkeitsbegrenzung gab, konnten unzählige Nummernkombinationen massenhaft getestet und die zu aktiven Konten gehörenden Kombinationen erfasst werden, wodurch der Umfang der Datensammlung vervielfacht wurde.
Die Reichweite beschränkte sich nicht auf Smartphones: Sofern das Profil dies zuließ, wurde auch auf Daten zugegriffen, die von Meta als „grundlegend und öffentlich“ kategorisiert wurden, wie beispielsweise Profilbilder (in 57 % der Fälle) , Statusmeldungen (rund 29 %), der „Info“-Text und sogar der Kontotyp (privat oder geschäftlich). In einigen Fällen erwähnen die Forscher das Vorhandensein öffentlicher Schlüssel und zugehöriger technischer Metadaten, was den Wert des Datensatzes für missbräuchliche Verwendung erhöht.
Einige Länder stachen aufgrund ihres Umfangs besonders hervor. In Indien gab das Team an, fast 750 Millionen Telefonnummern identifiziert zu haben, wobei ein erheblicher Anteil der Profile öffentliche Fotos enthielt. Sie entdeckten auch Konten in Ländern, in denen die App verboten ist – wie China und Iran –, was die Identifizierung der Nutzer durch die Behörden erleichtern könnte, falls Dritte diese Technik nachahmen sollten.
Die Autoren betonen, dass sie ethisch korrekt gehandelt, ihre Datenkopien gelöscht und das Unternehmen benachrichtigt haben. Dennoch warnen sie, dass es sich, sollte es sich um das Werk eines böswilligen Akteurs handeln, um den bisher größten dokumentierten Datendiebstahl mit erheblichem Missbrauchspotenzial handeln würde.
Metas Reaktion und die Risiken für Nutzer in Spanien und Europa
Laut Wired informierten die Forscher Meta im April , und das Unternehmen gibt an, im Oktober Gegenmaßnahmen ergriffen zu haben (strengere Abfragekontrollen und reduzierte Standarddatenverfügbarkeit). Dennoch merkte einer der Autoren, Max Günther, an, dass, wenn sie die Daten relativ einfach extrahieren konnten, dies auch andere vor der Behebung des Problems hätten tun können.
Dies ist nicht das erste Mal, dass diese Art der Datenerfassung aufgefallen ist. Bereits 2017 beschrieb der Forscher Loran Kloeze eine ähnliche Methode, um durch die Überprüfung von Zahlen große Datenmengen aufzudecken. Damals behauptete das Unternehmen – noch unter dem Namen Facebook –, seine Datenschutzeinstellungen funktionierten wie vorgesehen . Der Fall entfacht jedoch erneut die Debatte über die Grenzen dessen, was als „öffentlich“ gilt.
Es ist wichtig klarzustellen, dass die Nachrichten selbst nicht kompromittiert wurden: Die Ende-zu-Ende-Verschlüsselung schützt weiterhin den Inhalt der Gespräche. Die ausgenutzte Schwachstelle zielt auf sichtbare Informationen und die Architektur ab, die Telefonnummern als Identifikatoren verwendet . Dies ermöglicht eine systematische Erfassung, wenn die Zeitkontrollen unzureichend sind.
Für Nutzer in Spanien und der Europäischen Union bestehen die Hauptrisiken in Phishing und Identitätsdiebstahl sowie in unerwünschter Werbeprofilerstellung. Da Telefonnummern personenbezogene Daten sind, werden die DSGVO und die Aufsicht durch Behörden wie die spanische Datenschutzbehörde (AEPD) relevant, sobald sich erhebliche lokale Auswirkungen bestätigen. In jedem Fall ist Vorsicht geboten, die Offenlegung von Nutzerprofilen auf ein absolutes Minimum zu beschränken.
Um Ihre Angriffsfläche zu verringern, sollten Sie Ihre Datenschutzeinstellungen überprüfen und die Sichtbarkeit Ihrer Daten einschränken. Einige Maßnahmen sind einfach und sehr effektiv, insbesondere für diejenigen, die WhatsApp täglich in Spanien oder Europa nutzen und ihre öffentlichen Spuren minimieren möchten.
- Unter Einstellungen > Datenschutz einstellen Profilfoto, Infos y letztes Mal und online in „Nur Kontakte“ oder „Niemand“.
- Schränkt ein, wer Sie zu Gruppen hinzufügen Halten Sie die App auf dem neuesten Stand, um Sicherheitsupdates zu erhalten.
- Seien Sie vorsichtig bei unerwarteten Nachrichten, die Folgendes erwähnen persönlichen (vollständiger Name, Position usw.).
- Erwägen Sie die Verwendung Benutzernamen Falls diese Funktion verfügbar ist, vermeiden Sie es, sensible Informationen in Ihrem Status zu veröffentlichen.
Das Gesamtbild dieses Falls ist eindeutig: Eine auf Telefonnummern fokussierte Gestaltung in Kombination mit unzureichenden Datenschutzmaßnahmen ermöglichte eine massive Datensammlung, die nicht länger ignoriert werden kann. Mit implementierten Schutzmaßnahmen und strengerer Überwachung versucht die Plattform, diese Sicherheitslücke zu schließen. Die Eigenverantwortung jedes Einzelnen – insbesondere die Einhaltung der Datenschutzeinstellungen und Vorsicht im Umgang mit verdächtigen Nachrichten – bleibt jedoch entscheidend für die Risikominderung.
