Bericht: WhatsApp-Verschlüsselung ist dank Hintertür de facto ein Witz

Bisher haben WhatsApp und Besitzer Facebook den mobilen Messenger und dessen End-zu-Ende-Verschlüsselung als absolut sicher positioniert. Nicht mal intern könnten Nachrichten zwischen zwei Nutzern dekodiert und eingesehen werden, sagt WhatsApp. Doch das ist offenbar nicht die ganze Wahrheit, denn die Verschlüsselung dürfte eine (große) Hintertür haben. Die WhatsApp-Macher behaupten, dass ihre vor einer Weile eingeführte Verschlüsselungslösung absolut sicher sei und weder Behörden noch die WhatsApp-Anbieter selbst etwas tun könnten, um sie zu durchbrechen. Doch laut einem Bericht der britischen Zeitung The Guardian hat das System entscheidende Lücken bzw. Schwächen bei der Umsetzung des an sich zuverlässigen und angesehenen Signal-Protokolls von Open Whisper Systems.

Backdoor

Über die WhatsApp-Hintertür soll es möglich sein, Verschlüsselungs-Keys für Offline-Nutzer anzufordern und zwar ohne dass Sender und Empfänger etwas davon mitbekommen können. Denn die auf diese Weise "abgefangene" Nachricht wird an den Absender zurückgereicht, mit einem neuen Key neu verschlüsselt und einfach neu abgeschickt.

Für den Empfänger ist das gar nicht einsehbar, der Absender bekommt im Zuge der Neuverschlüsselung eine Warnung, jedenfalls dann, wenn er die "Sicherheits-Benachrichtigungen" (Einstellungen -> Account -> Sicherheit) aktiviert hat.

Dies hat der Sicherheitsforscher Tobias Boelter von der University of California in Berkeley entdeckt, die Rede ist von einer waschechten Hintertür. So etwas wird von Privatsphäre-Aktivisten als besonders dramatisch eingeschätzt, sie sei "eine riesige Bedrohung für die Redefreiheit", da damit Behörden und Geheimdienste Nutzer ausschnüffeln könnten, die eigentlich glauben, dass sie sicher sind.

"Erwartetes Verhalten"

Einen Fehler im Protokoll schließt Boelter aus, beim von Edward Snowden empfohlenen Messenger Signal kommt es zu keinem vergleichbaren Verhalten. Besorgniserregend ist dabei, dass Boelter dies bereits im April 2016 an Facebook gemeldet hat, ihm aber mitgeteilt worden ist, dass das ein "erwartetes Verhalten" sei und man nicht vorhabe, dagegen etwas zu unternehmen.

Für Datenschutzexperten ist das fast schon ein Super-GAU, Kirstie Ball vom Centre for Research into Information, Surveillance and Privacy spricht von einer "Goldmine für Sicherheitsbehörden" und einem "riesigen Verrat am Nutzervertrauen".

WhatsApp hat sich in einem Statement zu Wort gemeldet und verweist ausweichend u. a. auf die Sicherheits-Benachrichtigungen, die vor allem beim Wechsel eines Geräts oder der SIM-Karte angezeigt werden. Konkret wollte man sich hingegen nicht äußern und hat den Guardian nur auf seine Seite zum "Bericht über Regierungsanfragen" verwiesen.

Download WhatsApp für Android: APK-Version Download WhatsApp Desktop: Windows-Client