"Lücke" bei WhatsApp-Gruppenchats ist für Facebook Panikmache

Der Messenger WhatsApp ist im Westen die beliebteste Anwendung ihrer Art, auch die Gruppen-Chat-Funktionalität wird von vielen genutzt. Doch bei diesem Feature wollen Sicherheitsforscher eine Lücke gefunden haben. WhatsApp-Besitzer Facebook teilte allerdings mit, dass diese allenfalls theoretischer Natur ist. Deutsche Sicherheitsforscher der Ruhr Universität Bochum haben auf der Real World Crypto-Konferenz in Zürich eine Sicherheitslücke beschrieben, die es erlaubt, Gruppenchats um neue Nutzer zu erweitern, selbst wenn man keine Admin-Berechtigung hat. Allerdings wäre dafür u. a. die Kontrolle über die Server der App erforderlich, weshalb die Gefahr in der Praxis nur minimal ist.

Theoretisches Szenario

Im theoretischen Szenario tauscht eine in einen Gruppenchat neu hinzugekommene Person mit jedem Mitglied einen geheimen Key aus, damit bekommt sie Zugang zu allen künftigen Nachrichten, die vergangenen bleiben aber natürlich verborgen bzw. sind nicht erreichbar. Die Geheimhaltung bzw. Vertraulichkeit eines Chats ist dann außer Gefecht gesetzt, wenn das eigentlich nicht eingeladene Mitglied neue Nachrichten erhalten und lesen kann, erläuterte Paul Rösler, einer der Bochumer Sicherheitsforscher, gegenüber Wired. Infografik Whatsapp: Wir verbinden jeden Tag eine Milliarde Benutzer Ober­fläch­lich klingt diese "Lücke" nach einer Riesensache, in der Praxis ist sie aber praktisch irrelevant. Denn Zugang zu den WhatsApp-Servern haben nur die Betreiber sowie Behörden (nach Gerichtsbeschlüssen und ähnlichem).

Facebooks Security Officer Alex Stamos antwortete per Twitter auf den Wired-Bericht und meinte, dass die Headline zwar "gruselig" sei, es aber keinen "geheimen Weg" in Gruppen-Chats gebe. Abgesehen von den Server-Argumenten verweist Stamos auch auf den Umstand, dass Gruppen über neue Nutzer benachrichtigt werden. Es sei also gar nicht möglich, "versteckt" in einer Gruppe zu schnüffeln.

Download WhatsApp für Android: APK Download WhatsApp Desktop: Windows-Client