WhatsApp: Datenschnüffler haben ein leichtes Spiel

Dass es bei dem Smartphone-Messenger WhatsApp Probleme in Sachen Sicherheit gibt, ist bereits seit einiger Zeit bekannt. Für einen geringfügigen Schutz sorgt eine kürzlich eingebaute Verschlüsselung in dem Programm. Die Kollegen von 'heise Security' wollten genau wissen, wie leicht sich ein WhatsApp-Konto kapern lässt und haben aus diesem Grund eine Analyse durchgeführt. Unter dem Strich stellte sich dabei heraus, dass es Datenschnüfflern nicht gerade schwer fällt, einen fremden Account mit frei erhältlichen Werkzeugen zu übernehmen.

Bei diesem Test war es dank der auf PHP basierten WhatsApp-API namens WhatsAPI möglich, sowohl Accounts unter iOS, als auch unter Android zu übernehmen und im Namen der jeweiligen Personen Nachrichten zu versenden. Da dieses besagte Script einen Konversationsmodus mitbringt, konnten die Mitteilungen auch gelesen werden. Der eigentliche Empfänger bekommt davon nichts mit.

Siehe auch: WhatsApp-Verschlüsselung: Sicherheit geht anders

Das zentrale Problem ist in diesem Zusammenhang die eingesetzte Authentifizierung von WhatsApp, die einen gewissen Verbesserungsbedarf hat. Ein selbst erzeugtes Passwort wird für die Anmeldung am Server verwendet. Bei iOS von Apple bedient man sich diesbezüglich der MAC-Adresse und bei Android der so genannten IMEI-Nummer - also der Seriennummer des Smartphones.

Geheim sind diese Daten nicht. Gerade in einem öffentlichen WLAN kann sich ein Datenschnüffler ohne größere Umstände einen Zugriff auf diese Daten verschaffen und Nachrichten im Namen der Opfer versenden. Wurde ein Account erst einmal übernommen, so lässt sich dieser nicht mehr absichern. Die Entwickler von WhatsApp haben sich bisher nicht näher zu diesem Thema geäußert und daher noch keine Abhilfe in Aussicht gestellt.