WhatsApp und Telegram konnten über Tricks gekapert werden (Update)

Die "Vault 7" getauften jüngsten Enthüllungen im Zusammenhang mit den Abhörpraktiken der CIA haben unter anderem behauptet, dass der Geheimdienst auch Ende-zu-Ende-verschlüsselte Messenger wie WhatsApp "hacken" kann. Das war aber nur die halbe Wahrheit, denn die Verschlüsselung selbst ist auch für die CIA außer Reichweite. Über "Umwege" kann man aber solche Messenger dennoch knacken. Vault 7 hat in den ersten Tagen für viel Aufregung gesorgt. Diese hat sich aber mittlerweile weitestgehend gelegt. Das gilt auch für die Aufregung rund um die Messenger. Ihre Verschlüsselung und somit Sicherheit bleibt intakt, dennoch ist der Einsatz von WhatsApp, Telegram und Co. keine Garantie, dass man unantastbar ist.

So geht's

Aktuell zeigt ein Sicherheitsbericht von Check Point Security (via The Verge), dass WhatsApp und Telegram angreifbar sind. Im konkreten Fall wird der Weg ausgenützt, wie beide Dienste mit Bildern und anderen Multimediadateien umgehen.

Denn den Sicherheitsforschern ist es gelungen, ein Bild zu erschaffen, das in der Vorschauansicht im Chat ganz normal aussieht, aber beim Anklicken bzw. -tappen zu einer potenziell Malware-verseuchten Webseite führt. Wenn man auf dieser Seite landet, dann können die Angreifer die gesamten lokal gespeicherten Daten abgreifen und auf diese Weise letztlich das Nutzerkonto kapern.

Und die "gesamten Daten" sind auch wörtlich zu nehmen, laut Check Point Security sind das der Kontozugang sowie der Chatverlauf, also auch alle jemals geteilten Fotos und gesendeten Textnachrichten.

Die Experten beschreiben hier zwar nur ein mögliches Angriffsszenario, für Botnetze und Massenüberwachung ist dieses aber denkbar ungeeignet, da der einzelne Anwender ein Bild aktiv öffnen muss. Im Fall von WhatsApp war die Lücke etwas einfacher auszunutzen als bei Telegram, nach entsprechenden Meldungen haben aber beide Unternehmen die Schwachstellen bereits gestopft.

Update 16. März: Telegram hat auf den Bericht von Check Point Security (überaus verärgert) reagiert und die inzwischen geschlossene Schachstelle als theoretisch und PR-Effekthascherei bezeichnet. Details siehe hier.

Download WhatsApp für Android: APK-Version