Schwachstelle entdeckt: WhatsApp-Chats sollen manipulierbar sein

Sicherheitsforscher wollen einen Weg gefunden haben, wie sich WhatsApp-Nachrichten manipulieren lassen. Der Entwickler reagiert gelassen.

Der Messaging-Dienst WhatsApp hat angeblich eine Schwachstelle, durch die Angreifer Nachrichten manipulieren können. Das behauptet jedenfalls die Softwarefirma Check Point, die sich auf IT-Sicherheit spezialisiert hat. Am Mittwoch gab das Unternehmen bekannt, dass es seinen Sicherheitsexperten gelungen sei, WhatsApp-Chats zu kapern, bereits verschickte Nachrichten umzuschreiben oder den Absender auszutauschen.

Keine Digital-News mehr verpassen: Folgen Sie dem Digital-Kanal von t-online.de auf Facebook oder Twitter.

Für das Angriffsszenario erschufen die Sicherheitsforscher eine gehackte Version von WhatsApp und nutzten die "Zitieren"-Funktion, um Chat-Teilnehmern Worte in den Mund zu legen. WhatsApp bestreitet jedoch, dass es sich um eine Sicherheitslücke oder gar eine Neuentdeckung handelt. "Wir haben uns das Problem genau angesehen", teilte ein Sprecher auf Nachfrage mit. Es handle sich im Grunde um die gleiche Vorgehensweise, mit der sich auch der Inhalt von weitergeleiteten E-Mails ändern lasse.

WhatsApp sieht keinen Grund für zusätzliche Sicherheitsvorkehrungen. Manipulationsversuche, wie die von Check Point durchgeführten Angriffe, könnten nur durch vollständige Überwachung des Nachrichtenverkehrs verhindert werden – ein Vorgehen, das der Entwickler mit Verweis auf Privatsphäre der Nutzer und den damit verbundenen technischen Aufwand ablehnt.

WhatsApp wirbt damit, dass jede Nachricht und jeder Anruf mit der App verschlüsselt wird. Nicht einmal WhatsApp habe Zugriff auf Inhalte. Dies gelte auch weiterhin. "Die Behauptungen haben nichts mit der Sicherheit der Ende-zu-Ende-Verschlüsselung zu tun", so der Sprecher zu den von Check Point geäußerten Bedenken.

Nach Ansicht der Check-Point-Experten bietet die App in ihrer jetzigen Form Angreifern zwar ein theoretisches Einfallstor, durch das sich vor allem in geschlossenen Chat-Gruppen Verwirrung stiften ließe. Bisher sind aber keine Fälle bekannt, in denen zitierte WhatsApp-Nachrichten manipuliert wurden. WhatsApp merkt zudem an, dass Manipulationsversuche spätestens dann auffliegen würden, wenn der Nutzer zitierte Nachrichten antippt und zurückverfolgt. Die App würde ihn dann zu der ursprünglichen, noch nicht manipulierten Version der Nachricht zurückführen. Spätestens dann wird sichtbar, ob die Worte so tatsächlich gefallen sind.

Weltweit gibt es laut Check Point schätzungsweise mehr als ein Milliarde WhatsApp-Gruppen, denen bis zu 256 Personen angehören können. In großen Gruppen verlieren Teilnehmer schnell den Überblick über Unterhaltungen. Die allermeisten Gruppen zählen jedoch nur eine Handvoll Mitglieder – und mit denen ist der Nutzer in der Regel persönlich bekannt, was Betrugsversuche erschweren dürfte. Etwa 1,8 Milliarden Menschen weltweit nutzen die App.

Verschiedene Angriffsszenarien möglich

Den Check-Point-Mitarbeitern sei es durch Schwächen in der "Zitieren"-Funktion möglich gewesen, verschiedene Angriffe auszuführen. So sei es den Sicherheitsforschern beispielsweise gelungen, gesendete Antworten nachträglich abzuändern oder sie einem anderen Absender zuzuschreiben. In Gruppen-Chats war es sogar möglich, im Namen von Personen aus der Gruppe mitzukommentieren oder einen Absender zu erfinden, der gar nicht zur Gruppe gehört.

Check Point taufte die Schwachstelle auf den Namen "FakesApp", um auf die Gefahren durch bewusste Manipulationsversuche hinzuweisen. Angreifer könnten versuchen, Unfrieden zu stiften.

• Vorsicht, Schadsoftware: Gefährliche WhatsApp-Fälschung im Umlauf
• WhatsApp: Sicherheitslücke ermöglicht heimlichen Gruppenbeitritt
• Kaspersky Lab warnt: Dieser Staatstrojaner liest WhatsApp-Nachrichten mit
• "Fake News" mit fatalen Folgen: WhatsApp-Hetze endet tödlich

Für die Facebook-Tochter WhatsApp fällt die Bekanntmachung in eine Zeit, in der überall gegen die Verbreitung von "Fake News" gekämpft wird. Zuletzt hatte der App-Entwickler mehrere Änderungen angekündigt, die der viralen Verbreitung von Falschmeldungen und Kettenbriefen entgegen wirken sollen. Unter anderem soll die Zahl der Empfänger für weitergeleitete Nachrichten begrenzt werden.

WhatsApp und Facebook stehen zunehmend unter Druck, nachdem es in Ländern wie Sri Lanka oder Indien zu Hetzkampagnen gegen Einzelpersonen und Bevölkerungsgruppen gekommen war. Dort hatten Falschmeldungen und Gerüchte, die vor allem per WhatsApp und Facebook Verbreitung fanden, Menschen zu Gewaltorgien aufgestachelt: Es gab Tote und Verletzte.

"Wir nehmen die Herausforderung durch Falschinformationen ernst", sagte der WhatsApp-Sprecher. "Wir bannen Konten, die versuchen, WhatsApp zu manipulieren, um unerwünschte Nachrichten zu verschicken und wir arbeiten in mehreren Ländern mit der Zivilgesellschaft zusammen, um Menschen über Fake News und Hoaxes aufzuklären."

Auch an der App seien bereits Verbesserungen vorgenommen worden. So werden weitergeleitete Nachrichten künftig markiert, um die Nutzer auf mögliche Gefahren aufmerksam zu machen. Der Empfänger solle den Absender einer Nachricht und dessen Motivation stets hinterfragen und genau überlegen, welche Botschaften er teilen will. Laut Check Point lohnt es sich aber, auch in privaten Unterhaltungen genauer hinzuschauen.