WhatsApp: Sicherheitslücke bei Gruppenchats aufgedeckt

WhatsApps Ende-zu-Ende-Verschlüsselung ist nicht so sicher wie angenommen. Besonders die Funktion der Gruppenchats hat mit einer erheblichen Sicherheitslücke zu kämpfen.

Um seine User und deren private Kommunikationen noch mehr zu schützen, hat WhatsApp vor gut zwei Jahren die Ende-zu-Ende-Verschlüsselung eingeführt. Dass diese nicht so sicher ist wie angenommen, konnten jetzt deutsche Wissenschaftler herausfinden. Auf der in Zürich abgehaltenen Sicherheitskonferenz Real World Crypto haben Forscher der Ruhr-Universität Bochum jetzt ihre Ergebnisse präsentiert. Diese offenbaren, dass sich besonders die beliebten Gruppenchats leicht infiltrieren lassen. Haben Hacker Zugriff zum WhatsApp-Server, können sie wahlweise Personen zu Gruppenchats hinzufügen, ohne die Erlaubnis des Admin zu benötigen.

„Nutzen der Verschlüsselung ist sehr gering“

Hat sich eine Person erst einmal Zugriff zur Gruppe verschafft, kann er unbehelligt alle darauffolgenden Nachrichten lesen, jedoch nicht die, welche vorher geschrieben wurden. „Die Diskretion der Gruppe ist gebrochen, sobald eine ungebetene Person alle weiteren Nachrichten empfangen und lesen kann“, wird Paul Rösler, Forscher an der Ruhr-Universität Bochum und Co-Autor der Publikation auf Wired zitiert. „Wenn es eine Ende-zu-Ende-Verschlüsselung für Gruppen- und Zweierchats gibt, dann sollte diese das unerlaubte Hinzufügen von neuen Mitgliedern verhindern. Ist das nicht der Fall, ist der Nutzen der Verschlüsselung sehr gering.“

Facebook relativiert die Ergebnisse der Forscher

Facebook, das Unternehmen hinter dem Messenger-Dienst, hat sich zu den Ergebnissen bereits geäußert und relativiert diese. So hat sich Alex Stamos, Sicherheitsbeauftragter bei Facebook, über Twitter zu Wort gemeldet: „Habe den Artikel auf Wired heute gelesen – gruselige Überschrift! Aber es gibt keinen geheimen Weg in die WhatsApp Gruppenchats.“ So merkt das Unternehmen an, dass User stets informiert werden, wenn eine neue Person zur Gruppe hinzugefügt wird. Sind Nutzer oder Admins skeptisch und können die neue Person nicht identifizieren, sollte man sich in einem Zweier-Chat untereinander versichern, dass keiner diese Person hinzugefügt hat und es sich möglicherweise um einen Hacker handelt.

Zusätzlich können nur Personen auf die Chats zugreifen, wenn sie auch Zugriff zu den WhatsApp-Servern haben. Wie auf Wired zu lesen ist, haben dies allerdings nur Mitarbeiter, Behörden, die sich legal Zugriff eingefordert haben und hochprofessionelle Hacker.