WhatsApp-Sicherheitslücke: Überwachung von Nutzern möglich

WhatsApp wird nach eigener Aussage von mehr als einer Milliarde Menschen in über 180 Ländern genutzt. Ungefähr vierzig Milliarden Nachrichten, mit vor allem persönlichen Daten, werden täglich über den Messenger ausgetauscht. Die Kommunikation ist seit 2016 verschlüsselt. Doch es gibt anscheinend andere Wege, an persönliche Daten von Nutzern zu gelangen. 

Online-Status mit Chrome-Erweiterung aufzeichnen

Der Software-Entwickler Robert Heaton hat auf seiner Webseite auf die Sicherheitslücke aufmerksam gemacht. Er macht sich dabei den Webservice von WhatsApp zu Nutze. Mit der Web-Version des Messengers ist es möglich, über einen Browser am PC mit seinen Freunden zu kommunizieren.

Heaton hat nun mit nur vier Zeilen Code eine Erweiterung für den Chrome-Browser geschrieben, mit der sich Informationen aus WhatsApp Web ermitteln lassen. Der Code fragt in regelmäßigen Zeitintervallen den WhatsApp-Status „zuletzt online“ eines Nutzers ab und protokolliert das Ergebnis. Somit lässt sich ein genaues Aktivitätenprotokoll anlegen, das aufzeichnen kann, wann Nutzer bei WhatsApp online waren und wann nicht. 

Führt man diese Aufzeichnung für eine längere Zeit durch, kann man den ungefähren Tagesablauf eines Nutzers erfassen. Aber man kann auch noch einen Schritt weiter gehen und Korrelationen aus dem Chatverhalten von verschiedenen Personen herstellen.

Lesetipp: WhatsApp für Android: Beta-Version mit neuem Emoji-Design

Telefonnummer reicht für WhatsApp-Überwachung

Werden die Online-Daten von verschiedenen Personen verglichen, können auch Zusammenhänge in deren Chat-Verhalten festgestellt werden. Daraus kann man etwa schließen, wer mit wem und wie oft schreibt. Um diese Daten auslesen zu können, wird nur die Handynummer benötigt. Somit lassen sich auch unbekannte Personen ausspionieren.

Bereits vor einigen Monaten hatte ein Entwickler festgestellt, dass er über WhatsApp Web nur anhand der Telefonnummer Profilbilder, Statusnachrichten und den Online-Status von Nutzern auslesen konnte, sofern diese öffentlich zugänglich waren. Über die Privatsphäre-Einstellungen kann man Informationen wie das Profilbild oder den Status "zuletzt online" zwar verbergen, nicht aber den Status "online", der jederzeit in Echtzeit ausgelesen werden kann. Da man den Code von Robert Heaton auch so abändern kann, dass er statt "zuletzt online" den Status "online" ausliest, kann man sich derzeit nicht vor dieser potenziellen Spionage schützen.