Forscher der Ruhr-Universität Bochum haben eine mögliche Schwachstelle im Messenger Whatsapp entdeckt. Ihrer Analyse zufolge kann ein digitaler Angreifer neue Mitglieder in einen Gruppenchat schleusen, ohne dass der Administrator der Gruppe diese Mitglieder eingeladen hat. Ein so eingeschleuster Teilnehmer kann alle zukünftigen Gruppennachrichten lesen und die Gruppe ausspionieren. Dadurch kann die Verschlüsselung umgangen werden, die alle Whatsapp-Chats schützt. Der Fall zeigt, dass die viel gelobte Verschlüsselung von Whatsapp nicht so vollumfassend funktioniert wie oft geglaubt.
Im April 2016 hat Whatsapp die Ende-zu-Ende-Verschlüsselung eingeführt und so die Sicherheit für die Nutzer deutlich erhöht. Denn dank dieser Technik können Nachrichten nur vom Sender und Empfänger gelesen werden, Angreifer von außen können die Inhalte nicht sehen. Selbst Whatsapp-Mitarbeiter haben eigentlich keinen Zugriff auf die Nachrichteninhalte.
Normalerweise kann auch nur der Administrator der Gruppe neue Mitglieder hinzufügen. Allerdings prüft Whatsapp nicht, ob es wirklich der Administrator war, der jemanden in eine Gruppe eingeladen hat. So kann jeder, der den Server der App kontrolliert, neue Teilnehmer hinzufügen, haben die Wissenschaftler herausgefunden. Doch Netz- und Sicherheitsforscher Jörg Schwenk, der mit seinen Kollegen Paul Rösler und Christian Mainka die Schwachstelle gefunden hat, warnt vor Panikmache. "Gruppenchats sind im Grunde sicher", sagt der Forscher. Für Angreifer ist es nämlich sehr aufwendig, diese Schwachstelle auszunutzen. Denn um auf die Whatsapp-Server zugreifen zu können, müsste er entweder selbst bei Whatsapp arbeiten, zu einer Regierung gehören, die legal auf solche Server zugreifen kann - oder ein ziemlich guter Hacker sein. Ein Angriff ist demnach also nur technisch extrem versierten Profis möglich.
"Mitglieder werden benachrichtigt, wenn neue Teilnehmer hinzugefügt werden."
"Die Hürden sind sehr hoch", sagt auch Schwenk. "Ein Geheimdienst wie die amerikanische NSA könnte das ausnutzen und Whatsapp zwingen, ihnen Zugriff auf die Server zu gewähren. Das ist problematisch, denn eigentlich sollte die Ende-zu-Ende-Verschlüsselung verhindern, dass Regierungen Nachrichten mitlesen können, selbst wenn sie den App-Server kontrollieren." Einschränkend kommt hinzu, dass die Schwachstelle nur Gruppengespräche betrifft. Normale Eins-zu-Eins-Chats sind von der Verschlüsselung weiter geschützt. Sie können auch dann nicht eingesehen werden, wenn ein Angreifer den Whatsapp-Server übernimmt. Bereits gesendete Nachrichten in einer Gruppe kann ein eingeschleuster Neuling auch nicht lesen, der Trick funktioniert also nicht rückwirkend.
Zudem erhalten alle Gruppenteilnehmer eine Nachricht, dass ein neues Mitglied hinzugefügt wurde. Vor allem der Administrator dürfte sich anschließend wundern, wer denn der Neue im Chat ist und wie er hineingekommen ist. "Der Angreifer könnte bestimmte Nachrichten im Gruppenchat blockieren, etwa Warnungen vor dem neuen Mitglied", sagt Schwenk. "Die Benachrichtigung, dass ein neuer Teilnehmer hinzugefügt wurde, kann er aber nicht verbergen", sagt er.
Bereits im Juli haben die Forscher Whatsapp über die Schwachstelle informiert. Das Unternehmen dementiert nicht, sieht aber keine große Gefahr: "Bestehende Mitglieder werden benachrichtigt, wenn neue Teilnehmer zu einer Whatsapp-Gruppe hinzugefügt werden", schreibt das Unternehmen in einer E-Mail an das Technik-Portal Wired.
Auch Alex Stamos relativiert die Schwachstelle. Er ist bei Whatsapps Mutterfirma Facebook für die Sicherheit verantwortlich. "Es gibt keinen geheimen Weg, um Whatsapp-Gruppen beizutreten", schreibt er auf Twitter. Er verweist ebenfalls darauf, dass alle Teilnehmer eine Nachricht erhalten, wenn ein neuer Nutzer dem Gruppenchat beitritt. Um die Schwachstelle zu beheben, müsste Whatsapp eine beliebte Funktion ändern, schreibt Stamos: Gruppenadministratoren können einen Link zur Gruppe teilen. Jeder, der darauf klickt, wird automatisch zur Gruppe hinzugefügt. "Es könnte eine Möglichkeit geben, diese Funktion besser zu schützen, aber wie, ist noch nicht klar", so Stamos auf Twitter.
Die Forscher haben ebenfalls die Messenger Signal und Threema untersucht. Signal, das auf derselben Verschlüsselung basiert wie Whatsapp, hat ähnlich Probleme, allerdings müsste der Angreifer die einmalige Identifikationsnummer der Gruppe kennen, eine weitere Hürde. Das ist nur möglich, wenn er zusätzlich auf das Handy eines Gruppenmitglieds zugreifen kann. Bei Threema gab es eine andere Schwachstelle, die bereits behoben wurde.