HOME

Messenger: Whatsapp geknackt: So können Hacker Ihre Chats manipulieren

Die Nachrichten bei Whatsapp sind verschlüsselt - eigentlich. Nun ist es Hackern trotzdem gelungen, die Chats des beliebten Messengers zu knacken und in ihnen herumzupfuschen.

Instagram Whatsapp

Sollen noch stärker dem Facebook-Konzern zugeordnet werden: Die Apps Instagram und Whatsapp. (Symbolbild)

Für die Gründer war es eines der wichtigsten Features: Alle Nachrichten bei Whatsapp sind verschlüsselt. Nicht mal der Betreiber Facebook selbst kann nach eigenen Angaben Chats seiner Nutzer mitlesen. Den Hackern Roman Zaikin und Oded Vanunu ist das nun trotzdem gelungen. Und sie konnten noch viel mehr mit den Nachrichten anstellen.

"Eigentlich sorgt Whatsapps Ende-zu-Ende-Verschlüsselung dafür, dass nur man selbst und der Gesprächspartner die Nachrichten sehen", erklärten die Sicherheits-Experten auf der Hacker-Messe Black Hat. "Uns ist es allerdings gelungen, den Programmcode von Whatsapp Web zu rekonstruieren. Und konnten dadurch erfolgreich Chats entschlüsseln." Whatsapp Web erlaubt es den Nutzern, den Messenger in einem Browser-Fenster am Computer zu nutzen.

+++ Lesen Sie auch: Diese Whatsapp-Tricks muss jeder kennen +++ 

Manipulierte Chats

Doch die beim israelischen Softwareunternehmen Check Point angestellten Hacker hörten nicht beim Mitlesen auf. Nachdem sie entdeckt hatten, dass die Nachrichten über das Protobuf2-Protokoll verschlüsselt waren, gelang es ihnen, auch den Inhalt der Chats von außen manipulieren zu können. Das gelang in drei Varianten:

  • Die Hacker konnten den Inhalt von Antworten an andere Nutzer manipulieren, ihnen also Worte in den Mund legen
  • Mithilfe der Antwort-Funktion konnten sie in Gruppen-Chats die Identität des Absenders ändern - selbst, wenn sie nicht Teil des Gruppen-Chats waren
  • Die spannendste Möglichkeit: Die Hacker konnten manipulierte Nachrichten in Gruppen-Chats versenden, die nur für einen Chat-Teilnehmer sichtbar waren. Diese Person konnte das nicht erkennen, musste also annehmen, dass alle anderen sie ebenfalls gelesen hatten.

Nach Angaben der Hacker wurde nur der letzte Angriffspunkt von Whatsapp geschlossen, nachdem sie die Fehler gemeldet hatten. Beide anderen blieben weiter ausnutzbar.

Eine wichtige Einschränkung: Die Hacker benötigten für die Manipulation den Sicherheitsschlüssel des Nutzers. Theoretisch lässt sich dieser zwar über andere Angriffe abgreifen, in der Praxis dürfte das aber nur bei sehr ausgewählten Nutzern passieren. Die meisten Menschen müssen sich also nicht um eine Manipulation der Chats Sorgen machen. Die Verschlüsselung selbst wurde nicht gebrochen.

Das größte Potenzial der Hacks sehen die Entdecker darin, Missinformationen zu verbreiten. "Angreifer bekommen dadurch sehr mächtige Werkzeuge, um Nachrichten in privaten und auch Gruppenchats zu manipulieren. Das gibt ihnen enorme Möglichkeiten, Falschinformationen zu kreieren und sie über scheinbar vertrauenswürdige Quellen zu verbreiten. Vor allem in Bezug auf große Gruppenchats wie sie bei politischen Gruppen beliebt sind, ist das Missbrauchspotenzial sehr groß."

Kommunikation: Es muss nicht Whatsapp sein: Das sind fünf sichere Messenger-Alternativen

Signal

Der Messenger Signal ist nicht nur für viele Kunden die Alternative zu Whatsapp – sondern auch für einen der Gründer. Jahre nachdem er mit dem Verkauf von Whatsapp Milliarden verdient hatte, verließ Brian Acton Facebook, vermutlich im Streit um die Sicherheit des Messengers. Danach steckte er Millionen in Signal. Dort wird Privatsphäre groß geschrieben: Der Betreiber kann die Chats nicht mitlesen, selbst die zur Suche nach anderen Nutzern hochgeladenen Telefon-Bücher werden vorher verschlüsselt und in einer für die Firma nicht verwertbaren Form („Hash“) miteinander verglichen. Die für Desktop, Android und iOS verfügbare App ist kostenlos.

So reagiert Facebook

Whatsapp-Betreiber Facebook sieht das anders. "Wir haben das Thema vor einem Jahr sorgfältig geprüft und es ist falsch, zu unterstellen, dass es eine Schwachstelle in der Sicherheit von WhatsApp gibt", erklärte ein Facebook-Sprecher am Donnerstag. Man betrachte das Whatsapp zugrunde liegende Signal-Protokoll weiter als sicher. 

Facebook arbeitet gerade daran, die Chats von Whatsapp, dem Facebook Messenger und Instagram auf eine Plattform zu heben. Zudem hatte Mark Zuckerberg zugesagt, dass das ganze Netzwerk vermehrt auf Verschlüsselung Wert legen wolle. Erst im Mai war bekannt geworden, dass Kriminelle auf Millionen Smartphones Whatsapp mit einer Schadsoftware ersetzt hatten.

Update 15. August: Die ursprüngliche Version des Textes hinterließ den Eindruck, dass die Verschlüsselung selbst geknackt wurde. Das ist wegen des nötigen Zugriffs auf die Sicherheitsschlüssel nicht der Fall.

Themen in diesem Artikel