WhatsApp-Sicherheitslücke: Überwachung von Nutzern möglich
WhatsApp-Nutzer lassen sich anhand ihres Online-Status und mit Hilfe eines Browser-Plugins überwachen. Ein Software-Entwickler beschreibt wie.
WhatsApp wird nach eigener Aussage von mehr als einer Milliarde Menschen in über 180 Ländern genutzt. Ungefähr vierzig Milliarden Nachrichten, mit vor allem persönlichen Daten, werden täglich über den Messenger ausgetauscht. Die Kommunikation ist seit 2016 verschlüsselt. Doch es gibt anscheinend andere Wege, an persönliche Daten von Nutzern zu gelangen.
Online-Status mit Chrome-Erweiterung aufzeichnen
Der Software-Entwickler Robert Heaton hat auf seiner Webseite auf die Sicherheitslücke aufmerksam gemacht. Er macht sich dabei den Webservice von WhatsApp zu Nutze. Mit der Web-Version des Messengers ist es möglich, über einen Browser am PC mit seinen Freunden zu kommunizieren.
Heaton hat nun mit nur vier Zeilen Code eine Erweiterung für den Chrome-Browser geschrieben, mit der sich Informationen aus WhatsApp Web ermitteln lassen. Der Code fragt in regelmäßigen Zeitintervallen den WhatsApp-Status „zuletzt online“ eines Nutzers ab und protokolliert das Ergebnis. Somit lässt sich ein genaues Aktivitätenprotokoll anlegen, das aufzeichnen kann, wann Nutzer bei WhatsApp online waren und wann nicht.
Führt man diese Aufzeichnung für eine längere Zeit durch, kann man den ungefähren Tagesablauf eines Nutzers erfassen. Aber man kann auch noch einen Schritt weiter gehen und Korrelationen aus dem Chatverhalten von verschiedenen Personen herstellen.
Telefonnummer reicht für WhatsApp-Überwachung
Werden die Online-Daten von verschiedenen Personen verglichen, können auch Zusammenhänge in deren Chat-Verhalten festgestellt werden. Daraus kann man etwa schließen, wer mit wem und wie oft schreibt. Um diese Daten auslesen zu können, wird nur die Handynummer benötigt. Somit lassen sich auch unbekannte Personen ausspionieren.
Bereits vor einigen Monaten hatte ein Entwickler festgestellt, dass er über WhatsApp Web nur anhand der Telefonnummer Profilbilder, Statusnachrichten und den Online-Status von Nutzern auslesen konnte, sofern diese öffentlich zugänglich waren. Über die Privatsphäre-Einstellungen kann man Informationen wie das Profilbild oder den Status "zuletzt online" zwar verbergen, nicht aber den Status "online", der jederzeit in Echtzeit ausgelesen werden kann. Da man den Code von Robert Heaton auch so abändern kann, dass er statt "zuletzt online" den Status "online" ausliest, kann man sich derzeit nicht vor dieser potenziellen Spionage schützen.
11.10.2017 von Lennart Holtkemper
Quelle: WhatsApp-Sicherheitslücke: Überwachung von Nutzern möglich - connect
So leicht lassen sich WhatsApp-Nutzer überwachen
Wer sich auf WhatsApp einlässt, muss damit rechnen, überwacht zu werden. Dazu ist lediglich die Nummer eines Kontakts erforderlich.
von Simon Gröflin 11.10.2017
Wie schon der Informatikstudent Flavio Giobergia gewarnt hat, lassen sich theoretisch die WhatsApp-Präsenzzeiten anderer Nutzer ständig überwachen. Das stellte er damals in einem eigenen Proof of Concept anhand eines Skripts nach. An der Defcon-Hacker-Konferenz stiess sein Datenschutz-Unmut aber auf wenig Gehör. Dabei hat der grüne Messenger der Facebook-Tochter bis heute ein grösseres Datenschutzproblem. Darauf macht jetzt auch der US-amerikanische Software-Entwickler Robert Heaton aufmerksam. Das eigentliche Problem ist einmal mehr der Onlinestatus, der Rückschlüsse auf den Tagesverlauf der Kontakte zulässt.
WhatsApp-Nutzer unter Beobachtung
Über seine Chrome-Erweiterung lassen sich wie bei Giobergias Skript ebenfalls User ausspähen, von denen man nur über die Telefonnummer verfügt und diese gar nicht hinzugefügt hat. Das Add-on für den Chrome-Browser fragt in kurzen Zeitabständen, ob eine Person als online anzeigt wird oder nicht. Durch den Abgleich zweier Telefonnummern lässt sich zudem herausfinden, ob zwei Personen regelmässig miteinander kommunizieren. Auch wenn sich aus den reinen Onlinepräsenzen nicht mehr Infos über die Anwender ableiten lässt, ist das Ganze doch sehr besorgniserregend. Man stelle sich vor, jemand schöpft die Nutzerprotokolle zu Werbezwecken ab, um diese für gutes Geld weiterzuverkaufen. Auch schlimmere Szenarien wie Stalking-Versuche sind denkbar. Auch das «Verbergen» des gegenwärtigen Status bringt dem Nutzer in diesem Überwachungsszenario nichts.
PCtipp meint
Was lernen wir daraus? Es ist erschreckend, wie lange WhatsApp schon nur dafür gebraucht hat, eine Zwei-Faktor-Authentifizierung einzurichten. Man sieht zwar mit dem Tool «nur», wann die Person morgens aufsteht oder abends schlafen geht und wie lange sich jemand in WhatsApp aufhält. Hat man aber mehrere Dienste, mit denen man regelmässig kommuniziert, lassen sich daraus unter Umständen sehr detaillierte Bewegungsprofile ableiten. Man muss nur mit dem Opfer auf mehreren Netzwerken befreundet sein. Solange WhatsApp hier nicht nachbessert, bleiben dem Anwender nur zwei Möglichkeiten: WhatsApp selten nutzen oder zwischenzeitlich deaktivieren. Natürlich kann man dem Dienst auch ganz den Rücken kehren und einen anderen Messenger ausprobieren. Nachteil: Gewisse Alternativen sind oft kaum bekannt und man findet wenig Freunde.
Quelle: So leicht lassen sich WhatsApp-Nutzer überwachen