Kurznachrichtendienst im Visier von Hackern Wieder Sicherheitslücke bei What's App
Düsseldorf · Der in Deutschland beliebte Nachrichtendienst What's App kämpft offenbar erneut mit einer Sicherheitslücke. Fremde können Nachrichten im Namen des Benutzers empfangen und verschicken, ohne dass diese etwas davon merken.
Der britische Blogger Sam Granger schreibt in einem Post, dass sich die What's-App-Konten sehr einfach übernehmen lassen, weil das Passwort automatisch aus den Smartphone-Daten generiert wird. Der Benutzername ist die eigene Rufnummer, die unverschlüsselt übertragen wird.
Als Passwort dient bei Android-Smartphones die IMEI (Seriennummer) des Geräts, bei iOS-Geräten die noch leichter zu ermittelnde MAC-Adresse. Bisher bietet What's App nicht die Möglichkeit, ein eigenens Passwort zu wählen.
Die IMEI lässt sich für Hacker leicht ermitteln. Jede installierte App kann sie auslesen, wenn sie bei der Installation durch den Benutzer die Rechte erhält, den Telefonstatus abfragen zu dürfen. Wer Zugriff auf das Gerät hat und einen speziellen Code anruft, dem wird die IMEI angezeigt. Dafür reicht es, das Smartphone nur wenige Sekunden in den Fingern zu haben.
Apples iOS besonders gefährdet
Apples iOS verbietet Apps zwar den Zugriff auf die IMEI, dafür bedienten sich die What's App-Entwickler aber der noch leichter zugänglichen MAC-Adresse. Diese lässt sich sogar von außerhalb ohne Zugriff auf das Smartphone auslesen und verwenden. In jedem öffentlichen W-LAN sind iOS-Benutzer daher besonders gefährdet. Inwiefern andere Betriebssysteme betroffen sind, ist noch nicht bekannt.
Der Blog Heise-Security beschäftigte sich ebenfalls mit dieser Thematik und konnte die Beobachtungen bestätigen. Bis jetzt gebe es auch noch keine Möglichkeit, "den Angreifer auszusperren". What's App hat sich bisher noch nicht zu dieser Sicherheitslücke geäußert.
Bereits der zweite Skandal in diesem Jahr
Bereits im Mai diesen Jahres breitete sich der erste Sicherheitsskandal aus. Mithilfe einfachster Tools und Apps war es möglich, Nachrichten, Fotos und Videos in öffentlichen W-LAN-Netzwerken mit zu schneiden. Die dazu nötige App konnte kostenlos aus dem Google Play Store auf das eigene Smartphone heruntergeladen werden.
Klinkte man sich nun in ein öffentliches W-LAN im Bahnhof oder Café ein, konnte diese App alle What's App-Nachrichten mitschneiden, die aus diesem Netzwerk heraus verschickt wurden. Ende August vermeldete Heise in ihrem Security-Blog, dass die Nachrichten von nun an verschlüsselt seien und nicht mehr mitgelesen werden können. Die Absender-Nummer wird hingegen weiterhin unverschlüsselt übertragen.
