Einfach ausgesperrt! Achtung vor dieser WhatsApp-Lücke

Meldungen von Nutzerinnen und Nutzern, die den Zugriff auf ihr WhatsApp-Konto verlieren, sind nicht neu. Meist wurde ein PIN, den man zuvor als SMS erhalten hat, weitergegeben: Bei der Zahlenfolge handelt es sich um einen Verifizierungscode. Wird dieser weitergegeben, verliert man meist innerhalb von Minuten den Zugriff auf seinen Account.

Nun warnen aber Sicherheitsforscher vor einer neuen Masche. Damit können Angreifer WhatsApp-Konten sperren und das nur mit der Handynummer der Zielperson. "Das sollte nicht passieren. Das darf nicht möglich sein. Nicht bei einem Messenger, der von zwei Milliarden Menschen genutzt wird", schreibt der Journalist Zak Doffman in einem entsprechenden Artikel auf "Forbes.com".

Zwei Schwachstellen

Er schildert in dem Artikel, wie zwei Sicherheitsforscher seinen WhatsApp-Account deaktiviert haben. "Luis Márquez Carpintero und Ernesto Canales Pereña warnten mich, dass sie mein WhatsApp sperren können. Ich war skeptisch – doch sie hatten Recht", schreibt Doffman.

"Die neu entdeckte Lücke betrifft zwei WhatsApp-Prozesse, die beide grundlegende Schwachstellen haben. Mit der Kombination der Schwachstellen lassen sich WhatsApp-Konten aus der Ferne deaktivieren", erklärt er. Alles was ein Angreifer dafür benötige, ist die Handynummer und ein paar Kniffs. Auf eine genaue Beschreibung verzichten wir bewusst an dieser Stelle.

"Nicht möglich, sich zu wehren"

"Jemanden aus WhatsApp auszusperren sollte nicht so einfach sein und sollte schon gar nicht funktionieren, wenn die Zweifaktorauthentifizierung eingeschaltet ist", schreibt Doffman. Mit der Entdeckung wollen die IT-Sicherheitsforscher auch noch auf ein anderes WhatsApp-Problem aufmerksam machen: "Bei WhatsApp gibt es keine Möglichkeit sich zu wehren, entdeckt zu werden. Jeder kann eine Telefonnummer eintippen und so das zugehörige Konto finden, sofern es existiert", heißt es im Text.

WhatsApp erklärt in einem Statement, dass die "identifizierten Umstände" gegen die Nutzungsbedingungen verstoßen. Alle, die Hilfe bei diesem "unwahrscheinlichen Problem" benötigen, können sich an den Support wenden. Der Kontakt findet sich in den Einstellungen unter dem Menüpunkt Hilfe. Außerdem könne bei der Aktivierung der Verifizierung in zwei Schritten neben der Handynummer zusätzlich eine E-Mail-Adresse angegeben werden.