Vorsicht WhatsApp! Hacker können Sicherheitslücke trotz End-zu-End-Verschlüsselung nutzen

Uralte Sicherheitslücke

Dies berichtet das Wirtschaftsmagazin Forbes. Der Messenger Telegram soll ebenso betroffen ein. Das Magazin berichtet darüber, welche Masche die Cyber-Betrüger anwenden. Anhand von zwei YouTube-Videos von Hackern (siehe Screenshot unten), wird gezeigt, wie die vermeintlich sichere End-zu Ende-Verschlüsselung bei WhatsApp und Telegram ausgehebelt wird. Der einfache Trick nutzt ein uraltes Leck: Wenn verschlüsselte Nachrichten nicht abgegriffen werden können, geben sich die Hacker als Opfer aus und lassen die Kommunikation zum Beispiel über SMS auf das eigene Angreifer-Smartphone umleiten.

Technisch gesehen nutzen die Hacker das Protokoll SS7, eine Technologie, mit der die Provider sich weltweit in GSM- und UMTS-Netzen vernetzen und damit Roaming oder Weiterleitungen bewerkstelligen. Wer sich mit diesem Script auskennt, kann Nutzer orten, Bewegungsprofile anfertigen oder sogar Gespräche mithören. N-TV berichtete zuletzt in einem Beitrag zu diesem Thema davon, dass einige Unternehmen wie die israelische Firma Ability Inc Lösungen anbieten, mit denen sie jeden globalen Mobilfunkteilnehmer mit seiner Telefonnummer identifizieren können.

WhatsApp- und Telegram-Kontakte sind genauso gefährdet

Das Sicherheitsproblem wird noch gravierender — wie die Videos eindrucksvoll demonstrieren: Die Hacker können über diese Sicherheitslecks auch Zugang zu Messenger-Konten von Dritten bekommen. Sie tarnen sich damit, dass sie dem Netzwerk vortäuschen, die gleiche Telefonnummer zu haben wie das Opfer. Im Hintergrund legen sie mit den Nummern der Opfer jeweils neue Konten an. Die Verifizierungs-SMS wird abgefangen und eingegeben und schon haben Unbefugte vollen Zugang auf alle intimen und persönlichen Messenger-Daten. Chats sind bei WhatsApp nicht betroffen, weil die Kommunikation lokal auf der Hardware abgelegt wird. Bei Telegram sind nur die expliziten geheimen Chats sicher.

Immerhin: Der Hack dürfte jedoch irgendwann auffliegen. Bei Doppel-Account-Anmeldungen von unbekannten Geräten erhält der User im Normalfall bei beiden Messengern einen Warnhinweis.

Die Gretchenfrage lautet:

Warum unternehmen die führenden Provider und die gesamte Telekommunikations-Industrie eigentlich nichts, um diese altbekannte Sicherheitslücke nachhaltig zu schließen?

Klar ist: Nutzer, die über LTE kommunizieren, sind mit ihren Messengern sicher.