News vom 16.07.2019

Schwachstelle in WhatsApp und Telegram: Gesendete Dateien manipulierbar (Android)

Ein Artikel von , veröffentlicht am 16.07.2019

Trotz Ende-zu-Ende-Verschlüsselung sind Dateien, die per WhatsApp und Telegram verschickt werden, nicht vor Angriffen geschützt. Sicherheitsexpert*innen haben eine Schwachstelle in den Android-Versionen der Apps identifiziert. Die gute Nachricht: Sie können eine entscheidende App-Einstellung ändern.

Die beiden Messenger-Apps WhatsApp und Telegram versprechen ihren Nutzer*innen mehr Sicherheit durch Ende-zu-Ende-Verschlüsselung. Das heißt, niemand außer Sender*in und Empfänger*in kann den Inhalt der Nachrichten einsehen. So die Theorie.

Bei WhatsApp ist die Verschlüsselung immer eingeschaltet, bei Telegram kann man sie durch das Starten eines "geheimen Chats" nutzen.

Laut einer Recherche von Sicherheitsexpert*innen des US-amerikanischen Software-Unternehmens Symantec sind in den Android-Versionen der Apps allerdings nur Textnachrichten wirklich geschützt. Dateien, die über WhatsApp und Telegram verschickt werden, können dagegen abgefangen und manipuliert werden.

So können Bilder und Dateien manipuliert werden

Das liegt daran, dass die Apps Dateien aus den Chats im sogenannten externen Speicher des Smartphones ablegen. Dieser Teil des Smartphone-Speichers ist quasi öffentlich - jede App auf dem Smartphone kann auf alle Daten, die dort liegen zugreifen. Dadurch können beispielsweise Fotos problemlos von verschiedenen Anwendungen bearbeitet oder versendet werden.

Das schmale Zeitfenster, in dem die Datei aus dem externen Speicher in den Chat importiert wird, können Angreifer*innen für die Manipulation der Datei nutzen. Die Sicherheitsexpert*innen führten verschiedene Tests für Bilder, Sprachnachrichten und PDF-Dateien durch und veröffentlichten die Ergebnisse in einem Blog-Artikel (auf Englisch).

Wer die als „Media File Jacking“ bezeichnete Android-Schwachstelle ausnutzt, könne beispielsweise eine per WhatsApp oder Telegram versendete Rechnung verändern und die eigene Kontonummer angeben, ohne dass Empfänger*innen dies mitbekommen. Die Schwachstelle funktioniert auch in die andere Richtung: ausgehende Dateien können ebenfalls verändert werden.

Das können Sie tun

Bei WhatsApp werden versendete Dateien automatisch im externen Speicher abgelegt, bei Telegram muss man das erst erlauben. Falls Sie Telegram auf Ihrem Android-Gerät nutzen, ist es gut möglich, dass Sie seit der Inbetriebnahme der App diese Erlaubnis gegeben haben.

Beiden Apps können Sie das Ablegen von Dateien im externen Speicher verbieten.

WhatsApp: Einstellungen > Chats > Sichtbarkeit von Medien (Schieberegler nach links)

Telegram: Einstellungen > Chat-Einstellungen > In der Galerie speichern (Schieberegler nach links)

WhatsApp verteidigt die Einstellung

Die Symantec-Mitarbeiter*innen haben WhatsApp und Telegram über ihre Befunde informiert.

Laut dem österreichischen Technikmagazin Futurezone verteidigt WhatsApp die standardisierte Einstellung damit, dass man sich an der bewährten Praxis und Empfehlungen der Betriebssystem-Hersteller orientiere. Die Funktion erlaube etwa das unkomplizierte Teilen von Dateien mit anderen Apps.

Hinweis: Die Sicherheit Ende-zu-Ende-verschlüsselter Chats bei WhatsApp wird zusätzlich eingeschränkt, sobald man der App ein automatisches Backup erlaubt. Dann werden alle Chatinhalte automatisch in die Google- bzw. Apple-Cloud kopiert, wo sie nicht mehr Ende-zu-Ende-verschlüsselt sind.

Die Autorin

E-Mail

i.poeting@mobilsicher.de

PGP-Key

0x98926A6965C84F21

Fingerprint

7F5D B2F7 C59F 0547 D730 7DD7 9892 6A69 65C8 4F21

Inga Pöting

Inga Pöting ist Chefin vom Dienst bei mobilsicher.de. Sie gibt Texten den letzten Schliff, kümmert sich um die Webseite und erklärt Apps und Smartphone-Funktionen vor der Kamera. Davor hat sie im Ruhrgebiet für verschiedene Zeitungen und Magazine geschrieben.

Weitere Artikel

Verkehr & Navigation 

Öffi: Diese Fahrplan-App empfehlen wir (Android)

Öffi zeigt Fahrpläne aus vielen Städten und Regionen an. Auch Verkehrsverbünde aus dem Ausland sind inzwischen mit dabei. Die quelloffene App überträgt keinerlei Nutzungsdaten, ist kostenlos und werbefrei.

Mehr
Ratgeber 

Verschlüsselung mit TLS/SSL: Fragen und Antworten

Apps tauschen häufig Informationen mit Anbietern im Internet aus. Dritte sollen diese Kommunikation nicht belauschen können. Seriöse Apps setzen deshalb auf Transportverschlüsselung. Wir geben einen Überblick über deren Funktionsweise.

Mehr
Backup 

Anleitung: Kontakte sichern mit MyPhoneExplorer

Mit der App MyPhoneExplorer können Sie Ihr Telefonbuch zwischen Smartphone und Computer synchronisieren, ohne dass die Daten dabei im Internet landen. Mit dem Programm lassen sich auch Backups erstellen.

Mehr
Browser und Suchmaschinen 

Safari-Alternative: Firefox-Browser für iOS

Den beliebten Browser „Firefox“ gibt es nicht nur für Windows und Android, sondern auch für iPhones und iPads. Inzwischen hat er sich zu einem vollwertigen Browser mit Tracking-Schutz gemausert. Hier erklären wir, was der Browser kann - und wo es noch hapert.

Mehr