News vom 16.07.2019

Schwachstelle in WhatsApp und Telegram: Gesendete Dateien manipulierbar (Android)

Ein Artikel von , veröffentlicht am 16.07.2019

Trotz Ende-zu-Ende-Verschlüsselung sind Dateien, die per WhatsApp und Telegram verschickt werden, nicht vor Angriffen geschützt. Sicherheitsexpert*innen haben eine Schwachstelle in den Android-Versionen der Apps identifiziert. Die gute Nachricht: Sie können eine entscheidende App-Einstellung ändern.

Die beiden Messenger-Apps WhatsApp und Telegram versprechen ihren Nutzer*innen mehr Sicherheit durch Ende-zu-Ende-Verschlüsselung. Das heißt, niemand außer Sender*in und Empfänger*in kann den Inhalt der Nachrichten einsehen. So die Theorie.

Bei WhatsApp ist die Verschlüsselung immer eingeschaltet, bei Telegram kann man sie durch das Starten eines "geheimen Chats" nutzen.

Laut einer Recherche von Sicherheitsexpert*innen des US-amerikanischen Software-Unternehmens Symantec sind in den Android-Versionen der Apps allerdings nur Textnachrichten wirklich geschützt. Dateien, die über WhatsApp und Telegram verschickt werden, können dagegen abgefangen und manipuliert werden.

So können Bilder und Dateien manipuliert werden

Das liegt daran, dass die Apps Dateien aus den Chats im sogenannten externen Speicher des Smartphones ablegen. Dieser Teil des Smartphone-Speichers ist quasi öffentlich - jede App auf dem Smartphone kann auf alle Daten, die dort liegen zugreifen. Dadurch können beispielsweise Fotos problemlos von verschiedenen Anwendungen bearbeitet oder versendet werden.

Das schmale Zeitfenster, in dem die Datei aus dem externen Speicher in den Chat importiert wird, können Angreifer*innen für die Manipulation der Datei nutzen. Die Sicherheitsexpert*innen führten verschiedene Tests für Bilder, Sprachnachrichten und PDF-Dateien durch und veröffentlichten die Ergebnisse in einem Blog-Artikel (auf Englisch).

Wer die als „Media File Jacking“ bezeichnete Android-Schwachstelle ausnutzt, könne beispielsweise eine per WhatsApp oder Telegram versendete Rechnung verändern und die eigene Kontonummer angeben, ohne dass Empfänger*innen dies mitbekommen. Die Schwachstelle funktioniert auch in die andere Richtung: ausgehende Dateien können ebenfalls verändert werden.

Das können Sie tun

Bei WhatsApp werden versendete Dateien automatisch im externen Speicher abgelegt, bei Telegram muss man das erst erlauben. Falls Sie Telegram auf Ihrem Android-Gerät nutzen, ist es gut möglich, dass Sie seit der Inbetriebnahme der App diese Erlaubnis gegeben haben.

Beiden Apps können Sie das Ablegen von Dateien im externen Speicher verbieten.

WhatsApp: Einstellungen > Chats > Sichtbarkeit von Medien (Schieberegler nach links)

Telegram: Einstellungen > Chat-Einstellungen > In der Galerie speichern (Schieberegler nach links)

WhatsApp verteidigt die Einstellung

Die Symantec-Mitarbeiter*innen haben WhatsApp und Telegram über ihre Befunde informiert.

Laut dem österreichischen Technikmagazin Futurezone verteidigt WhatsApp die standardisierte Einstellung damit, dass man sich an der bewährten Praxis und Empfehlungen der Betriebssystem-Hersteller orientiere. Die Funktion erlaube etwa das unkomplizierte Teilen von Dateien mit anderen Apps.

Hinweis: Die Sicherheit Ende-zu-Ende-verschlüsselter Chats bei WhatsApp wird zusätzlich eingeschränkt, sobald man der App ein automatisches Backup erlaubt. Dann werden alle Chatinhalte automatisch in die Google- bzw. Apple-Cloud kopiert, wo sie nicht mehr Ende-zu-Ende-verschlüsselt sind.

Die Autorin

E-Mail

i.poeting@mobilsicher.de

PGP-Key

0x98926A6965C84F21

Fingerprint

7F5D B2F7 C59F 0547 D730 7DD7 9892 6A69 65C8 4F21

Inga Pöting

leitet die Redaktion bei mobilsicher.de. Sie recherchiert und schreibt Texte, gibt Beiträgen von anderen den letzten Schliff, betreut den YouTube-Kanal und die Webseite. Davor hat sie im Ruhrgebiet Literatur und Sozialwissenschaft studiert und für verschiedene Zeitungen und Magazine gearbeitet.

Weitere Artikel

Ratgeber 

TimeLimit: Diese Android-Kindersicherung empfehlen wir

Mit der App TimeLimit können Eltern das Smartphone ihrer Kinder einschränken. Apps können blockiert oder nur für eine bestimmte Zeit freigegeben werden. Die Kindersicherung ist werbefrei und sammelt so wenige Daten wie möglich.

Mehr
Ratgeber 

Werbeblocker-App Blokada kurz vorgestellt

Welche Daten Apps erheben und weiterleiten, wissen wir oft nicht. Blokada schaltet sich zwischen Handy und Internet und filtert unerwünschte Verbindungen heraus – auf Android und iOS. Wer mag, kann die Filterlisten nach eigenen Wünschen anpassen.

Mehr
Ratgeber 

iOS 12: Die wichtigsten Neuerungen für Privacy und Sicherheit

Die aktuelle Version des mobilen Betriebssystems von Apple glänzt vor allem mit Leistung und Schnelligkeit. Doch auch in Sachen Privacy und Sicherheit hat sich was getan. Vor allem beim Tracking-Schutz, bei der Passwort-Verwaltung und beim Schutz vor ungewolltem Auslesen hat Apple nachgelegt.

Mehr
YouTube-Video 

iPhone-Privatsphäre: 3 gute Dinge an iOS 14

Wie jedes Jahr ist auch diesen Herbst Apples neue Betriebssystem-Version für iPhones erschienen. Was bringt iOS 14 Gutes für Privatsphäre und Sicherheit? Die drei wichtigsten Punkte auf einen Blick.

Ansehen