News vom 16.07.2019

Schwachstelle in WhatsApp und Telegram: Gesendete Dateien manipulierbar (Android)

Ein Artikel von , veröffentlicht am 16.07.2019

Trotz Ende-zu-Ende-Verschlüsselung sind Dateien, die per WhatsApp und Telegram verschickt werden, nicht vor Angriffen geschützt. Sicherheitsexpert*innen haben eine Schwachstelle in den Android-Versionen der Apps identifiziert. Die gute Nachricht: Sie können eine entscheidende App-Einstellung ändern.

Die beiden Messenger-Apps WhatsApp und Telegram versprechen ihren Nutzer*innen mehr Sicherheit durch Ende-zu-Ende-Verschlüsselung. Das heißt, niemand außer Sender*in und Empfänger*in kann den Inhalt der Nachrichten einsehen. So die Theorie.

Bei WhatsApp ist die Verschlüsselung immer eingeschaltet, bei Telegram kann man sie durch das Starten eines "geheimen Chats" nutzen.

Laut einer Recherche von Sicherheitsexpert*innen des US-amerikanischen Software-Unternehmens Symantec sind in den Android-Versionen der Apps allerdings nur Textnachrichten wirklich geschützt. Dateien, die über WhatsApp und Telegram verschickt werden, können dagegen abgefangen und manipuliert werden.

So können Bilder und Dateien manipuliert werden

Das liegt daran, dass die Apps Dateien aus den Chats im sogenannten externen Speicher des Smartphones ablegen. Dieser Teil des Smartphone-Speichers ist quasi öffentlich - jede App auf dem Smartphone kann auf alle Daten, die dort liegen zugreifen. Dadurch können beispielsweise Fotos problemlos von verschiedenen Anwendungen bearbeitet oder versendet werden.

Das schmale Zeitfenster, in dem die Datei aus dem externen Speicher in den Chat importiert wird, können Angreifer*innen für die Manipulation der Datei nutzen. Die Sicherheitsexpert*innen führten verschiedene Tests für Bilder, Sprachnachrichten und PDF-Dateien durch und veröffentlichten die Ergebnisse in einem Blog-Artikel (auf Englisch).

Wer die als „Media File Jacking“ bezeichnete Android-Schwachstelle ausnutzt, könne beispielsweise eine per WhatsApp oder Telegram versendete Rechnung verändern und die eigene Kontonummer angeben, ohne dass Empfänger*innen dies mitbekommen. Die Schwachstelle funktioniert auch in die andere Richtung: ausgehende Dateien können ebenfalls verändert werden.

Das können Sie tun

Bei WhatsApp werden versendete Dateien automatisch im externen Speicher abgelegt, bei Telegram muss man das erst erlauben. Falls Sie Telegram auf Ihrem Android-Gerät nutzen, ist es gut möglich, dass Sie seit der Inbetriebnahme der App diese Erlaubnis gegeben haben.

Beiden Apps können Sie das Ablegen von Dateien im externen Speicher verbieten.

WhatsApp: Einstellungen > Chats > Sichtbarkeit von Medien (Schieberegler nach links)

Telegram: Einstellungen > Chat-Einstellungen > In der Galerie speichern (Schieberegler nach links)

WhatsApp verteidigt die Einstellung

Die Symantec-Mitarbeiter*innen haben WhatsApp und Telegram über ihre Befunde informiert.

Laut dem österreichischen Technikmagazin Futurezone verteidigt WhatsApp die standardisierte Einstellung damit, dass man sich an der bewährten Praxis und Empfehlungen der Betriebssystem-Hersteller orientiere. Die Funktion erlaube etwa das unkomplizierte Teilen von Dateien mit anderen Apps.

Hinweis: Die Sicherheit Ende-zu-Ende-verschlüsselter Chats bei WhatsApp wird zusätzlich eingeschränkt, sobald man der App ein automatisches Backup erlaubt. Dann werden alle Chatinhalte automatisch in die Google- bzw. Apple-Cloud kopiert, wo sie nicht mehr Ende-zu-Ende-verschlüsselt sind.

Die Autorin

E-Mail

i.poeting@mobilsicher.de

PGP-Key

0x98926A6965C84F21

Fingerprint

7F5D B2F7 C59F 0547 D730 7DD7 9892 6A69 65C8 4F21

Inga Pöting

Inga Pöting ist Redakteurin bei mobilsicher.de. Sie schreibt Texte, kümmert sich um die Webseite und erklärt Apps und Smartphone-Funktionen vor der Kamera. Davor hat sie im Ruhrgebiet bei verschiedenen Zeitungen und Magazinen gearbeitet.

Weitere Artikel

YouTube-Video 

Anleitung: So löschen Sie WhatsApp richtig

Keine Lust mehr auf WhatsApp? Dann denken Sie daran, Ihr Profil zu löschen, bevor Sie die App vom Handy werfen. Nur dann sind Sie wirklich vom Dienst abgemeldet. Im Video zeigen wir, wie das geht.

Ansehen
Ratgeber 

Opt-out: Telefonnummer-Weitergabe bei WhatsApp widersprechen

Die aktuellen AGB von WhatsApp verbindet die Telefonnummern und Nutzungsdaten der WhatsApp-Nutzer mit Unternehmen, die über Facebook für Kunden direkt erreichbar sind. Wer seine Daten nicht teilen möchte, sollte der Weitergabe widersprechen.

Mehr
YouTube-Video 

Was können Passwortmanager? – mit Alex von Privacy Tutor

Passwortmanager helfen, die Masse von Zugangsdaten unseres digitalen Alltags zu verwalten. Aber sind sie wirklich sicher? Und wie nutzt man einen Passwortmanager richtig? Wir fragen, Wirtschaftsinformatiker und Blogger Alex gibt die Antworten.

Ansehen
Ratgeber 

Google Assistant: Ohne persönliche Daten geht nichts

Mit Hilfe des Sprachassistenten "Google Assistant" kann man das Licht ausschalten oder die Heizung regulieren. Auch Details aus E-Mails gibt der Sprach-Dienst auf Wunsch wieder. Dazu verlangt er jedoch weitreichende Zugriffsrechte, die man kaum einschränken kann.

Mehr