LONDON (IT BOLTWISE) – Sicherheitsforscher melden eine schwerwiegende Schwachstelle in der offiziellen Gebets-App „Click to Pray“. Über einen API-Endpoint konnten sie über Monate hinweg Profilinformationen von knapp 720.000 Konten abrufen, ohne vorherige Authentifizierung. Zusätzlich fanden sie Schwächen im Registrierungsprozess, die Fake-Profile oder Identitätsmissbrauch erleichtern können. Für Unternehmen und IT-Teams ist der Fall ein konkretes Lehrstück dafür, wie schnell aus einer einzelnen Zugriffslogik ein massenhaftes Datenschutzproblem wird.
Eine Gebets-App des Vatikan, „Click to Pray“, rückt wegen eines technischen Fehlers in den Fokus, der weit über ein einzelnes Nutzerkonto hinausging. Sicherheitsforscher berichten, dass die Anwendung seit mehr als sechs Monaten sensible Informationen preisgab, bevor die Schwachstelle schließlich im Zuge der Analyse geschlossen werden konnte. Konkret werden für das Datenleck 719.517 Konten genannt – darunter personenbezogene Profildaten wie Name, E-Mail-Adresse, Geburtsdaten und Herkunftsland. Der Punkt ist weniger die reine Existenz eines Bugs, sondern die Art, wie schnell sich daraus ein systematisches Massendatenproblem entwickeln konnte.
Technisch ordnet sich die Schwachstelle als IDOR ein, also „Insecure Direct Object Reference“. Dieses Muster tritt auf, wenn eine Anwendung zwar Objekte (hier: Nutzerprofile) über eine technische Kennung adressiert, aber die Autorisierung unzureichend prüft. In der Praxis bedeutete das laut den Untersuchungen: Über einen bestimmten API-Endpoint konnten Angreifer Informationen abrufen, ohne sich vorher authentifizieren zu müssen. Besonders kritisch ist dabei, dass die App offenbar sequenzielle Nutzer-IDs verwendet. Sobald jemand herausfindet, wie die Pfade oder Parameter aufgebaut sind, lassen sich Datensätze damit nicht nur sporadisch, sondern in einem planbaren Raster abziehen.
Die Verantwortlichen sollen die Lücke zwar frühzeitig gemeldet bekommen haben, dennoch blieb sie über längere Zeit produktiv ausnutzbar. In der Chronologie, die die Sicherheitsanalyse beschreibt, liegt der Meldetermin Anfang Januar 2026. Bis zum 25. Juli 2026 konnten Daten weiterhin ungeschützt abgerufen werden. Für IT-Organisationen ist das ein vertrautes Alarmmuster: selbst eine ordnungsgemäße Meldung reicht nicht, wenn Patch-Zyklen, Freigabeprozesse oder Priorisierung im Betrieb die nötige Geschwindigkeit vermissen lassen. Dazu kommt, dass „Click to Pray“ als offizielles Angebot im religiösen Kontext Vertrauen ausstrahlt; genau solche Anwendungen werden häufig bevorzugt, weil das Zielpublikum Phishing- oder Betrugsversuche eher als glaubwürdig einordnet.
Neben dem IDOR-Fund nennen die Forscher ein weiteres Problem im Registrierungsprozess. Der „Signup-Endpoint“ soll einen Validierungshash zurückgegeben haben, mit dem sich Konten verifizieren ließen, ohne tatsächlich Zugriff auf das verknüpfte E-Mail-Konto nachweisen zu müssen. Das senkt die Hürde für Fake-Profile und kann Identitäten innerhalb der Plattform anfälliger machen. Solche Schwächen sind in der Regel nicht nur ein Komfortproblem für Nutzer, sondern ein Einstieg in Folgeangriffe: Falsche oder übernommene Profile können später als Basis für Messaging, Social Engineering oder das gezielte Ausspielen personalisierter Köder dienen.
Besonders heikel wird die Lage dadurch, dass nicht nur „normale“ Nutzerprofile betroffen gewesen sein sollen. Die Analyse beschreibt, dass auch Informationen zu administrativen Rollen und Mitarbeitern des Netzwerks über dieselbe Zugriffsschwäche einsehbar waren. Das verschiebt das Bedrohungsmodell von „Datenleck“ hin zu „Angriffsfläche“. Wenn Angreifer über Namen und Kontaktdaten verfügen und zugleich Rolleninformationen erkennen können, steigt die Qualität von Social-Engineering-Ansätzen. Branchenexperten verweisen in diesem Zusammenhang auf ein erhöhtes Risiko für Phishing; im konkreten Szenario könnten sich Angriffe gegen religiöse Nutzer und Mitarbeitende richten, indem erbeutete Profilelemente helfen, Betrugsversuche glaubwürdig wirken zu lassen.
Für Unternehmen ist der Fall außerdem ein Hinweis darauf, wie stark technische Kontrollen und Datenschutzanforderungen voneinander abhängen. Im Quelltext der Untersuchung wird auf das Vatikanische Datenschutzdekret (DCLVII) aus dem Jahr 2024 verwiesen, das strenge Zugriffskontrollen für personenbezogene Daten fordert. Ein IDOR-Leck widerspricht dieser Idee unmittelbar, weil es Autorisierung in der Anwendungsebene effektiv aushebelt. Gleichzeitig wird eine offizielle Stellungnahme seitens des Vatikan nicht genannt; damit bleibt für Außenstehende offen, wie genau die Kette aus Meldung, Bewertung und Behebung ablief und welche Maßnahmen zur nachhaltigen Verhinderung künftig greifen.
Aus technischer Sicht zeigt „Click to Pray“ auch, welche Gegenmaßnahmen sich in solchen Fällen typischerweise bewähren. Dazu zählt vor allem die konsequente Autorisierung auf jeder API-Anfrage: Der Zugriff auf ein Nutzerobjekt darf nie allein daran hängen, welche ID im Request übergeben wird. Ebenso wichtig ist die Validierung von Registrierungs- und Verifikationsflüssen, etwa durch Bindung von Verifizierungsprozessen an echte Besitznachweise und ohne Rückgabe sicherheitsrelevanter Tokens in einem nicht dafür vorgesehenen Schritt. Daneben sollten Organisationen den Patch- und Response-Zyklus absichern, weil eine Verzögerung von Monaten aus einem einzelnen Zugriffsbetrieb ein großflächiges Datenabflussereignis machen kann.
Am Ende ist der Vorfall weniger eine „besondere“ Vatikan-Technologie als ein reproduzierbares Sicherheitsmuster: IDOR durch unzureichende Objektprüfung, verstärkt durch sequenzielle IDs, plus zusätzliche Schwäche im Signup. Für Betreiber ähnlicher Plattformen lautet die praktische Botschaft, dass Sicherheit nicht erst beim Launch anfängt, sondern im gesamten Lifecycle – von der Entwicklung über Testen und Review bis hin zu Incident-Handling und schnellen Fixes. Wenn dann noch ein Teil der Rollen und Mitarbeiterinformationen betroffen ist, steigt die Dringlichkeit für Incident Response und gezielte Benachrichtigungen, weil sich aus den Daten unmittelbar bessere Angriffe ableiten lassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Vatikan-App „Click to Pray“: IDOR-Leck gab Daten von rund 719.517 Konten frei" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Vatikan-App „Click to Pray“: IDOR-Leck gab Daten von rund 719.517 Konten frei" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Vatikan-App „Click to Pray“: IDOR-Leck gab Daten von rund 719.517 Konten frei« bei Google Deutschland suchen, bei Bing oder Google News!