VATICAN / LONDON (IT BOLTWISE) – Eine Sicherheitslücke in der Gebets-App „Click to Pray“ hat laut Ermittlungen Angreifern Zugriff auf Daten von rund 700.000 Nutzer: innen ermöglicht. Die Ursache wird als Fehler in der Zugriffskontrolle beschrieben, bei dem sich Datensätze über eine numerische Nutzer-ID abrufen ließen. Zusätzlich gab es Probleme im Registrierungs- und E-Mail-Workflow, die das Ausspielen von Phishing-Kampagnen begünstigen. Auch nach der Meldung an die Betreiber dauerte es offenbar Monate, bis der Vorfall öffentlich wurde.
Die Gebets-App „Click to Pray“ steht wegen einer Sicherheitslücke im Fokus, die Angreifern offenbar Zugriff auf personenbezogene Daten zahlreicher Nutzer: innen verschafft hat. Im Zentrum der Berichterstattung steht dabei eine Plattform-Schwachstelle, die laut den Angaben im Umfeld der Entdeckung in den vergangenen Monaten den Abruf von Daten für Konten Dritter über eine Schnittstelle der App erlaubte. Betroffen seien demnach rund 700.000 Nutzer: innen; genannt werden dabei sowohl Inhalte aus dem Nutzerprofil als auch Metadaten zur Rolle in der App.
Technisch wird die Ursache als Insecure Direct Object Reference (IDOR) eingeordnet. Bei solchen Fehlern implementieren Anwendungen die Zugriffskontrolle zwar scheinbar „logisch“, prüfen jedoch nicht konsequent, ob eine anfragende Instanz tatsächlich berechtigt ist, auf ein konkretes Objekt zuzugreifen. Im vorliegenden Fall soll sich der Zugriff auf Datensätze beliebiger Konten anhand einer numerischen Nutzer: innen-ID realisieren lassen, ohne dass zusätzliche, an die Berechtigung gebundene Rechte erforderlich waren. Genau diese Kombination – vorhersagbare Objektkennungen plus fehlende Autorisierung auf Applikationsebene – gilt in Sicherheitskreisen als typischer Weg, um aus einer scheinbar harmlosen API-Funktion eine Datenabfluss-Strecke zu machen.
Die gestohlenen oder auslesbaren Informationen sind für Angreifer besonders praktisch, weil sie sich direkt für zielgerichteten Social Engineering-Einsatz nutzen lassen. Genannt werden beispielsweise E-Mail-Adresse, Vor- und Nachname, Geburtsdatum sowie die Rolle der Nutzer: innen in der App. Solche Merkmale helfen, Phishing-Nachrichten plausibel zu personalisieren, etwa indem Absender Betreffzeilen, Anreden oder Inhalte an typische Muster anpassen, die zu den Profilen passen. Laut der beschriebenen Bewertung ist zudem ein Teil der Nutzerbasis eher älter und weniger vertraut mit digitalen Sicherheitsdetails – ein Faktor, der die Wirksamkeit von Betrugsversuchen in der Praxis spürbar erhöhen kann.
Nicht nur die IDOR-Lücke, sondern auch zwei weitere Mängel im Authentifizierungs- und Registrierungsprozess werden als problematisch beschrieben. Beim Registrierungsablauf soll der Bestätigungscode für die E-Mail-Verifizierung direkt über eine Serverantwort ausgegeben worden sein. Dadurch sei eine Verifizierung auch dann möglich gewesen, wenn die anzugebende E-Mail-Adresse selbst nicht kontrolliert wird. Zusätzlich wird ein Fehler in der E-Mail-Zustellung erwähnt: Die App habe offenbar E-Mails fehlerhaft authentifiziert, sodass gängige E-Mail-Programme die Nachrichten eher als potenziell gefälscht einstuften. Für Empfänger: innen ist das gleich doppelt relevant: Sie erhalten weniger Vertrauen in legitime Benachrichtigungen, und Angreifer gewinnen gleichzeitig ein „Deck“ für nachgeahmte Nachrichten, die sich dadurch kaum unterscheiden lassen.
Die Zeitachse der Entdeckung zeigt außerdem, wie lange Sicherheitsprobleme in der Realität zwischen Meldung und Bearbeitung liegen können. Dem Bericht zufolge wurde die Schwachstelle zunächst an die Betreiber gemeldet, danach sei jedoch monatelang offenbar keine sichtbare Reaktion erfolgt. Erst im Juli 2026 sei die Recherche öffentlich über ein Portal zur Sicherheitsberichterstattung veröffentlicht worden. Auch eine Presseanfrage an das Gebetsnetzwerk sei demnach unbeantwortet geblieben, während parallel bereits die betroffene Schnittstelle stillschweigend behoben worden sein soll.
Für Unternehmen und App-Teams ist der Fall vor allem als Reminder für die praktische Umsetzung von Zugriffskontrollen zu verstehen. IDOR-Schwächen entstehen häufig dort, wo Entwicklerinnen und Entwickler sich zu sehr auf „korrekte Eingaben“ verlassen oder Autorisierungsschritte nur teilweise implementieren – etwa wenn eine API zwar Daten liefert, aber keine serverseitige Prüfung der Berechtigung für jede einzelne Anfrage durchführt. In der Enterprise-Praxis lässt sich das Risiko typischerweise mit klaren Autorisierungsregeln pro Endpunkt, konsequentem Server-Side-Authorization-Checking und Tests gegen Objekt-ID-Manipulation adressieren. Daneben zeigt der App-Vorfall, wie wichtig eine saubere Zustell- und Authentifizierungsstrategie bei E-Mail-Workflows ist, weil bereits die Zustellbarkeit und Einstufung durch Mail-Clients darüber entscheidet, ob Sicherheitsmechanismen im Alltag wirken oder Angriffsflächen für Betrug öffnen.
Aus Sicht des weiteren Risikomanagements bleibt allerdings eine offene Frage, wie stark Konten bereits vor der stillschweigenden Korrektur missbraucht oder gezielt für Kampagnen vorbereitet wurden. Wenn E-Mail-Adressen und Profilattribute auslesbar sind, kann sich der Schaden im Extremfall über verschiedene Kampagnenformen verteilen, selbst nachdem die Lücke geschlossen ist. Für Nutzer: innen bedeutet das in der Regel, dass verdächtige Nachrichten noch strenger zu prüfen sind und dass Sicherheits- und E-Mail-Einstellungen regelmäßig überprüft werden sollten. Für die Betreiber wiederum ist entscheidend, dass neben dem „Fix“ auch die gesamte Kette aus Registrierung, Verifizierung, Autorisierung und Zustellung durchgehend auditierbar gemacht wird – denn mehrere kleine Brüche im Prozess können zusammen genau die Art von Angriff ermöglichen, die hier beschrieben wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Datenpanne bei „Click to Pray“: Schwachstelle ermöglicht Zugriff auf 700.000 Nutzerdaten" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Datenpanne bei „Click to Pray“: Schwachstelle ermöglicht Zugriff auf 700.000 Nutzerdaten" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Datenpanne bei „Click to Pray“: Schwachstelle ermöglicht Zugriff auf 700.000 Nutzerdaten« bei Google Deutschland suchen, bei Bing oder Google News!