Was WhatsApp und Signal trotz Verschlüsselung preisgeben

LONDON (IT BOLTWISE) – Trotz der weit verbreiteten Nutzung von Ende-zu-Ende-Verschlüsselung bei Messaging-Diensten wie WhatsApp und Signal, gibt es immer noch Sicherheitslücken, die ausgenutzt werden können. Zwei österreichische Sicherheitsforscher haben auf der DEFCON 2025 demonstriert, wie Angreifer durch Sidechannel- und Protokoll-Angriffe wertvolle Informationen über die Nutzer sammeln können.

Die Ende-zu-Ende-Verschlüsselung von Nachrichten bei Diensten wie WhatsApp und Signal wird oft als sicherer Schutz gegen unbefugtes Mitlesen angesehen. Doch wie die österreichischen Sicherheitsforscher Gabriel Gegenhuber und Maximilian Günther auf der DEFCON 2025 zeigten, können Angreifer durch geschickte Sidechannel- und Protokoll-Angriffe dennoch wertvolle Informationen über die Nutzer und deren Geräte erlangen.

Ein zentraler Punkt ihrer Forschung ist die Analyse der Zustellbestätigungen, die mehr über den Zustand der Geräte verraten, als man zunächst vermuten würde. Diese Bestätigungen, die nicht mit den abschaltbaren Lesebestätigungen zu verwechseln sind, sind notwendig, damit der Dienst nicht versucht, bereits zugestellte Nachrichten erneut zu senden. Die Laufzeit dieser Bestätigungen kann Rückschlüsse auf den Zustand des Empfangsgeräts zulassen, wie etwa ob das Gerät offline ist oder die App im Vordergrund läuft.

Besonders brisant ist, dass Angreifer durch die Analyse der Zustellbestätigungen nicht nur den Zustand der Geräte, sondern auch deren Anzahl und Art ermitteln können. Dies ermöglicht es, ein umfassendes Profil der genutzten Geräte zu erstellen und sogar den Aufenthaltsort des Nutzers zu erahnen, wenn bestimmte Geräte regelmäßig zu bestimmten Zeiten online sind. Diese Informationen könnten für gezielte Angriffe oder sogar für physische Übergriffe genutzt werden.

Ein weiteres Problem ist die Möglichkeit, durch speziell formatierte Nachrichten den Akku des Zielgeräts zu entleeren und dessen Datenkontingent zu verbrauchen. Da die Server die Struktur der verschlüsselten Nachrichten nicht überprüfen können, wird die falsche Formatierung erst vom Client erkannt, was zu einem erhöhten Datenverbrauch führt. Bei WhatsApp kann dies bis zu 13 GByte pro Stunde betragen, was nicht nur den Akku belastet, sondern auch die Telefonrechnung in die Höhe treiben kann.

Die Forscher haben die Betreiber von WhatsApp und Signal bereits im September 2024 über ihre Erkenntnisse informiert, doch bisher gab es keine offiziellen Reaktionen. WhatsApp hat zwar eine neue Einstellung eingeführt, die Nachrichten unbekannter Absender blockieren soll, doch gegen Angriffe von bekannten Absendern hilft dies nicht. Die Forscher betonen, dass eine Verbesserung der Client-seitigen Validierung notwendig ist, um solche Angriffe zu verhindern.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!