Eine Sicherheitslücke in WhatsApp erlaubt es Facebook und anderen, die verschlüsselten Nachrichten der Nutzer nachzulesen, berichtet der Guardian. Facebook hatte bislang immer behauptet, dass niemand außer den Nutzern selbst WhatsApp-Nachrichten entschlüsseln könne. Die Verschlüsselung bei WhatsApp basiert auf einer Technologie von Open Whisper Systems, bei denen die Nutzer gegenseitig Schlüssel austauschen, Nachrichten Ende-zu-Ende-verschlüsseln und so sicher gehen, dass nur sie selbst die Inhalte entschlüsseln können.
Die jetzt entdeckte Lücke ist nicht Teil des von Oper Whisper Systems implementierten Signal-Protokolls. Sie erlaubt es Facebook jedoch, neue Schlüssel zu erzeugen, ohne dass der Nutzer dies merkt – und so die Kommunikation mitzulesen.
Diese Sicherheitslücke hat Tobias Boelter, ein Kryptografie- und Securityforscher der Berkeley-Universität in Kalifornien herausgefunden. Gegenüber dem Guardian sagt er: „Wenn WhatsApp von einer Regierungsbehörde nach Inhalten der Chats gefragt wird, kann es durch einen Schlüsseltausch den Behörden Zugang dazu geben.“
WhatsApp war schon zuletzt durch die Weitergabe der Telefonnummern an den Mutterkonzern Facebook aufgefallen. Die jetzt entdeckte Sicherheitslücke, die laut Informationen des Guardian auch weiterhin noch besteht, zeigt, dass der Messagingdienst nicht vertrauenswürdig ist. Tobias Boelter hatte Facebook schon im April 2016 auf die Sicherheitslücke hingewiesen und bekam als Antwort, dass dies „gewolltes Verhalten“ der App sei.
Es gibt Alternativen zu WhatsApp
Wir möchten hier zwei von vielen Alternativen zu WhatsApp vorstellen: Der kostenpflichtige schweizerische Messenger Threema bietet ähnliche Funktionen. Der Dienst ist nicht Open Source, dafür muss man ihn nicht mit einer Telefonnummer verknüpfen. Eine weitere Alternative zu WhatsApp ist Signal. Dieser Messenger ist Open Source, wird von einem Team rund um den Erfinder der WhatsApp-Verschlüsselung entwickelt und nutzt das gleiche Verschlüsselungsverfahren wie WhatsApp. Mit dem kostenlosen Messenger Signal kann man auch verschlüsselt telefonieren. Nachteile: Signal muss mit der Telefonnummer verknüpft werden und benötigt bei Android die Google Play Services, um zu funktionieren, sowie den Play Store zur Installation.
Update:
WhatsApp hat uns geschrieben:
WhatsApp gibt Regierungen keine „Hintertür“ in seine Systeme und würde gegen jede Regierungsanfrage, eine Hintertür zu schaffen, vorgehen. Die Designentscheidung, auf die in der Guardian-Geschichte verwiesen wird, verhindert, dass Millionen von Nachrichten verloren gehen, und WhatsApp bietet Menschen Sicherheitsbenachrichtigungen an, um sie auf potenzielle Sicherheitsrisiken aufmerksam zu machen. WhatsApp veröffentlichte ein technisches White Paper über sein Verschlüsselungsdesign und ist transparent in Sachen Regierungsanforderungen, die es empfängt; und veröffentlicht Daten über diese Anfragen im Facebook Government Requests Report. [Übersetzung von netzpolitik.org]
Das Statement stellt sich nicht gegen die Aussage des Artikels, dass mit der so genannten „Designentscheidung“ Nachrichten von WhatsApp entschlüsselt werden können. Es ist vielmehr ein „Wir können es, aber wir tun es nicht. Versprochen.“
Der Entdecker der Sicherheitslücke schreibt dazu in seinem Blog:
WhatsApp sagt, dass es kein Fehler, sondern ein Feature sei. Ein Feature, weil der Versender einer Nachricht im seltenen Fall, dass der Empfänger erst offline ist und dann mit einem neuen Telefon online geht, nicht noch einmal auf die OK-Taste drücken muss. Das ist kein wirklich gutes Argument. Wenn Datenschutz und Sicherheit in WhatsApps DNA eingeschrieben wäre, dann hätten sie diesen Fehler sofort nach meiner Meldung im April 2016 korrigieren müssen.
Wie uns die PR-Abteilung von WhatsApp mitteilt, hat der WhatsApp-Mitgründer Brian Acton ein Statement auf Reddit gepostet.
Inzwischen gibt es noch einen weiteren Artikel im Guardian von Tobias Boelter, der die Lücke entdeckt hat. Hier erklärt er noch einmal ausführlich, warum er die Sicherheitslücke für gefährlich hält.
Im Video zeigt er, wie das Ganze funktioniert:
Bruce Schneier kommt zu folgender Einschätzung:
How serious this is depends on your threat model. If you are worried about the US government – or any other government that can pressure Facebook – snooping on your messages, then this is a small vulnerability. If not, then it’s nothing to worry about.
Auch die EFF hat sich geäußert und nennt die Sicherheitslücke keine Backdoor.
Zeynep Tufekci hat einen offenen Brief von Security- und Verschlüsselungsexperten veröffentlicht, in dem der Guardian aufgefordert wird, seine Berichterstattung zu korrigieren. Es geht vor allem darum, dass es sich nicht um eine „Backdoor“, sondern nur um eine „Vulnerability“ handele.
Am 28. Juni veröffentlichte der Guardian unter dem Titel „Flawed reporting about WhatsApp“ eine Entschuldigung, dass er die Sicherheitslücke überbewertet habe. Ähnlich ging es netzpolitik.org, weswegen ich schon im Januar das Wort „Hintertüre“ oder „Backdoor“ aus diesem Artikel entfernt habe.