Die Geschichte hinter dem größten WhatsApp-Datenleck aller Zeiten

Es klingt wie der Plot eines Tech-Thrillers: Ein kleines Team an der Universität Wien stößt auf eine technische Lücke, die so massiv ist, dass es theoretisch jeden WhatsApp-Account der Welt identifizieren kann. Kein Zugriff auf Nachrichten, kein Hacken von Servern – und trotzdem die wohl umfangreichste Bestandsaufnahme aller aktiven Konten, die es je gab.

Die Lücke ist inzwischen geschlossen. Doch die Geschichte dahinter zeigt, wie fragil selbst weit verbreitete Dienste sein können.

Ein unscheinbarer Mechanismus mit enormer Wirkung

WhatsApp nutzt einen sogenannten „Contact Discovery“-Mechanismus. Die Idee klingt harmlos: Die App prüft die Telefonnummern in Ihrem Adressbuch und zeigt Ihnen, wer von Ihren Kontakten WhatsApp nutzt.

Damit das klappt, müssen Telefonnummern an den WhatsApp-Server übermittelt werden. Normalerweise geschieht das in kleinen Mengen. Ein paar Nummern hier, ein paar Nummern dort – so soll es eigentlich sein.

Doch genau hier fanden die Wiener Forschenden ein Einfallstor.

Wenn eine Schutzmaßnahme fehlt

Der Hauptautor Gabriel Gegenhuber erklärt den Kern des Problems: „Üblicherweise sollten nicht so viele Anfragen in so kurzer Zeit und von einer Quelle bzw. von einem Server beantwortet werden. Darin lag die Sicherheitslücke, denn wir konnten quasi unbegrenzte Anfragen an den Server stellen und so schließlich eine weltweite Erhebung machen.“

Was war passiert?

WhatsApp begrenzte nicht strikt, wie viele Nummern pro Stunde abgefragt werden konnten. Und das Team nutzte diese Lücke – im Rahmen verantwortungsvoller Offenlegung – für ein groß angelegtes Experiment. Mithilfe eines automatisierten Systems konnten mehr als 100 Millionen Telefonnummern pro Stunde durchlaufen werden. Am Ende standen 3,5 Milliarden bestätigte WhatsApp-Konten aus 245 Ländern.

Ein Ergebnis, das eigentlich nie möglich sein sollte.

Welche Daten sichtbar wurden

Wichtig: Die Inhalte der Chats blieben zu jedem Zeitpunkt geschützt.

WhatsApp nutzt Ende-zu-Ende-Verschlüsselung. Nachrichteninhalte konnten nicht abgefangen oder entschlüsselt werden.

Aber Metadaten – also die Daten rund um die Kommunikation – sind etwas anderes. Und die Wiener Studie zeigt, wie viel sie verraten können, wenn man sie massenhaft sammelt.

Folgende Datenpunkte konnten identifiziert werden:

• Telefonnummern
• öffentliche Schlüssel
• Zeitstempel
• freiwillig öffentliche Angaben wie Profilbild oder „About“-Texte

Diese Datenschnipsel reichten aus, um weiterführende Merkmale abzuleiten – etwa:

• verwendetes Betriebssystem
• Alter des WhatsApp-Kontos
• Anzahl verbundener Geräte (z. B. WhatsApp Web)

Damit konnten die Forschenden weltweite Trends abbilden, die weit über das hinausgehen, was eigentlich sichtbar sein sollte.

Was die Daten verrieten

Die Auswertung brachte überraschende Muster ans Licht. Einige Beispiele:

• Aktive WhatsApp-Nutzung in Ländern, in denen die App offiziell verboten ist, darunter China, Iran und Myanmar.
• Ein globales Verhältnis von 81 % Android zu 19 % iOS, mit starken regionalen Schwankungen.
• Unterschiedliche Vorlieben beim Datenschutz: Manche Regionen nutzen kaum Profilbilder, andere zeigen viel.
• Vereinzelt tauchten wiederverwendete kryptografische Schlüssel auf – ein Hinweis auf inoffizielle Clients oder betrügerische Nutzung.
• Fast 50 % der Telefonnummern aus dem Facebook-Datenleck von 2021 waren weiterhin auf WhatsApp aktiv. Damit steigt das Risiko für Spam oder Scam-Anrufe.

Warum Metadaten nicht harmlos sind

Aljosha Judmayer, Letztautor der Studie, erläutert:  „Diese Ende-zu-Ende-Verschlüsselung schützt den Inhalt von Nachrichten, aber nicht unbedingt die damit verbundenen Metadaten.“

Viele unterschätzen Metadaten. Doch sie sind ein mächtiges Werkzeug. Wer genug davon sammelt, kann Aktivitätsmuster erkennen, Profile abgleichen oder Nutzerinnen und Nutzer über Länder hinweg identifizieren.

WhatsApp reagiert – und bedankt sich sogar

WhatsApp schloss die Lücke nach der Meldung durch die Forschenden.

Unter anderem wurden:

• stärkere Limits für Anfragen eingeführt
• die Sichtbarkeit bestimmter Profilinformationen eingeschränkt
• Anti-Scraping-Mechanismen verbessert

Nitin Gupta, Vice President of Engineering bei WhatsApp, erklärt dazu: „Wir sind den Forschern der Universität Wien für ihre verantwortungsvolle Partnerschaft und ihren Fleiß im Rahmen unseres Bug-Bounty-Programms dankbar.“

Er betont außerdem, dass die Forschenden die Daten sicher gelöscht hätten und keine Hinweise auf missbräuchliche Nutzung durch Dritte vorlagen.

Gabriel Gegenhuber fasst die Lage so zusammen: „Sie zeigen, dass Sicherheit und Datenschutz keine einmaligen Errungenschaften sind, sondern im Zuge der technologischen Entwicklung kontinuierlich neu bewertet werden müssen.“

Hier geht es zur Originalpublikation