Bereits 2024 beschrieben österreichische Forscher Wege, wie sich an WhatsApp-Nutzer Nachrichten auf Anwendungsebene senden lassen, die auf dem Gerät des Empfängers gar nicht erscheinen. Mit einem an das WhatsApp-Web-Protokoll angeschlossenen Programm lässt sich etwa eine Reaktion auf eine nicht existierende Nachricht verschicken: In der App des Empfängers passiert nichts, doch der Absender kann anhand der Zeit bis zur Empfangsbestätigung ableiten, ob das Gegenüber gerade aktiv und online ist.

Setzt ein Angreifer ein solches Programm ein, um ein Gerät unbemerkt fortlaufend anzupingen, lässt sich daraus ein Bild der Online-Gewohnheiten zeichnen – etwa Schlaf- oder Arbeitszeiten oder der günstigste Moment für eine Phishing-Nachricht. Ebenso denkbar ist ein Angriff zur Ressourcenerschöpfung, der den Akku langsam und unbemerkt leert.

Noch einfacher lässt sich herausfinden, welche Geräte ein Opfer nutzt – wegen einer Eigenheit von WhatsApps Vorzeigefunktion, der Ende-zu-Ende-Verschlüsselung. Jedes für ein Konto registrierte Gerät hat einen eigenen “Fingerabdruck” aus privatem Schlüsselmaterial und einer ID, die je nach Betriebssystem unterschiedlich ausfallen. Startet ein Absender einen neuen Chat, erhält er im Hintergrund das Schlüsselmaterial und die IDs der registrierten Geräte des Empfängers. Schon das Hinzufügen eines Opfers zur Kontaktliste – ein Vorgang, der den Betroffenen nicht benachrichtigt – verrät damit die genutzten Gerätetypen.

“Mit Ende-zu-Ende-Verschlüsselung kann niemand, der WhatsApps Server angreift, Ihre Daten lesen, und auch WhatsApp selbst kann es nicht. Die Kehrseite ist aber, dass WhatsApp Sie auch nicht schützen kann”, erklärt Be’ery. Sein Sicherheitsbericht zu diesem Thema erreichte nicht WhatsApps Schwelle für die Vergabe einer CVE, doch hält er das Erkennen von Gerätetypen für Angreifer für nützlich – von Überwachungspreisen im Handel bis zu staatlichen Akteuren, die Spyware passgenau auf das Betriebssystem ihrer Ziele zuschneiden.

In seinen Tests ging Be’ery noch weiter: Er sandte eine Nachricht gezielt an ein einzelnes Gerät des Reporters, das auf dessen anderen Geräten nie ankam. “Ein korrekt implementierter Client hätte sie an alle drei Geräte gesendet. Mit einem manipulierten Client kann ich an nur eines senden, und mit einem Web-Exploit würde ich genau dieses Gerät anvisieren”, erläutert er.

Grundlage all dessen ist WhatsApps offene Kontaktpolitik: Jeder Nutzer kann jeden der 3,5 Milliarden anderen Nutzer anschreiben, sofern er die richtige Telefonnummer kennt oder errät. Anders als bei LinkedIn oder Facebook, wo Nachrichten nur aus der Kontaktliste kommen und Anfragen über eine eingeschränkte Schnittstelle laufen, entsteht so eine deutlich größere Angriffsfläche.

Meta hat bislang kein Interesse gezeigt, diese grundlegende Funktion zu ändern, und arbeitet stattdessen mit Behelfslösungen wie “Unbekannte Anrufer stummschalten”, Ratenbegrenzung und kleineren Korrekturen. Ziele, die sich ihrer Gefährdung bewusst sind, können zudem die neue Funktion “Strenge Kontoeinstellungen” aktivieren – auf Kosten des Bedienkomforts. Zu Jahresbeginn bemerkte Be’ery etwa, dass sich Android-Geräte nicht mehr wie zuvor erkennen ließen; da iPhones aber weiter genügend Metadaten preisgeben und es kein drittes großes mobiles Betriebssystem gibt, ändert das vorerst wenig.

Diesen Ansatz kritisiert Be’ery: “Sie gehen Nachrichtentyp für Nachrichtentyp vor. Das ist ein bisschen wie Hau-den-Maulwurf.” Es gebe Dutzende Arten von “Nachrichten” – Live-Standort, Audio, Medien, Umfragen –, und jede neue Funktion schaffe eine neue Methode für stille Pings. Einfacher wäre es, Nutzer wie soziale Netzwerke vor Fremden abzuschirmen: “Wenn nur Ihre Kontakte oder vorab freigegebene Clients Sie erreichen können, ändert das alles. Die gesamte Umgebung wäre weit sicherer.”