Die “Einmal ansehen”-Funktion ist ein Sicherheitsfeature, das Millionen WhatsApp-Nutzer weltweit nutzen – auch in Deutschland. Sie soll gewährleisten, dass geteilte Inhalte nicht dauerhaft gespeichert oder weitergeleitet werden können. Doch Be’ery, der Co-Gründer und CTO der Kryptowallet Zengo, hat diese Annahme bereits mehrfach widerlegt.
Die aktuelle Schwachstelle ist die vierte, die Be’ery in den vergangenen Jahren entdeckt hat. Sie funktioniert durch eine modifizierte WhatsApp-Clientanwendung oder über Browser-Erweiterungen in Kombination mit WhatsApp Web. Damit könnten Angreifer theoretisch massenhaft Inhalte abfangen, bevor diese gelöscht werden.
Besonders bemerkenswert: Meta hat den Forscher zwar informiert, lehnt aber ab zu patchen. Die Begründung lautet, dass das Problem außerhalb des Sicherheitsmodells liege und nicht vom Bug-Bounty-Programm abgedeckt werde. Meta argumentiert, dass es ohnehin unmöglich sei, Nutzer vollständig zu schützen – schließlich könnten diese auch einfach mit einem zweiten Telefon fotografieren oder eine modifizierte Version nutzen.
Be’ery ist verärgert. Er weist darauf hin, dass Meta bei vorherigen ähnlichen Funden sehr wohl gepatcht und sogar Bug Bounties gezahlt hat – und auch diese Exploits funktionierten über modifizierte Clients. Meta sei hier inkonsistent, kritisiert der Forscher.
Als Lösungsansatz schlägt Be’ery vor, ein digitales Rechteverwaltungssystem (DRM) ähnlich wie bei Netflix einzuführen. Damit könnte WhatsApp klarer definieren, welche Angriffsvektoren im Sicherheitsmodell liegen und welche nicht.
Meta lehnt DRM jedoch ab. Der Grund: DRM-Systeme sind nicht unfehlbar, erfordern zentrale Lizenzserver und würden auch nicht vor Recording auf einem zweiten Gerät schützen.
Für deutsche Nutzer bedeutet das: Die “Einmal ansehen”-Funktion bietet weniger Schutz als bisher angenommen. Sensible Informationen sollten weiterhin nur vertrauenswürdigen Kontakten gesendet werden – und idealerweise über zusätzliche Schutzmechanismen.