Sicherheitslücke in WhatsApp lässt private Fotos trotz Sperrbildschirm offen zugänglich

Wenn Sie Ihr Smartphone sperren, erwarten Sie, dass Ihre persönlichen Dateien und Fotos für niemanden zugänglich sind. Mobile Betriebssysteme erlauben natürlich einige sichere Ausnahmen, sodass Sie Anrufe annehmen, Benachrichtigungen lesen oder die Uhrzeit überprüfen können, ohne das Gerät per Fingerabdruck oder Passwort entsperren zu müssen. Der Zugriff auf persönliche Dateien sollte jedoch weiterhin eingeschränkt bleiben. Ein ungewöhnlicher Fehler in WhatsApp für Android durchbricht diese Barriere offenbar und ermöglicht den direkten Zugriff auf private Fotos.

Es hat sich herausgestellt, dass ein WhatsApp-Videoanruf offenbar ausgenutzt werden kann, um auf private Fotos eines Android-Smartphones zuzugreifen, ohne das Gerät vorher zu entsperren. Dabei handelt es sich nicht um einen Fernangriff, bei dem jemand von einem anderen Ort aus über das Internet auf die Galerie zugreifen kann. Dafür wäre zunächst physischer Zugriff auf das Smartphone erforderlich. Sobald dieser jedoch besteht, kann der eingehende Videoanruf offenbar einen tieferen Zugriff auf das Gerät ermöglichen, als es der Sperrbildschirm normalerweise zulassen sollte – bis hin zum vollständigen Zugriff auf die persönlichen Fotos.

Der Vorgang selbst ist bemerkenswert unkompliziert und erfordert keinerlei technische Kenntnisse, da er sich über die üblichen Menüoptionen durchführen lässt. Wenn ein gesperrtes Android-Gerät einen WhatsApp-Videoanruf erhält, kann jeder, der das Smartphone in der Hand hält, den Anruf einfach per Wischgeste annehmen. Sobald die Videoverbindung hergestellt ist, öffnet sich durch Antippen des Effekte-Symbols ein Menü mit den Registerkarten „Effekte“, „Filter“ und „Hintergründe“. Standardmäßig ist die Registerkarte „Filter“ ausgewählt, sodass der Nutzer lediglich zum Bereich „Hintergrund“ wechseln muss. Dort öffnet die Schaltfläche „Mit Meta AI erstellen“ Optionen zum Erstellen eines neuen Bildes oder zum Bearbeiten eines vorhandenen Fotos. Die Auswahl von „Foto bearbeiten“ umgeht offenbar die üblichen Sicherheitsvorkehrungen und öffnet direkt die vollständige Fotogalerie des Geräts. Wir haben die Sicherheitslücke auf einem Pixel 6 Pro mit Android 17 und dem neuesten Sicherheitspatch getestet. Der Exploit ermöglichte uns uneingeschränkten Zugriff auf die auf dem Gerät gespeicherten persönlichen Bilder, ohne dass zuvor eine Sicherheitsüberprüfung erforderlich war.

Interessanterweise betrifft diese Sicherheitslücke nicht alle Android-Smartphones gleichermaßen, da verschiedene Hersteller die Berechtigungen auf dem Sperrbildschirm unterschiedlich handhaben. Beim Test desselben Exploits auf einem Samsung Galaxy S25 Ultra mit One UI 8.5 wurde der Zugriff beispielsweise korrekt blockiert. Ein Tippen auf die Meta-AI-Schaltfläche leitete auf dem Samsung-Gerät sofort zum Sperrbildschirm weiter, wo ein Passwort oder eine biometrische Authentifizierung erforderlich war. Auf einem Oppo K13 mit ColorOS 16 funktionierte die Umgehung hingegen problemlos. Da sowohl das Samsung- als auch das Oppo-Smartphone mit Android 16 laufen, deutet dies darauf hin, dass die Sicherheitslücke maßgeblich davon abhängt, wie die jeweiligen Hersteller ihre benutzerdefinierten Android-Oberflächen und Sperrbildschirm-Berechtigungen implementieren.

Während die Sicherheitsmechanismen unter Android je nach Hersteller variieren, verfolgt Apple einen durchgängig strengen Ansatz. Auf iPhones tritt diese Sicherheitslücke aufgrund der Einschränkungen von CallKit unter iOS nicht auf. Empfängt ein gesperrtes iPhone einen WhatsApp-Anruf, greift das CallKit-Framework ein und zeigt Apples native Telefonoberfläche anstelle der WhatsApp-Benutzeroberfläche an. Dadurch wird der Zugriff auf das Tool zur Hintergrundänderung vollständig blockiert. Um die native Fotogalerie zu öffnen, muss ein iOS-Nutzer sein Gerät zunächst entsperren. Angesichts des erheblichen Datenschutzrisikos auf Android-Geräten, bei denen diese strikte Trennung fehlt, wurde das Problem bereits an Meta und Google gemeldet. Beide Unternehmen können dadurch entsprechende Maßnahmen ergreifen und einen offiziellen Patch bereitstellen, der die persönlichen Fotos der Nutzer besser schützt.