Sicherheitslücke in WhatsApp und Signal ermöglicht Tracking mit Low-Skill-Angriff

Ein Team von Forschern der Universität Wien hat eine subtile, aber potenziell weitreichende Schwachstelle in der Funktionsweise verschiedener Messaging-Dienste aufgedeckt. Die Studie, erstmals veröffentlicht am 17. November 2024 unter dem Titel „Careless Whisper: Exploiting Silent Delivery Receipts to Monitor Users on Mobile Instant Messengers“, beleuchtet die Möglichkeit, Geräte mithilfe von Round-Trip Time (RTT) Daten zu tracken, wenn dort WhatsApp oder Signal installiert sind.

Auf GitHub wurde nun ein Programm veröffentlicht, das die Schwachstelle in WhatsApp automatisch ausnutzen kann. Obwohl die Bereitstellung eines solchen Tools ethisch fragwürdig ist, soll es den Druck auf WhatsApp erhöhen, die Sicherheitslücke zu schließen und so die Privatsphäre der Nutzer besser zu schützen.

Das Prinzip dahinter ist simpel. Der Tracker sendet eine Reaktion auf eine Nachricht, die gar nicht existiert. Das Zielgerät reagiert dennoch mit einem Empfangsbeleg. Diese Reaktion, die für den Nutzer unsichtbar bleibt, offenbart die Zeit, die das Senden und Empfangen der manipulierten Anfrage benötigt – die RTT.

Obwohl diese Daten allein keinen direkten Standort preisgeben, können sie über einen längeren Zeitraum wertvolle Informationen liefern. Muster in der RTT verraten, wann ein Gerät aktiv genutzt wird oder sich im Standby befindet. Auch die Art der Netzwerkverbindung – ob WLAN oder Mobilfunk – lässt sich potenziell ableiten. Durch die Analyse dieser Aktivitätsmuster über Stunden oder Tage können Angreifer Rückschlüsse auf das Nutzungsverhalten ziehen. Zudem bedeuten die ständigen Anfragen auch, dass Akku und Datenvolumen des betroffenen Smartphones leer gesaugt werden.

Betroffene Nutzer haben derzeit kaum Möglichkeiten, sich gegen dieses Tracking zu wehren. Es gibt keine Benachrichtigungen auf dem Smartphone, die auf eine solche Überwachung hinweisen, und das Blockieren der angreifenden Telefonnummer ist ebenfalls nicht möglich. Signal und WhatsApp bieten aktuell keine Option zur Deaktivierung von Empfangsbestätigungen an. Die einzige radikale Lösung wäre derzeit die vollständige Deinstallation aller betroffenen E2EE-Messaging-Dienste.