News 17 - 2026

Eine schon im November 2025 veröffentlichte Sicherheitsanalyse zeigt, wie weitreichend sich WhatsApp-Konten technisch erfassen lassen, selbst ohne Inhalte mitzulesen. Die gute Nachricht: Nachrichten bleiben dank Ende-zu-Ende-Verschlüsselung auch heute noch geschützt. Die schlechte: Metadaten und öffentlich sichtbare Profileinstellungen können im großen Stil ausgewertet werden, und die Werkseinstellungen der App machen es Angreifern dabei unnötig leicht.

Ein Forschungsteam der Universität Wien und von SBA Research hat untersucht, wie WhatsApp neue Kontakte erkennt. Das Ergebnis: Über diese sogenannte Contact Discovery ließen sich mehr als 100 Millionen Telefonnummern pro Stunde abfragen und automatisiert prüfen, welche davon bei WhatsApp registriert sind, ein Umfang, der bislang nicht für möglich gehalten wurde.

Nach Angaben der Forschenden konnten so mehr als 3,5 Milliarden aktive WhatsApp-Accounts weltweit identifiziert werden, verteilt über 245 Länder. Die gesamte Operation lief von einem einzigen Universitätsserver mit nur fünf authentifizierten Sitzungen. Die Ergebnisse machte das Team im November 2025 öffentlich, vorgestellt wurden sie 2026 beim NDSS Symposium in San Diego.

Meta, der Mutterkonzern von WhatsApp, bestätigte gegenüber der Universität, dass es sich um unerlaubtes automatisiertes Auslesen (Scraping) gehandelt habe. Die konkret genutzte Technik sei inzwischen eingeschränkt worden, die Forschenden hätten die gesammelten Daten gelöscht, Hinweise auf kriminellen Missbrauch lägen nicht vor.

Chat-Inhalte waren zu keinem Zeitpunkt betroffen. WhatsApp setzt weiterhin auf Ende-zu-Ende-Verschlüsselung, was auch von den Forschenden ausdrücklich bestätigt wird. Allerdings konnten über die Abfragen zahlreiche Metadaten erfasst werden, darunter:

• Telefonnummern mit aktivem WhatsApp-Konto

• Zeitstempel (zum Beispiel, wann ein Account zuletzt aktiv war)

• Öffentliche Profilinformationen wie Profilbild und „Info“-Text, sofern diese nicht eingeschränkt waren

Konkret waren bei 57 Prozent der identifizierten Konten die Profilbilder öffentlich einsehbar, bei 29 Prozent zusätzlich der „Info“-Text. Aus der Kombination dieser Daten lassen sich laut Studie zusätzliche Rückschlüsse ziehen, etwa auf das genutzte Betriebssystem, das Alter eines Accounts oder die Zahl verknüpfter Geräte. Die Forschenden fanden zudem Nummern-Cluster mit identischen öffentlichen Schlüsseln, ein Hinweis auf inoffizielle Software, wie sie etwa in Klickfarmen eingesetzt wird.

Genau hier liegt das Problem: Metadaten reichen oft aus, um Nutzer*innen gezielt anzugreifen, etwa mit personalisierten Phishing-Nachrichten, Betrugsanrufen oder Social-Engineering-Attacken. heise verweist zudem darauf, dass sensible Inhalte im „Info“-Text, etwa zu

WhatsApp basiert auf Telefonnummern. Jeder Account ist technisch darüber identifizierbar, unabhängig davon, ob jemand prominent ist, viele Gruppen nutzt oder WhatsApp nur selten verwendet. Meta hat die konkret genutzte Angriffstechnik inzwischen eingeschränkt, nachdem das Forschungsteam die Lücke bereits ab September 2024 gemeldet hatte, die Meldungen aber zunächst folgenlos blieben. Das Grundprinzip bleibt trotzdem bestehen: Je mehr Informationen öffentlich sichtbar sind, desto größer ist die Angriffsfläche. Oder anders gesagt: Nicht die Verschlüsselung ist das Problem, sondern das, was Nutzer*innen freiwillig sichtbar lassen, und woran die Werkseinstellungen der App nichts ändern.

Die wichtigste Maßnahme, die du gegen das Auslesen treffen kannst, betrifft die Sichtbarkeit des WhatsApp-Profils. Standardmäßig ist sowohl das Profilbild als auch die Info-Anzeige für „Jeder“ eingestellt, sichtbar für alle, die deine Nummer kennen. Diese Einstellung ändert sich auch nach der jüngsten Sicherheitsanalyse nicht von selbst.

• Profilbild → „Meine Kontakte“

• Info → „Meine Kontakte“ oder leer lassen

• Zuletzt online / Online-Status → „Niemand“

WhatsApp hat im Januar 2026 zusätzlich sogenannte „strikte Kontoeinstellungen“ eingeführt. Der Modus muss allerdings selbst aktiviert werden, unter Einstellungen > Datenschutz > Erweitert, und funktioniert ausschließlich über das primäre Gerät, nicht über verbundene Geräte oder WhatsApp Web. Meta richtet ihn ausdrücklich an Menschen mit erhöhtem Risiko, etwa Journalist*innen oder Personen des öffentlichen Lebens, die seltenen, aber hoch entwickelten Cyberangriffen ausgesetzt sein können.

Ist der Modus aktiv, werden „Zuletzt online“, Online-Status, Profilbild und Info nur noch für Kontakte sichtbar, Medien und Anhänge unbekannter Absender blockiert, Linkvorschauen deaktiviert, Anrufe unbekannter Nummern stummgeschaltet, die zweistufige Verifizierung erzwungen und Gruppeneinladungen auf bekannte Kontakte beschränkt. Zusätzlich werden Anrufe über WhatsApp-Server geleitet, um die eigene IP-Adresse zu verbergen.

Auch wenn sie nicht direkt Teil der beschriebenen Schwachstelle sind, reduzieren folgende Optionen das Missbrauchsrisiko zusätzlich:

• Gruppen-Einladungen einschränken: Nur Kontakte dürfen Nutzer*innen zu Gruppen hinzufügen. Unbekannte müssen eine Einladung anfragen.

• Unbekannte Anrufer stummschalten: Schützt vor Betrugs- und Spam-Anrufen, ohne diese vollständig zu blockieren.

• Ende-zu-Ende-verschlüsselte Backups aktivieren: WhatsApp weist selbst darauf hin, dass Cloud-Backups sonst nicht vom gleichen Schutz profitieren wie Chats

Quellen: Universität Wien; „Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy“ (SBA Research, 2026)

Bei Fragen könnt ihr euch gerne bei mir oder eurem Kursleiter melden.

Lieben Gruß

Walter Berthold

Herausgeber:
Walter Berthold - Computertraining für Senioren
Hohes Feld 3, 21438 Brackel
E-Mail: aW5mb0BiZXJ0aG9sZC1icmFja2VsLmRl@invalid
www.computertraining-kurse.de