Mehrere kritische Sicherheitslücken haben 2025 die Verwundbarkeit von WhatsApp verdeutlicht. Während die Ende-zu-Ende-Verschlüsselung Nachrichten während der Übertragung schützt, zeigen aktuelle Angriffe, dass andere Schwachstellen ausgenutzt werden können. Ich erkläre dir die wichtigsten Bedrohungen und wie du dich schützen kannst.
WhatsApp ist mit über 2 Milliarden Nutzern weltweit eine der wichtigsten Kommunikationsplattformen. Diese große Nutzerbasis macht den Dienst aber auch zu einem attraktiven Ziel für Cyberkriminelle und Spyware-Entwickler. Die jüngsten Sicherheitsvorfälle verdeutlichen, warum kontinuierliche Wachsamkeit notwendig ist.
Critical Zero-Day: Video-Datei-Schwachstelle
Im März 2025 entdeckten Cybersecurity-Forscher von Check Point eine bedenkliche Sicherheitslücke. Diese Zero-Day-Schwachstelle ermöglichte es Angreifern, schädlichen Code durch speziell präparierte Video-Dateien auszuführen. Problematisch dabei ist, dass bereits das Betrachten des Videos ausreichte – ohne weitere Nutzerinteraktion.
Die Funktionsweise des Angriffs: Beim Öffnen der manipulierten Video-Datei werden Skripte heimlich auf das Gerät geladen. Diese verschaffen Angreifern potenziell Zugang zum lokalen Speicher, zur Kamera, zum Mikrofon und zu WhatsApp-Chat-Protokollen. Meta gab an, dass über 2 Milliarden Nutzer weltweit von dieser Schwachstelle betroffen sein könnten, wobei Unternehmenskonten besonders im Fokus stehen.
Windows-Schwachstelle: CVE-2025-30401
Parallel dazu wurde eine weitere Sicherheitslücke in WhatsApp für Windows identifiziert. CVE-2025-30401 ist ihr krpytischer Name. Diese eindeutige Nummer betrifft Versionen vor v2.2450.6 und nutzt einen sogenannten „Spoofing“-Mechanismus aus. Dabei werden Dateien nach ihrem MIME-Type angezeigt, aber die Datei-Öffnungsroutine orientiert sich an der Dateierweiterung.
Praktische Auswirkung: Ein Angreifer könnte eine schädliche Datei als harmloses Bild tarnen. Beim Öffnen der Datei würde dann unerwarteter Code ausgeführt, anstatt nur ein Bild anzuzeigen. Diese Schwachstelle wurde durch Meta’s Bug-Bounty-Programm gemeldet und zeitnah behoben.
Paragon Graphite: Professionelle Überwachungssoftware
Anfang 2025 dokumentierten Forscher der Citizen Lab einen weiteren Angriffsvektor. Die israelische Firma Paragon Solutions nutzte eine Zero-Click-Schwachstelle in WhatsApp, um ihre „Graphite“-Spyware zu verbreiten. Bei Zero-Click-Angriffen ist keine Nutzeraktion erforderlich – die Infektion erfolgt automatisch.
Der Angriffsmechanismus funktionierte folgendermaßen: Angreifer fügten Zielpersonen zu WhatsApp-Gruppen hinzu und sendeten PDF-Dateien. Das Gerät verarbeitete die PDF automatisch und nutzte dabei die Sicherheitslücke aus, um die Spyware zu installieren. Von WhatsApp aus breitete sich die Software auf andere Apps des Geräts aus.
Etwa 90 Android-Nutzer aus über 20 Ländern erhielten Benachrichtigungen von WhatsApp über mögliche Betroffenheit. Die dokumentierten Opfer umfassten hauptsächlich Journalisten, Menschenrechtsaktivisten und Regierungskritiker.
NSO Group: Langanhaltende Pegasus-Problematik
Die Herausforderungen mit professioneller Spyware sind nicht neu. 2019 wurde bekannt, dass die NSO Group mit ihrer Pegasus-Software über 1.400 WhatsApp-Nutzer ins Visier genommen hatte, darunter Journalisten, Diplomaten und Menschenrechtsaktivisten. Der Angriff funktionierte bereits durch einen eingehenden WhatsApp-Anruf – ohne dass das Gespräch angenommen werden musste.
Gerichtsdokumente von Mai 2025 bestätigten, dass die NSO Group ihre Aktivitäten auch nach der ersten Klage von Meta im Jahr 2019 fortsetzte. Erst am 6. Mai 2025 konnte Meta einen juristischen Erfolg gegen NSO verbuchen.
Grenzen der Ende-zu-Ende-Verschlüsselung
WhatsApp bewirbt seine Ende-zu-Ende-Verschlüsselung als Sicherheitsgarantie, doch diese hat Grenzen. Die Verschlüsselung schützt zwar den Inhalt der Nachrichten während der Übertragung, aber nicht alle Aspekte der Kommunikation sind gleich gut abgesichert.
Ungeschützte Bereiche umfassen: Meta sammelt weiterhin Metadaten über Nutzungsverhalten, Kontakte, Transaktionsdaten und Standortinformationen. Cloud-Backups bei Google Drive oder iCloud sind standardmäßig nicht Ende-zu-Ende-verschlüsselt, es sei denn, du aktivierst diese Option explizit. Bei einer Kompromittierung des Geräts selbst können Angreifer Nachrichten abfangen, bevor sie verschlüsselt werden, oder bereits entschlüsselte Inhalte erfassen.
Wirtschaftliche Bedeutung von Zero-Day-Exploits
WhatsApp-Schwachstellen haben einen hohen Marktwert. Berichten zufolge können funktionierende Zero-Day-Exploits für WhatsApp mehrere Millionen Dollar kosten. Diese hohen Preise verdeutlichen sowohl die Komplexität der Entwicklung als auch die große Nachfrage nach solchen Exploits.
Diese wirtschaftliche Dimension macht WhatsApp zu einem bevorzugten Ziel für verschiedene Akteure, von staatlich unterstützten Gruppen bis hin zu kommerziellen Spyware-Entwicklern. Die Kombination aus großer Nutzerbasis und wichtiger Kommunikation macht die Plattform besonders interessant für Überwachungsaktivitäten.
Empfohlene Sicherheitsmaßnahmen
Regelmäßige Updates sind die wichtigste Grundlage für Sicherheit. Überprüfe regelmäßig den App Store oder Google Play Store auf WhatsApp-Updates. Wenn nur „Öffnen“ angezeigt wird, nutzt du bereits die aktuellste Version. Die Aktivierung automatischer Updates stellt sicher, dass Sicherheitspatches zeitnah installiert werden.
Zusätzliche Sicherheitsfeatures nutzen: Die Zwei-Faktor-Authentifizierung fügt eine sechsstellige PIN zu deinem Konto hinzu, die bei der erneuten Registrierung deiner Telefonnummer benötigt wird. Dies schützt vor SIM-Swap-Angriffen. Verschlüsselte Cloud-Backups kannst du unter Einstellungen > Chats > Chat-Backup > Ende-zu-Ende-verschlüsseltes Backup aktivieren.
Weitere sinnvolle Einstellungen: Sicherheitscode-Benachrichtigungen informieren dich über Änderungen bei Kontakten, biometrische Authentifizierung fügt eine zusätzliche Gerätesperre hinzu, und das regelmäßige Überprüfen der Datenschutzeinstellungen hilft dabei, die Kontrolle über deine Daten zu behalten.
Alternative Messenger-Optionen
Für nutzer mit erhöhten Sicherheitsanforderungen gibt es Alternativen. Signal verwendet das gleiche Verschlüsselungsprotokoll wie WhatsApp, sammelt aber deutlich weniger Metadaten und wird von einer gemeinnützigen Organisation betrieben. Telegram bietet „Secret Chats“ mit Ende-zu-Ende-Verschlüsselung, während normale Chats nur zwischen Gerät und Server verschlüsselt sind.
Weitere Optionen: Wire richtet sich primär an Geschäftskunden und bietet erweiterte Sicherheitsfeatures. Session fokussiert sich auf Anonymität und benötigt keine Telefonnummer zur Registrierung. Threema ist eine europäische Alternative mit Fokus auf Datenschutz. Jede Plattform hat spezifische Vor- und Nachteile bezüglich Sicherheit, Benutzerfreundlichkeit und Verbreitung.
Fazit: Bewusster Umgang mit digitaler Kommunikation
Keine Kommunikationsplattform ist vollständig sicher – dies gilt auch für WhatsApp. Die dokumentierten Sicherheitsvorfälle zeigen, dass selbst weit verbreitete und scheinbar sichere Dienste Schwachstellen aufweisen können. Die Ende-zu-Ende-Verschlüsselung ist ein wichtiger Baustein, aber kein Allheilmittel.
Entscheidend ist informiertes Nutzerverhalten. Dazu gehört die kritische Bewertung unbekannter Dateien, die Aktivierung verfügbarer Sicherheitsfeatures und die regelmäßige Aktualisierung der Software. Da Angriffsmethoden kontinuierlich weiterentwickelt werden, ist auch auf Nutzerseite kontinuierliche Aufmerksamkeit erforderlich.
Die Realität der IT-Sicherheit: Neue Schwachstellen werden regelmäßig entdeckt und behoben, während gleichzeitig neue Angriffsmethoden entwickelt werden. Dies ist ein normaler Teil des IT-Sicherheitszyklus. Wichtig ist, proaktiv zu bleiben und verfügbare Schutzmaßnahmen zu nutzen, anstatt reaktiv auf Bedrohungen zu reagieren.
Quellen
- Transputec – „WhatsApp Vulnerability: What You Need to Know Now“ (April 2025)
https://www.transputec.com/blogs/whatsapp-vulnerability/ - Help Net Security – „WhatsApp vulnerability could be used to infect Windows users with malware (CVE-2025-30401)“ (April 2025)
https://www.helpnetsecurity.com/2025/04/09/whatsapp-vulnerability-windows-cve-2025-30401/ - BleepingComputer – „WhatsApp patched zero-click flaw exploited in Paragon spyware attacks“ (März 2025)
https://www.bleepingcomputer.com/news/security/whatsapp-patched-zero-day-flaw-used-in-paragon-spyware-attacks/ - Atomic Mail – „Is WhatsApp Safe? The Truth About Your Privacy in 2025“ (2025)
https://atomicmail.io/blog/is-whatsapp-safe-the-truth-about-your-privacy - Newsweek – „WhatsApp Issues Warning Over Security Flaw: ‚Maliciously Crafted'“ (April 2025)
https://www.newsweek.com/whatsapp-issues-warning-over-security-flaw-maliciously-crafted-2057871
