Vertrauen verspielt? – Fehler in der Verschlüsselungsumgebung ermöglicht Hintertür in WhatsApp

von Prof. Dr. Andre Döring

Der Guardian und Heise berichteten im Januar 2017  über eine Schwachstelle in der Ende-zu-Ende-Verschlüsselung des Messengers WhatsApp. Diese war im April 2016 für alle Nutzer freigegeben worden. WhatsApp gehört zu Facebook und Facebook taucht regelmäßig und nicht unbedingt als Vorreiter in Debatten um Datenschutz und  die Priavstphäre seiner Nutzer auf.

Grund genug, sich mit der Sicherheit der Privatsphäre bei der Benutzung von WhatsApp, den Geschäftszielen von Facebook im Hinblick auf WhatsApp und der Alternative Signal detaillierter zu beschäftigen.

WhatsApp hat Signal-Verschlüsselung in Board

WhatsApp verwendet die Verschlüsselungstechnologie, die im sicheren Open-Source-Messanger Signal verwendet wird. Das verwendete TextSecureProtocol (heute SignalProtocol) wurde maßgeblich vom Sicherheitsexperten Moxie Marlinspike entwickelt.

Folglich erklärt WhatsApp in einem WhitePaper:

„Messages between WhatsApp users are protected with an end- to-end encryption protocol so that third parties and WhatsApp cannot read them and so that the messages can only be decrypted by the recipient All types of WhatsApp messages (including chats, group chats, images, videos, voice messages and les) and WhatsApp calls are protected by end-to-end encryption“

Und auf seiner Internetseite erklärt WhatsApp zur Ende-zu-Ende-Verschlüsselung:

„Schutz der Privatsphäre und Sicherheit sind in unseren Genen. Deshalb haben wir in den neuesten Versionen unserer App Ende-zu-Ende-Verschlüsselung. Deine Nachrichten, Fotos, Videos, Sprachnachrichten, Dokumente und Anrufe sind davor geschützt, in die falschen Hände zu fallen, wenn sie Ende-zu-Ende verschlüsselt sind.“

Infografik: Diese Messenger nutzen die Deutschen | Statista

Aufgrund der Verbreitung von WhatsApp mit einem Marktanteil von 63% in Deutschland ist die Umsetzung der standardmäßigen Ende-zu-Ende-Verschlüsselung in WhatsApp als Meilenstein des sicheren digitalen Messagings einzustufen.

Fehler ermöglicht Man-In-The-Middle-Angriff

Der Einsatz der Ende-zu-Ende-Verschlüsselung hat WhatsApp und dessen Mutter Facebook viel Lob eingebracht. Bedauerlich ist, dass ein Fehler (oder Feature?) im Verchlüsslungsprotokoll, der bereits im April 2016 durch den Sicherheitsforscher Tobias Boelter von der University of California an Facebook gemeldet wurde, bis heute nicht behoben bzw. bekannt gemacht wurde.

Der von Boelter entdeckte Fehler ermöglicht es Angreifern, Nachrichten eine Nutzers dann mitzulesen. Vereinfacht gesagt tauscht der Angreifer den öffentlichen Schlüssel eines Empfängers gegen seinen eigenen Schlüssel aus. Fortan werden alle Nachrichten zwischen Sender und Empfänger in einem Chat mit dem Schlüssel des Angreifer verschlüsselt.

Über einen Man-In-The-Middle-Angriff kann der Angreifer ab diesem Zeitpunkt alle Nachrichten des kompromitierten Chats zwischen Sender und Empfänger mitlesen. Da WhatsApp den Sender vor dem Senden weiterer Nachrichten nicht über den geänderten Schlüssel des Empfängers informiert, merkt dieser nichts davon. WhatsApp möchte wohl so den Benutzerkomfort steigern. Signal verlangt hingegen eine Bestätigung des Schlüsseltausches.

Datenschützer kritisieren diesen Fehler scharf und bezeichnen ihn als Hintertür, der Dritten wie Geheimdiensten oder WhatsApp selbst Tür und Tor zu den Nachrichten der Nutzer öffnen könnte. Zum Beispiel könnte WhatsApp selbst einen neuen Schlüssel generieren, dem Sender mitteilen und so die Kommunikation mitlesen.

Laut Boelter handelt es sich hierbei nicht um eine absichtlich implementierte Hintertür, sondern um einen Programmierfehler. Dabei wurden keine weiteren geheimen Funktionen umgesetzt, die das kopieren vollständiger Chats ermöglichen. WhatsApp bestätigte dieses gegenüber Heise. Moxie Marlinspike schließt sich in einem Blogeintrag der Einschätzung von Boelter und WhatsApp an.

Keine Information an die Nutzer

Die offene Frage ist, warum der seit einem Jahr bekannte Bug bis heute nicht behoben wurde. Sicherheitsupdates werden von WhatsApp regelmäßig veröffentlicht.

Gerade WhatsApp, als Tochter von Facebook und marktbeherrschender Messenger, sollte das gegebene Privacy-Versprechen mit Nachdruck umsetzten. Nur so kann bei aller Kritik an der Integration in das Datensammelversum von Facebook die Glaubwürdigkeit echter Privatsphäre erhalten bleiben und Vertrauen in WhatsApp in in diesem Punkt gesteigert werden.

Diese Chance ist hier leider verpasst worden. Das Vertrauen in WhatsApp ist zumindest gestört.

Verzahnung von WhatsApp und Facebook wird fortschreiten

Nutzer von Diensten wie WhatsApp müssen zu deren Nutzung die Geschäfts- und Datenschutzbestimmungen quittieren. Amerikanische Unternehmen behalten sich jedoch jederzeit eine Anpassung der Geschäfts- und Datenschutzbestimmungen vor, sodass angestrebte Privatsphäreaktivitäten jederzeit widerrufen werden können. So auch WhatsApp.

Nach dem Zukauf von WhatsApp durch Facebook wurde eigentlich vereinbart, die Daten beider Dienste getrennt zu lassen. Wie Heise im August 2016 berichtete, hatte Facebook Zugriff auf die Telefonnummer der WhatsApp Nutzer erhalten.

Mit dem Abgleich der Telefonnummern zwischen WhatsApp und dem zugehörigen Facebook-Profil und durch Nutzung gespeicherten WhatsApp-Kontake möchte Facebook die Weberprofile seine Nutzer schärfen. So soll das Wissen über per WhatsApp kontaktierter Händler auch in der auf Facebook geschalteten personalisierten Werbung Berücksichtigung finden.

Es ist davon auszugehen, dass Facebook mit seinen Diensten eine umfassende Abdeckung des gesamten Lebensumfeldes seiner Benutzer anstrebt, um den eigenen Profit zu maximieren und seine Marktmacht zu zementieren. So sind die seinerzeit für WhatsApp bezahlten 20 Milliarden Dollar sicherlich als strategische Investition zu begreifen. Andererseits ist davon auszugehen, dass sich diese Investition hauptsächlich durch Werbeeinnahmen amortisieren soll, umgesetzt durch eine weitere Verzahnung der beiden Dienste und deren Benutzerdaten.

Ein Schelm, wer Böses dabei denkt. Denn die heute noch recht geringe Verzahnung zwischen WhatsApp und Facebook wird nicht der letzte Schritt der Integration zwischen beiden Diensten bleiben. Zwar kann kann Facebook bis heute keine Chat-Nachrichten von WhatsApp mitlesen und verwerten. Morgen werden vielleicht GPS- und Mediendaten der WhatsApp-Nutzer an Facebook übertragen. Übermorgen löst WhatsApp vielleicht den Facebook-Messenger ab und ist vollstänidg in Facebook integriert. Wissen tut es niemand.

Vorteil von OpenSource – Privacy geht vor oder Wechsel zu Signal

Wem die Messaging-Zukunft mit Facebooks’ WhatsApp potenziell zu tief in seine Privatsphäre eingreift, dem sei als Alternative der Messenger Signal empfohlen. Signal ist von dem hier beschriebenen Fehler nicht betroffen und setzt zuverlässige eine Ende-zu-Ende-Verschlüsselung von Nachrichten und Telefonaten um.

Signal ist OpenSource. Durch die aktive Community und deren Kontrolle des Programmcodes von Signal können unendeckt quasi keine Geheimtüren oder korrumpierende Funktionen in die App eingebaut werden. Sicherheitslücken werden schnell und zuverlässig korrigiert.

Signal ist auf allen gängigen Plattformen verfügbar und lässt sich genauso komfortabel wie WhatsApp bedienen. Etwas mehr langfristiger Erhalt der Privatsphäre ist durch Signal von WhatsApp nur einen Klick bzw. eine App entfernt.

Probieren Sie es aus.