WhatsApp: 3,5 Milliarden Nummern in Gefahr

Wiener Forscher entlarven einen historischen Sicherheitsalbtraum: Die Telefonnummern praktisch aller WhatsApp-Nutzer ließen sich systematisch abgreifen. Zeitgleich warnt Meta vor neuen Schwachstellen, die iOS-Nutzer sofort zum Handeln zwingen.

Eine explosive Kombination erschüttert diese Woche die Sicherheitsbranche. Während Wissenschaftler der Universität Wien demonstrieren, wie sich Milliarden Nutzerdaten systematisch abschöpfen lassen, rollt Meta gleichzeitig kritische Notfall-Updates aus. Die Frage ist nicht mehr, ob WhatsApp-Nutzer gefährdet sind – sondern wie sehr.

Ein Forscherteam der Universität Wien und SBA Research hat eine massive Schwachstelle im “Contact Discovery”-Mechanismus von WhatsApp aufgedeckt. Diese Funktion sollte eigentlich nur Kontakte aus dem Telefonbuch mit WhatsApp-Profilen abgleichen. Stattdessen wurde sie zum Einfallstor für Datensammler.

Den Wissenschaftlern gelang das Unfassbare: Sie identifizierten 3,5 Milliarden aktive WhatsApp-Konten – praktisch die gesamte Nutzerbasis. Doch es ging nicht nur um Telefonnummern. In vielen Fällen konnten auch Profilbilder, Info-Texte und Zeitstempel extrahiert werden.

“Hätten böswillige Akteure diese Daten gesammelt, wäre es das größte Datenleck der Geschichte”, warnen die Forscher. Meta betont zwar, dass private Nachrichten dank Ende-zu-Ende-Verschlüsselung sicher blieben. Doch was nutzt das, wenn Kriminelle mit solchen Datensätzen perfekt personalisierte Phishing-Angriffe starten können?

Viele Android-Nutzer übersehen diese fünf grundlegenden Sicherheitsmaßnahmen – und genau diese Lücken nutzen Kriminelle nach großen WhatsApp-Leaks, um Daten abzugreifen. Das kostenlose Sicherheitspaket erklärt Schritt für Schritt, welche Einstellungen Sie sofort ändern sollten: Berechtigungen prüfen, automatische Backups sichern, Apps überwachen und System-Updates priorisieren. Mit klaren Anleitungen schließen Sie die Tür für Schadcode und Smishing-Angriffe. Jetzt kostenloses Sicherheitspaket für Android herunterladen

Kritische Schwachstelle bedroht iOS-Nutzer

Parallel zu diesem Enthüllungsskandal musste Meta in seinem November-Sicherheitsbericht mehrere technische Lücken offenlegen. Im Fokus: Die Schwachstelle CVE-2025-55179, die WhatsApp für iOS (vor Version 2.25.23.73) betrifft.

Die Lücke steckt in der Validierung von “Rich Response”-Nachrichten. Ein Angreifer könnte darüber theoretisch das Laden von Medieninhalten von fremden URLs auf dem Gerät des Opfers auslösen – ein klassisches Einfallstor für Schadcode.

Noch beunruhigender ist der Kontext: Experten erinnern an die kürzlich entdeckte “Zero-Click”-Schwachstelle CVE-2025-55177, die in Kombination mit iOS-Fehlern Angriffe ermöglichte, ohne dass Nutzer überhaupt eine Datei öffnen mussten. Das Bundesamt für Sicherheit in der Informationstechnik rät dringend zur sofortigen Installation der Updates.

Neue Betrugsmasche: “Emma” braucht eure Stimme

Als wäre die technische Bedrohung nicht genug, rollt aktuell eine raffinierte Social-Engineering-Welle durch die DACH-Region. Verbraucherschützer warnen vor zwei besonders perfiden Maschen:

Der Voting-Betrug: Nutzer erhalten Nachrichten von scheinbar bekannten Kontakten mit der Bitte, für “Emma” bei einem Wettbewerb abzustimmen. Der Link führt jedoch auf eine Phishing-Seite, die den WhatsApp-Verifizierungscode abfangen will. Wer den Code eingibt, verliert sein Konto.

Der KI-gestützte Enkeltrick: Die klassische “Hallo Mama, neue Nummer”-Masche wird durch KI-generierte Sprachnachrichten aufgerüstet. Deepfakes imitieren die Stimmen von Angehörigen so täuschend echt, dass selbst Vorsichtige hereinfallen.

Die Telefonnummer als Achillesferse

Die aktuellen Vorfälle offenbaren ein fundamentales Design-Problem: Die Nutzung der Telefonnummer als primäre Benutzer-ID. Was für die Nutzerfreundlichkeit brillant ist, erweist sich sicherheitstechnisch als Katastrophe.

Telefonnummern folgen logischen, begrenzten Zahlenräumen – sie sind “aufzählbar”, wie die Wiener Forscher bewiesen haben. Konkurrenten wie Signal oder Threema bieten bereits Nutzernamen als Alternative an. Meta hat ähnliche Funktionen angekündigt, doch der Rollout verläuft schleppend.

Sicherheitsexperten sehen eine neue Qualität der Bedrohung: “Wir bewegen uns weg von simplen Viren hin zu gezielter Überwachung und massenhaftem Data-Harvesting.”

Was Sie jetzt tun müssen

Die kommenden Wochen dürften unruhig werden. Durch die theoretische Verfügbarkeit der Datensätze ist mit einem Anstieg von Spam und personalisiertem “Smishing” zu rechnen.

Drei Sofortmaßnahmen fürs Wochenende:

• Update-Check: Prüfen Sie sofort, ob WhatsApp-Version 2.25.23.73 oder höher installiert ist
• Privatsphäre-Einstellungen: Setzen Sie Profilbild und Info auf “Nur Kontakte”
• Zwei-Faktor-Authentifizierung: Aktivieren Sie die PIN-Sperre in den WhatsApp-Einstellungen

Meta steht unter Druck, Nutzernamen als Alternative zur Telefonnummer einzuführen. Bis dahin bleibt das eigene Smartphone die erste Verteidigungslinie – und die wichtigste.

PS: Bei der aktuellen Flut an personalisierten Phishing- und Smishing-Attacken reichen oft schon ein paar richtige Einstellungen, damit Kriminelle keine Chance haben. Der Gratis-Ratgeber zeigt praxisnahe Maßnahmen – inklusive Aktivierung von Zwei-Faktor-Authentifizierung, Privatsphäre-Checks und Erkennung verdächtiger Links – speziell zugeschnitten auf Smartphone-Nutzer. Nutzen Sie die Checkliste, um Ihr Gerät schnell und nachhaltig zu schützen. Kostenloses Android-Schutzpaket jetzt anfordern