WhatsApp: 3,5 Milliarden Nutzer von Datenleck betroffen

Forscher knackten WhatsApp – und sammelten Metadaten im Rekordtempo. Obwohl die Lücke geschlossen ist, drohen jetzt perfide Betrugsmaschen. Was Nutzer jetzt wissen müssen.

IT-Sicherheitsforscher der Universität Wien und von SBA Research deckten eine massive Schwachstelle in WhatsApp auf. Die Lücke ermöglichte den Zugriff auf Telefonnummern, Profilbilder, Info-Texte und technische Details wie Betriebssystem und Account-Alter von potenziell allen 3,5 Milliarden Nutzern weltweit.

Meta hat die Sicherheitslücke inzwischen geschlossen. Doch die Gefahr bleibt: Die gesammelten Daten könnten zur perfekten Grundlage für hochpersonalisierte Betrugsversuche werden.

Die Forscher nutzten einen fehlerhaften Mechanismus zur Kontaktsynchronisierung aus. WhatsApp prüft normalerweise Telefonbuchkontakte, um anzuzeigen, wer den Messenger verwendet. Die Schutzmaßnahmen ließen sich jedoch umgehen – und zwar in massivem Umfang.

Viele Android-Nutzer übersehen wichtige Schutzmaßnahmen — genau solche Lücken erlauben Datensammlungen wie bei dem WhatsApp‑Vorfall. Das kostenlose Sicherheitspaket erklärt in verständlichen Schritt‑für‑Schritt-Anleitungen, wie Sie Ihr Android‑Gerät und WhatsApp absichern: Zwei‑Faktor‑Authentifizierung, Privatsphäre‑Einstellungen, App‑Prüfung, automatische Updates und Blocklisten gegen betrügerische Nummern. Mit Checklisten und klaren Praxis‑Tipps reduzieren Sie das Risiko von Phishing, Smishing und Account‑Missbrauch sofort. Gratis-Sicherheitspaket herunterladen

Das Ergebnis: Über 100 Millionen abgefragte Telefonnummern pro Stunde. Die Forscher erstellten faktisch eine globale Datenbank aller aktiven WhatsApp-Konten. Die Ende-zu-Ende-verschlüsselten Nachrichteninhalte blieben zwar sicher, doch Aljosha Judmayer von der Universität Wien warnt: “Datenschutzrisiken entstehen auch dann, wenn solche Metadaten in großem Umfang gesammelt und analysiert werden.”

Neue Dimension für Enkeltrick und Phishing

Kriminelle könnten die erbeuteten Informationen für gezielte Betrugsversuche nutzen. Eine Nachricht von einer unbekannten Nummer mit korrektem Profilbild und Namen eines Bekannten? Das wirkt deutlich glaubwürdiger als anonyme Spam-Nachrichten.

Die Gefahr reicht von klassischem Phishing über Smishing (Phishing per SMS) bis zum berüchtigten Enkeltrick. Die BaFin warnt bereits vor zunehmendem Anlagebetrug über WhatsApp-Gruppen. Betrüger bauen dort systematisch Vertrauen auf, um ihre Opfer zu unseriösen Investitionen zu verleiten.

Die nun offengelegten Daten könnten solchen kriminellen Gruppen als perfekte Grundlage dienen. Denn je persönlicher die Ansprache, desto höher die Erfolgsquote.

Meta schließt die Lücke – doch war sie schon bekannt?

Nitin Gupta, Vice President of Engineering bei WhatsApp, bedankte sich bei den Forschern. Man habe keine Hinweise gefunden, “dass böswillige Akteure diesen Vektor missbraucht haben”. Die Anti-Scraping-Systeme seien zudem verbessert worden.

Doch ein Restrisiko bleibt: Haben andere die Lücke bereits vor den Forschern entdeckt? Diese Frage lässt sich nicht abschließend beantworten. Die Forscher selbst weisen darauf hin, dass fast die Hälfte der Telefonnummern aus dem großen Facebook-Datenleck von 2021 immer noch auf WhatsApp aktiv ist.

Diese Schutzmaßnahmen helfen jetzt

Sicherheitsexperten raten zu sofortigen Gegenmaßnahmen:

• Zwei-Faktor-Authentifizierung aktivieren – der wichtigste Schutz gegen Kontoübernahmen
• Privatsphäre-Einstellungen verschärfen – Profilbild, “Zuletzt online”-Status und Info-Text nur für Kontakte sichtbar machen
• Skepsis bei unbekannten Nachrichten – niemals Links oder Anhänge öffnen, keine persönlichen Daten preisgeben
• Verdächtige Nummern blockieren – und den Vorfall an WhatsApp melden

Metadaten sind nicht harmlos

Der Vorfall zeigt einmal mehr: Auch ohne Zugriff auf Nachrichteninhalte lassen sich aus Metadaten detaillierte Nutzerprofile erstellen. Wer mit wem wann kommuniziert, verrät oft mehr als der eigentliche Inhalt.

Gabriel Gegenhuber von der Universität Wien bringt es auf den Punkt: “Diese Ergebnisse erinnern uns daran, dass selbst ausgereifte, weithin vertrauenswürdige Systeme Design- oder Implementierungsfehler enthalten können.”

Die detaillierten Studienergebnisse werden 2026 auf dem renommierten NDSS Symposium vorgestellt. Die Botschaft ist klar: Sicherheit und Datenschutz sind kein einmaliger Zustand, sondern ein kontinuierlicher Prozess. Und Nutzer müssen wachsam bleiben – besonders bei unerwarteten Nachrichten mit Geldforderungen oder Aufforderungen zur Preisgabe sensibler Daten.

PS: Diese 5 Maßnahmen schließen genau die häufigsten Angriffspfade, die Kriminelle nach Metadatendiebstahl ausnutzen. Unser Gratis‑Report zeigt konkret, welche WhatsApp‑Einstellungen Sie sofort prüfen sollten, wie Sie Smishing‑Versuche erkennen und welche Backup‑Strategie echte Sicherheit bringt. Ideal, wenn Sie schnell Ihren Schutz erhöhen und nicht auf Experten warten wollen. Jetzt Android-Schutz anfordern