WhatsApp-Leak betrifft 3,5 Milliarden Nutzer weltweit

Zwei Schockwellen erschüttern diese Woche die digitale Welt: Während Forscher eine massive Sicherheitslücke bei WhatsApp aufdecken, die Metadaten von fast der Hälfte der Weltbevölkerung offenlegte, beginnt in Australien gleichzeitig die weltweit strengste Altersverifikation für soziale Medien. Ein brisantes Timing, das die Frage nach digitaler Sicherheit neu entfacht.

Forscher der Universität Wien und von SBA Research haben eine kritische Schwachstelle in der WhatsApp-Architektur entdeckt – mit dramatischen Ausmaßen. Die Sicherheitslücke ermöglichte es, nahezu die gesamte aktive Nutzerbasis der Plattform systematisch zu erfassen. Betroffen: Rund 3,5 Milliarden Accounts.

Die Ende letzter Woche veröffentlichten Erkenntnisse zeigen: Die Schwachstelle verbarg sich ausgerechnet im “Kontaktfindungs”-Mechanismus. Eigentlich soll diese Funktion Nutzern helfen, Freunde über Telefonnummern aus dem Adressbuch zu finden. Doch das Forscherteam konnte das System im industriellen Maßstab abfragen.

Viele Android-Nutzer übersehen diese fünf einfachen, aber effektiven Schutzmaßnahmen — die WhatsApp‑Schwachstelle hat gezeigt, wie schnell Telefonnummern, Profilbilder und Status‑Infos massenhaft abgegriffen werden können und wie daraus Spam oder Phishing entsteht. Unser kostenloses Sicherheitspaket erklärt Schritt für Schritt, welche Einstellungen Sie ändern sollten (App‑Berechtigungen, Sichtbarkeit, Backups, Updates und Sperren) und liefert eine sofort umsetzbare Checkliste für Ihren Schutz. Jetzt kostenloses Android-Sicherheitspaket anfordern

Über 100 Millionen Anfragen pro Stunde waren möglich. Weder IP-Adressen noch Accounts wurden blockiert, wie die Wissenschaftler verblüfft feststellten. Die Ende-zu-Ende-Verschlüsselung (E2EE) für Nachrichteninhalte blieb zwar intakt – doch sensible Metadaten lagen offen:

• Telefonnummern: Bestätigung des aktiven Status für Milliarden von Nummern
• Profilbilder: Bei 57 Prozent der Accounts abrufbar, oft mit Gesichtsdaten
• Status-Texte: Von 29 Prozent der Nutzer erfasst, potenziell mit persönlichen Details

Meta hat die serverseitige Schwachstelle mittlerweile geschlossen, nachdem die Forscher sie verantwortungsvoll gemeldet hatten. Doch die Tragweite der möglichen Datenlecks alarmiert Cybersecurity-Experten weltweit.

Solche “Enumerierungs”-Angriffe schaffen eine Goldgrube für Betrüger. Sie ermöglichen es, reale Identitäten mit Telefonnummern zu verknüpfen und gezielte Phishing-Kampagnen zu starten. Besonders brisant: Die erfassten Profilbilder lassen sich problemlos mit Gesichtserkennungssoftware analysieren und mit öffentlichen Social-Media-Profilen oder Datenbanken abgleichen.

Australien: Digitaler Rauswurf für Teenager

Während die Tech-Welt den WhatsApp-Skandal verdaut, beginnt in Australien ein beispielloses digitales Experiment. Ab dem 10. Dezember 2025 tritt der Online Safety Amendment Act in Kraft – und zwingt Plattformen zum Massenausschluss Minderjähriger.

Meta machte am 20. November den Anfang. Tausende junge australische Nutzer auf Instagram und Facebook erhielten Warnungen: Sie haben zwei Wochen Zeit, ihre Daten zu sichern und digitale Erinnerungen zu archivieren, bevor ihre Accounts deaktiviert werden.

“Wir beginnen heute, betroffene Teenager zu benachrichtigen, damit sie die Möglichkeit haben, ihre Kontakte und Erinnerungen zu sichern”, erklärte Meta in einer Pressemitteilung.

Die harten Fakten des Gesetzes:

• Bußgelder: Bis zu 67 Millionen Euro für Plattformen, die nicht kooperieren
• Betroffene Dienste: TikTok, Snapchat, Instagram, X (ehemals Twitter) und Facebook
• Ausnahmen: Bildungsrelevante Tools wie Google Classroom – und ausgerechnet WhatsApp bleiben verschont
• Verantwortung: Liegt vollständig bei den Tech-Konzernen, nicht bei Eltern

Anders als frühere Regelungen, die auf elterliche Zustimmung setzten, ist dieses Verbot absolut. Die Plattformen müssen “angemessene Schritte” zur Altersverifikation nachweisen – wobei die genaue Definition von “angemessen” zwischen Industrie und der eSafety-Behörde umstritten bleibt.

Das Privatsphäre-Paradoxon

Das zeitliche Zusammentreffen beider Ereignisse offenbart ein brisantes Dilemma der digitalen Ära. Die australische Regierung argumentiert, strenge Ausschlüsse seien notwendig, um Kinder vor psychischen Schäden und Gefahren im Netz zu schützen. Gleichzeitig zeigt die WhatsApp-Schwachstelle: Selbst “sichere” Plattformen können Nutzer ungewollt globaler Überwachung und Datenkratzern aussetzen.

Kritiker des Altersverbots, darunter Bürgerrechtsorganisationen, warnen: Wer sein Alter nachweisen muss, gibt oft noch sensiblere Daten preis – etwa Ausweisdokumente oder biometrische Gesichtsscans. Und das ausgerechnet an Unternehmen, die immer wieder von Datenpannen betroffen sind.

“Die Ironie ist kaum zu überbieten”, kommentierte ein Cybersecurity-Analyst am Wochenende. “Wir bitten Bürger, diesen Plattformen hochsensible Identitätsdokumente anzuvertrauen – in derselben Woche, in der wir erfahren, dass eine der ‘sichersten’ Apps des Planeten für 3,5 Milliarden Telefonnummern abgefragt werden konnte.”

Die WhatsApp-Forscher selbst betonen dieses Risiko. Die zugänglichen Profilbilder ließen sich mühelos mit Gesichtserkennungstechnologie verarbeiten, um anonyme Nummern mit öffentlichen Social-Media-Profilen oder Behördendatenbanken zu verknüpfen.

Ein fragmentiertes Internet?

Während die Frist für das australische Verbot näher rückt, beobachtet die Welt gespannt. Großbritannien und mehrere EU-Mitgliedstaaten zeigen Interesse am Ausgang des legislativen Experiments. Bei Erfolg könnte ein Dominoeffekt ähnlicher Altersbeschränkungen weltweit folgen.

Die Cybersecurity-Implikationen der WhatsApp-Schwachstelle werden jedoch noch lange nachwirken. Meta hat zwar die spezifische Lücke geschlossen, die das Wiener Team ausnutzte. Doch der Vorfall unterstreicht die inhärenten Risiken, Telefonnummern als primäre digitale Kennungen zu verwenden.

Millionen australischer Teenager stehen vor einem digitalen Sonnenuntergang ihres Soziallebens. Gleichzeitig werden Milliarden WhatsApp-Nutzer weltweit daran erinnert: “Verschlüsselt” bedeutet nicht automatisch “unsichtbar”.

Sofortmaßnahmen für Nutzer

WhatsApp-Nutzer weltweit: Überprüfen Sie umgehend Ihre Privatsphäre-Einstellungen. Setzen Sie die Sichtbarkeit von “Profilbild” und “Info” auf “Meine Kontakte” oder “Niemand”, um künftiges Daten-Scraping zu erschweren.

Australische Familien: Bereiten Sie sich auf Account-Deaktivierungen ab dem 10. Dezember vor. Nutzen Sie die “Deine Informationen herunterladen”-Funktion auf Instagram und Facebook, um Fotos und Nachrichten vor der Frist zu sichern.

Allgemeine Vorsicht: Rechnen Sie in den kommenden Wochen mit vermehrten unerwünschten Nachrichten oder Anrufen. Gescrapte Datensätze werden häufig für neue Wellen von Spam und Phishing-Versuchen genutzt.

PS: Sie sind von möglichen Account‑Deaktivierungen und Datenlecks betroffen? Dieses Gratis‑Paket zeigt die fünf wichtigsten Maßnahmen, mit denen Sie Ihr Smartphone, WhatsApp und andere Social‑Apps besser absichern — inklusive Anleitung zum Profilbild‑Schutz, Kontakte‑Sichtbarkeit, App‑Berechtigungen und Phishing‑Erkennung. Die leicht verständlichen Schritt‑für‑Schritt-Anleitungen funktionieren ohne Zusatz‑Apps und enthalten eine E‑Mail‑Checkliste zum direkten Abhaken. Außerdem erfahren Sie, wie Sie Backups richtig erstellen und welche Sofortmaßnahmen helfen, wenn Sie verdächtige Nachrichten erhalten. Gratis-Android-Schutzpaket herunterladen