Whatsapp: Wie riskant ist der Messagingdienst?

Beachten Sie zu diesem Artikel auch den Folgebeitrag: Was bleibt von der Kritik an Whatsapp?

Die Geschichte von Whatsapp ist eine Geschichte voller Berichte über Risiken und Gefahren, in die sich erst in letzter Zeit einige positive Nachrichten mischten: Ende 2014 kündigte der mitttlerweile zu Facebook gehörige Dienst an, dass er die Mitteilungen seiner Nutzer durchgängig verschlüsseln werde. Nur wenige Wochen zuvor musste sich Whatsapp dem Druck vieler Nutzer beugen, als es darum ging, nicht stets mit blauen Häkchen anzuzeigen, wenn die Adressaten eine Nachricht aufgerufen haben.

Auch eine im Juli 2013 bekannt gewordene Sicherheitslücke, durch die Angreifer auf Konten bei Paypal und anderen Bezahldiensten zugreifen konnten, lastete auf Whatsapp – ebenso wie eine Schadsoftware namens „Piryanka“. Schon im Frühjahr 2013 wiesen niederländische und kanadische Datenschützer auf eine Lücke beim Anmeldeprozess hin: Sie machte es möglich, dass Dritte eine Whatsapp-Identität stehlen und missbrauchen können. Dass die Whatsapp-Macher weder direkt darauf reagierten noch eindeutige Sicherheitsupdates zur Verfügung stellten, befremdete viele Nutzer. Einige wanderten ab, gleichzeitig begannen zahlreiche Entwicklerteams und Firmen, an Alternativdiensten zu arbeiten. Eine Entwicklung, die auch durch Edward Snowden und die Überwachungs- und Spionageaffäre noch an Fahrt gewann.

Bis heute steht Whatsapp im Ruf, intransparent zu agieren. Dem grundsätzlichen Misstrauen wirkte die Übernahme durch Facebook kaum entgegen. Heute sieht sich Whatsapp zugleich mehr Konkurrenz gegenüber: Threema, Telegram und viele weitere Dienste werben ebenfalls um Messaging-Nutzer. Bisher kann jedoch keiner an die Nutzerzahlen von Whatsapp heranreichen und ihn so ernsthaft in Bedrängnis bringen. Viele Anbieter werben mit besserem Datenschutz und größerer Sicherheit. Der Markt scheint hier sensibler geworden zu sein, auch wenn sich immer wieder zeigen muss, dass dieses Versprechen wirklich befolgt wird.

Whatsapp: Der Dienst im Überblick

Um Nachrichten zu versenden, müssen Whatsapp-Nutzer sich registrieren. Dann reicht es aus, den Nutzernamen oder die Telefonnummer des jeweils anderen Nutzers zu kennen, um Nachrichten zu verschicken. Die Whatsapp-Programme kommunizieren ausschließlich über eigene Server, in die sich das jeweilige Gerät per Mobilfunk- oder WLAN-Verbindung einwählt. Gruppennachrichten und Anhänge für Fotos, Videos oder Sprachnachrichten sind ebenfalls möglich. Eine Zeit lang waren die Nutzungsgebühren je nach Gerät und Betriebssystem unterschiedlich, momentan zahlen alle Nutzer 89 Cent pro Jahr, wobei die ersten zwölf Monate kostenlos angeboten werden.

Zur großen Verbreitung von Whatsapp dürfte beigetragen haben, dass man sich schnell anmelden kann und der Dienst auf fast allen gängigen Smartphones erhältlich ist. Nach Angaben von Whatsapp sollen sich weltweit mehr als 600 Millionen Nutzer registriert haben, in Deutschland demnach rund 30 Millionen Nutzer.

Seit Januar 2015 ist Whatsapp auch über den Browser verfügbar. Das funktioniert derzeit aber nur mit Chrome und benötigt zusätzlich ein gekoppeltes Smartphone mit Android, Windows Phone oder Blackberry.

Wichtiger als Facebook

Einer 2014 veröffentlichten Erhebung des Branchenverbandes Bitkom zufolge sollen im Schnitt 70 Prozent der deutschen Jugendlichen zwischen 10 und 18 Jahren den Dienst „ab und zu aktiv“ nutzen. Laut einer Studie des „Medienpädagogischen Forschungsverbunds Südwest“ (PDF) sollen 94 Prozent der Besitzer von internetfähigen Handys Whatsapp installiert haben. Dort wird auch beziffert, dass die befragten Jugendlichen durchschnittlich 26 mal pro Tag Whatsapp aufrufen.

Man kann daher davon ausgehen, dass Whatsapp für Jugendliche heute größere Bedeutung hat als SMS und andere Kommunikationsdienste inklusive Facebook. Wohl auch ein Grund, weshalb Facebook den Dienst Anfang 2014 für rund 19 Milliarden US-Dollar übernommen hatte.

Bewegung bei sicherer Verschlüsselung

Eine der wichtigsten Neuerungen bei Whatsapp ist die Anfang Dezember 2014 angekündigte Einführung einer Ende-zu-Ende-Verschlüsselung. Hier kooperiert Whatsapp mit den Entwicklern von Open Whisper Systems. Sie sind für die Entwicklung des verschlüsselten Messaging-Dienstes „Textsecure“ bekannt und genießen in Fachkreisen einen guten Ruf. So kommt dort unter anderem eine „Forward Secrecy“ genannte Technik zum Einsatz, die für jede Nachricht einen neuen Schlüssel erzeugt. Das schützt davor, dass im Zweifel alle Nachrichten auf einen Streich nachträglich entschlüsselt werden können.

Für diesen Schritt erhielt Whatsapp von vielen Seiten Zuspruch, da durch die Einführung potenziell Millionen von Nutzern besser geschützt sind. Allerdings ist die Ende-zu-Ende-Verschlüsselung noch nicht für alle Plattformen aktiviert. iOS-Nutzer von Whatsapp müssen noch warten. Zudem funktioniert die Verschlüsselung nur für persönliche Nachrichten, nicht für Gruppen-Chats oder Fotos und Videos. Daran arbeiteten die Entwickler noch, heißt es.

Positiv fällt ebenfalls auf: Bei den Entwicklungen von „Open Whisper Systems“ liegt der Quellcode offen, so dass man ihn öffentlich überprüfen kann. Die neue Offenheit von Whatsapp beschränkt sich aber auf die hinzugefügte Verschlüsselungs-Technik, während andere Programmteile verschlossen bleiben.

Kritiker weisen jedoch darauf hin, dass Whatsapp nach US-amerikanischen Gesetzen weiterhin gezwungen ist, den US-Behörden einen Zugriff auf persönliche Daten zu ermöglichen – und dies dann auch geheim halten müsste. Somit lässt sich nicht ausschließen, dass der Dienst dennoch Hintertüren enthalten könnte oder es Nachschlüssel gibt.

Datenschutz und Datensicherheit

Als Problem betrachten Kritiker weiterhin, dass der Dienst regelmäßig Adressbuchdaten an die Whatsapp-Server in den USA übermittelt – zumindest, wenn Nutzer das nicht per Voreinstellung blockieren. Das ist aber nur bei einigen Versionen möglich und führt laut Whatsapp zu Einschränkungen im Funktionsumfang. Trotz der Kritik rückte Whatsapp von dieser Praxis bis heute nicht ab.

Auch der Anmeldeprozesses hat bereits zu Sorgen von Datenschützern geführt: Um zu überprüfen, ob sich wirklich der registrierte Nutzer und nicht ein Dritter einwählt, verknüpfte der Dienst in einer früheren Version die Logindaten mit der Gerätenummer des Telefons, wie kanadische und niederländische Datenschutzbehörden im Frühjahr 2013 herausfanden. Der Administrator eines WLAN-Netzwerks beispielsweise kann diese Nummer sehen. Auf diesem Weg sei es daher möglich gewesen, ein Whatsapp-Konto zu kapern (Identitätsdiebstahl).

Zumindest diesen vormals unsicheren Registrierungsprozess hat Whatsapp aber verbessert: Es versendet nun eine SMS mit einem Bestätigungscode, den der Nutzer eingeben muss, was den Diebstahl eines Benutzerkontos deutlich schwieriger macht.

Whatsapps „Datenschutz“-Einstellungen

Whatsapp vermag zumindest manchmal durchaus auf Kritik einzugehen. So erhielt die App erweiterte Einstellungsmöglichkeiten, die sich „Datenschutz“ nennen (für iOS ab Version 2.11.8, für Android ab 2.11.186). Man findet sie unter „Einstellungen > Account > Datenschutz“. Dort lässt sich festlegen, für wen das Profilbild, der aktuelle Status und Angaben zu den Online-Aktivitäten sichtbar sein sollen.

Hier lassen sich auch einzelne Kontakte blockieren sowie alle blockierten Kontakte anzeigen. Diese Einstellungen wirken sich also – ähnlich wie bei Facebook – auf die Sichtbarkeit mancher Daten aus, haben aber nichts mit der tatsächlichen Erhebung und Nutzung von Daten zu tun, wie sie in den Datenschutzgesetzen geregelt ist.

Whatsapp bedeckt bei Sicherheitslücken

Fraglich bleibt bis heute, ob eine Sicherheitslücke in der Android-Version definitiv geschlossen wurde, die das Auslesen von Daten der App durch andere Android-Apps ermöglicht hatte. Zu den ungeklärten Fragen bei Whatsapp gehört auch der Wurm „Piryanka“. Er tarnte sich als Kontaktaufnahme bei Whatsapp, bahnte sich so den Weg auf Android-Geräte, wo er sich im Adressbuch einnistete und weiter verbreitete. Er wurde im Sommer 2013 aufgedeckt. Whatsapp schob zwar Aktualisierungen nach, doch keine weiteren Informationen oder eine Bestätigung, dass er keine Gefahr mehr darstellen würde.

Lücken bleiben, etwa beim Online-Status

Ende September 2014 fand Heise Online zudem eine weitere Schwachstelle, die den Online-Status verraten kann: „Um den Online-Status einer beliebigen Rufnummer abzurufen, muss man diese lediglich zu den Kontakten hinzufügen und ein Chat-Fenster öffnen. Der Besitzer der Rufnummer bekommt davon nichts mit und muss auch nichts bestätigen“. Obwohl Whatsapp in den „Datenschutz“-Einstellungen eine entsprechende Optionen anbietet, ist es offenbar möglich, dass andere Nutzer den Status herausfinden können, selbst wenn man das eigentlich verhindern will.

Ein Student nutzte diese Lücke dafür, ein Programm zu entwickeln, das Screenshots der Statusmeldungen erstellt und automatisiert auswertet. Forscher der Universität Erlangen-Nürnberg dokumentieren zudem den Online-Status von 1.000 zufällig ausgesuchten Whatsapp-Nutzern auf einer speziell eingerichteten Website. Aus den Daten, wer den Dienst wann einschaltet, auschaltet und wie lange nutzt, lassen sich bereits Nutzungsprofile erstellen, so die Forscher.

Einen Schritt weiter ging der niederländische Programmierer Maikel Zweerink. Er entwickelte das Programm „Whatsspy“, das er Anfang Februar 2015 vorstellte. Mit dem Werkzeug soll man den Online-Status von Whatsapp-Nutzern rund um die Uhr überwachen können. Es erfordert einen eigenen Server und gewisse Zugriffsrechte auf das genutzte Smartphone. Alternativ sollen auch „etwas PHP-Kenntnisse“ genügen, wie Heise Online berichtet. Er wolle mit dem Programm auf die „kaputten Privatsphäre-Einstellungen“ bei Whatsapp hinweisen, erklärt Zweerink.

Alles in allem gibt es einen deutlich erkennbaren Widerspruch zwischen dem offiziellen Datenschutzversprechen von Whatsapp und den immer wieder bekannt gewordenen Sicherheitslücken und Möglichkeiten, Daten dennoch abzugreifen. Wirklich klar geäußert hat sich das Unternehmen dazu bisher nicht.

Lesebestätigung jetzt überwiegend optional

Anders ging Whatsapp mit der Anfang November 2014 eingeführten Lesebestätigung für Nachrichten um. Zunächst hatte Whatsapp die blauen Häkchen fest eingebaut, die beim Absender hinter einer versendeten Nachricht erscheinen, sobald sie gelesen wurden. Nach großem Protest der Nutzerschaft veröffentlichte Whatsapp neue Versionen, in denen sich die Lesebestätigung ein- und abschalten lässt. Allerdings gilt dies noch nicht für alle Versionen und Betriebssysteme. So sind die blauen Häkchen in der iOS-Version noch immer nicht konfigurierbar.

Auch Web-Version mit Mängeln

Seit Januar bietet Whatsapp auch eine Web-Version an. [Update 3.3.2015]: Derzeit ist sie mit den Browsern Chrome, Firefox und Opera lauffähig und funktioniert im Zusammenspiel mit Android-, Blackberry-, Windows Phone- und älteren Nokia-Geräten, auf denen Whatsapp installiert ist; die Anpassung an iOS-Geräte sei aber bereits in Arbeit. Beim Austausch der Daten zwischen Telefon und Computer soll aber eine neue Sicherheitslücke bestehen. Dem Sicherheitsforschers Indrajeet Bhuyan zufolge sind in der Web-Version von Whatsapp auch solche Fotos sichtbar, die auf dem Telefon bereits gelöscht wurden. Zudem hat die Browser-Version von Whatsapp offenbar Probleme damit, Sichtbarkeitseinstellungen der Nutzer zu übernehmen und abzugleichen.

Kleingedrucktes nur auf Englisch

Ein Manko von Whatsapp ist, dass die Nutzungsbestimmungen ebenso wie die Datenschutz-Erklärung nur auf Englisch vorliegen. Zwar hat das Unternehmen keine Niederlassung in Deutschland und sitzt in Kalifornien, spricht seine Kunden aber sonst auf Deutsch an. Liegen Allgemeine Geschäftsbedingungen (AGB) nur auf Englisch vor, können sie unwirksam sein.

Dies gehört auch zu den Punkten, die Verbraucherschützer zum Anlass einer Klage vor dem Landesgericht Berlin nahmen. In einer ersten Entscheidung gab das Gericht ihnen Recht, AGB auf Englisch reichten nicht aus. Das Urteil ist allerdings noch nicht rechtskräftig, sodass Whatsapp die AGB bislang nicht anpassen musste.

Datennutzung laut AGB

Auch der Zugriff auf das Telefonbuch des Nutzers durch Whatsapp ist nach wie vor Standard und lässt sich zumindest bei Android-Geräten nicht ohne weiteres verhindern. Immerhin können das die Nutzer der iOS-Version über eine eine Einstellung ihres Systems, müssen dann aber Funktionseinbußen in Kauf nehmen.

Whatsapp versichert, dass auf den Whatsapp-Servern nur die Telefonnummern und Nutzernamen gespeichert würden, nicht aber E-Mail-Adressen oder andere Kontaktinformationen. Um einen Kontakt anzuzeigen, würde dessen Nutzername aus der Kontaktliste auf dem Gerät des Nutzers ausgelesen.

Desweiteren heißt es in den Bestimmungen, dass der Dienst werbefrei sei. Für sich selbst darf Whatsapp laut AGB alle persönlich identifizierbaren Informationen zur „Analyse, Weiterentwicklung und Eigenwerbung“ verwenden. Die Textbotschaften der Nutzer werden, so die Firmenangaben, von den Servern des Unternehmens gelöscht, nachdem sie zugestellt wurden. Anderenfalls würden sie maximal 30 Tage gespeichert, Anhänge etwas länger.

Hin und wieder tat sich etwas bei Whatsapp, doch weist Whatsapp seine Nutzer nicht immer auf Änderungen im Kleingedruckten hin. Sie müssen also von sich aus etwaige Neuerungen erkunden. Das wirft ein schlechtes Licht auf das Unternehmen. Zuletzt änderte Whatsapp die Nutzungsbedingungen nach eigenen Angaben im Juli 2012, also vor fast drei Jahren. Angesichts der zahlreichen Kritikpunkte, die seitdem öffentlich wurden, könnte man als Nutzer hier eigentlich Nachbesserungen erwarten. Zumindest die eigenen Hilfe- und Supportseiten hat Whatsapp zuletzt aber erweitert, etwa mit einer Fragesammlung.

Rufnummernwechsel mit Folgen

Wer seine Mobilfunknummer wechseln und dies dem Whatsapp-System beibringen will, findet auch dazu bei Whatsapp nun etwas mehr Informationen. Solange neue Nummer und Whatsapp-Konto nicht verknüpft sind, landen Whatsapp-Nachrichten an die alte Nummer womöglich bei einem fremden Nutzer, dem die frei gewordene Nummer dann zugeteilt wurde. Auch Chatverläufe seien dann sichtbar, so zumindest ein Bericht von „Stern TV” vom Dezember 2014.

Fazit

Wer Whatsapp benutzt, dem sollte klar sein, dass der Dienst bislang immer wieder durch Sicherheitslücken auffiel und nicht gerade den Eindruck erweckte, mit den Daten seiner Nutzer so verantwortungsvoll umzugehen, wie sie es bei Messaging-Diensten erwarten können.

Immerhin: Whatsapp hat mit dem Einbau einer Ende-zu-Ende-Verschlüsselung ein für viele überraschendes Bekenntnis zu mehr Datensicherheit abgelegt, das jetzt auch für alle Versionen und Varianten umgesetzt werden muss. Doch ungewollte Einblicke in das Nutzerverhalten sind auch an anderen Stellen möglich.

Dabei ist die Konkurrenz groß: Threema, Wire, Telegram, Textsecure & Signal, Chaton, Wire, Line, Viber, Surespot und viele andere Dienste stehen neben Whatsapp bereit. Doch auch viele dieser Dienste können ihre Versprechen noch nicht einlösen und sind meist auch nicht so weit verbreitet.

Die US-amerikanische Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) vergleicht in ihrem Projekt Secure Messaging Scorecard die Anbieter. Hier schneidet Whatsapp nur in 2 von 7 Kategorien gut ab. Um datenschutz- und sicherheitsbewusste Nutzer zu überzeugen, müsste der Dienst noch an vielen weiteren Stellen nachbessern.

Dieser Artikel wurde zuerst veröffentlicht am 19. August 2013, zuletzt aktualisiert am 23. Februar 2015 (Aktualisierungen zur Verschlüsselung, Funktionsumfang, zur Web-Version, Sicherheitslücken und Rechtsprechung).