WhatsApp: Unter Android verschlüsselt, unter iOS im Klartext
Nachdem sich der von Facebook betreute Kurznachrichten-Dienst WhatsApp erst am Mittwoch gegen die Vorwürfe eines Tech-Bloggers verteidigen musste, die Anwendung würde laufende VoIP-Telefonate ungefragt mitzuschneiden (ein unberechtigter Einwurf, wie sich zwischenzeitlich herausstellte) macht das IT-Portal Heise Security heute eine neue Baustelle auf.
Bild: Shutterstock
Die von WhatsApp eingesetzte Verschlüsselung ist unzureichend implementiert und vor allem auf iOS-Geräten so gut wie zwecklos. Heise Security hat die seit mehreren Monaten eingesetzte Ende-zu-Ende-Verschlüsselung genau unter die Lupe genommen und geht mit der Facebook-Tochter hart ins Gericht.
So heißt es in diesem Hintergrundartikel zum Thema:
Das Team von heise Security untersuchte unter anderem die Verschlüsselung der Datenpakete des Messengers. Dabei konnte bestätigt werden, dass bei den testweise von Android-Smartphones verschickten Nachrichten wirklich die Ende-zu-Ende-Verschlüsselung von TextSecure angewendet wird. Nachrichten von, beziehungsweise an iPhones wurden hingegen ohne die Ende-zu-Ende-Verschlüsselung verschickt. Normale WhatsApp-Nutzer können den Unterschied nicht erkennen.
Zwar räumen die Tester Wissenslücken ein, die auch mit dem Einsatz des Packet-Sniffers Wireshark nicht aufgeklärt werden konnten, warnen unter dem Strich aber davor, der App einen zu großen Vertrauensvorschuss zu spendieren. WhatsApp sei „unsicher, trotz Ende-zu-Ende-Verschlüsselung“.
Wir wissen etwa nicht, ob die E2E-Verschlüsselung tatsächlich immer zum Einsatz kommt, wenn es möglich ist, oder nach bestimmten Kriterien auch mal ausgesetzt wird – etwa auf Anfrage gewisser Dienste oder in bestimmten Ländern. Grundsätzlich ist ein solcher Schalter ja durchaus vorgesehen. Schließlich sendet jeder WhatsApp-Client auch ungesicherte Nachrichten etwa an iPhones ohne E2E-Verschlüsselung. […] Erschwerend hinzu kommt, dass es zumindest nach unserem Kenntnisstand nicht einmal ein Commitment von WhatsApp zu konsequenter E2E-Verschlüsselung gibt. Damit bleibt das Ganze bisher leider nur eine Geste.
Danke Peter.