Geschrieben am 15.05.2019 von:
Der WhatsApp-Anbieter Facebook hat alle Nutzer aufgefordert, die Messaging-App schnellstmöglich auf den neuesten Stand zu bringen. Nachdem eine erhebliche Sicherheitslücke bekannt wurde, steht seit Montagabend ein entsprechendes Update zur Verfügung. Was bedeutet diese Sicherheitslücke? Wer ist hiervon betroffen? Und wie können Sie sich schützen?
Bedeutung der Sicherheitslücke
Aus einem Hinweis von Facebook geht hervor, dass bei WhatsApp eine Sicherheitslücke (CVE-2019-3568) entdeckt wurde. Angreifer können dadurch unbemerkt eine Spyware (Spionagesoftware) auf Endgeräten installieren, die dann mit einem präparierten WhatsApp-Anruf infiziert werden. Bemerkenswert ist, dass die Infizierung bzw. die Ausführung des Schadcodes unabhängig von einer Entgegennahme des Anrufs erfolgen kann. Die Anrufe werden anschließend häufig von der WhatsApp-Anrufliste gelöscht und deswegen nicht bemerkt. Es soll sich hierbei um eine Spyware der israelischen Firma NSO handeln, die ihre Überwachungssoftware nach eigenen Angaben Regierungen und Sicherheitsbehörden zur Nutzung überlässt. Die Sicherheitslücke ist laut Presseberichten zwischenzeitlich geschlossen.
Die erfolgreiche Installation einer Spyware erlaubt den Angreifern einen Fernzugriff auf das infizierte Gerät und damit ungehinderten Zugang zum gesamten System. Abhängig von der im Einzelfall genutzten Spyware können die Angreifer Mikrofone und Kameras von Smartphones aktivieren oder E-Mails lesen.
Es ist nicht bekannt, wie oft diese Sicherheitslücke tatsächlich von Cyber-Angreifern ausgenutzt wurde und inwieweit auch Nutzer aus der EU betroffen sind. Die Cyber-Attacken sollen sich nur gegen ausgewählte Nutzer gerichtet haben. So soll unter anderem ein Menschenrechtsanwalt betroffen sein, der auf seinem Smartphone verdächtige WhatsApp-Anrufe bemerkte und infolgedessen Alarm schlug. Die Cyber-Attacken auf seinem Handy seien aber von WhatsApp erfolgreich abgewehrt worden.
Wer ist von dieser Sicherheitslücke betroffen?
Dem bereits oben genannten Hinweis von Facebook kann entnommen werden, dass nur folgende WhatsApp-Versionen als abgesichert gelten:
- Android: v2.19.134
- Business for Android: v2.19.44
- iOS: v2.19.51
- Business for iOS: v2.19.51
- Windows Phone: v2.18.348
- Tizen: v2.18.15.
Die vorhergehenden Versionen sind von der Sicherheitslücke bedroht, sodass die Nutzer hier aktiv werden müssen. Sie sollten umgehend prüfen, ob Sie WhatsApp bereits aktualisiert haben. Falls nicht, sollte das von Facebook zur Verfügung gestellte Update schnellstmöglich installiert werden, um die Sicherheitslücke zu schließen. Darüber hinaus sollte das jeweilige Betriebssystem auf den aktuellen Stand gebracht werden.
Diese Schritte sollen unabhängig von einem Sicherheitsvorfall regelmäßig wiederholt werden, um für ein angemessenes Sicherheitsniveau auf dem Smartphone zu sorgen.
Meldung an die Aufsichtsbehörde
Facebook hat die innerhalb der EU zuständige irische Datenschutzbehörde (DPC) bereits nach Art. 33 DS-GVO über die Datenschutzverletzung informiert. Die DPC prüft aktuell, ob und in wie vielen Fällen personenbezogene Daten von EU-Nutzern betroffen sind. Dieser jüngste Vorfall fügt sich damit in eine Reihe von Ermittlungen ein, die aktuell gegen Facebook geführt werden.
Der Sicherheitsvorfall zeigt erneut, wie unsicher Messaging-Dienste sind und welche Gefahren durch Cyber-Kriminalität drohen können. Nach der kürzlich veröffentlichten 9. „Cost of Cybercrime“-Studie, die in 11 Ländern durchgeführt wurde, stiegen die durchschnittlichen Kosten im Zusammenhang mit Cyber-Angriffen für deutsche Unternehmen im Jahr 2018 auf rund 13 Millionen US-Dollar. Die weiterhin hohe Gefährdungslage wird auch durch den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) bestätigt.
Somit bleibt die IT-Sicherheit nach wie vor ein Thema, das von Unternehmen mit einem besonderen Augenmerk verfolgt werden soll. Vor allem die Implementierung und Verwendung eines unternehmensinternen Messaging-Dienstes bedarf einer besonderen Prüfung, um auch den datenschutzrechtlichen Anforderungen zu genügen. So wird die Verwendung von WhatsApp in Unternehmen von den Datenschutzbehörden als sehr kritisch gesehen.