„Die Verantwortung für alles, was auf dem Kinderhandy passiert, liegt bei den Eltern”
Donnerstagmorgen, 8:30 Uhr in einer Grundschule in Berlin-Mitte. Julian Bühler steht auf der Bühne in der Aula, in den Reihen vor ihm sitzen Kinder aus der fünften und sechsten Klasse, Zehn- bis Elfjährige. In den kommenden anderthalb Stunden spricht Bühler mit ihnen über Dinge, die für die meisten von ihnen zum Alltag gehören: ihre liebsten Apps, die Zahl der Push-Benachrichtigungen, die sie pro Tag bekommen, über Gruselvideos und Nacktaufnahmen. Sie melden sich, als er fragt, ob sie schon mal Einladungen von Fremden auf WhatsApp gefolgt sind, und erkennen sofort ein Bild aus der blutrünstigen Netflix-Serie Squid Game.
„Wie alt seid ihr denn auf TikTok?“, will Bühler wissen. Die Kinder lachen auf, einige rufen rein: „18!“, „25!“. Bühler hat diese Antworten wohl schon erwartet. „Und wie habt ihr das gemacht? Ach so, ihr habt bei der Anmeldung gelogen!“, feixt er. „Anscheinend muss man das, wenn man TikTok benutzen will in eurem Alter.“ Gelächter und Zustimmung.
Mehrmals im Monat steht Bühler vor Schüler*innen, von der ersten Klasse bis zur Oberschule. Als Digitaltrainer spricht er mit den Kindern über ihre Erfahrungen im Internet und mit dem Smartphone, aber auch mit Eltern und Schulpersonal.
Er ist Kollege des Digitaltrainers Daniel Wolff, über dessen Buch wir bereits berichtet haben. Im Interview mit netzpolitik.org erzählt Bühler, was er aus den Gesprächen mit den Kindern mitgenommen hat, und warum technische Lösungen wie Alterskontrollen Eltern nicht die Verantwortung abnehmen können.
„Ohne Vertrauen geht es generell nicht“
netzpolitik.org: Julian Bühler, Sie arbeiten seit mehreren Jahren als Digitaltrainer an Schulen. Was wissen Sie über den Alltag von Kindern im Netz, das viele Erwachsene sich nie ausmalen würden?
Julian Bühler: Den Älteren ist nicht bewusst, wie komplett unterschiedlich die jüngere Generation das Smartphone benutzt. Zu vielen Smartphone-Themen kann ich vormittags bei den Schülern Fragen stellen und bekomme sofort eine Antwort von der ganzen Gruppe. Stelle ich die gleiche Frage abends vor den Eltern, gucken mich die Erwachsenen nur entgeistert an und verstehen oft schon die Frage nicht. Beide Seiten leben in verschiedenen Welten.
netzpolitik.org: Zum Beispiel?
Julian Bühler: „Wie viele Nummern habt ihr geblockt?“ oder: „Habt ihr schon mal eine Einladung in eine Gruppe bekommen und wusstet nicht von wem?“. Bei solchen Fragen melden sich fast alle Kinder. Das liegt daran, dass die Kinder ab der vierten, fünften Klasse alle WhatsApp haben und diesen Messenger für ihren Klassenchat und vieles mehr nutzen. Während Erwachsene mit WhatsApp meist einzelnen Personen schreiben, kommunizieren Kinder fast immer in Gruppen. Das macht einen starken Unterschied.
Ich sage den Eltern dann: Euer Kind hat ein Smartphone, wir müssen uns dringend über Horror, Gewalt und Pornografie unterhalten. Die sind entsetzt und antworten, ihre Kinder interessiere sich mit 10 oder 11 Jahren doch noch gar nicht für sowas. Aber das geht an der Realität vorbei, denn viele Kinder bekommen diese Inhalte, ohne je danach gesucht zu haben. Sie sind einfach in einem Gruppenchat, in dem ein anderes Kind Bilder oder Videos weiterleitet, die es zum Beispiel von älteren Freunden erhalten hat.
netzpolilitk.org: Was raten Sie Eltern in so einer Situation?
Julian Bühler: Bei jüngeren Kindern würde ich dazu raten, den Chat regelmäßig gemeinsam anzusehen und über problematische Inhalte zu diskutieren. Jeder Mensch hat allerdings auch ein Recht auf Privatsphäre, und spätestens mit dem Beginn der Pubertät sollte man diese auch dem eigenen Kind immer mehr zugestehen. Ohne Vertrauen geht es generell nicht. Eltern müssen sich bewusst sein, dass sie gegen den Willen ihrer Kinder vieles nie erfahren werden. Dabei sind zwei Punkte für Eltern besonders wichtig: Ich muss glaubhaft vermitteln, dass ich nicht in Panik geraten werde, wenn mein Kind mir komische Sachen zeigt und, dass ich das Smartphone dann nicht wegnehmen werde.
netzpolitik.org: Warum nicht?
Julian Bühler: Ich höre ständig von Kindern: „Wenn meine Eltern wüssten, was auf meinem Smartphone ist, wäre das Ding sofort weg“. Wenn Kinder dann früher oder später schlimme Dinge erleben, gemobbt werden oder Inhalte sehen, die für sie belastend sind, werden sie diese Dinge ihren Eltern nicht zeigen. Einfach aus Angst, dass sie dann ihr Smartphone verlieren. Und diese Sorge ist für Kinder immens groß, denn dieses Gerät bedeutet für sie nicht nur Spielen, Spaß haben, Blödsinn machen – es ist die soziale Schnittstelle zu allen anderen Kindern! Wer nicht im Klassenchat dabei ist, wer nicht auf den Plattformen ist, kriegt nicht mit, was der Rest der Gruppe macht. Und darum geht es für viele Kinder. Deswegen ist die ganz große Aufgabe, dem Kind immer wieder zu sagen: Egal was passiert, du kannst zu mir kommen, ich bin da und wenn es Probleme gibt, kannst du mich ansprechen ohne Angst zu haben.
„Wir brauchen eine Altersüberprüfung im Gerät“
Julian Bühler – Alle Rechte vorbehalten privat
netzpolitik.org: Derzeit diskutieren Politiker*innen in Deutschland und in der EU über mehrere gesetzliche Maßnahmen, die Kinder schützen sollen, etwa ein Social-Media-Verbot für alle unter 16. Halten Sie solche Regelungen für sinnvoll?
Julian Bühler: Die Debatte und auch die Berichterstattung ist oft undifferenziert. Da heißt es etwa: Australien hat jetzt ein Social-Media-Verbot für alle unter 16, deswegen brauchen wir das auch. Doch wenn man dann genau hinschaut, sieht man: WhatsApp wird dort gar nicht als Social-Media-App erfasst, verursacht aber oft viele Probleme. Generell gibt es jede Menge Problem-Apps, die nicht in die Kategorie Social Media fallen. Sowas ist also gerade mal eine kleine Teil-Lösung.
Ich bin der Meinung, dass wir dringend mehr Regulierung benötigen, doch es sollte klar sein, dass wir das Problem nicht allein über Verbote geregelt bekommen. Wir brauchen eine bewusste und detailreiche Auseinandersetzung mit dem Thema – für Erwachsene und für Kinder und Jugendliche.
netzpolitik.org: Welche Regeln braucht es Ihrer Meinung nach konkret?
Julian Bühler: Ich würde grundsätzlich dafür plädieren, dass Kinder bis zum 12. Lebensjahr kein eigenes Smartphone haben. Das sollte verboten werden – nicht nur während der Schulzeit, sondern grundsätzlich. Die Kinder, mit denen ich spreche, verbringen schon ab der fünften Klasse im Schnitt zwei bis drei Stunden am Handy, teils auch sieben oder acht Stunden. Und das auch an Schulen, die Handys gar nicht erlauben.
netzpolitik.org: Wie soll so ein Smartphone-Verbot für unter 12-Jährige funktionieren? In der Regel kaufen ja Erwachsene das Handy.
Julian Bühler: Wir brauchen eine Hardware-basierte Altersüberprüfung im Gerät. Die EU könnte vorschreiben, dass jedes verkaufte Handy einen „Kinderschutz-Chip“ enthalten muss. Im Verkaufszustand könnte man dann sämtliche Webseiten und Inhalte ab 18 damit nicht anzeigen. Erwachsene könnten den Chip in einem Geschäft gegen Vorlage ihres Personalausweises freischalten lassen, Kinder nicht.
„Viel schlechte Symbolpolitik“
netzpolitik.org: Das EU-Parlament hat sich gerade in einer Resolution für eine verpflichtende Alterskontrolle im Netz ausgesprochen. 13- bis 16-Jährige sollten demnach nur mit Zustimmung der Eltern Zugang zu sozialen Medien erhalten. Allerdings sollen diese Kontrollen nicht auf Geräteebene, sondern über eine App passieren, die das Alter für einzelne Webseiten und Plattformen nachweisen soll.
Julian Bühler: Der Ansatz geht in die richtige Richtung. Ich finde, für Jugendliche ab 13 sollten wir nicht von einem auf den anderen Tag alles zugänglich machen, sondern über ein Heranführen an die Technik und den Aufbau von Medienkompetenz reden. Was die App-Überprüfung angeht: Wenn man sich etwa die Altersüberprüfung auf TikTok heute anschaut, dann ist das nicht ernst zu nehmen. Da werde ich bei der Anmeldung nach meinem Geburtsjahr gefragt; und wenn es beim ersten Mal nicht klappt, verstehen die Kinder sofort, dass sie sich beim nächsten Versuch einfach älter machen müssen. Das ist lächerlich. Eine App-Kontrolle muss hier schon mehr leisten. Aber auch strengere Alterskontrollen werden uns nicht darum herumbringen, die Kinder und Jugendlichen zu begleiten.
netzpolitik.org: Schaffen technische Maßnahmen wie Alterskontrollen eher ein falsches Sicherheitsgefühl bei Eltern und Politik?
Julian Bühler: Zweifellos. Eltern müssen hier endlich ihre Verantwortung erkennen und annehmen. Und die Politik muss endlich konkrete Maßnahmen vorlegen – bisher hatten wir in diesem Bereich nur schlechte Symbolpolitik. Ernsthafter Kinderschutz im Web wurde bisher nicht umgesetzt.
netzpolitik.org: Das Gesetz für digitale Dienste der EU sieht heute schon vor, dass Plattformen für die Sicherheit ihrer minderjährigen Nutzer*innen sorgen und diese vor illegalen Inhalten schützen müssen – etwa per Altersschranke. Das betrifft nicht nur Pornoseiten, sondern auch TikTok oder Instagram.
Julian Bühler: Das ist richtig so. Ich bin äußerst skeptisch, dass die Firmen von allein zu einer sinnvollen Lösung kommen. Die großen Konzerne wie zum Beispiel Meta haben über die letzten Jahre immer wieder klar gezeigt, dass sie gar kein Interesse an einer sinnvollen Kinderschutzlösung haben. Man wird sie dazu zwingen müssen.
„Man muss für das Kind da sein“
netzpolitik.org: Es gibt heute schon eine Reihe von Möglichkeiten, um Kinderhandys abzusichern. Apple und Google bieten in ihren Betriebssystemen einen begleiteten Elternmodus an. Was halten Sie davon?
Uns fehlen dieses Jahr noch 244.546 Euro.
Bist Du auch Feuer und Flamme für Grundrechte? Dann unterstütze jetzt unsere Arbeit mit einer Spende.
Bist Du auch Feuer und Flamme für Grundrechte? Dann unterstütze jetzt unsere Arbeit mit einer Spende.
Julian Bühler: Eltern fragen mich oft nach diesen technischen Lösungen. Die sind auch gut, um die Bildschirmzeit und die Auswahl der Apps zu begrenzen. Allerdings werden hier keine Inhalte in den Apps kontrolliert oder beschränkt. Die traurige Wahrheit ist, dass sich das Problem nicht mit der Anschaffung einer Sicherheitssoftware lösen lässt. Die Aufgabenstellung ist, das Kind über Jahre hinweg in der Auseinandersetzung mit digitalen Medien zu begleiten. Dafür muss man als Elternteil wesentlich mehr machen als Schutz-Software zu installieren. Man muss für das Kind da sein.
netzpolitik.org: Wenn Kinder statt technischer Lösungen vor allem Erwachsene brauchen, die sich Zeit nehmen – was halten Sie von politischen Maßnahmen wie verlässlicher Betreuung, mehr Möglichkeiten für Teilzeit oder höheres Kindergeld?
Julian Bühler: Der mangelnde Kenntnisstand von Eltern ist nicht unbedingt an mangelnder Zeit festzumachen. Wir brauchen eher mehr digitale Bildung. Oft kennen sich ja schon die Erwachsenen nicht gut mit den Geräten aus, die sie benutzen und kennen die Gefahren gar nicht. Wie sollen sie dann einen verantwortungsvollen Umgang mit dem Smartphone an die Kinder vermitteln? Hier brauchen wir ein anderes Bewusstsein.
Um das einmal klar zu sagen: Die Verantwortung für alles, was auf dem Kinderhandy passiert, liegt bei den Eltern. Die meisten Eltern haben diese Verantwortung nicht erkannt und nicht angenommen. Wir müssten erst mal durchsetzen, dass Eltern das verstehen.
Was Kinder im Netz erleben, und was Politik daraus lernen kann
netzpolitik.org: Hätte es einen Vorteil, wenn der Klassenchat wenigstens von WhatsApp auf alternative Messenger wie Signal verlegt würde?
Julian Bühler: Das wäre positiv, doch an der Grundthematik, dass Kinder problematische Inhalte teilen können, ändert das nichts – weil auch da keine Inhaltskontrolle stattfindet. Aus Sicht des Kinderschutzes müssten die Inhalte in der App irgendwie maschinell kontrolliert werden. Da gibt es natürlich viele Gegenstimmen, die das auf keinen Fall wollen, weil sie fürchten, das könnte auch außerhalb des Kinderschutzes zum Tragen kommen.
„Wir lassen da eine ganze Generation gegen die Wand laufen“
netzpolitik.org: Das führt uns zur Debatte um die sogenannte Chatkontrolle in der EU. Die EU-Kommission und einzelne Mitgliedstaaten wollten, dass Anbieter auf Anordnung die verschlüsselten Inhalte in Messengern durchsuchen müssen, um darin nach Darstellungen sexualisierter Gewalt an Kindern zu suchen. Dazu müsste allerdings die Verschlüsselung umgangen werden mit Folgen für die Grundrechte aller. Nach eindringlichen Warnungen aus der Zivilgesellschaft und der Wissenschaft haben sich, Stand aktuell, sowohl der Rat als auch das Parlament der Europäischen Union hierzu kritisch positioniert.
Julian Bühler: Technisch können wir alle möglichen Dinge diskutieren. Es ist ein politisches Versagen, dass bei digitalen Medien seit Jahren kein sinnvoller Kinderschutz umgesetzt wurde und wir die jungen Menschen einfach schutzlos lassen. Laut der gerade erschienenen Studie der Landesanstalt für Medien NRW hat mittlerweile bereits jedes dritte Kind im Alter von 11 bis 13 Jahren Kontakt zu Pornos. Viele ungewollt, weil sie die Inhalte einfach zugeschickt bekommen. Das gleiche gilt für extreme Horror- und Gewalt-Videos. Diese Zahlen steigen seit Jahren, doch wir tun nichts dagegen und nehmen hin, dass sich die Kinder daran gewöhnen. Welche Folgen das hat, werden wir wahrscheinlich erst in vielen Jahren erkennen. Aus meiner Sicht lassen wir da eine ganze Generation gegen die Wand laufen und das ist verantwortungslos.
netzpolitik.org: Was würden Sie sich wünschen?
Julian Bühler: Es braucht den politischen Willen, sich von plakativen Forderungen zu trennen und sich ernsthaft mit dem Thema zu beschäftigen. Weder Social Media ab 16 noch andere Verbotsforderungen sind eine vollständige Lösung. Bei mir rufen Grundschulen an und berichten von Fällen, bei denen sich 9-jährige Mädchen ausziehen, sich nackt filmen und das im Klassenchat teilen. Weil sie halt nachmachen, was sie in Videos gesehen haben. Das wäre ohne Smartphones alles nicht denkbar. Da komme ich auch an meine Grenzen. Dass die Politik hier nichts unternimmt, ist absurd.
netzpolitik.org: Die Bundesregierung hat im Herbst eine Expert*innenkommission für „Kinder- und Jugendschutz in der digitalen Welt“ eingesetzt. Die soll ein Jahr lang Empfehlungen erarbeiten.
Julian Bühler: Das ist toll, wenn daraus auch bald konkrete Maßnahmen entstehen. Die Zeit drängt.
Wenn jemand im Telekom-Netz von einer inländischen oder ausländischen Nummer angerufen wird, die in einer Datenbank als unseriös oder betrügerisch erfasst ist, dann erscheint auf dem Smartphone-Display den Angaben zufolge der Hinweis „Vorsicht, möglicher Betrug!“.
Weiterlesen nach der Anzeige
Vodafone ist voraus, O2 lässt auf sich warten
Vodafone hat ein ähnliches Warnsystem bereits im Mai aktiviert, seither hat dieser Spam-Warner Firmenangaben zufolge bereits 50 Millionen Mal Alarm geschlagen. Nur 12 Prozent der Anrufe werden trotzdem angenommen, bei anonymen Anrufen – also wenn keine Nummer im Display erscheint – liegt die Annahmequote bei 60 Prozent.
Lesen Sie auch
Die Anrufe, bei denen vorher der Betrugshinweis sichtbar war, dauerten laut Vodafone in 90 Prozent der Fälle weniger als 30 Sekunden – also sehr kurz, was ein gutes Zeichen ist: Vermutlich waren die allermeisten Angerufenen auf der Hut und legten ruckzuck wieder auf, noch bevor der Betrüger seine rhetorischen Winkelzüge vollziehen konnte. Die Betrugsanrufe kamen nicht nur aus Deutschland, sondern besonders häufig auch aus den Niederlanden, aus Österreich, Italien und dem Vereinigten Königreich.
Betrüger wollen Bankdaten oder Passwörter
„Betrüger sind oft sehr geschickt darin, Vertrauen aufzubauen – sei es durch vermeintliche Gewinnspiele oder Umfragen“, warnt Marc Atkins, Leiter der Cyber-Sicherheitszentrale von Vodafone Deutschland. Solche Methoden dienten häufig dazu, sensible Informationen wie Bankdaten oder Passwörter zu erlangen. „Seien Sie skeptisch und geben Sie keine persönlichen Daten am Telefon preis“, warnt der Sicherheitsexperte.
Weiterlesen nach der Anzeige
Der dritte etablierte Handynetz-Betreiber in Deutschland, O2 Telefónica, hat noch kein solches Betrugswarnsystem für seine Kundinnen und Kunden aktiviert.
Spionagesoftware enttarnt: Wie Belarus Journalisten mit „ResidentBat“ überwacht
Der belarussische Geheimdienst KGB hat offenbar über Jahre hinweg eine maßgeschneiderte Spionagesoftware mit dem Namen ResidentBat genutzt, um Journalisten und Oppositionelle lückenlos zu überwachen. Das deckten das Digital Security Lab (DSL) von Reporter ohne Grenzen (RSF) und die osteuropäische Organisation Resident.NGO auf. Für den belarussischen Apparat ist die Enttarnung ein schwerer Schlag, da die forensische Analyse der Software tiefe Einblicke in die Überwachungspraxis eines der repressivsten Regime weltweit erlaubt.
Weiterlesen nach der Anzeige
Hochpreisige Spyware wie Pegasus, Predator oder Candiru nutzt Schwachstellen in Betriebssystemen aus, um Endgeräte aus der Ferne zu infizieren. ResidentBat ist laut der Analyse auf einen physischen Zugriff angewiesen. Die Infektionskette, die RSF rekonstruieren konnte, liest sich wie ein Drehbuch für einen Agenten-Thriller: Eine betroffene Person wurde zu einer Befragung in die Räumlichkeiten des KGB vorgeladen. Vor Beginn des Verhörs musste sie das Smartphone in einem Schließfach deponieren. Während der Inquisition wurde die Person aufgefordert, bestimmte Inhalte auf dem Handy vorzuzeigen; sie entsperrte es vor den Augen der Beamten.
Die Experten gehen davon aus, dass die Sicherheitskräfte die PIN-Eingabe beobachteten, das Gerät später heimlich aus dem Fach nahmen und die Spyware manuell installierten. Da ResidentBat als legitime System-App getarnt ist, bleibt sie für Laien nahezu unsichtbar. Einmal aktiv, gewährt sie den Angreifern fast totale Kontrolle: Die Malware kann Anrufprotokolle auslesen, SMS und lokal gespeicherte Dateien kopieren sowie Mikrofonaufnahmen und Bildschirmaufzeichnungen anfertigen.
Besonders brisant: Auch Nachrichten aus eigentlich verschlüsselten Messengerdiensten wie WhatsApp, Signal oder Threema sind vor dem Zugriff nicht sicher, da die Spyware die Inhalte direkt am Endgerät abgreift, bevor sie verschlüsselt werden.
ResidentBat ist schon etwas älter
Die forensische Untersuchung zeigt, dass Minsk diese Technik nicht erst seit Kurzem nutzt. Durch den Abgleich von Code-Fragmenten auf Antiviren-Plattformen stießen die Analysten auf Versionen, die bis ins Jahr 2021 zurückreichten. Das deutet darauf hin, dass das Regime seit mindestens vier Jahren eine verlässliche Infrastruktur zur digitalen Verfolgung unterhält. Wer genau hinter der Entwicklung von ResidentBat steckt, bleibt unklar. Englische Zeichenketten im Quellcode legen nahe, dass es sich bei der Ausgangsbasis um ein kommerzielles Produkt handeln könnte, das für den internationalen Markt oder von einem externen Dienstleister entwickelt wurde.
RSF-Geschäftsführerin Anja Osterhaus sieht in dem Fund eine Bestätigung für die Forderung der zivilgesellschaftlichen Organisation nach einem weltweiten Verbot invasiver Spionagetechnologien. Solche Werkzeuge seien mit Menschenrechten schlicht nicht vereinbar. In Belarus ist der Einsatz solcher Software laut RSF Teil einer systematischen Unterdrückung: Mit 33 inhaftierten Medienschaffenden und Platz 166 auf der Rangliste der Pressefreiheit gehört das Land zu den gefährlichsten Orten für Journalisten weltweit.
Es geht auch ohne teure Exploits
Weiterlesen nach der Anzeige
Die Enthüllung hat bereits konkrete Auswirkungen für die Sicherheit von Android-Nutzern. Das DSL hat seine Erkenntnisse mit Google geteilt. Der Tech-Gigant kündigte an, betroffene Nutzer, die als Ziele staatlicher Akteure identifiziert wurden, über spezielle Warnungen über „regierungsgestützte Angriffe“ zu informieren.
Für die Betroffenen in Belarus ist das nur ein kleiner Trost. In einem Land, in dem bereits das Mitführen eines Smartphones zur Gefahr wird, zeigt der Fall ResidentBat vor allem eines: Auch ohne technische Geniestreiche und teure Sicherheitslücken kann ein Geheimdienst die Privatsphäre seiner Bürger eliminieren, sobald er die physische Kontrolle über die Hardware erlangt. Rufe nach einem Bann von Spyware gibt es in der EU seit diverser Skandale rund um solche Staatstrojaner. Getan hat sich seitdem wenig. Die EU-Kommission musste jüngst sogar einräumen, dass substanzielle Fördergelder an Spyware-Hersteller geflossen sind.
WhatsApp und Signal: Privatsphäre angreifbar, Tracker-Software verfügbar
close notice
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
.
Der Messenger WhatsApp und auch Signal verraten durch Laufzeiten für Nachrichtenbestätigungen viel über die Nutzer. Eine Proof-of-Concept-Implementierung zeigt das Problem auf und ermöglicht, aus diesen Meta-Informationen etwa Nutzerprofile zu erstellen. Eingeschränkte Abhilfe ist jedoch möglich.
Weiterlesen nach der Anzeige
Basierend auf einem Forschungspapier der Universität Wien (erstmals im November 2024 vorgestellt) steht jetzt eine Proof-of-Conecpt-Implementierung (PoC) mit dem Namen „WhatsApp-Device-Activity-Tracker“ auf GitHub bereit. Sie missbraucht die Empfangsbestätigungen, die Messenger wie Signal oder WhatsApp als Reaktion auf Nachrichten senden. Durch die Messung der Laufzeiten lassen sich Rückschlüsse auf die Nutzerinnen und Nutzer ziehen. Der PoC nutzt dabei sorgsam präparierte Nachrichten, die solche Empfangsbestätigungen auslösen, ohne dass Nutzer etwas davon mitbekommen.
Die Messung der sogenannten Rundlaufzeit (Round-Trip-Time, RTT) der WhatsApp-Empfangsbestätigungen erlaubt festzustellen, wann Nutzer ihr Gerät aktiv nutzen, wann es im Standby- oder Idle-Modus ist, mögliche Standortänderungen anhand von mobilen Daten oder WLAN und schließlich im Zeitverlauf das Anlegen und Erkennen von Aktivitätsmustern. Das stellt einen potenziell tiefgreifenden Eingriff in die Privatsphäre dar und lässt sich zur Überwachung missbrauchen, schlussfolgern die Programmierer des PoC.
Proof-of-Concept für WhatsApp – und möglicher Schutz
Der Proof-of-Concept führt diese Angriffe für WhatsApp vor. Zwei Sondierungsmethoden setzt er um: Die eine schickt eine Lösch-Anforderung für eine nicht existierende Message-ID, die andere sendet ein Reaktions-Emoji für eine nicht existierende Message-ID. Der PoC misst die Zeit zwischen dem Absenden der Nachricht und dem Empfang der ACK-Nachricht vom Client (Acknowledge, also die „Bestätigung“ vom Opfer). Den Gerätestatus berechnet die Software anhand der Abweichung vom Median der Rundlaufzeit – unter 90 Prozent des Medians deutet auf aktive Gerätenutzung hin. Das Tool legt einen Verlauf an, wodurch es den Median fortwährend anpasst und so auch geänderte Netzwerkumgebungen berücksichtigt.
WhatsApp kennt eine Konfigurationsoption, mit der sich Nutzerinnen und Nutzer zumindest ein Stück weit vor solchen Attacken schützen können. In WhatsApp müssen sie dazu das Symbol mit den drei übereinander gestapelten Punkten oben rechts in der Ecke auswählen und dort auf „Einstellungen“ tippen. Weiter geht es über „Datenschutz“ weit unten zu „Erweitert“. Das Aktivieren von „Nachrichten von unbekannten Konten blockieren“ führt dazu, dass WhatsApp „Nachrichten von unbekannten Konten“ blockiert, „wenn sie eine bestimmte Anzahl überschreiten“. Da es keinen Hinweis dazu gibt, wie hoch diese Anzahl an Nachrichten ist, liefert das jedoch keinen umfassenden Schutz. Für Signal nennen sie keine Einstellung, die Abhilfe schaffen könnte.
Die Autoren weisen explizit darauf hin, dass das naheliegende Deaktivieren von Empfangsbestätigungen bei herkömmlichen Nachrichten helfe, jedoch nicht vor dieser speziellen Attacke schütze. „Stand Dezember 2025 bleibt diese Schwachstelle in WhatsApp und Signal missbrauchbar“, führen sie aus. Damit sind WhatsApp und Signal in der Pflicht, zügig eine Aktualisierung zu veröffentlichen, die diese Attacken verhindert.
Weiterlesen nach der Anzeige
Wir haben sowohl bei Signal als auch bei WhatsApp nachgefragt, ob und wann die Organisationen das Problem lösen wollen. Von WhatsApp kam umgehend eine KI-generierte Antwort, in der kein Zeitraum genannt und keine Aussage zu möglichen Problemlösungen genannt wurde. Auch zu der Anzahl von Nachrichten, bis die Sicherheitsfunktion weitere Anfragen blockiert, bleibt die Reaktion unkonkret: Dies hängt „von verschiedenen Faktoren ab, wie z.B. der Art der Nachrichten und dem Verhalten des Angreifers. Wir können Ihnen keine spezifische Zahl nennen, da dies von Fall zu Fall variieren kann.“
Lesen Sie auch
Grundsätzlich arbeitet WhatsApp an der Verbesserung der Privatsphäre. Ende April haben die Entwickler etwa die Funktion „Advanced Chat Privacy“ vorgestellt.