Eine neue Analyse zeigt, dass verschlüsselte Messenger wie WhatsApp und Signal sensible Rückschlüsse auf Nutzer ermöglichen.
Ausgangspunkt ist ein Forschungspapier der Universität Wien, zu dem nun ein Proof of Concept auf GitHub erschienen ist. Das Tool nutzt die Laufzeiten von Empfangsbestätigungen aus, die Messenger automatisch versenden. Durch gezielt präparierte, für Nutzer unsichtbare Anfragen misst die Software die Rundlaufzeit dieser Bestätigungen.
Aktivitäten detailliert nachverfolgbar
Daraus lassen sich mit erstaunlicher Genauigkeit Rückschlüsse ziehen, etwa ob ein Smartphone gerade aktiv genutzt wird, sich im Standby befindet oder das Netzwerk gewechselt hat. Tracking ist somit möglich: Über längere Zeiträume können so detaillierte Aktivitätsprofile entstehen, was ein erhebliches Risiko für die Privatsphäre darstellt.
Der Proof of Concept testet zwei Methoden, bei denen Reaktionen oder Löschanfragen auf nicht existierende Nachrichten verschickt werden. Die Zeit bis zur Bestätigung dient als Messwert. Abweichungen vom individuellen Median der Laufzeit deuten auf aktive Nutzung hin. Da das System den Median laufend anpasst, bleiben Angriffe auch bei wechselnden WLAN- oder Mobilfunkverbindungen effektiv.
Aktuell kaum Schutzmöglichkeiten
WhatsApp bietet zwar eine Option zum Blockieren von Nachrichten unbekannter Kontakte, die aber nur begrenzt greift. Bei Signal kann die Auffindbarkeit über die Telefonnummer deaktiviert und stattdessen ein Nutzername verwendet werden. Das Abschalten klassischer Lesebestätigungen hilft in diesem Fall nicht. Nach aktuellem Stand bleibt die Schwachstelle somit in beiden Messengern bestehen.
Hinweis: Artikel enthält Affiliate-Links. Was ist das? Foto: Pixabay