Schwerwiegende Lücke in Signal

und damit auch in WhatsApp. Und dabei wusste ich gar nicht, dass WhatsApp das Protokoll von Signal lizensiert hat.

Careless Whisper: Exploiting Silent Delivery Receipts to Monitor Users on Mobile Instant Messengers

https://arxiv.org/pdf/2411.11194

Nun ja, nachzulesen gibt es das Ganze hier.

Zusammengefasst lässt sich das Problem so beschreiben:

Angreifer können die Zustellbestätigungen ausnutzen, um Nutzer unbemerkt auszuspionieren. Dafür werden spezielle, stille Nachrichten wie Reaktionen auf eigene oder nicht existierende Nachrichten gesendet, die beim Empfänger keine Benachrichtigung auslösen. Durch die Messung der Antwortzeit dieser Bestätigungen können Angreifer detaillierte Informationen über das Verhalten des Nutzers ableiten zum Beispiel erkennen, ob der Bildschirm des Handys gerade ein oder ausgeschaltet ist und ob die App geöffnet ist. Es ist ebenso möglich, damit den Tagesablauf einer Person nachzuvollziehen und zu verfolgen, wann sie verschiedene Geräte wie ihr Smartphone oder ihren Computer nutzt. Dieser Angriff funktioniert auch, wenn der Angreifer nur die Telefonnummer des Opfers kennt und keinerlei vorherigen Kontakt hatte.

Das könnte man durchaus zum Anlass nehmen, diverse Datenschutzeinstellungen in WhatsApp zu überprüfen. Die verstellen sich ja ohnehin gerne Mal ganz plötzlich 🙄 – ein Verhalten, dass übrigens auch Microsoft Windows zuweilen hat, wenn es um Datenschutzeinstellungen geht. Ein Schelm wer Böses denkt.

Generell immer empfehlenswert und ich muss mich ebenso ständig erinnern das immer wieder zu prüfen:

• Wer soll euch „online“ sehen: Niemand
• Empfangsbestätigungen: Niemand (in WhatsApp Gruppen Chats gibt es leider immer Empfangsbestätigungen)
• Zuletzt „online“: Niemand

Und darauf ist zu achten, seien es WhatsApp, Signal, Telegram oder jeder anderen Messenger. Vor allem prüft diese Einstellungen regelmäßig, aus oben genannten Gründen. Vor allem wenn man WhatsApp Device-übergreifend nutzt, können leider sehr schnell mal Einstellungen gegenseitig überschrieben werden – zumindest nach meiner Erfahrung wie dieser Tage wieder geschehen.

Am besten wäre es übrigens WhatsApp komplett zu deinstallieren, denn Meta lässt sich ja im Gegensatz zu Signal nicht in den (Server)Code schauen. Allerdings und das ist das Problem, WhatsApp hat eine große Verbreitung in meinem Umfeld, ist also alternativlos.