Eine Schwachstelle in WhatsApp für Android, die Anfang September 2026 offengelegt wurde, ermöglicht es jedem, der ein gesperrtes Handy in die Hand nimmt, die gesamte Fotogalerie zu durchsuchen, ohne PIN, Muster oder biometrische Zugangsdaten einzugeben. Der Fehler erfordert keine Hacking-Kenntnisse, keinen Schadcode und keine Software-Installation. Er nutzt lediglich die normalen Funktionen der App selbst.

Wie der Exploit funktioniert

Der Angriff ist trügerisch einfach. Ein Angreifer benötigt physischen Zugriff auf das Zielgerät und ein zweites Handy, das einen WhatsApp-Videoanruf tätigen kann. Wenn der Anruf eingeht, zeigt das gesperrte Handy WhatsApps Anrufschnittstelle. Android erlaubt es Nutzern, eingehende Anrufe ohne Entsperren des Geräts anzunehmen, eine Komfortfunktion, die für normale Telefonate gedacht ist und die WhatsApp erbt.

Sobald der Videoanruf verbunden ist, tippt der Angreifer auf das Filter-Symbol und wählt dann die Option "Mit KI erstellen" im Hintergrundbild-Selektor. Durch Drücken von "Foto ändern" wird WhatsApps Medienauswahl geöffnet, die jedes auf dem Gerät gespeicherte Bild anzeigt. Die Auswahl wird über der Anrufschnittstelle dargestellt, die selbst über dem Sperrbildschirm läuft. Zu keinem Zeitpunkt fordert Android eine Authentifizierung.

Die gesamte Sequenz dauert etwa zehn Sekunden. Der Angreifer muss nichts installieren, keine Einstellung ändern und nicht einmal die Entsperrmethode des Geräts kennen.

Warum iOS dem Problem entgeht

Die gleiche Schwachstelle existiert auf Apples iPhone nicht. Wenn ein eingehender Anruf ein iOS-Gerät erreicht, hat die eigene Anrufschnittstelle des Betriebssystems Vorrang und ersetzt jeden Bildschirm, den eine Drittanbieter-App darzustellen versucht. WhatsApp erhält nie die Gelegenheit, seine eigene Anruf-UI über dem Sperrbildschirm anzuzeigen, sodass es keinen Weg vom eingehenden Anruf zum Foto-Auswahlmenü gibt, ohne das Gerät zuvor zu entsperren.

Der Unterschied beruht auf einer fundamentalen architektonischen Entscheidung. Android erlaubt Apps, die die entsprechende Berechtigung deklarieren, Schnittstellen über dem Sperrbildschirm darzustellen, wodurch Funktionen wie Turn-by-Turn-Navigation oder Wecker ohne vollständiges Entsperren funktionieren. Apples Ansatz ist restriktiver: Drittanbieter-Apps auf iOS können ihre eigenen Sperrbildschirm-Schnittstellen für eingehende Anrufe nicht rendern. Der Kompromiss liegt zwischen Komfort und einer kleineren Angriffsfläche.

Meta bestätigt den Fehler

Meta, WhatsApps Mutterkonzern, hat die Schwachstelle anerkannt. In einer Erklärung teilte das Unternehmen mit, das Problem "se limite à un cas rare où une personne a physiquement accès à l'appareil d'un utilisateur" und beschränkte es damit auf den seltenen Fall, dass jemand physischen Zugriff auf das Gerät des Nutzers hat. Ein Patch wird über den Google Play Store verteilt.

Metas Beschreibung des Angriffs als "selten" ist technisch vertretbar, unterschätzt aber das praktische Risiko. Physische Zugriffsangriffe sind im häuslichen Umfeld häufig: Ein Partner, Mitbewohner oder Kollege, der kurzzeitig ein unbeaufsichtigtes Handy in die Hand bekommt, könnte diese Schwachstelle in Sekunden ausnutzen. Der Fehler ist auch in Kontexten der Strafverfolgung und Grenzkontrolle relevant, wo Beamte Zugriff auf ein Gerät haben, aber nicht auf dessen Entsperrdaten.

Die Grenzen der physischen-Zugriff-Verteidigung

Sicherheitsforscher unterscheiden seit langem zwischen Remote- und physischen Angriffen. Remote-Exploits, die von überall im Netzwerk gestartet werden können, gelten als die gefährlichere Kategorie. Physische Zugriffsschwachstellen erfordern Nähe und Gelegenheit, was den Kreis potenzieller Angreifer eingrenzt.

Diese Unterscheidung ist berechtigt, kann aber ein trügerisches Sicherheitsgefühl erzeugen. Ein Handy, das auf einem Schreibtisch am Arbeitsplatz, einem Nachttisch zu Hause oder einer Ladestation in einer Flughafen-Lounge liegt, ist für jeden in der Nähe physisch zugänglich. Der WhatsApp-Fehler erfordert keinerlei technische Expertise. Er funktioniert mit der serienmäßigen, unveränderten Version der App. Die Hürde für die Ausnutzung ist nicht Können, sondern Gelegenheit.

Was Android-Nutzer jetzt tun können

Bis der Patch alle Geräte erreicht hat, können Nutzer ihre Exposition verringern, indem sie WhatsApps Zugriff auf Fotos einschränken. In den Android-Einstellungen unter Anwendungen, dann WhatsApp, dann Berechtigungen, dann Fotos und Videos ermöglicht die Option "Eingeschränkter Zugriff erlauben", der App den Zugriff auf bestimmte Alben zu verweigern. Der Nachteil: Diese Einschränkung gilt auch bei normaler Nutzung, was das Teilen von Fotos über die App erschwert.

Eine Alternative ist zu prüfen, ob die Geräteeinstellungen das Deaktivieren von WhatsApps Fähigkeit erlauben, über dem Sperrbildschirm zu erscheinen, wobei dies je nach Android-Version und Hersteller variiert. Das Aktivieren automatischer Updates im Google Play Store stellt sicher, dass der Patch so schnell wie möglich angewendet wird.

Plattformverantwortung und europäische Regulierung

Die Schwachstelle wirft die Frage auf, wie viel Vertrauen Android in Drittanbieter-Apps setzt, ihr eigenes Sperrbildschirm-Verhalten zu verwalten. Googles Betriebssystem erlaubt Apps zu deklarieren, dass sie über dem Sperrbildschirm funktionieren müssen, und WhatsApps Anrufschnittstelle ist ein solcher Fall. Die Annahme ist, dass die App selbst angemessene Zugriffskontrollen durchsetzt. Wenn sie dies versäumt, fängt das Betriebssystem den Fehler nicht ab.

Unter dem Digital Services Act der Europäischen Union und dem bevorstehenden Cyber Resilience Act sehen sich digitale Plattformen wachsenden Verpflichtungen ausgesetzt, Sicherheitslücken zeitnah und transparent zu beheben. WhatsApps Nutzerbasis in Europa läuft in die Hunderte Millionen. Jede Schwachstelle mit direkten Auswirkungen auf die Privatsphäre, selbst eine, die physischen Zugriff erfordert, ist ein regulatorisches Anliegen, insbesondere wenn sie eine Messaging-Plattform betrifft, die einem bereits wegen seiner Datenschutzpraktiken unter Beobachtung stehenden Unternehmen gehört.

Organisationen

Meta