heise berichtet, dass eine gefälschte Version von WhatsApp rund 500.000-mal heruntergeladen wurde, bevor sie gestoppt werden konnte — und dass nun viele Menschen eine App halten, die richtig aussieht und es nicht ist. Ein Messenger ist die denkbar schlechteste App, um sie zu verwechseln: In ihm liegen das Konto, der Kontaktgraph, der Nachrichtenverlauf und die Telefonnummer, die fast überall als Wiederherstellungsweg dient.
Offiziell wird WhatsApp ausschließlich über die großen App-Stores verteilt. Alles andere — ein Download-Link aus einer Nachricht, ein Suchergebnis, das auf eine Spiegel-Seite führt, ein Paket aus einem Drittanbieter-Store — liegt außerhalb jeder Prüfung, und eine App mit weitreichenden Benachrichtigungs- und Bedienungshilfen-Rechten kann im Wesentlichen alles tun, was das Konto tun kann.
Wer sie installiert haben könnte, sollte die Reihenfolge einhalten:
Erst entfernen, dann das Konto absichern, bevor irgendetwas wiederhergestellt wird. In WhatsApp die Liste der verknüpften Geräte prüfen und fremde Sitzungen abmelden — ein geklonter Client braucht kein Telefon, um mitzulesen, wenn er sich als Begleitgerät registriert hat. Die Zwei-Schritt-Verifizierung einschalten: Sie stoppt keine gestohlene Sitzung, verhindert aber die Neuregistrierung der Nummer anderswo. Regelmäßige Kontakte warnen, dass Nachrichten von dieser Nummer nicht von ihrem Besitzer stammen könnten — der wirksamste Folgeangriff ist eine Bitte um Geld oder einen Code, verschickt unter einem vertrauten Namen.
Dann das Telefon ansehen. Die Berechtigungsliste der App auf Zugriffe prüfen, die sie nie hätte haben dürfen, letzte Käufe und unbekannte Anmeldungen durchgehen. Kam die App als seitlich geladenes Paket statt aus einem Store, ist ein Zurücksetzen auf Werkseinstellung die vorsichtige und nicht die übertriebene Antwort — ein bösartiger Client mit weiten Rechten kann mehr als nur sich selbst installiert haben.
Und schließlich die Nummer als das eigentliche Gut behandeln. Alles, was die Telefonnummer zur Wiederherstellung nutzt — Banking, E-Mail, soziale Konten — erbt die Kompromittierung. Konten, bei denen es möglich ist, auf App-basierte oder Hardware-Faktoren umstellen und auf fremde Sitzungen prüfen.
Die Lehre ist langweilig und wiederholenswert: Eine App zu installieren heißt, Vertrauen zu gewähren, und ein vertrautes Icon ist kein Beleg für einen vertrauten Herausgeber.
