WhatsApp: Kritische Sicherheitslücke ermöglichte Spionage-Angriffe

Eine gefährliche Zero-Day-Schwachstelle in WhatsApp wurde für hochentwickelte Spionage-Attacken missbraucht. Die Sicherheitslücke ermöglichte es Angreifern, Apple-Geräte ohne jede Nutzerinteraktion zu kompromittieren – ein sogenannter „Zero-Click-Angriff“.

Meta hat die Schwachstelle CVE-2025-55177 inzwischen geschlossen und weniger als 200 möglicherweise betroffene Nutzer informiert. Die US-Cybersicherheitsbehörde CISA stuft die Bedrohung als so schwerwiegend ein, dass amerikanische Bundesbehörden ihre Systeme bis heute absichern müssen.

Perfide Angriffskette ohne Nutzerzutun

Die Attacke kombinierte geschickt zwei Schwachstellen zu einem besonders gefährlichen Exploit. Die WhatsApp-Lücke betraf die „unvollständige Autorisierung von verknüpften Geräte-Synchronisationsnachrichten“. Angreifer konnten dadurch speziell präparierte Nachrichten versenden, die das Zielgerät dazu brachten, Inhalte von beliebigen URLs zu verarbeiten.

Für die vollständige Gerätekompromittierung nutzten die Cyber-Kriminellen zusätzlich eine Apple-Schwachstelle (CVE-2025-43300) im ImageIO-Framework. Diese zweite Lücke ermöglichte es, durch manipulierte Bilder oder Nachrichten Speicherkorruption auszulösen und schließlich beliebigen Code auszuführen.

Das Tückische: Der gesamte Angriff lief vollautomatisch ab, ohne dass das Opfer etwas anklicken oder öffnen musste.

Meta reagiert mit drastischen Maßnahmen

WhatsApps eigenes Sicherheitsteam entdeckte die Schwachstelle und deren Missbrauch. Das Unternehmen veröffentlichte bereits Ende Juli und im August 2025 Patches für alle betroffenen Versionen – einschließlich WhatsApp für iOS Version 2.25.21.73 und WhatsApp Business für iOS Version 2.25.21.78.

Die Empfehlung für betroffene Nutzer war drastisch: Meta riet zu einem kompletten Werksreset der Geräte, um sicherzustellen, dass alle Spionage-Software vollständig entfernt wird. Diese radikale Maßnahme verdeutlicht, wie tief die Angreifer in die Systeme eindringen konnten.

Behörden schlagen Alarm

Die amerikanische Cybersicherheitsbehörde CISA nahm die Schwachstelle am 2. September in ihren Katalog aktiv ausgenutzte Bedrohungen auf. Eine bindende Anweisung verpflichtet alle zivilen Bundesbehörden, ihre Systeme bis zum 23. September zu sichern.

Auch andere Länder reagierten: Indiens CERT-In warnte alle Nutzer eindringlich vor den Gefahren und forderte sofortige Updates aller Anwendungen.

Zielscheibe: Aktivisten und Journalisten

Die Angriffe erinnern stark an die berüchtigte Pegasus-Spionagesoftware, die bereits in der Vergangenheit WhatsApp für Zero-Click-Exploits nutzte. Laut Donncha Ó Cearbhaill von Amnesty Internationals Security Lab richteten sich die aktuellen Attacken gegen Journalisten, Menschenrechtsaktivisten und Vertreter der Zivilgesellschaft.

Diese gezielten Kampagnen verdeutlichen, wie wertvoll sichere Kommunikationsplattformen wie WhatsApp für Geheimdienste und Cyber-Söldner als Einfallstor geworden sind.

Anzeige: Nach den aktuellen Zero-Click-Angriffen auf WhatsApp denken viele über Alternativen mit mehr Privatsphäre nach. Der kostenlose PDF-Report „Telegram Startpaket“ zeigt Schritt für Schritt, wie Sie in wenigen Minuten sicher zu Telegram wechseln – inklusive Nummer verbergen, geheime/verschlüsselte Chats und der wichtigsten Sicherheitseinstellungen. So chatten Sie ohne neugierige Mitleser auf Smartphone, Tablet oder PC. Jetzt den kostenlosen Telegram-Leitfaden sichern

Endloses Katz-und-Maus-Spiel

Für die über drei Milliarden WhatsApp-Nutzer weltweit unterstreicht dieser Vorfall die Bedeutung konsequenter Sicherheitsmaßnahmen. Sicherheitsexperten betonen: Der wirksamste Schutz sind automatische Updates sowohl für Apps als auch für das Betriebssystem.

Während Meta und Apple diese Angriffskette erfolgreich unschädlich gemacht haben, sucht die Spionage-Industrie bereits nach neuen Schwachstellen. Das Wettrüsten zwischen Technologiekonzernen und hochentwickelten Bedrohungsakteuren geht weiter – der nächste Zero-Day-Angriff ist nur eine Frage der Zeit.