Sicherheitslücke in Messenger-App Wickr, die unangenehme Folgen haben kann

Heute wollten wir eigentlich einem Fernseh-Team einen App Store Betrug zeigen, der bereits hunderttausende von Nutzern abgezockt hat. Es geht hier um die TV-Apps, die gegen eine 5 Sterne Bewertung die deutschen Programme im Stream versprechen, das aber nicht einhalten und mit all den 5 Sterne Bewertungen der Nutzer ganz nach oben in die Charts kommen und so jeden Tag weitere tausende Nutzer abzocken. Das sind inzwischen ziemlich viele Apps, die da mitmachen…

Da das Fernseh-Team die Verabredung nicht einhielt und heute morgen kurzfristig absagte, hatten wir Zeit einen Test von zwei kostenlosen Sicherheits-Apps zu machen. Eine der Apps soll ab der CeBIT veröffentlicht werden und verschlüsselte Nachrichten und Telefonate ermöglichen. In der heute getesteten Beta-Version klappte nichts, die Anrufe gingen ins Leere, obwohl beim Anrufenden ein Freizeichen zu hören war. Setzen. 6.

Die andere App ist seit 20 Monaten auf dem Markt, nennt sich Wickr – Self Destructing, Secure, Private, Anonymous Messages & Media (iPhone) oder Wickr Top Secret Messenger (Android). Mit dieser App soll man sorglos verschlüsselte Nachrichten versenden.

Dazu werden die Nachrichten angeblich mit militärischen Verschlüsselungstechnologien verschlüsselt und alle Meta-Daten werden entfernt. Da die Kommunikation direkt zum anderen Endgerät stattfindet, soll man auch anonym Nachrichten senden können. Es taucht nur der selbstgewählte Benutzername auf. Jede Nachricht erhält einen eigenen Verschlüsselungscode. Die Verschlüsselung sei besser als die NSA Suite B Stufe (Top Secret).

So weit, so gut. Mit der App kann ich auch Dateien versenden, zum Beispiel PDF-Dokumente, Videos und Bilder. Diese Dateien werden nach einer festgelegten Zeiten zerstört, können angeblich nicht kopiert oder gespeichert werden. Angezeigt werden Sie nur so lange, wie der Empfänger den Finger auf dem Display lässt.  Ideal also für Fotos oder Daten, die man lieber nicht in der Öffentlichkeit sehen möchte. Stichwort Sexting. Da sendet jemand sehr private Bilder an eine(n) Freund(in). Kann ja nichts passieren, denn die Bilder zerstören sich ja selbst.

Wir haben genau das heute Nachmittag getestet: Die App auf zwei Smartphones geladen, zwei Accounts angemeldet und mit der Kommunikation begonnen. Immerhin: Die Nachrichten und Dateien kamen an. Doch bei der versprochenen ultimativen Sicherheit, da gibt es einen gewaltigen Haken:

Man muss nämlich als Empfänger eines Bildes auf dem iPhone oder iPad nur etwas fingerfertig sein und während der Anzeige des Bildes einen Screenshot machen (Home- und Ein-/Ausschalt-Taste gleichzeitig drücken). Das ist dann etwas wie der Affengriff bei Windows oder eine Figur bei Twister.

Dann landet das Bild als Screenshot im Foto-Album und kann – wie jedes andere Bild auch – gemailt, bearbeitet, gepostet oder herumgezeigt werden.

So einfach umgeht man also den Selbstzerstörungsmechanismus für private Dateien und so einfach lässt sich eine App, die sichere, private und anonyme Kommunikation verspricht, austricksen.

(Markus Burgdorf)

…

…

…