Berlin – Eine neu entdeckte Schwachstelle in WhatsApp hat für Aufsehen in der internationalen Tech-Community gesorgt. In Kombination mit einer Zero-Day-Lücke in Apples Betriebssystemen gelang es Angreifern, ausgewählte Nutzer ohne jegliche Interaktion zu attackieren. Experten sprechen von einem der komplexesten und bedrohlichsten Angriffe der vergangenen Jahre.
Zero-Click-Angriffe: Eine Bedrohung ohne Nutzerinteraktion
Zero-Click-Angriffe gelten als besonders gefährlich, da sie keine Handlung des Nutzers erfordern. Im aktuellen Fall nutzten Angreifer eine Schwachstelle in WhatsApp, die als CVE-2025-55177 registriert ist. Dabei handelte es sich um eine unvollständige Autorisierung bei der Synchronisation von verknüpften Geräten. In Kombination mit der Apple-Schwachstelle CVE-2025-43300 im Framework „ImageIO“ wurde eine Exploit-Kette geschaffen, die das Einschleusen von Schadcode ermöglichte – und das allein durch den Empfang einer manipulierten Nachricht oder Bilddatei.
Wie funktioniert ein Zero-Click-Angriff über WhatsApp?
Viele Nutzer fragen sich: Was ist ein Zero-Click-Angriff über WhatsApp auf Apple-Geräte? Die Antwort: Er erfolgt, ohne dass der Nutzer aktiv auf einen Link klickt oder einen Anhang öffnet. WhatsApp erhielt eine präparierte Nachricht, die über interne Prozesse eine Bilddatei in Apples ImageIO anstieß. Aufgrund des Speicherfehlers in ImageIO (Out-of-Bounds Write) konnte Schadcode ausgeführt werden. Damit waren Angreifer in der Lage, Gerätefunktionen zu übernehmen, Nachrichten abzugreifen oder Daten auszulesen.
Betroffene Versionen und Updates
Die Schwachstelle betraf vor allem iOS- und macOS-Nutzer. Betroffen waren:
- WhatsApp für iOS unter Version 2.25.21.73
- WhatsApp Business für iOS unter Version 2.25.21.78
- WhatsApp für Mac unter Version 2.25.21.78
Apple wiederum hat die Lücke in ImageIO mit den Updates iOS 18.6.2, iPadOS 18.6.2, macOS Sequoia 15.6.1, Sonoma 14.7.8 und Ventura 13.7.8 geschlossen. Nutzer, die noch mit älteren Versionen arbeiten, gelten als potenziell verwundbar.
Zielgruppe der Angriffe: Weniger als 200 Personen weltweit
Internationale Medienberichte verdeutlichen, dass es sich nicht um breit gestreute Angriffe handelte. Stattdessen waren gezielt weniger als 200 Personen weltweit betroffen. Die Opfer stammten vor allem aus der Zivilgesellschaft – darunter Aktivisten, Journalisten und Mitglieder von Nichtregierungsorganisationen. Amnesty Internationals Security Lab beteiligte sich an forensischen Analysen und bestätigte, dass der Angriff hochentwickelt und mit großem Aufwand umgesetzt wurde.
Zero-Click-Lücke im Fokus von Zivilgesellschaft und Unternehmen
Die Entdeckung der Zero-Click-Lücke in WhatsApp verdeutlicht die Verwundbarkeit digitaler Kommunikationsmittel. Gerade WhatsApp, das täglich von Milliarden Menschen genutzt wird, stellt für Angreifer ein attraktives Ziel dar. Unternehmen, die WhatsApp in ihrer internen Kommunikation einsetzen, sehen sich ebenfalls mit neuen Risiken konfrontiert. Analysten weisen darauf hin, dass Datenschutzverstöße, regulatorische Folgen und ein erhöhter Bedarf an Sicherheitsstrategien drohen.
„Diese Situation unterstreicht die steigende Bedeutung von Zero-Trust-Sicherheitskonzepten – gerade im Spannungsfeld zwischen Nutzerfreundlichkeit und Sicherheit“, so eine aktuelle Einschätzung aus der IT-Sicherheitsbranche.
Sind auch Android-Nutzer betroffen?
Die offizielle Kommunikation von WhatsApp und Apple konzentrierte sich zunächst auf Apple-Geräte. Doch eine vielgestellte Frage lautet: Sind auch Android-Nutzer von diesem Angriff betroffen? Amnesty International erklärte, dass auch Android-Nutzer möglicherweise in das Visier von Angreifern geraten könnten. Technische Belege dafür sind zwar weniger detailliert dokumentiert, die Möglichkeit bleibt aber bestehen, da Zero-Click-Angriffe auch auf anderen Plattformen denkbar sind. Dies zeigt, dass das Problem nicht nur ein Apple-spezifisches Risiko darstellt.
Empfohlene Schutzmaßnahmen für Endnutzer
Eine weitere Nutzerfrage lautet: Wie schütze ich mich effektiv gegen solche Zero-Click-Angriffe? Experten nennen mehrere Maßnahmen:
- Installieren Sie sofort alle verfügbaren Updates für WhatsApp und das Betriebssystem.
- Falls eine Warnung von WhatsApp eingegangen ist, sollte ein vollständiger Werksreset durchgeführt werden.
- Aktivieren Sie auf iOS den Lockdown-Modus oder auf Android den Advanced Protection Mode.
- Setzen Sie auf allgemeine Sicherheitsmaßnahmen wie regelmäßige Neustarts, Apps nur aus offiziellen Quellen und Zwei-Faktor-Authentifizierung.
Warum Updates entscheidend sind
Gerade bei Zero-Click-Angriffen ist Prävention entscheidend. Anders als bei Phishing-Angriffen oder verseuchten Links reicht eine „Vorsicht beim Klicken“ nicht aus, da der Angriff ohne Zutun des Nutzers ausgelöst wird. Damit stellt sich für viele die Frage: Welche WhatsApp-Versionen müssen aktualisiert werden, um den Zero-Click-Bug zu schließen? Wie oben genannt, ist die klare Grenze: alles unter Version 2.25.21.73 (iOS) beziehungsweise 2.25.21.78 (Business und Mac). Nutzer sollten sicherstellen, dass ihre App-Version diese Schwelle überschreitet.
Perspektive aus sozialen Medien und Foren
In einschlägigen Foren wie Reddit und Hacker News wird lebhaft über die Tragweite diskutiert. Einige Nutzer warnen vor besonderen Gefahren für Krypto-Wallets, da kompromittierte Geräte potenziell Zugang zu privaten Schlüsseln oder Authentifizierungs-Apps ermöglichen könnten. Andere heben hervor, dass Zero-Click-Angriffe besonders schwer zu erkennen sind. Ohne sichtbare Anzeichen laufen Betroffene Gefahr, wochen- oder monatelang unbemerkt überwacht zu werden. Dies macht es umso wichtiger, dass Geräte stets mit den neuesten Sicherheitsupdates ausgestattet sind.
In Diskussionen wird auch die Rolle von Link-Previews betont. Automatische Vorschauen von Nachrichten-Apps könnten potenziell als Angriffsvektor fungieren, da sie Inhalte laden, ohne dass Nutzer darauf klicken. Das verdeutlicht, dass Zero-Click nicht nur ein Problem von WhatsApp ist, sondern eine grundsätzliche Herausforderung für moderne Messaging-Dienste darstellt.
Unternehmen im Fokus: Von Zero-Click zu Zero-Trust
Der Vorfall hat nicht nur für private Nutzer Relevanz, sondern auch für Unternehmen. WhatsApp wird zunehmend im beruflichen Umfeld eingesetzt. Die Angriffe verdeutlichen, dass klassische Sicherheitsstrategien an ihre Grenzen stoßen. Unternehmen stehen vor regulatorischen Herausforderungen, wenn sensible Daten durch solche Angriffe kompromittiert werden. Zero-Trust-Architekturen, bei denen jede Anfrage verifiziert wird, gelten als eine Antwort auf die wachsenden Risiken. Sicherheitsexperten sehen darin einen strategischen Ansatz, um sich gegen hochentwickelte Attacken wie Zero-Click besser abzusichern.
Internationale Reaktionen und Einschätzungen
Medien wie Reuters, TechCrunch oder Malwarebytes ordnen die Angriffe als Teil einer gezielten Spionagekampagne ein. Die Zahl von weniger als 200 Betroffenen verdeutlicht, dass es sich um Operationen gegen ausgewählte Zielpersonen handelt. Gleichwohl zeigen die technischen Details, dass auch Millionen andere Geräte anfällig gewesen wären – bis die Updates veröffentlicht wurden. Experten bewerten die Lücke daher als ernste Bedrohung für die Informationssicherheit, auch wenn sie in diesem Fall selektiv ausgenutzt wurde.
„Zero-Day-Exploits wie diese sind selten zuverlässig vom Nutzer erkennbar“, so eine Diskussion auf Hacker News. „Die Infektion bleibt oft unbemerkt, weshalb Updates und Systemhärtung essenziell sind.“
Langfristige Konsequenzen für den digitalen Alltag
Zero-Click-Angriffe wie die jüngste Kampagne gegen Apple-Geräte über WhatsApp zeigen, dass herkömmliche Sicherheitsmechanismen wie Vorsicht beim Öffnen von Links nicht ausreichen. Nutzer müssen sich darauf einstellen, dass Angreifer immer raffiniertere Methoden finden. Betriebssystemanbieter und App-Entwickler stehen in der Verantwortung, Sicherheitslücken schnell zu identifizieren und zu schließen. Für Endnutzer bedeutet das, regelmäßige Updates und zusätzliche Sicherheitsfeatures wie Lockdown-Mode zu akzeptieren und einzusetzen.
Die Zero-Click-Lücke über WhatsApp stellt eine Zäsur im Verständnis von mobiler Sicherheit dar. Noch nie zuvor war so deutlich, dass Angriffe völlig ohne Mitwirkung der Betroffenen möglich sind. Auch wenn der aktuelle Fall nur wenige hundert Menschen betraf, ist die Bedrohung universell. In einer vernetzten Welt, in der private und berufliche Kommunikation über Messenger läuft, steigt das Risiko für jeden. Entscheidend wird sein, wie schnell Unternehmen wie WhatsApp und Apple auf neue Bedrohungen reagieren – und wie konsequent Nutzer ihre Geräte aktuell halten. Nur so kann die digitale Sicherheit im Alltag gewährleistet bleiben.
