Der beliebte Messenger für den Smartphone WhatsApp wird vielfach als sehr sicher angepriesen. Behörden und Geheimdienste sollen angeblich Gespräche darüber nicht mitschneiden können. Jedoch sollte niemand sich zu sehr auf diese Versprechen verlassen.

Wie genau funktioniert die Verschlüsselung bei WhatsApp?

WhatsApp setzt auf sog. asymmetrische Kryptografie. Die Basis bildet ein Schlüsselpaar bestehend aus einem öffentlichen Schlüssel (auch Publik-Key genannt) und einem privaten Schlüssel (auch Private-Key genannt). Für jeden Nutzer wird automatisch ein solches Schlüsselpaar generiert. Während der private Schlüssel vollständig geheim bleibt, wird der öffentliche Schlüssel automatisch an alle Kontakte des Nutzers übertragen.

In etwa so funktioniert das Konzept: Mit dem öffentlichen Schlüssel eines Empfängers verschlüsselt der Absender seine Nachricht. Diese überträgt er dann an den Empfänger, der anschließend wiederum mit seinem eigenen privaten Schlüssel die Nachricht entschlüsselt und liest.

Wenn der Empfänger nun an den Absender antworten möchte, chiffriert er seine Nachricht mit dem öffentlichen Schlüssel des Absenders und verschickt diese dann an ihn. Der Absender wiederum benutzt dann seinen eigenen privaten Schlüssel, um die Nachricht zu dechiffrieren und zu lesen.

Unter bestimmten Voraussetzungen gilt dieses Verfahren als sehr sicher. Es ist kein Präzedenzfall bekannt, bei dem dieses Verfahren gebrochen werden konnte.

Welche Risiken bestehen bei WhatsApp?

Da WhatsApp proprietäre Software ist, ist der Quellcode nicht verfügbar. Der wäre aber notwendig, damit die korrekte Anwendung der Verschlüsselung überprüft werden kann und ausgeschlossen ist, dass Hintertüren in der App bestehen.

Aber auch wenn der Quellcode verfügbar wäre, würde dieser nicht unbedingt Transparenz herstellen. Denn die Binärdateien von WhatsApp könnten insgeheim auch mit einem anderen Quellcode kompiliert worden sein. Deswegen müssten sie zusätzlich in einem sog. Audit analysiert werden.

Kritisiert wird auch, dass die Schlüsselpaare bei WhatsApp nicht durch ihre Besitzer selbst verwaltet werden können. Neben der technischen Sicherheit bedarf es nämlich auch einem sog. Chain of Trust. Diese stellt sicher, dass ein bestimmter öffentlicher Schlüssel auch tatsächlich einer bestimmten Person gehört, sodass vertrauliche Nachrichten am Ende auch den richtigen Empfänger erreichen.

Diese Möglichkeit ist jedoch bei WhatsApp nicht vorgesehen. Begründet wird es damit, dass WhatsApp bedienbar bleiben soll. Wenn nun ein Smartphone auf seine Werkseinstellung zurückgesetzt oder durch ein anderes ausgetauscht wird, generiert WhatsApp ein ganz neues Schlüsselpaar. Der neue öffentliche Schlüssel wird dann einfach an alle Kontakte übertragen, ohne dass diese informiert werden. Dies stellt ein Sicherheitsrisiko dar, weil Angreifer diesen Umstand dazu ausnutzen könnten, um unbemerkt falsche öffentliche Schlüssel einer Person unterzujubeln. Die Verschlüsselung würde man so umgehen und das vertrauliche Gespräch dann abhören.

Woran kann man einen sicheren Messenger erkennen?

Wenn Sie darüber nachdenken, ob Sie einen anderen Messenger verwenden möchten, sollten Sie bei der Auswahl auf folgende Punkte wert legen:

• Der Messenger wurde mit einer Open-Source-Lizenz veröffentlicht
• Der Messenger verwendet eine Ende-zu-Ende-Verschlüsselung mit einem anerkannten, ebenfalls offenen Kryptografieverfahren
• Der Messenger verfügt über eine Chain of Trust, bei der man sich authentifizieren muss
• Der Messenger überträgt nicht Ihre Kontakte an den Entwickler bzw. Betreiber

Medial hört man es hier und da. Keine Zeit vergeht, bis man den nächsten Datenskandal einer großen Firma in den Schlagzeilen liest. Es wird berichtet, dass abertausende personenbezogene Daten abhanden gekommen sind. Die meisten Bürger machen sich allerdings wenig Sorgen um Ihre Daten, obwohl Sie zu diesem Thema sensibilisiert werden sollten. Meistens hört man “Ja, mein Gott, ich habe sowieso nichts zu verstecken”. Jedoch sollten Sie nicht sehr leichtfertig damit umgehen. Wir erklären Ihnen in diesem Artikel was alles für Daten durch große Konzerne und Webseiten gesammelt werden und was Sie dagegen tun können. Nachdem Sie diese Information durchgelesen haben, werden Sie sehr erstaunt sein, was die kostenfreien Dienste vieler Firmen alles über Sie wissen. Dabei geht es nur um das Tracking und noch nicht einmal um die aktive Registrierung bei einem Dienst.

Beim Besuch einer Webseite, hinterlassen Sie Spuren, wie Fußabdrücke im Schnee. Diese Fußspuren können nachverfolgt werden, so wäre es beispielsweise bei einer Wandergruppe möglich anhand eines Abdrucks Ihrer Schuhsohle im Schnee, Sie als Person zu identifizieren, sobald man die Profile aller Schuhe mit den der anderen Beteiligten vergleicht. So ähnlich funktioniert es auch mit dem Internet. Sobald Sie eine Webseite besuchen, werden immer Spuren hinterlassen. Mit der Anzahl der Besucher der Webseite, werden auch Ihre Spuren langsam verwischt, allerdings werden folgende Daten alleine nur durch den Besuch einer Webseite gespeichert und ausgewertet. Diese sind oft:

• Ihrer Browser-Informationen z.B. welchen Browser (Chrome, Firefox, Vivaldi oder Edge) Sie benutzen und entsprechende Versionsnummer
• ihre IP Adresse, welches von Ihrem Internetprovider zugewiesen worden ist
• die installierten Addons z.B. Werbeblocker und Toolbars
• ihr Standort von dem Sie die Internetpräsenz aufgerufen haben
• sowie die Uhrzeit des Abrufs
• den Namen Ihres Internetanbieters
• Ihre Mausbewegung während Sie auf der Webseite surfen
• Ihr Verhalten während der Einstiegs- bis hin zur Absprungsseite

Erschreckend nicht wahr, was alles über Sie gespeichert wird, obwohl sie in keinem Verhältnis oder in einer Beziehung mit der Webseite oder dem Betreiber stehen und vielleicht nur einen Google Link angeklickt haben?

Stellen Sie sich mal vor, was alles über Sie gespeichert und verarbeitet wird, wenn Sie sich einmal auf einer Webseite registriert haben. Facebook beispielsweise speichert jeden einzelnen Klick ab, welches Sie auf der Webseite machen. So wird Ihr Verhalten systematisch untersucht und ausgewertet. Sie erhalten dann anhand dieser Interaktion auf der Webseite dann ein entsprechendes Profil bei Facebook, womit man dann vorhersagen treffen kann, welches Produkt Sie vermutlich eher kaufen würden. Diese Informationen stehen dann werbetreibenden Unternehmen frei zur Verfügung und Sie werden dazu gereizt Produkte zu kaufen. Darüber hinaus gibt es auch Tracking Cookies, die sich Super-Cookies nennen. Diese Cookies sind nicht mehr so einfach von Ihrem Computer zu entfernen. Egal ob Sie hierbei Ihren Verlauf löschen, trotzdem wird dieses Cookie auf Ihrem Computer gespeichert und spioniert Sie aus. Viele Leute benutzen oft die selben Passwörter auf jedem Portal, so haben die Webseitenbetreiber oft ein leichtes Spiel mit den Opfern. Die Super-Cookies können können alles speichern, was herkömmliche Cookies auch abspeichern können noch mehr. So können Super-Cookies alle Informationen über Sie sammeln und Ihr Surfverhalten aufzeichnen. Mittels VPN oder HTTPS Verschlüsselungen, können Sie zwar teilweise dem entgegensteuern, allerdings sind dies nur Maßnahmen die Sie ergreifen können und welche keinen 100% Schutz bieten. Denn es gibt eine Reihe von Webseiten, die Ihre Übertragung nicht verschlüsseln, somit sind Sie dann als Nutzer der Spionage hilflos ausgeliefert.  

Sie sollten als Internetnutzer deshalb auf Ihre Daten wert legen und nicht jedem Betreiber alles preisgeben. In der Vergangenheit sind viele renommierte Internetdienste gehackt worden und viele Daten über Menschen an unbefugte gelangt. Diese Daten beinhalten leider nicht nur die erwähnten “harmlosen” getrackten Userinformationen wovon wir alle betroffen sind, sondern sensible Angaben und Daten wie Geburtsort, Wohnort, Telefonnummer, Fingerabdrücke und sogar Passkopien. Viele Datenleaks werden im Darknet gehandelt, oder stehen öffentlich im Internet zum Downloaden zur Verfügung. Überprüfen Sie am besten mithilfe von https://www.haveibeenpwned.com ob Sie bereits Opfer eines Leaks geworden sind und Ihre Daten womöglich bereits bei Kriminellen Anwendung findet.

Halten Sie die Augen offen, wenn Sie im Internet surfen, denn das Internet vergisst nie.

Jeder der das Internet seit geraumer Zeit nutzt, hat es schon sicher einmal erlebt, dass man unter seinen E-Mails eine Nachricht von PayPal, Amazon, einer Bank oder von einem sozialen Netzwerk bekommen hat, dass das eigene Konto gehackt worden sei und man zur Überprüfung seine Kontodaten eingeben soll. Zu seinem eigenen Schutz, sollte man Maßnahmen ergreifen um seine Identität vor Betrügern zu schützen, so heißt es meistens in dem Schreiben. Egal was der Grund der Mail-Absender angeblich ist, letztendlich ist es immer dasselbe, worauf die Scammer aus sind: Nämlich auf Beutezug Ihrer wertvollen Daten!

Die Herangehensweise jemanden eine gefälschte E-Mail zu senden mit der Aufforderung der Eingabe von Daten, das abfangen von Informationen über eine gefälschte Webseite (z.B. sozialen Netzwerken wie Facebook und Instagram) oder eines Kurznachrichtendienstes (z.B. SMS, Whatsapp oder Telegram), nennt sich Phishing. Das Wort kommt von Fishing, da man versucht ahnungslose Nutzer über z.B. vermeintlich vertrauenswürdige Seiten Daten rauszulocken um danach mit diesen Informationen Identitätsdiebstahl oder Missbrauch zu begehen.

Was wird alles von mir gestohlen?

Meistens wird das Opfer neben dem Namen und der Mail-Adresse auch nach sensiblen Informationen wie Bank und Kreditdaten abgefragt um so viele Informationen wie möglich zu sammeln und um diese dann später zu missbrauchen indem man alles weiterverkauft oder zu seinem eigenen Zweck verwendet. Plötzlich erhalten Sie dann Mahnschreiben von Unternehmen, von denen Sie eine Leistung in Anspruch genommen haben sollen, oder von Ihrer Kreditkarte werden Beträge abgebucht, wovon Sie überhaupt keine Ahnung haben, woher diese stammen. Das perfide an der Taktik ist, dass die Betrüger echte Namen von seriösen Diensten z.B. Banken verwenden. Das Layout und Design wird von den Betrügern originalgetreu nach dem Corporate-Design der jeweiligen Firma nachgebaut um die E-Mail oder Webseite authentisch wirken zu lassen. Deshalb neigen auch sicherheitsbewusste Anwender Fehler zu begehen, weil die Seiten leicht zu verwechseln sind.

Die verwendete Sprache in den Nachrichten ist meistens gebrochenes Deutsch, oder es ist auf englisch. Allerdings arbeiten die Gauner mit der Zeit immer professioneller und haben aus Ihren Fehlern gelernt und optimieren Ihre E-Mails so gut, dass es selbst für den technikaffinen Anwender nicht mehr ganz so einfach ist die E-Mail als vertrauenswürdig oder als Phishing einzustufen. Deshalb kann es auch zu reflexartigen Aktionen von ansonsten sicherheitsbewussten Nutzer kommen, die ansonsten mit Link-Klicks und der Eingabe von Daten eher Vorsicht walten lassen. Nehmen Sie sich deshalb immer die Zeit und lesen Sie bei Banking-Geschäften oder der Eingabe von sehr detaillierten Informationen die erhaltenen Nachrichten immer gründlich durch.

Meistens handeln die Leute viel zu spät und erst dann wenn das Problem bereits aufgetreten ist. Allerdings gibt es auch hierfür einige einfachen Regeln:

• Öffnen Sie niemals E-Mails von Firmen die Sie nicht kennen
• Beantworten Sie generell keine Anfragen von Mails, deren Absender Sie nicht kennen
• Öffnen Sie keine fremdsprachigen Mails, von Absendern mit denen Sie in keiner geschäftlichen oder privaten Beziehung stehen
• Die Bank und alle anderen Dienste fordern Sie nie nach der Eingabe Ihres Passwortes auf, auch nicht zur Identitätsprüfung
• Achten Sie auf die Internetadresse und prüfen Sie, ob es irgendwelche zusätzliche Zeichen enthält die eigentlich nicht sein sollten z.B. BANKNAME-original.de oder kundenservice-BANKNAME.de
• Sehen Sie nach, ob die Internetadresse einen grünen Balken (EV SSL) hat

Bei Phishing Webseiten fehlen oft SSL Zertifikate. Dies kann man an der Browserleiste erkennen. Die meisten Banken und Finanzinstitute haben eine teures SSL Zertifikat (EV SSL). Dieses können Sie an dem grünen Balken und einem Schloss erkennen. Wenn Sie ein Zertifikat von Let’s Encrypt sehen, dann sollten Sie dennoch vorsichtig sein, da Let’s Encrypt Zertifikate jede beliebige Person ausstellen kann. Es sollte jedoch erwähnt werden, dass Let’s Encrypt SSL Zertifikate nicht unsicherer sind bei der Übertragung der Daten und genauso gut wie alle anderen Anbieter verschlüsselt. In so einem Fall würden Sie dann Ihre Daten verschlüsselt an Betrüger übertragen, was selbstverständlich wenig Sinn macht. Deshalb sollten Sie darauf achten, dass bei dem verwendeten SSL Zertifikat des Anbieters auch eine Identitätsnachweis erforderlich war. Dies können Sie mit einer Faustregel tun, indem Sie davon ausgehen, dass bei alle kostenlosen SSL Zertifikate keine Identitätsnachweise stattgefunden haben. Kostenlose SSL Zertifikate sind z.B. Let’s Encrypt, sein Sie ebenfalls vorsichtig mit Symantec Zertifikaten. Diesen Zertifikaten wurde schon bereits von Google die Vertrauenswürdigkeit - zu recht - entzogen, da die Firma bewusst falsche Zertifikate ausgestellt hat.

Denn Betrüger werden mit Ihren Daten das anstellen, womit sie am meisten Profit machen können. In diesem Fall: Daten verkaufen oder selber missbrauchen!

Lassen Sie Ihren Computer von Internet-Experten prüfen um die Gefahren auf ein erhebliches zu reduzieren. Gerne helfen wir Ihnen hierbei! Rufen Sie uns unverbindlich unter der Rufnummer 0176 78 19 18 18 an. Wir freuen uns auf Ihren Anruf!

Es kann auch durchaus vorkommen, dass man die E-Mail aufgrund einer klaffenden Sicherheitslücke eines Programms angeblich die E-Mail erhalten hat und man sofort z

Sie stehen morgens auf und trinken Ihren Kaffee und checken Ihre E-Mails ab und lesen Ihre Nachrichten. Doch plötzlich sehen Sie wieder irgendwelche merkwürdigen E-Mails mit einer aufreißerischen Betreffzeile, die Sie erhalten haben?

Sie öffnen die E-Mail und es ist Werbung einer Versand-Apotheke, welche Ihnen Pillen und Medikamente verkaufen möchte, oder es sind Artikel von einem Erotikshops, Gewinnspiele von denen Sie sofort reich werden oder kostenlose Reisen die Sie bekommen und das weil Sie nach einem Zufallsprinzip unter acht Milliarden Menschen ausgewählt worden sind! Dieses Szenario kennt vermutlich jeder von Ihnen, nicht wahr? Viele dieser E-Mails sind unerwünscht und werden an alle E-Mail-Empfänger gesendet und der Wahrheitsgehalt dieser E-Mails ist geringer als die der BILD.

Von Tag zu Tag werden es gefühlt mehr Werbe-E-Mails und Angebote, von denen Sie noch nicht einmal die Firma geschweige denn den Absender kennen? Dann erhalten Sie mit hoher Wahrscheinlichkeit Spam-E-Mails und sind eines von vielen Opfern. Diese dubiosen Geschäftspraktiken stammen meistens von unseriösen Firmen die im Ausland sitzen und wo unsere strengen Datenschutzrichtlinien herzlichst egal sind.

Warum erhalte ich diese Mails?

Folgende Gründe könnten zutreffen:

• Ihr E-Mail Konto wurde kompromittiert
• Ihre E-Mail Adresse wurde illegal von einer Firma weiterverkauft
• Ihre E-Mail wurde durch eine Software ermittelt, die häufige Wortkombinationen generiert und darunter befand sich Ihre E-Mail
• Ein Dienst, welches Sie in Anspruch nehmen bzw. genommen haben, wurde gehackt und die Daten gestohlen
• Sie haben Ihre E-Mail Adresse öffentlich in einem Forum oder in einem Kommentarfeld einer Webseite veröffentlicht
• Jemand aus Ihrer Kontaktliste wurde gehackt und alle E-Mail Adressen wurden kopiert
• Ihre E-Mail Adresse wurde aus den sozialen Netzwerken kopiert, da diese öffentlich zugänglich waren oder Sie haben Freundschaftsanfragen von automatisierten System angenommen die Ihre E-Mail Adresse missbraucht haben
• Sie haben an einem unseriösen Gewinnspiel teilgenommen, welches eine sehr beliebte Technik von Datensammlern darstellt

Sie können allerdings etwas dagegen tun, um die Anzahl dieser E-Mails auf ein erhebliches Minimum zu reduzieren.

Wie kann ich mich von dem Verteiler herausnehmen lassen?

Wenn Ihre Mail einmal bei Betrügern gelandet ist, ist die Möglichkeit bei nahezu Null, dass Sie sich von dem Verteiler austragen lassen können. Meistens sind die Abstell-Funktionen nur Attrappen und sie werden nicht ausgetragen, sondern teilen dem Spammer mit, dass hinter Ihrer E-Mail Adresse ein aktiver Nutzer steckt. Dadurch wird dann Ihre Mail erst recht weiter zugespammt und die Wahrscheinlichkeit, dass Ihre Mail weiterverkauft wird ist sogar höher, da Adressen die aktiv genutzt werden, wertvoller sind, als inaktive Adressen. Denn mit einer aktiven Mail Adresse haben die Spammer eine gewisse Reichweite für Werbung gegeben. Bei nicht genutzten Adressen gibt es keine Reichweite und somit auch keine Chance auf Umsatzsteigerung, deshalb werden inaktive Mail-Adressen eher aussortiert.

Was kann man überhaupt tun?

Öffnen Sie keine E-Mails von nicht vertrauenswürdigen Quellen und Absendern. Die einzige effektive Methode ist es die Absenderadressen auf die Blackliste zu setzen oder als Spam zu markieren.

Wie, sie eine Mail als Spam markieren oder blacklisten zeigen wir Ihnen hier in diesem Video.

Was ist eine Blackliste?

Die “Blackliste” stellt bei den meisten E-Mail Providern die Funktion dar, wo Sie unerwünschte Absender effektiv blocken können. Jedoch kann auch dieses Feature nicht immer weiterhelfen, da Spammer gerne viele andere E-Mail Adressen generieren. Sobald eine Mail Adresse in ihre persönliche Blackliste eingetragen worden ist, erhalten Sie keine E-Mails mehr von den Betrügern. Genauso gibt es auch die Whitelist, wo die Nachrichten von bestimmten Absender immer in ihrem Postfach gelangen.

Wie kann ich mich davor schützen?

Grundsätzlich haben viele E-Mail Anbieter bereits Spamfilter. Jedoch sind diese Spamfilter nicht bei jedem Anbieter gleich. Manche haben schlechte Algorithmen und andere wiederum sehr komplexe und intelligente, womit man 99% aller Spam-E-Mails in den Spam Ordner bzw. Junk Mail Ordner wiederfindet. Seien Sie vorsichtig und posten Sie Ihre E-Mail nicht öffentlich in Foren, Beiträge oder Kommentare. Seien Sie behutsam mit Ihren Daten, denn damit wird viel Werbung gemacht und es ist eine Goldgrube für Menschen mit bösen Absichten. Bestellen Sie nur bei seriösen Shops Ihre Waren und lassen Sie sich Zeit beim Recherchieren im Internet, ob es sich um eine seriöse Webseite oder Shop handelt. Sehen Sie sich nach Zertifikaten auf der Webseite um oder ob es sich um bekannte Marken handelt.

Es gibt auch Webseiten und E-Mails von bekannten Firmen und Institutionen, welche allerdings gefälscht sind. Lesen Sie hier, was Sie bei Phishing tun können.