Ghost Pairing zeigt: Das WhatsApp-Passwort war nie die Schwachstelle

Was nützt ein starkes Passwort, wenn der Angreifer es gar nicht braucht? Das ist die unbequeme Lehre aus Ghost Pairing, der WhatsApp-Betrugsmasche, die wieder in den Schlagzeilen steht. Gehackt wird man dabei nicht im Hollywood-Sinne. Man wird dazu überredet, die Tür selbst zu öffnen.

Ghost Pairing braucht Ihre Zustimmung, nicht Ihr Passwort

Laut nordbayern.de meldete die Polizei in Bayern Ende Oktober die ersten Fälle von Ghost Pairing. Der Mechanismus nutzt, wie Norton erklärt, die Funktion für verknüpfte Geräte in WhatsApp aus. Statt das Passwort zu erraten oder per Phishing abzugreifen, bringen die Betrüger ihre Opfer per Social Engineering dazu, einen legitimen Verknüpfungsvorgang selbst abzuschließen.

Die Untersuchung von Gen Digital beschreibt den Ablauf: Das Opfer gibt seine Telefonnummer auf einer gefälschten Seite ein, diese leitet sie an die echte WhatsApp-Funktion „Gerät per Telefonnummer verknüpfen“ weiter, und WhatsApp erzeugt einen Kopplungscode, der eigentlich nur dem Kontoinhaber angezeigt werden soll. Andere Sicherheitsmedien berichten, dass weder ein Passwort noch ein Einmalcode nötig sei und der Angreifer am Ende als unsichtbares verknüpftes Gerät Unterhaltungen mitlesen könne.

Die Angriffsfläche hat sich verschoben, unsere Gewohnheiten nicht

Jahrelang lautete der Rat: starkes Passwort, keine Codes weitergeben. Hier reicht das alles nicht. Das Opfer wird durch einen echten WhatsApp-Ablauf geführt, und genau deshalb funktioniert die Masche. Das ist aus unserer Sicht die eigentliche Veränderung: Die Liste der verknüpften Geräte ist inzwischen die Haustür, und wir vermuten, dass sie sich kaum jemand je ansieht.

Man muss sich nur ansehen, wie wir uns selbst trainiert haben. Wir haben gelernt, seltsamen Links zu misstrauen und unsere Verifizierungscodes zu schützen. Wir haben nicht gelernt, „dieses Gerät bestätigen“ als Sicherheitsentscheidung zu betrachten, weil es sich wie eine Komfortfunktion anfühlt, mit der sich Chats am Laptop nutzen lassen. Die Betrüger nutzen genau diese Lücke zwischen dem Zweck der Funktion und ihrem möglichen Missbrauch.

Diese Gewohnheit würden wir empfehlen: Einstellungen öffnen, verknüpfte Geräte ansehen und alles entfernen, was man nicht kennt. Sicherheitsquellen raten außerdem, jede externe Aufforderung, einen QR-Code zu scannen oder einen Kopplungscode einzugeben, als verdächtig zu behandeln und die Bestätigung in zwei Schritten zu aktivieren. Das dauert nur wenige Augenblicke, und wir würden daraus eine monatliche Routine machen, ähnlich dem Blick auf den Kontoauszug.

WhatsApp verlangt zu viel von den Nutzern

Die Schuld bei den Opfern zu suchen, ist die bequeme Lesart, und wir halten sie für falsch. Eine Betrugsmasche, die auf dem offiziellen Kopplungsablauf aufsetzt, ist zumindest teilweise ein Designproblem. Wenn eine gefälschte Seite, die nur nach einer Telefonnummer fragt, eine legitime Kopplung in Gang setzen kann, lässt sich der Bestätigungsschritt unter Druck zu leicht freigeben, vor allem für jemanden, der in Eile, abgelenkt oder schlicht vertrauensvoll ist.

Was wünschen wir uns? Das ist unsere Meinung, keine dokumentierte Funktion: eine deutlich klarere Warnung im Moment der Bestätigung, die zeigt, wer sich von wo aus verknüpft; eine kurze Wartezeit, bevor ein neues Gerät Zugriff auf Chats erhält; und eine unübersehbare Benachrichtigung auf dem Hauptgerät, sobald eine neue Sitzung auftaucht. Wir gehen davon aus, dass das Verknüpfen eines Geräts für die meisten ein seltenes Ereignis ist. Zusätzliche Hürden kosten ehrliche Nutzer in diesem Moment also sehr wenig, Betrüger dagegen viel.

Hinzu kommt eine Frage des Tons. Plattformen betonen gern, Sicherheit sei eine gemeinsame Verantwortung, und das stimmt. Wenn aber das schwächste Glied ein Button ist, den die Plattform selbst entworfen hat, liegt der größere Teil der Hausaufgaben bei der Plattform.

Fazit

Auf eine Korrektur sollte man nicht warten. Prüfen Sie noch heute Ihre verknüpften Geräte, sagen Sie technisch weniger versierten Angehörigen, dass sie dasselbe tun sollen, und bestätigen Sie niemals eine Kopplung, die Sie nicht selbst gestartet haben. Und wenn WhatsApp will, dass dies keine wiederkehrende Schlagzeile mehr ist, muss das Unternehmen den gefährlichen Button schwerer bedienbar machen.