Kategorie: WhatsApp
10. Oktober 2018
Ein Team von Elite-Hackern (Googles Project Zero) hat eine Sicherheitslücke in WhatsApp entdeckt, welche es ermöglicht, ein Smartphone mit einem einzigen Video-Call zu kapern.
Der Fehler findet sich in der Speicherverwaltung des Video-Conferencings. Durch ein speziell präpariertes RTP-Paket kann die Speicherung derart durcheinander gebracht werden, dass der Absender einen eigenen Code einschleusen und damit das Smartphone kapern kann.
Das fällige Update, welches diese Sicherheitslücke aufheben soll, gibt es für die iOS-Version erst seit einer Woche. Das Android-Update gibt es bereits seit dem 28.September 2018. Damit böswillige Hacker keine Spionage-Software auf dem Gerät installieren können, sollten alle WhatsApp-Nutzer jetzt überprüfen, ob sie die jeweils aktuelle Version installiert haben und die aus den offiziellen Quellen verfügbaren Updates installieren. Für das iPhone ist dies aktuell WhatsApp 2.18.93 und bei der Android-Version 2.18.302 (beziehungsweise 2.18.306 im Google PlayStore).
12. Juli 2018
In vielen Unternehmen werden unterschiedliche Formen im Umgang mit Smartphones praktiziert. Teilweise werden private Handys zu dienstlichen Zwecken verwendet oder dienstliche Handys auch privat genutzt. Aus datenschutzrechtlicher Sicht besteht insbesondere aufgrund verschiedener Messenger-Dienste, wie beispielsweise WhatsApp, ein Datenschutz-Problem.
Dennoch ist die Mischnutzung der Smartphones zu dienstlichen und privaten Zwecken bei vielen Unternehmen heute nicht mehr wegzudenken. Auch auf die Nutzung von Messenger-Diensten, insbesondere im privaten Bereich will keiner mehr verzichten.
Mit dem Herunterladen der App wird dem Messenger-Dienst ein Zugriff auf die im Handy gespeicherten Kontakte eingeräumt. Datenschutzrechtlich stellt das eine Übermittlung von personenbezogenen Daten dar, die einer Ermächtigungsgrundlage bedarf. In der Regel wird eine solche nicht vorliegen, da davon auszugehen ist, dass für die Übermittlung keine Einwilligung eingeholt wurde, kein Vertragsverhältnis und auch kein berechtigtes Interesse besteht. Damit ist die Übermittlung der personenbezogenen Daten rechtswidrig.
Für eine datenschutzkonforme Lösung dieses Problems sind folgende Lösungen denkbar:
• Die Trennung von Diensthandy und Privathandy. Das bedeutet, die Diensthandys dürfen ausschließlich dienstlich genutzt werden. Messenger-Dienste, die einen Zugriff auf die Kontaktdaten erhalten, dürfen auf diesen Diensthandys nicht installiert werden.
• Die Einholung von Einwilligungen der gespeicherten dienstlichen Kontaktpartner.
• Ein zentraler Verzeichnisdienst, durch den keine dienstlichen Kontakte auf den Smartphones mehr gespeichert werden, sondern der Mitarbeiter die Möglichkeit erhält, mithilfe einer App auf ein zentrales Verzeichnis zuzugreifen, in dem die dienstlichen Kontakte zentral verwaltet werden.
• Eine Containerlösung, durch die auf dem Smartphone ein abgegrenzter Bereich geschaffen wird, der nicht mit dem privat genutzten Bereich kommuniziert und keinerlei Daten mit diesem austauscht.
Um einen Messenger-Dienst dienstlich zu nutzen, verbleibt bisher als datenschutzkonforme Lösung aber einzig die Einholung von Einwilligungen. Die beiden letztgenannten Alternativen bieten ausschließlich eine Lösung dafür, Messenger-Dienste, auf einem auch zu dienstlichen Zwecken genutzten Handy, privat nutzen zu können.
6. Juni 2018
Continental verbietet die Nutzung von WhatsApp und Snapchat auf Diensthandys. Damit ist Continental, neben einigen Pharmaunternehmen der erste große Konzern, der diesen Schritt geht.
Aufgrund von Datenschutzbedenken untersagt der deutsche Autozulieferer Continental seinen Mitarbeitern die Nutzung von Social-Media-Apps wie WhatsApp und Snapchat auf ihren Diensthandys und könnte damit einen ersten wegweisenden Schritt zu diesem Thema unternommen haben. Der Zeit stehen viele Unternehmen vor demselben Problem und könnten sich bei Ihren Entscheidungen an der Continental orientieren.
Die Continental teilte mit, dass von diesem Verbot das gesamte Unternehmensnetzwerk und damit mehr als 36.000 Mobiltelefone betroffen seien. Als Begründung wird angeführt, dass die Dienste von WhatsApp und Snapchat auf persönliche und damit potentiell vertrauliche Daten wie z.B. Adressbucheinträge zugreifen können und es damit um Daten unbeteiligter Dritte gehe. Dieses Risiko möchte die Continental nicht tragen und möchte mit dieser Maßnahme auch die Beschäftigten und Geschäftspartner schützen.
Der ersten Reaktionen der Mitarbeiter seien sachlich und stoße auf viel Verständnis, da den Mitarbeitern Alternativen wie z.B. Skype Business und Wire angeboten werden.
Es bleibt abzuwarten, ob sich weitere Unternehmen diesem Verbot anschließen werden.
24. Mai 2018
International ist der Datenaustausch zwischen den Unternehmen schon seit 2016 möglich. In Deutschland war dieser jedoch noch nicht zulässig. Auf der Unterseite der WhatsApp Homepage ist jedoch nun zu erkennen, das WhatsApp unter anderem die Telefonnummer und Gerätedaten an Facebook weitergibt, was aus der aktuellen Datenschutzrichtlinie der App nicht ersichtlich ist.
2016 hat WhatsApp die Nutzungsbedingungen dahingehend geändert, dass Telefonnummern und weitere Informationen mit Facebook ausgetauscht werden, jedoch nicht zu Werbungszwecken.
Deutsche Datenschützer untersagten dies, wogegen Facebook geklagt hat und verlor. Das Verbot gilt aufgrund des neuen Gesetzes nicht mehr, nach DSGVO ist die Datenschutzbehörde in Irland nun zuständig.
Der hamburgische Datenschutzbeauftragte Johannes Caspar bezeichnete den Vorgang als “alarmierend” und als Verstoß gegen die DSGVO.
Das Oberverwaltungsgericht Hamburg hat Anfang März 2018, die Annahme Caspars bestätigt, wonach Facebook nicht massenhaft Daten seiner Tochterfirma WhatsApp für eigene Zwecke nutzen darf.
Facebook-Chef Mark Zuckerberg hatte an diesem Dienstag bei der Anhörung vor dem Europäischen Parlament die konkrete Frage nach der Weiterleitung der Daten nicht beantwortet.
7. Mai 2018
Polizeibeamte in Niedersachen können nun mithilfe der neuen App NIMes Textnachrichten, Audio-, Bild- und Videoaufnahmen austauschen, ohne dass jemand anderes darauf Zugriff hat. Nach Auffassung des niedersächsischen Landesdatenschutzbeauftragten besteht dennoch eine Gefahr hinsichtlich des Datenschutzes, da der größte Teil der Beamten die App auf ihrem Privathandy nutzen. “Wenn der Nutzer das auf dem privaten Mobiltelefon vorhandene Betriebssystem nicht fortlaufend durch Updates zur Virenabwehr aktualisiert, wird Tür und Tor für eine Infizierung der App mit Schadsoftware geöffnet”, sagte Datenschützerin Barbara Thiel.
Damit wäre es empfehlenswert die App nur auf Diensthandys zu installieren. Innenminister Boris Pistorius ist jedoch anderer Ansicht, da NIMes getrennt vom Betriebssystem läuft und damit in einem geschlossenen Benutzerkreis.
Die App hat eine wichtige Bedeutung in der Informationssteuerung bei Einsatzkräften. So können Polizeibeamte wichtige Informationen sicherer als bei der Nutzung von WhatsApp weiterleiten.
Als Pilotprojekt wird NIMes zunächst in Celle und Hannover-Mitte, sowie in der Zentralen Polizeidirektion eingesetzt.
24. April 2018
Das könnte zukünftig für alle Whatsapp-Nutzer unter 16 Jahren gelten, denn aus einer Twitter-Meldung des Fan-Blogs WABetaInfo geht hervor, dass der Messaging-Dienst eine Änderung seiner Nutzungsbedingungen zum 25. Mai plant.
Zum jetzigen Zeitpunkt ist ausweislich der Nutzungsbedingungen noch ein Mindestalter von 13 Jahren, bzw. dasjenige Alter erforderlich und ausreichend, welches die Nutzer in ihren Ländern dazu berechtigt, die Dienste von Whatsapp ohne Zustimmung der Eltern zu nutzen. Die bevorstehende Anhebung des Mindestalters ist wohl auf die ab Mai anzuwendende Datenschutzgrundverordnung zurückzuführen. Laut der Verordnung ist die Verarbeitung personenbezogener Daten eines Kindes nämlich erst mit Vollendung seines 16. Lebensjahres rechtens.
Die Gefahren, welche von Chat-Diensten wie Whatsapp für die Persönlichkeitsrechte Minderjähriger ausgehen, erkannte ein deutsches Gericht bereits 2016 und verurteilte einen Vater zur Löschung des Chat-Dienstes vom Handy seiner Tochter.
Auch wenn die geplante Änderung der Nutzungsbedingungen als wichtiger Schritt in Richtung eines umfassenderen Schutzes der Persönlichkeitsrechte Minderjähriger zu werten ist, könnten sich die tatsächlichen Auswirkungen dieser Regelung in überschaubaren Grenzen halten. Den Mitgliedsstaaten ist es nämlich möglich, durch Rechtsvorschriften eine niedrigere Altersgrenze festzulegen, welche allerdings nicht unter 13 Jahren liegen darf. Zudem ist unklar, ob die Änderung weltweit gelten soll, oder ob hiervon nur bestimmte Länder betroffen sein werden. Weiterhin ist fraglich, wie mit bereits registrierten Nutzern umgegangen werden soll, die unter 16 sind. Da Whatsapp selbst das Alter nicht abfragt, müsste diese Aufgabe vom App-Store übernommen werden. Auch in Anbetracht der Tatsache, dass Whatsapp für viele Kinder und Jugendliche ein unverzichtbares Medium bei der Integration darstellt bleibt abzuwarten, ob und wie sich ein neues Mindestalter praktisch wird umsetzen lassen.
8. März 2018
Das OVG Hamburg hat entschieden, dass Facebook auf Grundlage einer bisher angeforderten Einwilligungserklärung keine personenbezogenen Daten erheben und speichern darf.
Facebook hatte zuvor erfolglos beim VG Hamburg (Az. 13 E 5912/16) gegen eine Untersagungsverfügung des Hamburger Datenschutzbeauftragten, Johannes Caspar, im Wege des einstweiligen Rechtsschutzes geklagt (wir berichteten).
Das OVG Hamburg schloss sich in seiner Entscheidung nun der Vorinstanz an. Dafür erklärte es zunächst, dass die Rechtmäßigkeit der beanstandeten Untersagungsverfügung offen sei. Im Rahmen der Prüfung ist konkret offen, ob deutsches Recht anwendbar ist und ob der Hamburger Datenschutzbeauftragte gegen das Unternehmen Facebook vorgehen darf, obwohl dieses seinen Sitz in Irland hat. Trotz dieser offenen Rechtsfragen kam das OVG zu der Entscheidung, dass die Untersagungsverfügung nicht die für eine Aufhebung erforderliche offensichtliche Rechtswidrigkeit aufweist. So entspricht die angeforderte Einwilligung der Nutzer von WhatsApp nicht dem deutschen Datenschutzrecht. Diese fehlende Übereinstimmung mit deutschem Datenschutzrecht führt dazu, dass die Interessenabwägung zu Gunsten der Rechte der Nutzer ausfällt.
Nach der ablehnenden Entscheidung des OVG im einstweiligen Rechtsschutz ist weiterhin offen, ob sich ein Klageverfahren in der Hauptsache anschließt. Diese Entscheidung liegt nun bei Facebook.
20. Februar 2018
An einer Grundschule in Thüringen wurden Eltern dazu aufgerufen, den Messenger-Dienst WhatsApp zu nutzen. Andere Eltern wiederum sahen darin datenschutzrechtliche Probleme und baten die Aufsichtsbehörde, dies zu überprüfen.
Die Elternsprecherversammlung hatte vor, die Kommunikation der Eltern untereinander auf Basis von WhatsApp zu organisieren. Hinweise oder Erklärungen zu möglichen rechtlichen Folgen und Hintergründen rund um die Nutzung von WhatsApp gab es dabei nicht. Die Aufsichtsbehörde entschied auf das Ersuchen der Eltern hin, die sich weigerten, WhatsApp zur Kommunikation zu nutzen, dass WhatsApp nicht an die Schulen gehört. Neben den Lehrern und den Verwaltungskräften an den Schulen haben auch die Eltern Datenschutzgesetze zu beachten, wenn sie schulische Aufgaben mit wahrnehmen.
Bereits im Mai 2017 hatte sich Datenschutzbeauftragte von Rheinland-Pfalz darauf hingewiesen, dass WhatsApp zu schulischen Zwecken nicht geeignet ist. Sollten Lehrer es für notwendig erachten, über Messenger mit Eltern, Schülerinnen und Schülern zu kommunizieren, kommen nur europäische Anbieter in Betracht, die eine Ende-zu-Ende-Verschlüsselung anbieten (z.B. Signal 2.0, Pidgin/OTR, SIMSme).
16. Januar 2018
Drei Forscher der Universität Bochum beschreiben in ihrer Abhandlung, dass trotz einer Ende-zu-Ende-Verschlüsselung, Gruppenchats der Messenger WhatsApp, Signal und Threema unter gewissen Umständen von Angreifern entschlüsselt werden können. Bei den Angriffen, die in der Abhandlung behandelt werden, handelt es sich um reine Theorie.
Jedoch ist es alles andere als einfach eine Ende-zu-Ende-Verschlüsselung sicher umzusetzen, da es bereits ausreicht, wenn zwei Benutzer Opfer eines solchen Angriffs würden. Selbst bei einer extrem sicheren Verschlüsselung, kann es dazu kommen, dass Angreifer es schaffen mittels der Serverstruktur Teil des Gruppenchats zu werden. Als Folge ist es ihnen möglich alle Nachrichten einer Gruppe zu lesen. Diese Problematik wird dadurch begünstigt, dass einige Messenger alle Gruppenmitglieder als Administratoren behandelt. Um so einen Angriff ausführen zu können, braucht derjenige den Forschern zu folge lediglich die interne Gruppen-ID und eine Telefonnummer.
WhatsApp übernimmt zwar die Serverstruktur wie andere Messenger, jedoch eine andere Gruppenchat-Infrastruktur durch die ein Angriff erschwert wird. Der Angreifer braucht dadurch Zugang zu dem Kontrollserver des Messengers, der durch die Ende-zu-Ende-Verschlüsselung geschützt wird.
Für die Benutzer der Messenger liegt das Problem darin, dass sie in jedem Fall dem Anbieter vertrauen müssen, da sie nicht die Möglichkeit haben eigene Server zu verwenden, sondern die Nutzung von Servern der Dienste Voraussetzung sind. Falls die Nutzer des Messengers jedoch prophylaktisch agieren wollen, ist es anzuraten besonders sensible Themen außerhalb eines Gruppenchats zu bereden.
10. November 2017
NRWs Justizminister Peter Biesenbach fordert die Angabe eines “Datenpreises” für Apps. Sowohl die Verbraucherzentrale als auch das NRW Justizministerium kritisieren, dass zwar ein Großteil der Apps kostenlos angeboten werde, den Verbrauchern jedoch in den meisten Fällen gar nicht bewusst sei, dass sie die App Anbieter mit den von Ihnen zur Verfügung gestellten personenbezogenen Daten “bezahlen”. Insbesondere über Apps wie “Runtastic” oder auch “Whatsapp” stellen die User den Anbietern unzählige personenbezogene Daten, wie ihr Adressbuch, Kalender, Fotos, Chat-Verläufe, Bewegungsprofile oder Gesundheitsdaten zur Verfügung, äußert Biesenbach gegeüber der Rheinischen Post.
Biesenbach will die Anbieter daher zu mehr Transparenz zwingen. Verbraucher sollen ausdrücklich darüber aufgeklärt werden, welche ihrer Daten erhoben werden und insbesondere, an wen die Daten übermittelt werden. Dazu möchte er über eine Bundesratsinitiative eine Gesetzesänderung des Bürgerlichen Gesetzbuchs (BGB) erreichen. Entsprechende Gespräche mit seinen Amtskollegen in den übrigen Bundesländern fänden bereits statt.
In den meisten Fällen greifen die Apps auf deutlich mehr personenbezogene Daten zu, als eigentlich nötig wäre. So erfasst die App “Runtastic” je nach Konfiguration nicht nur die gelaufenen Strecken, sondern auch die Fotos des oder Adressbücher des jeweiligen Users. Mit den gesammelten Daten lassen sich umfassende Profile der App-User erstellen, die dann zu Werbezwecken weiterverkauft werden.
