News WhatsApp: BKA nutzt WhatsApp Web, um Zielpersonen zu überwachen

[4ndroid]

Seltsam, wenn ich WhatsAppWeb nutze sehe ich eine Notification auf meinem SmartPhone.

Also ganz so einfach ist das aber wohl doch nicht wenn das unbemerkt passieren soll.

So primitiv wird die Lösung des BKA auch nicht ausschauen, so dass sie ohne Notification auskommen ;-) Wenn das BKA das schafft, schaffen es auch alle Geheimdienste dieser Welt.

Wie schaut es bei Whatsapp 4 Business aus?

Interessant wird eher wie Teams, Slack, Zoom etc. abschneiden, ich habe vor Industriespionage in Zeiten exzessiven Remote- und Home Office mehr Angst als vor der Sichtung meiner privaten Chatprotokolle!

 

[Cool Master]

Wenn jemand zugriff zum Gerät hat, hat man ganz andere Probleme als WhatsApp Web...

 

[die.foenfrisur]

auf der einen Seite möchten wir Sicherheit, denn niemand möchte einen Anschlag oder ähnlich kriminelles miterleben, andererseits soll aber niemand präventiv solche Maßnahmen ergreifen.

wenn man jemanden kennt, der einem erzählt, wieviel wir nicht mitbekommen und wieviel verhindert wird...

echt schwierig...

 

[KWMM]

" Weshalb das Bundeskriminalamt überhaupt auf solche Methoden zurückgreift, ist ebenfalls unklar, denn seit der Reform der Strafprozessordnung im Sommer 2017 ist es dem BKA und der Bundespolizei erlaubt, den sogenannten „Staatstrojaner einzusetzen, um entsprechende Überwachungsmaßnahmen durchzuführen. "

Weil sie nicht in der Lage sind den Trojaner auf die Zielgeräte zu bekommen.

 

[KWMM]

Weshalb das bei den Zielpersonen nicht der Fall war und wie das BKA die Sache mit dem physischen Zugriff auf das Smartphone geregelt hat, ist noch immer offen.

Das BKA behauptet das, was nicht bedeutet dass es auch so ist

 

[new Account()]

Wenn der Betroffene das mit bekommt, wovon ich ausgehe, wird er doch das Telefon so nicht mehr nutzen?!

Einmal geschickt abgelenkt und du bekommst das gar nicht mit
Vielleicht ist es auch gar nicht notwendig.

Ja ansich nicht verkehrt. Allerdings schaue ich da regelmäßig meine Sessions nach (nicht nur da)

Dann wäre es ja nicht unbemerkt, wie im Artikel behauptet wird.

 

[Fliz]

Naja dazu brauchen sie physischen Zugang zu Handy und im WA gibts eine Anzeige, das geshared wird auf einem PC. So einfach ist es dann doch nicht.

 

[kryzs]

Hab früher schon immer gesagt: Unter jeder Nachricht sollte ein freundlicher Gruß an die jeweilige Instanz stehen! In diesem Falle dann das BKA, wer weiß wer da noch alles mitliest... kranke Welt 😔
Und keiner kann mir erklären das es zu Verbrechensbekämpfung oder der Vorsorge dient!

 

[chr1zZo]

Parrot OS klärt. Was das BKA kann.. püh!

 

[DKK007]

Ich weiß, warum ich kein WA nutze, wenn da jeder einfach mitlesen kann.

Es ist auch klar, warum nicht der Staatstrojaner verwendet wird.
1) Höhere rechtliche Anforderungen
2) Mehr technischer Aufwand, u.a. Anpassung an das Zielsystem
3) höheres Entdeckungsrisiko

Das Facebook einfach die Mitteilung an das Gerät des Täters ausschaltet sollte jetzt nicht so schwer für die sein.

@SV3N

Bisschen fehlformuliert, oder? Remote Forensic Software ist schließlich der offizielle Name des Staatstrojaners. Die beiden sind also das Gleiche.

Es gibt verschiedene. Sowohl Eigenentwicklung des BKA, als auch zugekaufte von FinFisher.

 

[Tzk]

Das Problem ist hier ja nicht der Messenger selbst, sondern das "Web" Bequemlichkeitsfeature. Sprich jeder Messenger der das so (oder leicht abgewandelt) erlaubt bietet Angriffsfläche. Hätte Whatsapp standardmäßig eine 2FA für das Web Feature (mit Timeout!), dann gäbe es das Problem nicht...

Die zweite Frage die sich stellt ist wie das BKA physischen Zugriff auf das Endgerät erlangt hat. Immerhin sind die meisten Smartphones mit einem Code oder Muster geschützt. Oder gar Face ID.

 

[DKK007]

Interessant wird eher wie Teams, Slack, Zoom etc. abschneiden, ich habe vor Industriespionage in Zeiten exzessiven Remote- und Home Office mehr Angst als vor der Sichtung meiner privaten Chatprotokolle!

Bei Zoom sind die Lücken offen wie ein Scheunentor.
https://www.computerbase.de/2020-04/zoom-sicherheitsluecken/

Aber auch die anderen sind nicht mit der DSGVO zu vereinbaren.
https://www.computerbase.de/2020-07/teams-zoom-nicht-dsgvo-konform-datenschutz-bfdi/

Die zweite Frage die sich stellt ist wie das BKA physischen Zugriff auf das Endgerät erlangt hat. Immerhin sind die meisten Smartphones mit einem Code oder Muster geschützt. Oder gar Face ID.

Das Muster ist die geringste Hürde. Da hat man in ein paar Sekunden alle möglichen Kombinationen durchprobiert, müssten so 150.000 sein.
Auch von Hand geht es recht schnell, weil viele ein einfaches Muster verwenden:
https://winfuture.de/news,88560.html
https://www.pcspezialist.de/blog/2015/10/29/entsperrcode-bei-android-wischmuster-leicht-zu-knacken/

Der Fingerabdruckscaner und auch FaceID ist auch direkt vom CCC umgangen wurden.

Beim Code hängt es davon ab, was man für einen hat. 4 stellige Pin ist auch recht schnell geknackt.
Auf der sicheren Seite ist man da nur mit einem mindestens 12 stelligen alphanumerischen Passwort.

 

[Rubyurek]

Das Versprechen von facebook, dass Whatsapp sicher ist ist damit hinfällig. Jetzt müssen ihr noch die richtigen Konsequenzen ziehen, Fuer facebook seid ihr das Produkt, Sie verkaufen eure Daten und werden sie nie Schützen. Zeit für xmpp/jabber, matrix,signal und co.

Sag das den wohlmöglich 95% der User in Deutschland die Whatsapp nutzen. Den wird es weiterhin nicht jucken.

 

[bisy]

Ich weiß, warum ich kein WA nutze, wenn da jeder einfach mitlesen kann.

Es kann keiner einfach so mitlesen, man braucht erstmal zugriff auf das Smartphone, damit man es überhaupt bei Whatapp Web anmelden kann.
Dann bekommt man bei Whatsapp zumindest auf Android Phones auch die Meldung, das Whatsapp Web gerade läuft.
Man kann auch jederzeit nach gucken, welche Geräte über Whatsapp web verbunden sind.

Die BKA Methode geht auch dann bei jedem anderen Messenger.
Und wenn das BKA dann wirklich echten zugriff auf das Smartphone hat, dann hat man generell mit seinen Mails, SMS usw ein Problem, denn dann können sie überall mitlesen

 

[Klassikfan]

Ich halte das mit dem physischen Zugriff für eine Legende, um die Bürger in Sicherheit zu wiegen. Ich denek, der Zugang ist direkter.

Für mich war von Anfang an klar, daß Whatsapp die "sichere" Verschlüsselung nur einführen darf, wenn es gleichzeitig einen sicheren Zugriff der westlichen Geheimdienste, also vor allem der NSA und der "Five Eyes" mit einrichtet.
In den USA hat man den E-Mail-Anbieter Lavabit totgeklagt, weil der sich weigerte, die Schlüssel zur Entschlüsselung aller Mails (nicht nur der Edward Snowdens!) herauszugeben. Und kurz darauf führt der Betreiber einer der meistgenutzten Kommunikationsplattformen eine "nicht knackbare" End-to-End-Verschlüsselung ein, und keiner meckert?

come on!

https://de.wikipedia.org/wiki/Lavabit

 

[stoeggich]

spitzen überwachung vorallem zeit das Whatsapp sogar an ... ich musste fast lachen wie ich das heute früh gehört habe

 

[Thorque]

ich zitiere mal folgenden Einwand zu dieser Story aus dem heise forum

Whatsapp Web meldet sich automatisch ab
Ich weiss nicht genau nach welcher Zeitspanne, aber ich nutze Whatsapp Web schon seit längerer Zeit und von Zeit zu Zeit muss man den QR Code neu einlesen und sich vom Handy aus neu einloggen. Selbst wenn das mit dem Handy und Whatsapp Web vorher nicht wegen Benachrichtigungen auffällt, gibt es spätestens dann Probleme, wenn Whats App will, dass man sich neu einloggt. Ich weiss nicht so recht, was man von dieser Meldung halten soll. Klingt Anfangs nach cleverem einfach umzusetzenden Trick der Polizei ohne große Datenschutzsauereien wie Staatstrojaner, aber ist irgendwie unglaubwürdig in der Umsetzung.

 

[Brink_01]

Wenn man schon das Smartphone abgeben musste, wird man ja wohl merken, dass dort eine neue Benachrichtigung ist und auch in den Einstellungen kann man die aktiven Geräte sehen.

Daher verstehe ich die News nicht die das BKA so darstellt als hätten die irgend etwas tolles geschafft.
Dabei nutzen die einfach nur die Web Oberfläche von WhatsApp.

Naja bei dem einen oder anderen, wird es vielleicht die Skepsis gegenüber WhatsApp stärken, wenn er denn die News nicht richtig gelesen hat.

 

[DKK007]

Es sollte kein Problem für Facebook sein, einen Polizeizugang zu WA-Web zu schaffen, wo keine zusätzliche 2FA nötig ist und auch weder eine Benachrichtigung, noch ein Eintrag im Log / bei Sessions erfolgt. Und erst recht kein Timeout für die Websession.

Sicherheit erfolgt einzig durch Verschlüsselung. Alles andere ist nur Blendwerk.

Wenn man schon das Smartphone abgeben musste, wird man ja wohl merken, dass dort eine neue Benachrichtigung ist und auch in den Einstellungen kann man die aktiven Geräte sehen.

Die Leute speichern selbst ihre Passwörter im Browser und die funktionieren nach 1 Jahr in der Asservatenkammer immer noch.

 

[M-X]

Ziemlich billige Nummer:
1. a) Es muss physischer zugriff auf das Gerät bestanden haben um dies einzurichten
b) wer lässt sein Handy bitte so lange endspeert liegen das da einer schnell WA Web einrichten kann ?
2. Man kann es jederzeit selber wieder deaktivieren indem man in WA nach sieht