Click To Pray-App-Leck legt Daten von 700.000 Nutzern offen

Was geschah mit Click To Pray-Nutzern

Eine Sicherheitslücke in der vom Vatikan unterstützten Gebets-App Click To Pray, die unter Papst Franziskus gestartet wurde, hat die persönlichen Daten von mehr als 700.000 Nutzern offengelegt. Die App, die es Katholiken auf der ganzen Welt ermöglichen soll, Gebetsanliegen zu teilen und sich mit den monatlichen Gebetsanliegen des Papstes zu verbinden, ist als risikoarmes, glaubensbasiertes digitales Werkzeug gedacht. Stattdessen wurde sie zu einem Fallbeispiel dafür, wie auch gut gemeinte, nicht-kommerzielle Apps die von ihnen erhobenen persönlichen Daten missbräuchlich verwenden können.

Berichten zufolge umfassten die offengelegten Informationen die Namen der Nutzer, E-Mail-Adressen, das Wohnsitzland und mit ihren Profilen verknüpfte Kontostatusinformationen. Das klingt vielleicht nicht so schwerwiegend wie ein Datenschutzverstoß mit Finanzdaten, aber es ist genau die Art von Informationen, die gezielte Phishing-Kampagnen befeuert, insbesondere wenn sie von einer so vertrauenswürdigen und emotional ansprechenden Quelle wie einer religiösen Einrichtung stammen.

Wie die API-Schwachstelle persönliche Daten offenlegte

Die Ursache liegt in der Backend-Infrastruktur der App. Click To Pray nutzt eine API – die Verbindung im Hintergrund, die es der App ermöglicht, mit ihren Servern zu kommunizieren –, um Nutzerdaten abzurufen und zu übertragen. In diesem Fall war dieser API-Endpunkt ohne ausreichende Zugriffskontrollen eingerichtet, das heißt, er hat nicht ordnungsgemäß überprüft, wer die Daten anforderte, bevor er sie herausgab.

In der Praxis handelt es sich um eine grundlegende und weithin bekannte Schwachstellenkategorie. APIs sollen Berechtigungen überprüfen, bevor sie sensible Datensätze freigeben. Fehlt dieser Verifikationsschritt oder ist er falsch konfiguriert, kann potenziell jeder, der weiß, wo er suchen muss, oder der zufällig auf den Endpunkt stößt, ohne Berechtigung Nutzerdaten abrufen. Dies ist kein ausgeklügelter Hack, der fortgeschrittene Werkzeuge erfordert; es kommt eher dem Hinterlassen einer unverschlossenen Tür gleich, an der eigentlich ein Tastenfeld angebracht sein sollte.

Bemerkenswert an diesem Vorfall ist nicht die technische Komplexität der Sicherheitslücke, sondern wie lange sie offenbar unbehoben blieb. Grundlegende API-Sicherheitstests, wie sie für jede App, die Nutzerdaten sammelt, Standard sein sollten, hätten dieses Problem wahrscheinlich erkannt, bevor es Hunderttausende von Menschen betraf.

Warum nach einem solchen Leck Phishing-Risiken folgen

Ein Leck von Namen, E-Mails und Länderdaten mag im Vergleich zu Datenschutzverletzungen mit Passwörtern oder Zahlungsdaten geringfügig erscheinen, aber es ist genau das Ausgangsmaterial, das Betrüger nutzen, um überzeugende Phishing-Mails zu verfassen. Wenn Angreifer den echten Namen einer Person, ihr Land und die Tatsache kennen, dass sie aktive Nutzerin einer bestimmten Gebets-App ist, können sie Nachrichten maßschneidern, die persönlich und legitim wirken – sei es eine gefälschte „Kontobestätigungs“-E-Mail oder ein Betrug, der als offizielle Vatikan-Mitteilung getarnt ist.

Dieses Muster ist nicht auf religiöse oder gemeinnützige Apps beschränkt. Datenpannen in verschiedenen Branchen, von Telekommunikationsanbietern bis hin zu Gesundheitsplattformen, zeigen immer wieder, dass selbst scheinbar geringwertige Daten wertvoll werden, sobald sie aggregiert und für Social Engineering genutzt werden. Der SpaceBears-Angriff auf den französischen Telekommunikationsanbieter Stellar erinnert daran, dass kein Sektor, ob kommerziell oder nicht, vor den Folgen offengelegter Kundendaten gefeit ist und dass die Konsequenzen oft weit über die betroffene Organisation hinausreichen.

So schützen Sie sich, wenn Apps Ihre Daten falsch behandeln

Wenn Sie Click To Pray oder eine App nutzen, die einen ähnlichen Datenschutzvorfall erlebt hat, gibt es praktische Schutzmaßnahmen. Seien Sie wachsam bei unerwarteten E-Mails, die sich auf Ihr Konto beziehen, insbesondere solchen, die Sie auffordern, auf einen Link zu klicken, Ihre Identität zu bestätigen oder weitere persönliche Daten anzugeben. Seriöse Organisationen bitten nach der Offenlegung eines Sicherheitsvorfalls selten per E-Mail um sensible Informationen.

Es lohnt sich auch, regelmäßig zu überprüfen, welche Apps Zugriff auf Ihre persönlichen Daten haben und ob Sie sie noch nutzen. Viele Menschen installieren Apps, erteilen Berechtigungen und vergessen sie vollständig – inaktive Konten werden so zu langfristigen Risiken. Wenn eine nicht mehr genutzte App von einem Datenleck betroffen war, sollten Sie das Konto lieber löschen, anstatt Ihre Daten auf unbestimmte Zeit in einer Datenbank zu belassen.

Was das für Sie bedeutet

Die Datenschutzverletzung bei der Click To Pray-App unterstreicht eine einfache Wahrheit: Jede App, die Ihren Namen und Ihre E-Mail-Adresse erfasst, verarbeitet schützenswerte Daten – unabhängig von ihrem Zweck oder ihrer Größe. Glaubensbasierte, gemeinnützige und kleine Apps arbeiten oft mit weniger Sicherheitsressourcen als große Technologieplattformen, was sie anfälliger für grundlegende Konfigurationsfehler wie einen ungesicherten API-Endpunkt machen kann.

Für ganz normale Nutzer ist dieser Vorfall ein nützlicher Anstoß, jede App – nicht nur Banking- oder Shopping-Plattformen – mit der gleichen grundlegenden Skepsis in Bezug auf den Umgang mit Daten zu betrachten. Fragen Sie sich, welche Informationen eine App tatsächlich benötigt, bevor Sie sie preisgeben, und achten Sie darauf, wenn Entwickler Sicherheitsprobleme offenlegen.

Wichtigste Erkenntnisse

Überprüfen Sie die Berechtigungen und persönlichen Daten, die Sie mit regelmäßig genutzten Apps geteilt haben, auch mit scheinbar harmlosen. Achten Sie nach einem bekannt gewordenen Datenschutzvorfall auf Phishing-Versuche, die sich auf Ihren Namen oder Kontoaktivitäten beziehen. Und denken Sie daran: Datenpannen, ob bei einer Gebets-App oder einem Telekommunikationsanbieter, führen alle zur selben Lehre – strenge Datenschutzpraktiken müssen für jede Organisation, die personenbezogene Daten sammelt, nicht verhandelbar sein, ohne Ausnahmen.