WhatsApp und Signal verraten Fremden Ihren Tagesablauf über die Nummer

Ihre Nachrichten in WhatsApp und Signal sind verschlüsselt, niemand außerhalb des Chats liest mit. Das funktioniert. Was trotzdem durchsickert, ist der kleine graue Haken für die Zustellung: Er kommt mit messbarer Geschwindigkeit zurück, und diese Geschwindigkeit verrät, ob Ihr Bildschirm an ist, ob Sie im WLAN oder im Mobilfunk hängen, wie viele Geräte Sie nutzen und wann Sie schlafen gehen. Sammeln kann das jeder, der Ihre Telefonnummer kennt, und Sie bekommen keinerlei Hinweis.

Wie ein Haken zum Tracker wird

Forscher der Universität Wien und von SBA Research haben den Mechanismus in einer Arbeit namens Careless Whisper beschrieben. Der Ablauf passt in vier Zeilen.

1. Der Angreifer schickt an Ihre Nummer eine Nachricht, die die App verarbeitet, aber nie anzeigt, etwa eine Reaktion auf eine Nachrichten-ID, die es nicht gibt.
2. Ihr Telefon entschlüsselt sie, stellt fest, dass es nichts anzuzeigen gibt, und schickt brav trotzdem eine Zustellbestätigung zurück.
3. Der Angreifer misst, wie lange diese Bestätigung gebraucht hat.
4. Mehrmals pro Sekunde wiederholt, zeichnen die Laufzeiten den Verlauf Ihres Tages.

Auf dem Bildschirm erscheint nichts: keine Benachrichtigung, kein neuer Chat, kein ungelesener Zähler. Die Arbeit vergleicht das mit einer stillen SMS, dem Verfahren, mit dem Behörden ein Handy orten, ohne dass der Besitzer es merkt.

Was die Laufzeiten verraten

Ein Telefon mit eingeschaltetem Bildschirm antwortet schneller als dasselbe Gerät, das mit dem Display nach unten auf dem Tisch liegt. Im WLAN fällt die Antwort anders aus als im Mobilfunk. Ein Desktop-Client, der gerade online gegangen ist, meldet sich eigenständig. Daraus rekonstruierten die Forscher die Bildschirmzeit sekundengenau, Arbeitsabläufe, Wege zur Arbeit sowie die Zahl der angemeldeten Geräte samt Betriebssystem.

Derselbe Kanal taugt nicht nur als Sensor, sondern auch als Waffe. Da die Prüfnachrichten beliebige Nutzdaten tragen können, hat das Team gemessen, was passiert, wenn man dauerhaft große verschickt.

Bei Signal fällt das Bild milder aus. Kurze Serien gehen durch, mehrere Nachrichten pro Sekunde laufen aber in Grenzen, und der Akku eines Testgeräts ließ sich nicht nennenswert leeren. Der Tracking-Seitenkanal ist dort trotzdem vorhanden, nur das Auszehren der Ressourcen nicht.

Threema verhielt sich anders

Getestet wurden drei Messenger. Threema geht mit Bestätigungen so restriktiv um, dass stilles Abfragen nicht funktioniert: Ein Fremder kann überhaupt nur etwas auslösen, indem er eine normale Textnachricht schickt und ein sichtbares Gespräch beginnt, also das Gegenteil von unauffällig. Das ist wichtig, weil es zeigt: Hier geht es um eine Designentscheidung, nicht um ein Naturgesetz. WhatsApp und Signal antworten Fremden standardmäßig, Threema nicht.

Was die Anbieter unternommen haben

1. 5. September 2024Die Forscher melden die Ergebnisse an die Sicherheitskontakte von Meta und der Signal Foundation.
2. 24. September 2024Meta bestätigt den Eingang und teilt mit, der Bericht gehe an das Entwicklungsteam. Eine inhaltliche Antwort folgt nicht.
3. 8. August 2025Fast ein Jahr später teilt Meta erneut mit, der Bericht sei an die Technik weitergeleitet worden.
4. SignalLaut der Arbeit gab es überhaupt keine Antwort.

Die Arbeit listet auf, was das Problem schließen würde: keine Bestätigungen an Nummern schicken, mit denen kein Gespräch läuft, datenschutzbewussten Nutzern das Abschalten sofortiger Bestätigungen erlauben, den Zeiten etwas Zufall beimischen und referenzierte Nachrichten-IDs prüfen, statt Unsinn zu quittieren. Nichts davon ist als Protokolländerung erschienen. Im Dezember 2025 veröffentlichte jemand auf GitHub einen funktionierenden Machbarkeitsnachweis, der die Technik in ein Dashboard verwandelt, und darüber haben die meisten überhaupt erst davon erfahren. Am Verhalten der Messenger hat sich seither nichts geändert.

Die Schwachstelle ist die Nummer

Jede Variante dieses Angriffs beginnt gleich: Der Angreifer tippt eine Telefonnummer ein. Zum selben Schluss kommt eine zweite Arbeit derselben Wiener Gruppe, vorgestellt auf der NDSS 2026: Die Kontaktsuche von WhatsApp ließ sich mit mehr als 100 Millionen Abfragen pro Stunde befragen und bestätigte 3,5 Milliarden aktive Konten in 245 Ländern. Diese Lücke hat Meta inzwischen entschärft. Die Lehre überlebt die Korrektur: Auf beiden Plattformen ist Ihre Telefonnummer gleichzeitig Adresse, Login und Suchschlüssel.

Was Sie heute tatsächlich tun können

Von allem Genannten lohnen sich vor allem die Benutzernamen. Sie flicken den Seitenkanal nicht, nehmen dem Angriff aber das, ohne das er nicht beginnt. Wer Sie außerhalb Ihrer Kontakte nicht über die Nummer erreicht, kann Sie auch nicht auf Laufzeiten abfragen.