WhatsApp Zero-Click Sicherheitslücke: Aktuelle Bedrohung erklärt

Wenn eine einzige Nachricht reicht, um ein iPhone zu übernehmen – ohne dass das Opfer auch nur einen Finger rührt – dann stehen wir vor einer neuen Qual von Bedrohung. Die Zero-Click-Schwachstelle CVE-2025-55177 in WhatsApp ermöglicht Angreifern, Geräte durch eine manipulierte Bilddatei zu kompromittieren. Laut dem Chaos Computer Club (CCC) wurden über 200 gezielte Angriffe auf Führungskräfte und Journalisten in den letzten 90 Tagen vor der Disclosure registriert. Dieser Artikel erklärt, was hinter der Sicherheitslücke steckt und wie Sie sich schützen.

Betroffene Geräte: iOS, iPads, macOS · CVE-ID: CVE-2025-55177 · Angriffsart: Zero-Click-Spyware · Erste Meldung: 30.08.2025

Sechs Datenpunkte aus der CVE-2025-55177-Disclosure: vom Patch-Datum über betroffene Versionen bis zur Exploit-Kette.

Hat WhatsApp Sicherheitslücken?

WhatsApp hat Zero-Click-Sicherheitslücken auf iOS und macOS. Hacker greifen ohne Nutzerinteraktion zu – eine manipulierte DNG-Bilddatei reicht aus, um ein Gerät zu kompromittieren.

Aktuelle Zero-Click-Lücken

CVE-2025-55177 ist eine kritische Zero-Click-Schwachstelle in WhatsApp, die iOS, macOS und iPadOS betrifft (PurpleOps). Die Exploit-Kette kombiniert CVE-2025-55177 (WhatsApp) mit CVE-2025-43300 (Apple ImageIO Out-of-Bounds-Write) (CCC). Apple patchte CVE-2025-43300 im August 2025 als in-the-wild exploitierte Zero-Day (CCC). Eine Woche nach Apples Patch veröffentlichte WhatsApp ein Advisory für CVE-2025-55177 (CCC).

Bekannte Exploits

Angreifer nutzen CVE-2025-55177 zur Message Spoofing, um Nachrichten als von eigenen verknüpften Geräten erscheinen zu lassen (PurpleOps). Die Schwachstelle entsteht durch unzureichende Validierung von Nachrichten von verknüpften Geräten (SOC Prime DE). Historische WhatsApp Zero-Clicks gab es 2019 (CVE-2019-3568) und 2021 (CVE-2021-30860) (Nevercodealone). Die Angriffe hinterlassen keine Spuren, umgehen klassische Sicherheitslösungen und bleiben meist unerkannt (Anyplace IT).

Was ist ein Zero-Day-Angriff und ein Zero-Click-Angriff?

Zero-Click erfordert keinen Klick – die Nutzung von Autorisierungsfehlern ermöglicht Spyware-Installation ohne Aktion des Opfers.

Definition Zero-Day

Ein Zero-Day-Angriff nutzt eine Schwachstelle aus, die dem Hersteller noch nicht bekannt ist oder für die kein Patch existiert. Google TAG dokumentierte 75 Zero-Days im Jahr 2024 (SOC Prime). Zero-Days machen ein Drittel aller Einbruchsversuche 2025 aus (SOC Prime).

Zero-Click im Detail

Zero-Click bedeutet: Keine Interaktion erforderlich. (Nevercodealone) Anders als bei herkömmlichen Exploits, die einen Klick oder eine Aktion brauchen, reicht bei CVE-2025-55177 die Telefonnummer des Ziels (Nevercodealone). Das Opfer muss nicht einmal eine Nachricht öffnen – es reicht, dass die präparierte DNG-Bilddatei im Speicher verarbeitet wird (PurpleOps).

Beispiele bei WhatsApp

Apple bezeichnete die Angriffsmethode als „extremely sophisticated attack against specific targeted individuals” (CCC). Die Forschenden reproduzierten den Exploit und erstellten einen PoC, der iPhones, iPads und Macs zum Absturz bringt (CCC).

Welche Geräte sind von der WhatsApp Zero-Click-Sicherheitslücke betroffen?

Primär iOS-Geräte sind betroffen – Updates für Samsung Galaxy sind verfügbar, aber das Hauptproblem liegt im Apple-Ökosystem.

iPhone und iPad

Betroffene WhatsApp-Version: iOS < 2.25.21.73 (Nevercodealone). Das entspricht iOS/iPadOS kleiner als 18.0.1 (Nevercodealone). WhatsApp Business iOS vor Version 2.25.21.73 ist ebenfalls betroffen (Security Insider). Meta warnte vor Angriffen und riet zu einem Update (Security Insider).

macOS-Computer

macOS < 15.0.1 ist durch CVE-2025-43300 betroffen (Nevercodealone). Die Exploit-Kette kann über WhatsApp-Nachrichten mit manipulierten DNG-Bildern ausgelöst werden – auch auf Desktop-Geräten (PurpleOps).

Android und Samsung?

Nach aktuellem Kenntnisstand sind Android-Geräte nicht direkt betroffen. Auf Samsung-Geräten wurden ähnliche Vulnerabilitäten entdeckt: CVE-2025-21043 (CCC). Die Forschung auf dem 39C3 führte zur Entdeckung neuer Zero-Days auf Samsung (CCC). Das Ausmaß auf Android-Geräte bleibt unklar (CCC).

Kann die Polizei auf WhatsApp-Chats zugreifen?

Zero-Click ermöglicht potenziellen Zugriff – die Ende-zu-Ende-Verschlüsselung schützt normalerweise, aber Exploits hebeln diese Sicherheit aus.

Verschlüsselung vs. Lücken

Ende-zu-Ende-Verschlüsselung schützt WhatsApp-Nachrichten normalerweise vor Zugriff Dritter. Bei einem Zero-Click-Exploit wird die Verschlüsselung jedoch auf dem Gerät selbst umgangen (PurpleOps). Der Exploit führt zu vollständiger Geräteübernahme, Datenklau und Malware-Installation ohne Spuren (Anyplace IT).

Behördenzugriff bei Exploits

Die Angriffe zielen auf High-Value-Targets wie Executives und Journalisten (Nevercodealone). Die Exploit-Kette kann für Spyware-Delivery in gezielten Kampagnen eingesetzt werden (SOC Prime).

Woran erkenne ich, ob mein WhatsApp-Konto gehackt wurde?

Unerklärliche Aktivitäten und unerwartete Nachrichten können auf einen Hack hindeuten – Kaspersky-Tipps helfen bei der Wiederherstellung.

Anzeichen für Hack

Zero-Click-Angriffe hinterlassen keine sichtbaren Spuren (Anyplace IT). Unerklärliche Aktivitäten im WhatsApp-Konto können dennoch auf einen Hack hindeuten (Nevercodealone): Unbekannte aktive Sitzungen in verknüpften Geräten, ungewöhnliche Nachrichten an Kontakte oder plötzlicher Akkuverbrauch und hohe Datenübertragung.

Schutzschritte nach Erkennung

Wenn der Verdacht auf einen Hack besteht, empfiehlt WhatsApp einen Factory Reset (SOC Prime). Zunächst sollte WhatsApp auf die neueste Version aktualisiert und alle verknüpften Geräte überprüft werden (PurpleOps). Wenn Sie mehr über die WhatsApp Zero-Click-Sicherheitslücke erfahren möchten, finden Sie weitere Informationen unter Apple TV 4K 2026.

Schutzmaßnahmen Schritt für Schritt

Vier Handlungsschritte für betroffene iOS- und macOS-Nutzer, um sich vor CVE-2025-55177 zu schützen.

1. WhatsApp aktualisieren: Mindestens Version 2.25.21.73 installieren – verfügbar über den App Store.
2. Betriebssystem updaten: iOS auf 18.0.1 oder höher, macOS auf 15.0.1 oder höher bringen.
3. Verknüpfte Geräte prüfen: In WhatsApp unter „Verknüpfte Geräte” unbekannte Sitzungen sofort schließen.
4. Bei Verdacht handeln: Ein Factory Reset kann notwendig sein – WhatsApp empfiehlt diesen Schritt bei konkreter Kompromittierung.

Die CVE-2025-55177 Zero-Click-Schwachstelle demonstriert, wie ausgefeilt moderne Exploit-Techniken geworden sind. Für iPhone- und Mac-Nutzer in Deutschland ist die Botschaft eindeutig: Jetzt aktualisieren oder das Risiko einer lautlosen Übernahme eingehen.

Verwandte Beiträge: iPhone 17 Pro Max 2 TB: Preis, Speicher & Kauf 2025 · iPhone 17 Preis Schweiz – Preise ab 799 CHF und Release 2025

Ähnliche Zero-Day-Schwachstellen wie die WhatsApp-Lücke bedrohen auch Android-Geräte, wo Android Zero-Day-Lücken rasche Patches erfordern.

Häufig gestellte Fragen