Private WhatsApp-Gruppeneinladungen im Google-Index

[English]Stell dir vor, Du pflegst eine sehr private Konversation mit deiner Familie per WhatsApp-Gruppe, in die nur Leute auf Einladung rein kommen. Und dann kann alle Welt diese Gruppeneinladung samt Telefonnummer über dieses Google mitverfolgen, und die Gruppe betreten.

Persönlich habe ich WhatsApp seit Inkrafttreten der DSGVO aus Datenschutzgründen verbannt. Daher kann ich nur wenig testen, aber ich denke, es fallen genügend Informationen für Leser ab.

Die WhatsApp-Gruppen und der Google Suchindex

In WhatsApp gibt es private Gruppen zum Chatten, in die man nur mit Einladungen (Invites) hinein kommt. Dazu wird ein Link mit einer Einladung an potentielle Teilnehmer verschickt. Jordan Wildon, ein Journalist, ist zufällig darauf gestoßen, dass die Einladungslinks in der Google-Suche auftauchen. Er hat kürzlich folgenden Tweet abgesetzt.

Your WhatsApp groups may not be as secure as you think they are.

The „Invite to Group via Link“ feature allows groups to be indexed by Google and they are generally available across the internet. With some wildcard search terms you can easily find some… interesting… groups. pic.twitter.com/hbDlyN6g3q

— Jordan Wildon (@JordanWildon) February 21, 2020

Google indexiert offenbar diese WhatsApp-Einladungslinks für private Gruppen, so dass diese durchsuchbar sind. Eine simple Suche in Google mit Begriffen wie:

„Whats“ site:https: // chat[.]whatsapp[.]com

bringt die gesammelten Einladungen in der Google-Suchseite zum Vorschein. Der Tweet hier macht weitere Vorschläge. Vice hat die Geschichte hier aufgegriffen und eine WhatsApp-Gruppe inspiziert. Die Gruppe gab in der Beschreibung an, für von den Vereinten Nationen akkreditierte NGO-Organisation bestimmt zu sein.

(Source: Vice)

Nach dem Beitritt konnte der Redakteur eine Liste aller 48 Teilnehmer und ihre Telefonnummern einsehen. Obiger Screenshot zeigt die Übersicht der Teilnehmerliste dieser WhatsApp-Gruppe, in der Namen und Telefonnummern der Mitglieder auftauchen.

Gets even worse, invite links to CP groups.
How is this shit not taken down yet!@WhatsApp @Facebook pic.twitter.com/2XtFnvDF4o

— johan Liebert (@johan_lieber) February 21, 2020

Eine Suche scheint da brisante Einblicke zu liefern, die auch für Strafverfolger aufschlussreich sein könnten. Eine Google-Anfrage von Vice blieb unbeantwortet. Ein Facebook-Sprecher sagte:

Group admins in WhatsApp groups are able to invite any WhatsApp user to join that group by sharing a link that they have generated. Like all content that is shared in searchable, public channels, invite links that are posted publicly on the internet can be found by other WhatsApp users. Links that users wish to share privately with people they know and trust should not be posted on a publicly accessible website.

In Kurz: Administratoren können Einladungslinks für WhatsApp-Gruppen erzeugen und versenden. Links sind öffentlich über verschiedene Kanäle abrufbar. Wenn ein Link privat bleiben soll, darf man den nicht auf öffentlichen Webseiten posten – fertig.

It seems Facebook acknowledged this after @hackrzvijay alerted them, suggesting that admins can invalidate the link.

In the app, I could only generate a new link (which invalidates the old one), but couldn’t disable it altogether.https://t.co/AlPtuRxjbN

— Jordan Wildon (@JordanWildon) February 21, 2020

Ein Nutzer hat das bereits im November 2019 an Facebook berichtet, das ist bei denen also bekannt. Nur die WhatsApp-Nutzerschaft scheint ahnungslos. Nachtrag: Das gleiche gilt übrigens für Telegram, wie folgender Tweet nahelegt.

Same goes for telegram? pic.twitter.com/ytS30E56zX

— Onkar Soundankar (@onkarsoundnkr77) February 21, 2020

Bei Telegram gibt es aber private Gruppen, die nicht durchsuchbar sind.