Datenpanne bei offizieller Gebets-App des Papstes: 700.000 Nutzerdaten landen im Netz

Sicherheitsrisiko in der digitalen Glaubenswelt

Die Anwendung „Click to Pray“, die als offizielle Gebets-App des Papstes vermarktet wird, ist in den Fokus von Sicherheitsanalysen geraten. Wie Berichte belegen, war die Plattform über Monate hinweg für Unbefugte offen, wodurch sensible Informationen von rund 700.000 registrierten Nutzerinnen und Nutzern gefährdet waren. Die Entdeckung der Schwachstelle wirft ein Schlaglicht auf die mangelnde IT-Sicherheit bei religiösen digitalen Angeboten.

Die technische Schwachstelle im Detail

Anfang Januar 2026 identifizierte die Sicherheitsforscherin „Bobdahacker“ eine kritische Sicherheitslücke in der Architektur der Anwendung. Das Problem lag in der Art und Weise, wie die App auf Nutzerdaten zugriff. Über eine Schnittstelle konnten Datensätze durch die einfache Eingabe einer numerischen Nutzer-ID abgerufen werden, ohne dass eine vorherige Authentifizierung oder Berechtigungsprüfung stattfand. In der Fachwelt ist dieses Phänomen als Insecure Direct Object Reference (IDOR) bekannt und gilt als ein klassisches, aber vermeidbares Sicherheitsrisiko bei Web-Anwendungen.

Durch diese Lücke waren folgende persönliche Informationen für Dritte einsehbar:

* Vor- und Nachnamen

* E-Mail-Adressen

* Geburtsdaten

* Spezifische Nutzerrollen innerhalb der App

Weitere Mängel bei der Registrierung und E-Mail-Sicherheit

Neben der zentralen Schwachstelle bei der Datenabfrage stieß die Sicherheitsforscherin auf weitere technische Defizite. So wurde bei der Registrierung neuer Konten der Bestätigungscode für die E-Mail-Verifizierung direkt über die Serverantwort an den Client gesendet. Dies ermöglichte es, Konten zu verifizieren, ohne tatsächlich Zugriff auf die hinterlegte E-Mail-Adresse zu haben.

Zusätzlich war der E-Mail-Versand der App fehlerhaft konfiguriert. Aufgrund einer mangelhaften Authentifizierung stuften viele E-Mail-Programme die Nachrichten der App als potenziell betrügerisch ein. Dies erschwerte es den Nutzern massiv, zwischen legitimen Mitteilungen und gefälschten Phishing-Versuchen zu unterscheiden.

Gefahr durch Phishing und fehlende Kommunikation

Die Kombination aus den entwendeten Nutzerdaten und der mangelhaften E-Mail-Authentifizierung stellt ein erhebliches Sicherheitsrisiko dar. Experten warnen, dass die Daten gezielt für Phishing-Attacken genutzt werden könnten. Da die Zielgruppe der App teilweise aus älteren Menschen besteht, die im Umgang mit digitalen Bedrohungen weniger geschult sein könnten, ist das Gefahrenpotenzial als besonders hoch einzustufen.

Besonders kritisch bewerten Fachleute den Umgang der Betreiber mit den Hinweisen. Obwohl die Sicherheitsforscherin die Schwachstellen gemeldet hatte, blieb eine Reaktion über Monate aus. Erst nachdem die Recherche im Juli 2026 durch das Portal Dark Reading publik gemacht wurde, wurde die Lücke an der Schnittstelle ohne öffentliche Stellungnahme oder Rückmeldung an die Entdeckerin geschlossen.

Einordnung und Ausblick

Die seit 2019 existierende App, die in sieben Sprachen verfügbar ist, steht nun in der Kritik. Das Ausbleiben einer offiziellen Kommunikation seitens der Betreiber gegenüber der Sicherheitsforscherin unterstreicht ein mögliches Defizit in der Krisenkommunikation und im Sicherheitsmanagement der Organisation. Nutzerinnen und Nutzer der Anwendung sollten aufgrund der Vorfälle erhöhte Vorsicht bei E-Mails walten lassen, die vorgeben, von der Plattform zu stammen, und im Zweifelsfall ihre Zugangsdaten aktualisieren.