Datenpanne in Gebets-App: Sicherheitslücke in "Gottes Tech-Stack" aufgedeckt

Ein digitaler Schwachpunkt im Vatikan-Netzwerk

Die Digitalisierung macht auch vor religiösen Institutionen nicht halt. Die offizielle Gebets-App des Papstes, bekannt unter dem Namen „Click to Pray“, sollte Gläubige weltweit vernetzen. Doch hinter der Fassade der spirituellen Anwendung verbarg sich eine technische Schwachstelle, die den Schutz sensibler Nutzerdaten massiv gefährdete. Die Sicherheitsforscherin, die unter dem Pseudonym „BobDaHacker“ bekannt ist, stieß bei einer Untersuchung auf Sicherheitslücken, die sie ironisch als Fehler in „Gottes Tech-Stack“ bezeichnete.

Die seit 2019 verfügbare Anwendung, die sowohl für Android als auch für iOS angeboten wird und über die Website clicktopray.org erreichbar ist, dient als zentrale Plattform für das weltweite Gebetsnetzwerk des Papstes. Nutzer können dort Anliegen teilen und gemeinsam beten. Doch die technische Umsetzung erwies sich als mangelhaft.

Die Schwachstellen im Detail

Die Analyse der Forscherin offenbarte zwei kritische Sicherheitsprobleme, die es Angreifern ermöglichten, sowohl bestehende Konten zu kompromittieren als auch neue, fremde Identitäten zu erstellen.

Unzureichende API-Sicherung

Der schwerwiegendste Fehler lag in einem ungeschützten API-Endpunkt. Dieser war ohne jegliche Authentifizierung zugänglich. Da die Nutzer-IDs des Systems als einfache, fortlaufende Nummern vergeben wurden, konnten Angreifer mittels einer automatisierten Schleife sämtliche Datensätze abfragen. Dies betraf insgesamt 719.517 registrierte Nutzer. Zu den frei abrufbaren Informationen gehörten:

* Vollständige Namen

* E-Mail-Adressen

* Angaben zum Herkunftsland

* Geburtsdaten

* Informationen zum Account-Status (aktiv oder gelöscht)

* Die zugewiesene Nutzerrolle

Manipulierbare E-Mail-Verifizierung

Ein zweites Einfallstor existierte bereits bei der Registrierung neuer Konten. Das System versendete Verifizierungs-E-Mails, deren Links auf einem Hash-Wert basierten. Da dieser Hash-Wert jedoch bereits bei der Registrierungsanfrage über die API zurückgegeben wurde, konnten Angreifer den Verifizierungslink eigenständig konstruieren. Dies ermöglichte die Registrierung von Accounts mit fremden E-Mail-Adressen, ohne dass ein Zugriff auf das eigentliche E-Mail-Postfach der Zielperson erforderlich war.

Lange Reaktionszeit und späte Behebung

Die Kommunikation zwischen der Sicherheitsforscherin und den Verantwortlichen der App verlief schleppend. Bereits am 3. Januar meldete BobDaHacker ihre Funde an neun verschiedene Ansprechpartner innerhalb des Gebetsnetzwerks und des Projekts „Click to Pray“. Trotz der Schwere der Sicherheitslücke blieb eine Reaktion über einen Zeitraum von sechs Monaten aus.

Erst als das Medienportal Dark Reading am 24. Juli über die Sicherheitsmängel berichtete, kam Bewegung in den Prozess. Zwar blieb eine direkte Kommunikation mit der Forscherin weiterhin aus, doch die kritischen Lücken wurden kurz nach der medialen Berichterstattung stillschweigend geschlossen.

Kontext und Einordnung

Der Vorfall wirft ein Schlaglicht auf die Herausforderungen bei der Implementierung sicherer Software in kirchlichen Infrastrukturen. Dass eine App, die als „päpstliches Werk“ firmiert, derartige grundlegende Sicherheitsstandards vermissen ließ, unterstreicht die Notwendigkeit professioneller Sicherheitsaudits für alle digitalen Angebote, unabhängig von ihrem inhaltlichen Zweck.

Die Sicherheitsforscherin BobDaHacker ist in der Branche keine Unbekannte. Sie hat in der Vergangenheit bereits auf Sicherheitslücken bei diversen Institutionen aufmerksam gemacht, darunter ein Streaming-Portal der FIFA, ein Webportal von McDonalds sowie eine App für Sexspielzeuge. Der Fall der Gebets-App zeigt jedoch erneut, dass auch vermeintlich harmlose Anwendungen, die persönliche Daten verarbeiten, ein attraktives Ziel für Datendiebstahl darstellen können.

Für die betroffenen Nutzer bleibt die Ungewissheit, ob die Daten in den sechs Monaten, in denen die Lücke offen stand, von Dritten abgegriffen wurden. Solche Datenlecks können langfristig für Phishing-Angriffe oder Identitätsdiebstahl genutzt werden, da die Kombination aus Namen, E-Mail-Adressen und Geburtsdaten für Kriminelle wertvolle Informationen darstellt.