Eine von Papst Franziskus im Jahr 2019 eingeführte Gebets-App wies eine Sicherheitslücke auf, die die persönlichen Daten von Hunderttausenden von Nutzern offenlegte, bevor sie in diesem Jahr endlich behoben wurde.
Die App „Click To Pray“ wurde von La Machi Communication for Good Causes für das weltweite Gebetsnetzwerk des Papstes entwickelt . Papst Franziskus befürwortete den Dienst und nutzte ihn selbst. Die App bietet eine „digitale Gebetsgemeinschaft“, indem sie die Nutzer durch drei Gebete pro Tag führt.
Im Januar dieses Jahres entdeckte der unabhängige Forscher BobDaHacker eine Sicherheitslücke im API-Endpunkt der App. Eine API ist ein Online-Dienst, der Datenanfragen beantwortet. Normalerweise sollte nur die mobile App solche Anfragen senden, und die API sollte ausschließlich Informationen über den jeweiligen Nutzer der App zurückgeben. BobDaHacker stellte jedoch fest, dass die API Informationen über alle App-Nutzer an jeden weitergab, der danach fragte.
Apps fragen üblicherweise einen Endpunkt ab, indem sie ihm eine spezifische ID des jeweiligen Nutzers senden. In diesem Fall handelte es sich bei diesen IDs lediglich um fortlaufende Nummern. Laut BobDaHacker gab es 719.517 registrierte IDs für die App, was bedeutet, dass die Daten von über 700.000 Nutzern im System gespeichert waren.
Das Problem bestand darin, dass die API nicht prüfte, ob der Anfragende tatsächlich berechtigt war, einen Datensatz einzusehen. Jeder konnte Informationen zu jeder beliebigen ID von 1 bis 719.517 anfordern. Die API gab dann den Datensatz des jeweiligen Nutzers zurück, einschließlich:
- E-Mail Adresse
- Vor- und Nachname
- Land
- Datum der Geburt
Diese Art von Schwachstelle wird als unsichere direkte Objektverweis (IDOR) bezeichnet und ist uns bereits bekannt. Die Stalkerware-ähnliche App TheTruthSpy wurde 2022 dabei entdeckt , wie sie über eine IDOR-Schwachstelle Details über ihre Opfer preisgab, und diese war auch zwei Jahre später noch nicht behoben. Auch der Webserver des GPS-Fahrzeugortungsgeräts MiCODUS MV720 wies 2022 diese Schwachstelle auf und gefährdete damit 1,5 Millionen Menschen.
Ein zweiter Fehler in der Click-to-Pray-API verschlimmerte die Situation. Normalerweise sendet der Dienst Nutzern bei der Registrierung einen Link per E-Mail, der einen eindeutigen Code, den sogenannten Validierungs-Hash, enthält. Durch Klicken auf den Link wird bestätigt, dass der Nutzer Zugriff auf das Postfach hat und somit Inhaber der registrierten E-Mail-Adresse ist.
Leider lieferte die Click-to-Pray-API beim Klicken auf den Bestätigungslink auch den Validierungs-Hash als Antwort. Diese Antworten lassen sich mithilfe der Entwicklertools eines Webbrowsers leicht einsehen. Das bedeutet, dass ein Angreifer ein Konto mit einer ihm fremden E-Mail-Adresse registrieren und es bestätigen könnte, noch bevor der eigentliche Kontoinhaber die Bestätigungs-E-Mail überhaupt erhalten hat.
Sechs Monate, neun Kontakte, keine Antwort
BobDaHacker meldete den Fehler erstmals am 3. Januar 2026 und kontaktierte daraufhin neun verschiedene E-Mail-Adressen, darunter den Gebetsdienst „Click To Pray“, das weltweite Gebetsnetzwerk des Papstes und eine allgemeine Informationsadresse. Er erhielt keine Antwort. Der Fehler wurde erst über sechs Monate später behoben, nachdem der Forscher einen Journalisten kontaktiert hatte, der eine Anfrage an den Vatikan richtete.
Verantwortungsvolle Offenlegung funktioniert nur, wenn der Empfänger über ein funktionierendes Aufnahmeverfahren verfügt. Neun unbeantwortete E-Mails waren ein deutliches Indiz dafür, dass ein solches Verfahren nicht existierte.
Nicht die erste Sicherheitslücke in einer Vatikan-App
Dies ist nicht die erste Sicherheitslücke in einer Vatikan-App. 2019 entdeckte das britische Unternehmen Fidus Information Security eine Schwachstelle in der App für den Bluetooth-basierten elektronischen Rosenkranz des Vatikans. Anstelle eines herkömmlichen Passworts wurde für die Anmeldung ein Passwort verwendet. Stattdessen gaben die Nutzer ihre E-Mail-Adresse ein, woraufhin die App eine vierstellige PIN an diese Adresse sendete. Anschließend mussten sie die PIN eingeben, um sich anzumelden.
Wenn der Nutzer jedoch seine E-Mail-Adresse eingab, übermittelte die App die PIN im Klartext in ihrer Webantwort. Dadurch konnte ein Angreifer durch einfaches Auslesen der Antwort jedes beliebige Konto übernehmen.
Dieser Fehler ähnelte dem Problem mit der Kontoverifizierung, das BobDaHacker mehr als sechs Jahre später entdeckte. Obwohl die Vorfälle unterschiedliche Apps betrafen, zeigen sie, wie derselbe Sicherheitsfehler Jahre später erneut auftreten kann.
BobDaHacker wies außerdem darauf hin, dass der Staat Vatikanstadt am 30. April 2024 mit dem Dekret Nr. DCLVII eine eigene Datenschutzverordnung erlassen hat. Diese Verordnung schreibt angemessene Schutzmaßnahmen für personenbezogene Daten vor. Es ist jedoch unklar, ob sie direkt für Click To Pray oder die dahinterstehenden Organisationen gilt.
Was Nutzer jetzt tun können
Zum Glück hat jemand im Vatikan die Sicherheitslücken inzwischen behoben, doch aufgrund dieser Schwachstelle waren Nutzerdaten lange Zeit ungeschützt. Wenn Sie ein Konto registriert haben, gehen Sie davon aus, dass Ihre E-Mail-Adresse, Ihr Name, Ihr Geburtsdatum und Ihr Land möglicherweise im Umlauf sind. Seien Sie wachsam gegenüber Phishing-Mails, die sich auf die App beziehen, und besonders skeptisch gegenüber Nachrichten, die angeblich von vatikanischen Diensten stammen und Sie zum Klicken, Verifizieren oder Einloggen auffordern.
Dies ist besonders wichtig, da BobDaHacker auch berichtete, dass E-Mails des Dienstes die üblichen E-Mail-Authentifizierungsprüfungen nicht bestanden. Diese Prüfungen helfen empfangenden E-Mail-Anbietern zu bestätigen, dass eine Nachricht tatsächlich von der angegebenen Domain stammt. Laut dem Forscher könnte dies Phishing-Angreifern die Möglichkeit geben, sich als die Organisation auszugeben.
Ihr Name, Ihre Adresse und Ihre Telefonnummer werden möglicherweise bereits zum Verkauf angeboten.
Datenbroker sammeln Ihre persönlichen Daten und verkaufen sie an jeden, der bereit ist, dafür zu zahlen. Malwarebytes Personal Data Remover diese DatenPersonal Data Remover , sorgt dafür, dass Ihre Informationen gelöscht werden, und überwacht anschließend, dass dies auch so bleibt.
