Ohne Klick gehackt: WhatsApp-Bild nutzt Lücken in WhatsApp und iOS

WhatsApp-Nachricht reicht für den Angriff, und du merkst nichts

Ein unscheinbares Bild in einer WhatsApp-Nachricht genügt: Ohne Antippen, ohne Reaktion deinerseits kann dein iPhone, iPad oder Mac infiziert werden. 

Möglich wurde das durch eine gefährliche Kombination aus zwei Sicherheitslücken – eine in WhatsApp, eine in Apples Bildverarbeitungssystem. Das Ergebnis ist ein sogenannter „Zero-Click“-Angriff: Er passiert automatisch beim Empfang der Nachricht. WhatsApp und Apple haben Notfall-Updates ausgeliefert, doch das Risiko bleibt für alle, die nicht schnell reagieren.

Laut WhatsApp wurde die Schwachstelle bereits aktiv ausgenutzt, offenbar gezielt gegen eine kleine Gruppe von Personen. Wer betroffen war, wurde direkt benachrichtigt. Es geht also nicht um Massenangriffe, sondern um präzise Spionage. Dennoch: Die technischen Details zeigen, wie angreifbar moderne Kommunikationsapps mittlerweile sind, und dass bloße Vorsicht beim Tippen nicht mehr ausreicht.

Zwei Lücken, ein Angriff: So lief die Kompromittierung ab

Im Zentrum steht eine Lücke in WhatsApp (CVE-2025-55177): Die App prüfte nicht genau genug, ob eine Nachricht wirklich von einem deiner verknüpften Geräte stammt. So konnte ein Angreifer eine manipulierte Nachricht einschleusen, die wie interner Datenverkehr aussah, und damit durch die Sicherheitskontrollen rutschte.

Diese Nachricht enthielt ein präpariertes Bild im DNG-Format, ein Spezialformat für digitale Fotos. Und hier schlug die zweite Lücke zu: Apples Bildverarbeitung (ImageIO) verarbeitete die Datei fehlerhaft (CVE-2025-43300). Durch einen Rechenfehler beim Entpacken schrieb das System Daten in falsche Speicherbereiche. Die Folge: Der Angreifer konnte beliebigen Code auf dem Gerät ausführen, und das ganz ohne Zutun der Nutzer:innen.

Die Kombination aus der Lücke in der beliebten Messenger-App (Türöffner) und Apple-Fehler (Einbruchswerkzeug) ermöglichte eine stille Übernahme betroffener Geräte.

Automatische Vorschau ist das Einfallstor

Warum so gefährlich? Moderne Messenger bereiten empfangene Bilder automatisch auf – für Vorschauen, Suchfunktionen oder Benachrichtigungen. Das passiert im Hintergrund, oft sofort beim Empfang der Nachricht. Genau hier setzt der Angriff an: Das manipulierte Bild triggert die Schwachstelle, noch bevor die Nutzerin überhaupt weiß, dass sie ein Bild bekommen hat.

Klicks, Downloads oder Interaktionen sind nicht nötig. Diese Technik nennt man „Zero-Click“, und sie ist besonders heimtückisch, weil sie auch vorsichtige Nutzer:innen trifft. Die Angreifer setzen nicht auf Neugier oder Dummheit, sondern auf technische Schwächen im System selbst.

Gerade für Personen mit öffentlicher Sichtbarkeit – Journalist:innen, Aktivist:innen, Führungskräfte – wird das zum realen Risiko. Aber auch Unternehmen mit schlecht verwalteten Geräten oder unkontrollierten WhatsApp-Nutzungen sind angreifbar.

Apple und WhatsApp reagieren, aber nur wer updatet, ist sicher

Apple hat die fehlerhafte Bildverarbeitung am 20. August 2025 mit einem außerplanmäßigen Update repariert. WhatsApp folgte mit einem Sicherheitsupdate, das die Prüfung von verknüpften Geräten verschärft.

Doch: Die Updates müssen manuell installiert werden. Wer auf älteren Versionen bleibt, ist weiter angreifbar. Besonders gefährlich ist das in Umgebungen ohne Mobile-Device-Management (MDM) oder mit geduldetem BYOD (Bring Your Own Device).

WhatsApp rät bei Verdacht auf Befall sogar zum kompletten Zurücksetzen des Geräts auf Werkseinstellungen. In betroffenen Fällen wurde das per offizieller Nachricht empfohlen. Grund: Schadcode könnte tiefer im System verankert sein als nur in der App selbst, also auch nach dem App-Update weiter aktiv bleiben.

Was du jetzt tun musst – konkret, schnell, ohne Ausrede

1. Updaten!
Installiere das neueste WhatsApp-Update für iOS/macOS, falls du das nicht ohnehin regelmäßig machst. Achte zusätzlich auf Apple-Systemupdates ab 20. August 2025. Nur diese Patches schließen die Lücken vollständig.

2. Medien-Auto-Download deaktivieren:
Stelle in der App ein, dass Bilder, Videos und Dateien nicht automatisch heruntergeladen werden. So verzögerst du die Verarbeitung potenziell gefährlicher Dateien.

3. Verknüpfte Geräte prüfen:
Gehe in WhatsApp unter „Verknüpfte Geräte“ und entferne alle, die du nicht kennst. Aktiviere die Zwei-Faktor-Authentifizierung in den Einstellungen.

4. Unbekannte blockieren:
Empfange keine Nachrichten von Fremden. Öffentliche Kontaktinformationen sollten nicht direkt mit WhatsApp verknüpft sein.

5. Bei Verdacht handeln:
Plötzliche Abstürze der Messenger-App? Neues verknüpftes Gerät im Account? Dann: Gerät in den Flugmodus, Daten sichern, alle WhatsApp-Sitzungen beenden und notfalls Werkseinstellungen zurücksetzen. Unternehmen sollten sofort das Security-Team informieren.

Fazit: Moderne Angriffe brauchen keinen Klick mehr, nur deine Untätigkeit

Früher hieß es: Klick nichts an, dann bist du sicher. Heute reicht schon das Empfangen. Der Angriff über WhatsApp und Apple zeigt, wie mächtig gut gemachte Exploit-Ketten inzwischen sind, und wie trügerisch Sicherheitsgefühl sein kann. Nur Updates helfen wirklich. Wer das ignoriert, riskiert vollständige Übernahme seines Geräts.

Quellen:
WhatsApp Security Advisories (Meta), 2025
Quarkslab Blog: Patch-Analyse zu CVE-2025-43300 (Apple)
Malwarebytes Blog: WhatsApp-Zero-Click-Angriff
The Hacker News: Notfall-Update von WhatsApp
Apple Security Advisory – iOS 15.8.5 / iPadOS 15.8.5 (CVE-2025-43300)
Apple Security Advisory – iOS 16.7.12 / iPadOS 16.7.12 (CVE-2025-43300)

Lesen Sie auch: ChatGPT ändert bei sensiblen Themen künftig das Modell