Der Messenger-Dienst WhatsApp hat umfassende Neuerungen für die Kontosicherheit angekündigt. Mehrere Passkeys pro Konto, komplexere Zwei-Faktor-Passwörter und mehr Kontext bei unbekannten Anrufen sollen die Nutzer künftig besser vor Accountübernahme und Betrug schützen. Die Änderungen betreffen die Art und Weise, wie sich Anwender künftig anmelden und wie sie eingehende Anrufe bewerten können.
Passkeys lösen zunehmend klassische Passwörter ab
Die Verbreitung von Passkeys hat bei WhatsApp eine beachtliche Marke erreicht. Nach Angaben des Unternehmens haben bereits über eine Milliarde Nutzer weltweit einen solchen kryptografischen Anmeldeschlüssel eingerichtet. Diese Entwicklung passt zu einem breiteren Branchentrend: Passkeys gelten als die Zukunft der Authentifizierung im Internet, da sie das mühsame Erstellen und Verwalten von Passwörtern überflüssig machen.
Das Prinzip eines Passkeys unterscheidet sich grundlegend von herkömmlichen Anmeldeverfahren. Anstatt sich ein Kennwort zu merken oder einen per SMS zugestellten Code abzutippen, bestätigt der Nutzer seine Identität direkt auf dem Gerät. Dies geschieht in der Regel über biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung, alternativ über den Bildschirmsperren-Code des Smartphones. Die eigentliche Authentifizierung findet dabei lokal auf dem Gerät statt – die sensiblen Schlüsselmaterialien werden nicht an Server übertragen, was den Angriffspunkt für Phishing-Attacken deutlich reduziert.
Mehrere Passkeys für verschiedene Geräteplattformen
Bislang war die Einrichtung von Passkeys bei WhatsApp auf einen Schlüssel pro Konto beschränkt. Diese Einschränkung erwies sich für Nutzer als problematisch, die sowohl ein Android-Smartphone als auch ein iPhone verwenden. Da diese Plattformen sich keinen gemeinsamen kryptografischen Schlüssel teilen können, mussten sich betroffene Anwender bislang für ein Gerät entscheiden. Diese Einschränkung entfällt nun: Ab sofort können mehrere Passkeys pro Konto hinterlegt werden.
Die Verwaltung erfolgt über die App-Einstellungen unter dem Menüpunkt „Konto“ und dort bei „Passkeys“. Nutzer, die ausschließlich Geräte einer Plattform einsetzen, benötigen in der Regel weiterhin nur einen Schlüssel – für parallelen Einsatz von Android und iOS ist die neue Funktion jedoch ein deutlicher Komfortgewinn.
Abschied von einfachen sechsstelligen PINs
Ein weiterer Schwerpunkt der Sicherheitsinitiative betrifft die Zwei-Faktor-Authentifizierung (2FA). Bisher konnten Nutzer ein sechsstelliges numerisches Kennwort festlegen, das bei der Anmeldung auf einem neuen Gerät zusätzlich zum Einmalpasswort abgefragt wurde. Diese Praxis gehört nun der Vergangenheit an. Anstelle der numerischen Codes treten alphanumerische Passwörter, die auch Sonderzeichen enthalten müssen.
Hintergrund dieser Verschärfung ist die Erkenntnis, dass kurze numerische PINs ein erhebliches Sicherheitsrisiko darstellen. Ein prominentes Problem sind schwache Kombinationen wie 012345 oder das allgegenwärtige 123456, die sich in Sekundenschnelle erraten lassen. Selbst mit weniger offensichtlichen sechsstelligen Zahlenkombinationen ist die Entropie – das Maß für die Vorhersagbarkeit – deutlich geringer als bei einem alphanumerischen Passwort mit Sonderzeichen. Angreifer, die Zugriff auf ein gestohlenes Einmalpasswort haben, könnten bei der gängigen Zwei-Faktor-Authentifizierung potenziell auch die PIN sperren.
Was ist ein alphanumerisches Passwort mit Sonderzeichen? Es ist eine Zeichenfolge, die sowohl Buchstaben (groß und klein) als auch Ziffern und Sonderzeichen wie !, ? oder # enthält. Ein Beispiel wäre „Sicher!2024#WhatsApp“. Diese Kombination bietet eine erheblich höhere Sicherheit gegen Brute-Force-Angriffe als eine sechsstellige Zahl, da die Anzahl möglicher Kombinationen exponentiell steigt.
Bestehende Konten sind von der Neuerung unmittelbar betroffen. WhatsApp rät Nutzern, die bislang schwache numerische PINs verwendet haben, diese umgehend auf das neue Format umzustellen. Die bisherigen sechsstelligen Codes werden durch die alphanumerischen Passwörter ersetzt. Für die Nutzer bedeutet dies: Wer schon vorab ein starkes, langes Passwort verwendet hat, wird kaum Unterschiede bemerken – wer jedoch auf bequeme Zahlenfolgen setzte, sollte das Sicherheitsverhalten überdenken.
Mehr Kontext bei Anrufen von unbekannten Nummern
Die dritte Neuerung betrifft den Schutz vor Betrugsversuchen über Anrufe. WhatsApp hat auf Android-Geräten eine Funktion eingeführt, die bei Anrufen von nicht gespeicherten Kontakten zusätzliche Hinweise einblendet. Anwender erfahren vor der Annahme des Anrufs, ob dieser aus dem Ausland stammt oder ob eine gemeinsame Gruppe mit dem Anrufer besteht.
Diese Kontextinformationen ermöglichen eine fundiertere Entscheidung, ob ein Gespräch angenommen werden sollte. Insbesondere Anrufe aus fremden Ländern ohne vorherigen Kontakt sind ein bekanntes Muster von Betrugsversuchen. Angreifer versuchen dabei häufig, unter dem Vorwand einer angeblichen Dringlichkeit Druck aufzubauen – etwa mit Behauptungen über angebliche Sicherheitsvorfälle oder Verwandte in Notlagen. Die neuen Anzeigen helfen dabei, solche Anrufe schneller als verdächtig zu erkennen.
Die Verfügbarkeit ist vorerst auf Android beschränkt. Für die iOS-Version des Messengers lässt der Mutterkonzern Meta offen, ob und wann die Funktion nachgeliefert wird. Die Einführung dieser Anruffunktion ist Teil einer breiteren Anstrengung, die zunehmend ausgefeilten Betrugsmaschen einzudämmen, die über Messenger-Dienste verbreitet werden.
Die gemeinsam eingeführten Funktionen zeichnen ein klares Bild der Sicherheitsstrategie: WhatsApp setzt auf einen mehrschichtigen Ansatz. Die Passkey-Technologie adressiert die Schwachstellen der traditionellen Authentifizierung, die komplexeren Zwei-Faktor-Passwörter erschweren gezielte Kontoübernahmen, und die zusätzlichen Kontextinformationen bei unbekannten Anrufen zielen auf die menschliche Komponente der Betrugsprävention. Ob sich die Maßnahmen in der Praxis bewähren, wird sich an der Reaktion der Nutzer auf die neuen Anforderungen zeigen – und daran, ob die Dunkelziffer der erfolgreichen Accountübernahmen tatsächlich zurückgeht.
