Schwere Sicherheitslücke bei „Click to Pray“ des Vatikans

Die Digi­ta­li­sie­rung kirch­li­cher Ange­bo­te eröff­net neue Mög­lich­kei­ten der Evan­ge­li­sie­rung und der welt­wei­ten Ver­net­zung von Gläu­bi­gen. Gleich­zei­tig wächst jedoch die Ver­ant­wor­tung, per­sön­li­che Daten wirk­sam zu schüt­zen. Ein aktu­el­ler Vor­fall rund um die Gebets­platt­form Click to Pray, die dem Welt­wei­ten Gebets­netz­werk des Pap­stes ange­schlos­sen ist, zeigt, wel­che schwer­wie­gen­den Fol­gen Ver­säum­nis­se bei der IT-Sicher­heit haben können.

Nach über­ein­stim­men­den Berich­ten wur­de durch eine gra­vie­ren­de Sicher­heits­lücke über einen Zeit­raum von min­de­stens sie­ben Mona­ten der Zugriff auf die per­so­nen­be­zo­ge­nen Daten von mehr als 700.000 regi­strier­ten Nut­zern ermög­licht. Betrof­fen waren sowohl die Inter­net­platt­form als auch die Apps für Android und iOS.

Ein elementarer Sicherheitsfehler

Ent­deckt wur­de die Schwach­stel­le bereits im Janu­ar 2026 durch einen soge­nann­ten White-Hat-Hacker, der unter dem Pseud­onym Bob­Da­Hacker auf­tritt. Dabei han­delt es sich um einen IT-Sicher­heits­exper­ten, der Sicher­heits­lücken nicht zum eige­nen Vor­teil aus­nutzt, son­dern sie den Betrei­bern mel­det, damit sie geschlos­sen wer­den können.

Nach sei­nen Anga­ben lag ein klas­si­scher Pro­gram­mier­feh­ler vor, den Fach­leu­te als IDOR (Inse­cu­re Direct Object Refe­rence) bezeich­nen. Ver­ein­facht aus­ge­drückt über­prüf­te das System zwar, ob ein Nut­zer ange­mel­det war, nicht jedoch, ob die­ser tat­säch­lich berech­tigt war, auf die jeweils ange­for­der­ten Daten­sät­ze zuzugreifen.

Damit genüg­te ein gewöhn­li­ches Benut­zer­kon­to, um mit­hil­fe eines ein­fa­chen Skripts auto­ma­ti­siert auf die Daten­sät­ze sämt­li­cher regi­strier­ter Nut­zer zuzu­grei­fen. Ein auf­wen­di­ger Hacker­an­griff oder das Über­win­den tech­ni­scher Schutz­maß­nah­men waren dazu nicht erforderlich.

Den zugäng­li­chen Infor­ma­tio­nen zufol­ge konn­ten Vor- und Nach­na­men, E‑Mail-Adres­sen sowie die Her­kunfts­län­der der regi­strier­ten Nut­zer aus­ge­le­sen wer­den. Auch Daten akti­ver Mit­ar­bei­ter der Orga­ni­sa­ti­on sol­len betrof­fen gewe­sen sein.

Warnungen blieben offenbar unbeantwortet

Beson­ders bedenk­lich erscheint der Umgang mit der Mel­dung des Sicher­heits­exper­ten. Nach des­sen Dar­stel­lung infor­mier­te er bereits im Janu­ar sowohl die Ver­ant­wort­li­chen des Welt­wei­ten Gebets­netz­werks als auch die an der Ent­wick­lung der Platt­form betei­lig­te Kom­mu­ni­ka­ti­ons­agen­tur über die Schwachstelle.

Mona­te­lang erfolg­te offen­bar kei­ner­lei Reak­ti­on. Erst nach­dem der Exper­te den Sach­ver­halt am 24. Juli öffent­lich mach­te, wur­de die Sicher­heits­lücke kurz­fri­stig geschlos­sen. Eine offi­zi­el­le Stel­lung­nah­me oder eine öffent­li­che Aner­ken­nung für die ver­ant­wor­tungs­vol­le Mel­dung des Feh­lers blieb nach sei­nen Anga­ben aus.

Der Vor­fall besitzt über die rein tech­ni­sche Dimen­si­on hin­aus eine pasto­ra­le und daten­schutz­recht­li­che Bedeu­tung. Die Nut­zer von Click to Pray stam­men aus allen Tei­len der Welt; vie­le von ihnen gehö­ren der älte­ren Gene­ra­ti­on an, die digi­ta­le Medi­en erst ver­gleichs­wei­se spät in ihren All­tag inte­griert haben.

Gera­ten per­so­nen­be­zo­ge­ne Daten wie Namen und E‑Mail-Adres­sen in die Hän­de von Cyber­kri­mi­nel­len, kön­nen die­se gezielt für Phis­hing-Angrif­fe oder betrü­ge­ri­sche Nach­rich­ten miss­braucht wer­den. Beson­ders per­fi­de wäre es, wenn Kri­mi­nel­le dabei den Namen des Vati­kans oder des päpst­li­chen Gebets­netz­werks ver­wen­de­ten, um Ver­trau­en zu erschlei­chen und Gläu­bi­ge zur Preis­ga­be wei­te­rer Daten oder sogar zu finan­zi­el­len Über­wei­sun­gen zu bewegen.

Ob die offen­ge­leg­ten Daten tat­säch­lich von Unbe­fug­ten kopiert wur­den, ist der­zeit nicht bekannt. Allein die Mög­lich­keit eines mona­te­lan­gen unkon­trol­lier­ten Zugriffs stellt jedoch einen erheb­li­chen Sicher­heits­vor­fall dar.

Text: Giu­sep­pe Nar­di
Bild: jesui​ten​.org (Screen­shot)