Wer seine Gebete über die offizielle Papst-App Click To Pray verschickt hat, musste offenbar auf göttlichen Datenschutz vertrauen. Eine erschreckend simple Sicherheitslücke machte persönliche Daten von mehr als 700.000 registrierten Nutzern öffentlich abrufbar. Namen, E-Mail-Adressen, Herkunftsländer und teilweise Geburtsdaten lagen praktisch auf dem digitalen Beichtstuhl – nur leider ohne Tür.
Die gute Nachricht: Beten hilft möglicherweise doch. Nachdem die Schwachstelle mehr als sechs Monate lang ignoriert worden war und schließlich öffentlich Schlagzeilen machte, wurde sie still und heimlich geschlossen. Eine Entschuldigung oder Rückmeldung an die Sicherheitsforscherin gab es allerdings nicht. Offenbar war dafür im vollgepackten Gebetskalender kein Termin mehr frei.
Eine Zahl genügte für fremde Nutzerdaten
Entdeckt wurde das Problem bereits Anfang Januar 2026 von der unter dem Namen BobDaHacker auftretenden Sicherheitsforscherin. Die Ursache war eine sogenannte IDOR-Schwachstelle. Dabei prüfte die Programmierschnittstelle zwar, welche Nutzer-ID angefragt wurde, aber nicht, ob die anfragende Person diese Daten überhaupt sehen durfte.
Die Nutzerkonten waren zudem schlicht durchnummeriert. Wer die Zahl am Ende der Adresse änderte, bekam den nächsten Datensatz serviert. Keine besondere Software, kein teurer Hacker-Keller und vermutlich nicht einmal eine schwarze Kapuze waren erforderlich. Ein Browser und grundlegende Kenntnisse im Hochzählen reichten vollkommen aus.
Weil zusätzlich eine Begrenzung der Anfragen fehlte, hätten automatisierte Skripte theoretisch sämtliche 719.517 registrierten Konten abfragen können. Öffentlich einsehbar waren unter anderem:
- Vor- und Nachname
- E-Mail-Adresse
- Herkunftsland
- Geburtsdatum, sofern angegeben
- Kontostatus und Nutzerrolle
- Information darüber, ob ein Konto gelöscht wurde
Ob die Daten tatsächlich vollständig kopiert oder missbraucht wurden, ist nicht bekannt. Die technische Möglichkeit bestand allerdings.
Sechs Monate Funkstille aus dem Vatikan
BobDaHacker meldete die Schwachstelle nach eigenen Angaben am 3. Januar 2026 an insgesamt neun Ansprechpartner. Darunter befanden sich mehrere Mitarbeiter von Click To Pray sowie Kontakte beim weltweiten Gebetsnetzwerk des Papstes. Eine Antwort kam nicht.
Auch eine spätere Anfrage des Sicherheitsportals Dark Reading blieb zunächst unbeantwortet. Während im Vatikan also möglicherweise für Weltfrieden, Mitgefühl und eine bessere Zukunft gebetet wurde, blieb die deutlich profanere Bitte „Könnt ihr bitte eure API absichern?“ mehr als ein halbes Jahr liegen.
Erst nach der Veröffentlichung des Falls am 24. Juli 2026 wurde der Zugriff angepasst. Bei fremden Konten werden seitdem nur noch öffentlich vorgesehene Profilinformationen wie Vor- und Nachname ausgegeben. E-Mail-Adresse, Land und Geburtsdatum sind nicht mehr frei abrufbar. Die Forscherin bestätigte anschließend, dass die eigentliche Schwachstelle korrekt behoben wurde.
Phishing im Namen des Papstes
Besonders unangenehm ist das Datenleck wegen der möglichen Phishing-Gefahr. Eine Liste aus echten Namen und E-Mail-Adressen von Nutzern einer päpstlichen Gebets-App wäre eine ideale Grundlage für täuschend echte Betrugsnachrichten.
Eine Mail mit dem Betreff „Dringende persönliche Botschaft des Heiligen Vaters“ dürfte bei einem Teil der Zielgruppe schließlich deutlich besser funktionieren als die übliche Nachricht vom nigerianischen Prinzen. Die Forscherin stellte außerdem fest, dass selbst legitime Nachrichten der Plattform wegen fehlerhafter oder unvollständiger E-Mail-Authentifizierung teilweise wie Phishing-Mails wirkten. Wenigstens bleibt man seinem Sicherheitskonzept damit konsequent treu.
Datenschutz braucht mehr als höhere Unterstützung
Click To Pray ist die offizielle Gebetsplattform des weltweiten Gebetsnetzwerks des Papstes. Die App bietet tägliche Gebete, päpstliche Gebetsanliegen und eine Community, in der Nutzer eigene Anliegen teilen können. Sie ist für Android, iOS und im Browser verfügbar.
Der Fall zeigt allerdings: Wer persönliche Daten von Hunderttausenden Menschen sammelt, braucht nicht nur Vertrauen von oben, sondern auch vernünftige Zugriffskontrollen im Backend. Denn selbst Gott kann die Nutzer nicht schützen, wenn die API praktisch jeden hereinlässt.
Amen.
Unsere Artikel gezielt bei Google anzeigen lassen
Wenn ihr bei Google nach Informationen sucht, werden bestimmte Nachrichten in der sogenannten Schlagzeilen-Box angezeigt. Welche das sind, könnt ihr jetzt direkt mitbestimmen.
Wenn ihr techkrams.de als bevorzugte Quelle hinterlegen, bekommt ihr unsere Inhalte auch öfter ausgespielt. Wie das genau geht, erklären wir hier.
→ Hier können techkrams.de direkt als eure bevorzugte Quelle einstellen.
In diesem Artikel können Partnerlinks enthalten sein. Durch einen Klick darauf gelangt ihr direkt zum Anbieter. Solltet ihr euch dort für einen Kauf entscheiden, erhalten wir eine kleine Provision. Für euch ändert sich am Preis nichts. Partnerlinks haben keinerlei Einfluss auf unsere Berichterstattung.
