Eigentlich soll die offizielle Gebets-App des Papstes Menschen weltweit miteinander verbinden. Stattdessen sorgten mehrere Sicherheitslücken dafür, dass persönliche Daten von über 700.000 Nutzern abgerufen werden konnten. Die Betreiber reagierten erst Monate später.
Mit der App Click to Pray können sich Gläubige weltweit vernetzen und gemeinsam beten. Die offizielle Gebets-App des Papstes gibt es bereits seit 2019 für Android und iOS, zusätzlich ist sie auch über den Browser erreichbar. Angeboten wird sie in insgesamt sieben Sprachen. Doch statt Menschen zu verbinden, sorgt die Plattform nun wegen mehrerer Sicherheitslücken für Schlagzeilen.
Mehrere Sicherheitslücken entdeckt
Die Sicherheitsforscherin BobDaHacker entdeckte bereits Anfang Januar 2026 gleich mehrere gravierende Sicherheitslücken. Besonders kritisch war, dass über eine ungeschützte Schnittstelle persönliche Daten von mehr als 700.000 Nutzern ohne Anmeldung abgerufen werden konnten. Zusätzlich fand sie weitere Schwachstellen bei der Registrierung der Konten.
Persönliche Daten waren frei abrufbar
Das größte Problem war die ungeschützte Programmierschnittstelle (API), auf die BobDaHacker stieß. Für den Zugriff musste wohl lediglich die Nutzer-ID übergeben werden, ganz ohne Anmeldung oder weitere Authentifizierung. Da diese fortlaufend vergeben werden, hätten Angreifer sie automatisiert durchlaufen lassen und so vermutlich auf sämtliche Nutzerkonten zugreifen können. Abrufbar waren unter anderem Vor- und Nachname, E-Mail-Adresse, Geburtsdatum sowie die Nutzerrolle. Darüber hinaus sollen auch das Land und der Kontostatus der Nutzer einsehbar gewesen sein.
Laut Sicherheitsforscherin BobDaHacker könnten diese Informationen für gezielte Phishing-Angriffe missbraucht werden. Da viele Nutzer der App vermutlich älter und weniger technikaffin sind, schätzt sie das Risiko hier als besonders hoch ein.
Weitere Schwachstellen verschärften das Problem
Neben der frei zugänglichen Schnittstelle entdeckte BobDaHacker weitere Sicherheitsprobleme. So ließ sich die E-Mail-Verifizierung umgehen, weil der benötigte Bestätigungscode beziehungsweise Hash bereits über die API ausgegeben wurde. Dadurch hätten Angreifer Konten mit fremden E-Mail-Adressen registrieren und bestätigen können, ohne überhaupt Zugriff auf das jeweilige Postfach zu haben.
Zusätzlich soll auch die Authentifizierung der von der App selbst versendeten E-Mails fehlerhaft gewesen sein. Dadurch stuften viele E-Mail-Programme die Nachrichten als potenziell gefälscht ein. Gleichzeitig erschwerte dieser Fehler die Unterscheidung zwischen echten und gefälschten E-Mails und erhöhte damit das Risiko erfolgreicher Phishing-Angriffe.
Die Reaktion der Betreiber blieb vorerst aus
BobDaHacker meldete die entdeckten Sicherheitslücken wohl bereits am 3. Januar 2026. Nach eigenen Angaben kontaktierte sie dafür insgesamt neun Mitarbeiter von Click to Pray und dem Gebetsnetzwerk des Papstes. Trotz der Meldung erhielt sie über sechs Monate hinweg keinerlei Antwort.
Das Sicherheitsportal Dark Reading machte das Problem am 24. Juli 2026 öffentlich. Erst nach der Berichterstattung reagierten die Betreiber offenbar und schlossen die betroffene Sicherheitslücke. Eine offizielle Stellungnahme oder Bestätigung der Behebung gab es jedoch nicht. Auch BobDaHacker erhielt bis heute keine Rückmeldung auf ihre Meldung.
Ob die Daten tatsächlich missbraucht wurden oder betroffene Nutzer informiert wurden, ist weiterhin unklar. Bei einer Plattform dieser Größe wäre allerdings eine schnellere Reaktion und eine transparentere Kommunikation der Betreiber wünschenswert gewesen.
Hinweis in eigener Sache: Ohne euch gäbe es techrush.de nicht. 🙌 Wenn ihr unsere Arbeit unterstützen möchtet, könnt ihr uns mit wenigen Klicks bei Google als bevorzugte Quelle markieren und bei Google News folgen. Jede Unterstützung hilft – hier zeigen wir euch wie das geht.
