TTS-Player überspringen↵Artikel weiterlesen

Mehr als 700.000 Nutzerinnen und Nutzer der offiziellen Gebets-App des Papstes waren von einer schwerwiegenden Sicherheitslücke betroffen. Die Sicherheitsforscherin „BobDaHacker“ hat nach eigenen Angaben mehrere Schwachstellen in der Anwendung entdeckt und ihre Erkenntnisse auf ihrem Blog veröffentlicht.

Betroffen ist die App „Click to Pray“, die für Android und iPhone verfügbar ist. Zusätzlich gibt es eine Webversion des Dienstes. Gläubige Menschen können sich dort registrieren, Gebetsanliegen teilen und Teil des weltweiten Gebetsnetzwerks des Papstes werden.

Persönliche Daten konnten ausgelesen werden

Laut einem Blogbeitrag der Forscherin lag die Ursache in einer ungeschützten Programmierschnittstelle. Für den Zugriff auf Nutzerdaten soll bereits die Angabe einer Nutzer-ID ausgereicht haben. Da diese Kennungen fortlaufend vergeben wurden, konnten Datensätze automatisiert abgerufen werden.

Nach Angaben von BobDaHacker waren dadurch die Daten von mehr als 719.000 registrierten Nutzerinnen und Nutzern einsehbar. Zu den abrufbaren Informationen gehörten Namen, E-Mail-Adressen, Geburtsdaten, Herkunftsländer sowie Angaben zum Kontostatus.

Weitere Schwachstelle bei der Kontoerstellung

Neben dem Datenleck entdeckte die Sicherheitsforscherin offenbar ein weiteres Problem bei der Registrierung neuer Konten. Zwar verschickte der Dienst Verifizierungs-E-Mails zur Bestätigung neuer Nutzerkonten. Die für die Aktivierung benötigten Informationen sollen jedoch bereits zuvor über eine Programmierschnittstelle abrufbar gewesen sein. Dadurch wäre es theoretisch möglich gewesen, Konten mit fremden E-Mail-Adressen zu aktivieren.

Mehr zum ThemaMeldung blieb Monate ohne Antwort

Nach eigenen Angaben informierte BobDaHacker die Betreiber der App bereits am 3. Januar 2026 über die Sicherheitsprobleme. Eine Reaktion soll zunächst ausgeblieben sein.

Erst nachdem das IT-Nachrichtenportal „Dark Reading“ Ende Juli über den Vorfall berichtet hatte, wurden die Schwachstellen offenbar geschlossen. Ob die Sicherheitslücken vor ihrer Behebung von Cyberkriminellen ausgenutzt wurden, ist bislang nicht bekannt.