30. Juli 2026, 15:33 Uhr | Lesezeit: 2 Minuten
Ausgerechnet die offizielle Gebets-App des Vatikans ist durch schwerwiegende Sicherheitslücken aufgefallen. Wie eine Sicherheitsforscherin mit dem Pseudonym „BobDaHacker“ berichtet, konnten persönliche Daten von mehr als 719.000 registrierten Nutzern vergleichsweise leicht ausgelesen werden.
Betroffen war laut Blogbeitrag die App „Click to Pray“, die für Android, iPhone und als Web-App angeboten wird. Über den Dienst können Gläubige ihre Gebetsanliegen teilen und sich dem weltweiten Gebetsnetzwerk des Papstes anschließen.
Einfache Nutzer-IDs machten Daten zugänglich
Der Grund für die Datenpanne soll ein ungeschützter API-Endpunkt gewesen sein. Für den Zugriff reichte laut der Forscherin bereits die Eingabe einer Nutzer-ID aus. Da das System diese fortlaufend vergeben hatte, konnten Datensätze automatisiert abgefragt werden. Dadurch waren unter anderem Namen, E-Mail-Adressen, Geburtsdaten, Herkunftsländer und Informationen zum Kontostatus einsehbar. Für Angreifer stellte die Hürde damit offenbar kein großes Hindernis dar.
Neben der Datenbanklücke entdeckte die Expertin ein weiteres Problem im Registrierungsprozess. Zwar verschickte der Dienst Verifizierungs-E-Mails, die benötigten Informationen für die Kontoaktivierung ließen sich jedoch schon vorher über eine Programmierschnittstelle abrufen. Dadurch bestand theoretisch die Möglichkeit, Nutzerkonten mit fremden E-Mail-Adressen zu aktivieren und zu übernehmen. Besonders kritisch ist das, weil eine solche Schwachstelle gezielte Angriffe auf einzelne Accounts erleichtern kann.
Auch interessant: So riskant ist Online-Banking auf dem Smartphone
Reaktion erfolgte erst nach Monaten
Nach eigenen Angaben meldete BobDaHacker die Schwachstellen bereits am 3. Januar 2026 an die Betreiber. Eine Antwort blieb demnach über mehrere Monate aus. Erst nachdem das IT-Portal Dark Reading Ende Juli über den Vorfall berichtet hatte, sollen die Sicherheitsprobleme behoben worden sein. Ob die Lücken in der Zwischenzeit aktiv ausgenutzt wurden, ist derzeit nicht bekannt.