Eine Nachricht auf dem Display – und schon ist das Gerät infiziert. Ohne Klick, ohne Download, ohne jede Aktion des Empfängers macht die Zero-Click-Lücke CVE-2025-55177 in WhatsApp zur akuten Gefahr für Apple-Nutzer.

Diese Beitrage nicht verpassen

4 verwandte Artikel

Betroffene Plattformen: iOS und macOS ·
CVE-Kennung: CVE-2025-55177 ·
Entdeckungsdatum: August 2025 ·
Patch verfügbar: Ja, via App-Update ·
Ausnutzung ohne Nutzeraktion: Zero-Click

Kurzüberblick

1Bestätigte Fakten
2Was unklar ist
  • Ob Angriffe in freier Wildbahn stattgefunden haben (Details nicht veröffentlicht) (laut BSI nicht)
  • Ob Android-Version ebenfalls betroffen sein könnte (laut BSI nicht)
3Zeitleisten-Signal
4Wie es weitergeht

Sechs Fakten auf einen Blick – ein Muster: Die Lücke kombiniert einen Fehler in der WhatsApp-Synchronisation mit einer Apple-Schwachstelle und ermöglicht Angriffe ohne jede Benutzerinteraktion.

Die folgende Tabelle fasst die Kerndaten zusammen:

Merkmal Wert
CVE-ID CVE-2025-55177
Betroffene Software WhatsApp für iOS und macOS
Entdeckt August 2025
Patch verfügbar seit September 2025
Risikostufe (BSI) Hoch
Angriffsvektor Remote via präparierter Nachricht

Das entscheidende Detail: Wer nicht patcht, bleibt angreifbar – ohne es zu merken.

Hat WhatsApp Sicherheitslücken?

Der Haken

WhatsApp ist keine Festung – und die Zero-Click-Lücke CVE-2025-55177 zeigt, dass auch der größte Messenger der Welt angreifbar ist. Der Schutz liegt allein beim Nutzer, der Updates installieren muss.

Die aktuelle Zero-Click-Sicherheitslücke in WhatsApp

Ja, WhatsApp hat eine bestätigte kritische Sicherheitslücke. Die Schwachstelle CVE-2025-55177 ist eine Zero-Click-Lücke, die auf iOS- und macOS-Geräten ausgenutzt werden kann (Börse Express (Wirtschaftsnachrichten)). Sie sitzt in der Geräte-Synchronisation und erlaubt die Verarbeitung beliebiger URLs ohne Nutzerinteraktion (SOC Prime (Cybersecurity-Plattform)). Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte am 3. September 2025 vor der Lücke und stufte das Risiko als hoch ein (BSI (Bundesamt für Sicherheit)).

Wie unterscheidet sie sich von früheren Lücken?

Bisherige WhatsApp-Sicherheitslücken erforderten meist, dass der Nutzer eine Datei öffnete oder auf einen Link klickte. Hier genügt eine schreibgeschützte Nachricht – das Gerät wird bereits beim Empfang der Nachricht angreifbar (CHIP (IT-Portal)). Zudem wird die Lücke mit einer Apple-Schwachstelle (CVE-2025-43300) kombiniert, über die Spyware nachgeladen wird (Nevercodealone (IT-Sicherheitsblog)). Das macht den Angriff besonders heimtückisch.

Fazit: Apple-Nutzer müssen sofort handeln: Der Patch ist der einzige Schutz, denn ohne ihn bleibt das Gerät ein offenes Ziel für Angreifer.

Was ist ein Zero-Day-Angriff und ein Zero-Click-Angriff?

Definition Zero-Day-Exploit

Ein Zero-Day-Exploit nutzt eine Sicherheitslücke, die dem Hersteller am Tag des Angriffs noch nicht bekannt ist (SOC Prime (Cybersecurity-Plattform)). Es gibt keinen Patch, kein Update – die Angreifer haben einen zeitlichen Vorsprung. Bekannte Beispiele sind Pegasus-Spyware und Stuxnet.

Definition Zero-Click-Angriff

Ein Zero-Click-Angriff benötigt keine Aktion des Opfers. Anders als bei Phishing reicht es aus, dass die Nachricht auf dem Gerät ankommt. Die Schwachstelle CVE-2025-55177 ist genau das: eine Remote-Ausführung ohne Klick (Börse Express). Das macht Zero-Click-Exploits zu einer der gefährlichsten Angriffsformen.

Fazit: Zero-Day = unbekannte Lücke, Zero-Click = kein Nutzerklick nötig. Für Angreifer ist beides zusammen das perfekte Einfallstor – ohne Spuren zu hinterlassen.

Wer ist von der WhatsApp-Sicherheitslücke betroffen?

Betroffene Geräte: iPhones, iPads und Macs

Die Sicherheitslücke betrifft ausschließlich Geräte mit iOS und macOS. Konkret sind folgende Versionen verwundbar: WhatsApp für iOS vor Version 2.25.21.73, WhatsApp Business iOS vor 2.25.21.78 und WhatsApp Desktop für Mac vor 2.25.21.78 (CHIP (IT-Portal)). Apple selbst veröffentlichte Ende August 2025 ein Notfall-Update für die damit verbundene Schwachstelle CVE-2025-43300 (SOC Prime).

Sind Android- oder Samsung-Geräte betroffen?

Nein. Laut BSI sind Android-Geräte von dieser spezifischen Lücke nicht betroffen (BSI). Die Angriffe konzentrieren sich auf Apples Ökosystem. Das bedeutet jedoch nicht, dass Android-Nutzer generell sicher sind – andere Lücken können jederzeit auftauchen.

Fazit: Wer ein iPhone, iPad oder einen Mac nutzt und WhatsApp nicht aktualisiert hat, ist verwundbar. Android-Nutzer atmen auf – aber nur vorerst.

Ist mein Handy von der WhatsApp-Sicherheitslücke betroffen?

So prüfen Sie, ob Ihr Gerät gefährdet ist

Prüfen Sie die installierte WhatsApp-Version. Öffnen Sie die App, gehen Sie zu Einstellungen > Hilfe > App-Info. Liegt die Version unter 2.25.21.73 (iOS) oder 2.25.21.78 (Mac), ist Ihr Gerät verwundbar (CHIP). Das BSI empfiehlt, das Update sofort zu installieren (BSI).

WhatsApp-Version aktualisieren

Öffnen Sie den App Store (iOS) oder die Systemeinstellungen (macOS), suchen Sie nach WhatsApp und tippen Sie auf Aktualisieren. Nach der Installation sind Sie geschützt. Für Unternehmen: WhatsApp Business muss ebenfalls aktualisiert werden.

Fazit: Die Prüfung dauert zwei Minuten. Wer die aktuelle Version nicht installiert, bleibt ein offenes Ziel. Der Patch ist der einzige Schutz.

Kann jemand meine Daten über WhatsApp stehlen?

Mögliche Folgen eines Zero-Click-Angriffs

Ja – und das ohne dass Sie die Nachricht öffnen müssen. Angreifer können auf Nachrichten, Fotos, Kontakte und den gesamten Chatverlauf zugreifen (Anyplace IT (IT-Dienstleister)). Zudem kann Spyware installiert werden, die Mikrofon und Kamera ausspäht. SOC Prime berichtet von etwa 200 gezielten Angriffen in den drei Monaten vor September 2025 (SOC Prime (Cybersecurity-Plattform)).

Welche Daten sind gefährdet?

Betroffen sind alle lokalen WhatsApp-Daten: Nachrichtenverlauf, geteilte Medien, Kontakte sowie möglicherweise systemweit gespeicherte Anmeldeinformationen. Die Zero-Click-Natur macht eine Erkennung fast unmöglich (Börse Express).

Fazit: Ein Angriff bleibt unbemerkt – bis es zu spät ist. Wer Daten stehlen will, hat bei dieser Lücke leichtes Spiel. Der Patch beendet das Fenster.

Wie schütze ich mein Gerät vor der WhatsApp-Sicherheitslücke?

Sofortmaßnahmen: WhatsApp aktualisieren

  • App-Update: WhatsApp auf die neueste Version aktualisieren (iOS über App Store, macOS über Systemeinstellungen). Für WhatsApp Business separate Updates prüfen.
  • Apple-Update: iOS/iPadOS auf mindestens 18.0.1 und macOS auf 15.0.1 aktualisieren, um CVE-2025-43300 zu schließen (Nevercodealone).
  • Gerät prüfen: Auf ungewöhnliche Akkulaufzeit, Datenverbrauch oder unbekannte Apps achten – mögliche Anzeichen für Spyware (Anyplace IT).

Langfristige Sicherheitstipps für WhatsApp

  • Zwei-Faktor-Authentifizierung aktivieren (WhatsApp > Einstellungen > Konto > Bestätigung in zwei Schritten)
  • Unbekannte Nachrichten nicht öffnen – auch wenn Zero-Click-Angriffe ohne Öffnen funktionieren, reduziert Achtsamkeit das Risiko.
  • Regelmäßige Updates – Sicherheitspatches immer sofort installieren.
  • Backup verschlüsseln – in den WhatsApp-Einstellungen aktivieren.
Fazit: Der beste Schutz ist ein aktuelles Gerät. Apple-Nutzer müssen das Update sofort installieren – das schließt das Fenster für Angreifer.

Zeitleiste der Ereignisse

  • August 2025 – Entdeckung der Sicherheitslücke CVE-2025-55177 in WhatsApp für iOS und macOS (Börse Express)
  • August/September 2025 – Veröffentlichung erster Berichte durch Heise und BSI (BSI)
  • September 2025 – WhatsApp veröffentlicht Sicherheitsupdate zur Behebung der Lücke (CHIP)

Die Zeitleiste zeigt: Zwischen Entdeckung und Patch lag nur ein Monat – ein schnelles, aber notwendiges Intervall.

Bestätigte Fakten und offene Fragen

Bestätigte Fakten

  • Zero-Click-Lücke in WhatsApp für iOS und macOS (CVE-2025-55177)
  • Patch durch App-Update verfügbar
  • BSI stuft Risiko als hoch ein
  • Weniger als 200 Nutzer erhielten direkte Warnungen (Börse Express)

Was unklar ist

  • Ob Angriffe in freier Wildbahn stattgefunden haben (Details nicht veröffentlicht)
  • Ob Android-Version ebenfalls betroffen sein könnte (laut BSI nicht)

Der Kontrast: Die Faktenlage ist klar, die offenen Fragen betreffen vor allem das Ausmaß der Angriffe.

Stimmen zur Sicherheitslücke

„Hacker können ohne Klick auf Nachricht an Daten kommen“

— rbb online (22. September 2025)

„Die Lücke erlaubt die Verarbeitung beliebiger URLs ohne Nutzerinteraktion – das ist eine massive Bedrohung für alle Apple-Nutzer.“

— SOC Prime (Cybersecurity-Plattform)

„Das BSI empfiehlt, das Update sofort zu installieren und die Zwei-Faktor-Authentifizierung zu aktivieren.“

— BSI (Bundesamt für Sicherheit)

Die Gefahr ist real, aber beherrschbar. Für alle Nutzer von Apple-Geräten mit WhatsApp ist der Schritt klar: Update sofort installieren, Sicherheitseinstellungen prüfen und wachsam bleiben. Wer dies tut, schließt das Fenster für Angreifer. Wer zögert, riskiert den Zugriff auf private Daten – und das ohne jede Vorwarnung.

Weitere Quellen

ingenieur.de, telespiegel.de, bsi.bund.de

Die Zero-Click-Schwachstelle bei WhatsApp betrifft nicht nur iPhones, sondern auch macOS-Geräte und erfordert ein sofortiges Update.

Häufig gestellte Fragen (FAQ)

Wie aktualisiere ich WhatsApp auf meinem iPhone?

Öffnen Sie den App Store, tippen Sie auf Ihr Profil-Symbol, scrollen Sie zu WhatsApp und wählen Sie „Aktualisieren“. Alternativ können Sie die Updates-Seite nutzen.

Ist mein Android-Handy durch diese Lücke gefährdet?

Nein. Laut BSI sind Android-Geräte von CVE-2025-55177 nicht betroffen. Die Lücke betrifft ausschließlich iOS und macOS.

Was passiert, wenn ich den Patch nicht installiere?

Ihr Gerät bleibt verwundbar. Angreifer können weiterhin über eine speziell präparierte Nachricht auf Ihre Daten zugreifen, ohne dass Sie etwas tun müssen.

Kann ich meinen WhatsApp-Chat-Verlauf nach einem Angriff wiederherstellen?

Wenn ein Angriff Spyware installiert hat, können Nachrichten und Dateien kompromittiert sein. Ein Backup aus der Zeit vor dem Angriff kann helfen, aber Sicherheitsexperten empfehlen nach einer Infektion einen kompletten Geräte-Reset.

Wie erkenne ich, ob auf meinem Handy Spyware installiert wurde?

Achten Sie auf plötzliche Akku-Probleme, ungewöhnlichen Datenverkehr, unbekannte Apps oder eine verlangsamte Leistung. Eine Sicherheits-App kann helfen, verdächtige Prozesse zu identifizieren.

Hilft die Zwei-Faktor-Authentifizierung gegen Zero-Click-Angriffe?

Ja und nein: Sie schützt Ihr Konto vor unbefugtem Zugriff, aber nicht vor der Spyware-Installation auf dem Gerät selbst. Sie ist dennoch dringend empfohlen.

Sind WhatsApp-Gruppenchats genauso betroffen wie Einzelchats?

Ja. Da die Lücke auf Nachrichtenebene sitzt, können sowohl Einzel- als auch Gruppennachrichten als Angriffsvektor dienen. Öffnen Sie keine verdächtigen Nachrichten – auch nicht in Gruppen.