Eine Nachricht mit dem richtigen Namen, der passenden App und einem vertraut wirkenden Absender kann überzeugend aussehen – und trotzdem in eine Falle führen. Genau deshalb ist die jüngst dokumentierte Sicherheitslücke bei der Gebets-App Click To Pray mehr als ein technischer Sonderfall: Sie zeigt, wie normale Profildaten Phishing glaubwürdiger machen können, ohne dass damit bereits ein Datendiebstahl oder Missbrauch bewiesen wäre.
Das Wichtigste in 30 Sekunden
- Bei Click To Pray waren laut technischer Offenlegung vor einer späteren Korrektur E-Mail-Adresse, Vorname, Nachname, Land und Geburtsdatum fremder Profile potenziell abrufbar.
- Die Zahl 719.517 steht für die höchste von der Finderin beobachtete registrierte ID beziehungsweise Kontenzahl – nicht für bestätigte Opfer, abgerufene Datensätze oder aktive Nutzer.
- Ein eigener Nachtest der Finderin ergab später, dass sensible Felder bei fremden Profilen nicht mehr ausgegeben wurden. Eine öffentliche Betreiberbestätigung oder unabhängige Forensik liegt nicht vor.
- Für einen Massendownload, Identitätsdiebstahl, erfolgreiche Phishing-Angriffe oder Kontoübernahmen gibt es in den ausgewerteten Quellen keinen Beleg.
Warum persönliche Details eine Nachricht glaubwürdig machen
Eine E-Mail mit dem eigenen Namen senkt die Wachsamkeit. Wenn darin auch eine bekannte App, ein glaubwürdiger Anlass oder ein Hinweis auf ein Konto auftaucht, wirkt sie schnell wie ein Routinekontakt. Gerade darin liegt die praktische Folge von Profildaten: Name, E-Mail-Adresse, Land und Geburtsdatum reichen nicht aus, um ein Konto zu übernehmen. Sie können aber helfen, eine erfundene Nachricht genauer auf eine Person zuzuschneiden.
Für Nutzerinnen und Nutzer ist diese Unterscheidung wichtig. Sie schützt vor zwei falschen Reaktionen zugleich: vor Panik über einen Schaden, der nicht belegt ist, und vor dem Gedanken, eine personalisierte Aufforderung müsse deshalb echt sein. Der Fall um Click To Pray ist ein Anlass, das eigene Verhalten bei ungewöhnlichen Login-, Bestätigungs- oder Zahlungsaufforderungen nüchtern zu überprüfen.
Was bei Click To Pray dokumentiert ist
Click To Pray wird öffentlich als Angebot des Pope’s Worldwide Prayer Network beschrieben. Eine Sicherheitsforscherin dokumentierte für die App eine fehlende objektbezogene Berechtigungsprüfung bei Profilabrufen. Nach ihren Angaben konnten vor einer späteren Korrektur E-Mail-Adresse, Vorname, Nachname, Land und Geburtsdatum fremder Profile potenziell ausgegeben werden. Zwei unabhängige Gegenlesen beschreiben dieselbe Feldliste und denselben Kern des Problems.
Das Wort „potenziell“ ist hier keine Ausflucht, sondern eine sachliche Grenze. Die Offenlegung beschreibt, dass der Server bei einem Profilabruf nicht zuverlässig prüfte, ob die anfragende Person genau auf dieses Profil zugreifen durfte. Sie beweist nicht, dass Dritte Daten in großer Zahl abgerufen, gespeichert oder weitergegeben haben.
Was die Zahl 719.517 nicht sagt
Die Zahl 719.517 taucht in der Berichterstattung prominent auf. Sie sollte jedoch nicht verkürzt als Zahl der Betroffenen gelesen werden. Laut Finderin handelt es sich um die höchste beobachtete registrierte ID beziehungsweise um die Zahl registrierter Konten. Daraus lässt sich weder ableiten, wie viele Menschen die App aktiv nutzten, noch wie viele Profile sensible Felder enthielten oder ob überhaupt jemand außer der Finderin solche Angaben abgerufen hat.
Diese Präzision wirkt vielleicht kleinlich, macht aber einen großen Unterschied. Eine hohe Kontenzahl beschreibt den möglichen Rahmen einer technischen Schwachstelle. Sie ersetzt weder einen Nachweis über einen Massendownload noch eine Liste tatsächlicher Opfer. Wer den Fall einordnet, sollte beides nicht vermischen.
Warum eine Profilnummer kein Schlüssel sein darf
Der technische Kern lässt sich ohne Spezialwissen erklären: Eine Profilnummer ist wie die Nummer eines Schließfachs. Sie hilft einem System, das richtige Fach zu finden. Sie ist aber kein Schlüssel. Bevor der Inhalt ausgegeben wird, muss der Server zusätzlich prüfen, ob die anfragende Person dieses Fach öffnen darf.
Fehlt diese Prüfung, spricht OWASP von Broken Object Level Authorization. Das klingt sperrig, beschreibt aber eine sehr konkrete Pflicht bei digitalen Diensten: Bei jedem Zugriff auf ein einzelnes Profil, Dokument oder Konto muss die Berechtigung serverseitig geprüft werden. Nicht die Nutzenden sollen erraten, wo ein Risiko liegt. Der Dienst muss verhindern, dass eine bloße Kennung als Zugang missverstanden wird.
Der Fall ist deshalb auch über diese eine App hinaus lehrreich. Digitale Selbstbestimmung hängt nicht nur von starken Passwörtern ab. Sie hängt ebenso davon ab, ob Anbieter Zugriffe im Hintergrund sauber begrenzen und ob sie nach einem Hinweis verständlich kommunizieren, was geprüft und korrigiert wurde.
Was offen bleibt – und was sich offenbar geändert hat
Nach der Berichterstattung nahm die Finderin nach eigener Darstellung erneut einen Test vor. Dabei seien sensible Felder bei fremden Profilen nicht mehr ausgegeben worden. Das spricht dafür, dass die sichtbare Datenrückgabe reduziert wurde. Mehr lässt sich aus diesem Recheck jedoch nicht sicher ableiten.
Es gibt keine öffentlich auffindbare Betreiberstellungnahme mit einem genauen Fixzeitpunkt. Auch ein unabhängiges forensisches Audit oder belastbare Informationen über mögliche Benachrichtigungen wurden in den ausgewerteten Quellen nicht gefunden. Ebenso fehlen Belege für einen Massendownload, einen erfolgreichen Phishing-Angriff, Identitätsdiebstahl oder eine Kontoübernahme.
Der stärkste Einwand gegen eine weitreichende Warnung ist damit berechtigt: Wenn sensible Felder später nicht mehr ausgegeben wurden, kann die konkrete technische Lücke behoben sein. Dennoch bleibt eine vorsichtige Einordnung sinnvoll. Sie erinnert daran, dass personalisierte Nachrichten nie allein wegen ihres Detailwissens Vertrauen verdienen.
So lassen sich verdächtige Nachrichten prüfen
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt bei ungewöhnlichen oder dringlichen Nachrichten, Absender und Linkziel getrennt zu prüfen. Das ist kein Hinweis auf einen bestätigten Angriff gegen Click-To-Pray-Nutzer, sondern eine allgemeine Vorsichtsregel, die in solchen Situationen besonders nützlich ist.
Vier ruhige Schritte vor dem Klick
- Dringlichkeit bremsen: Eine Aufforderung, ein Konto sofort zu bestätigen oder zu entsperren, ist ein Grund für eine Pause – nicht für einen schnellen Klick.
- Absender genau ansehen: Der sichtbare Name genügt nicht. Entscheidend ist die tatsächliche Adresse und ob sie zur bekannten Organisation passt.
- Linkziel getrennt prüfen: Nicht über den Link in der Nachricht einloggen. Die bekannte App oder Website selbst öffnen und dort nachsehen.
- Kontaktweg selbst wählen: Bei Unsicherheit eine bekannte Adresse oder einen anderen verifizierten Kontaktkanal nutzen. So bleibt die Nachricht vom eigentlichen Konto getrennt.
Wer eine Nachricht bereits geöffnet hat, muss daraus keine Katastrophe machen. Relevant wird es erst, wenn Zugangsdaten, Zahlungsdaten oder andere Informationen eingegeben wurden. Auch dann ist es sinnvoller, den Zugang über die bekannte offizielle Adresse zu prüfen, statt auf weitere Links aus der Nachricht zu reagieren.
Die Lehre liegt bei der Berechtigung – und beim ruhigen Prüfen
Die Click-To-Pray-Lücke ist kein Beleg dafür, dass hunderttausende Menschen geschädigt wurden. Sie macht aber sichtbar, warum scheinbar gewöhnliche Profildaten geschützt werden müssen: Sie können den Ton einer Täuschung verändern, auch ohne ein Passwort zu verraten. Für Anbieter folgt daraus eine klare technische Aufgabe: Berechtigungen müssen bei jedem einzelnen Datenzugriff geprüft werden. Für Nutzer bleibt die pragmatische Regel, ungewöhnliche Nachrichten über einen zweiten, bekannten Weg zu kontrollieren.
Quellen und weiterführende Informationen
- BobDaHacker: Click to Pray, Click to Leak: The Pope’s Official App Exposes 700,000+ User Emails
- The Register: Pope’s official prayer app commits cardinal sin, leaks 700K+ users’ info
- Malwarebytes: Vatican’s Click To Pray app exposed personal data from 700,000 users
- Pope’s Worldwide Prayer Network: Click To Pray
- OWASP API Security Top 10: API1:2023 Broken Object Level Authorization
- BSI: Wie erkenne ich Phishing-E-Mails und -Webseiten?
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-07-29
