WhatsApp hat am Dienstag einen Satz veröffentlicht, den man zweimal liest: Wer als Sicherheitscode bisher 123456 benutzt, solle das jetzt als Zeichen zum Wechseln nehmen. Das steht so in der Ankündigung. Ein Anbieter, der diesen Satz schreiben muss, kennt seine Nutzer, und er liefert jetzt das Werkzeug dazu: Der sechsstellige Zahlencode der Verifizierung in zwei Schritten wird durch ein richtiges Passwort ersetzt. Außerdem darf ein Konto mehr als einen Passkey haben, und Android zeigt bei fremden Anrufern, woher der Anruf kommt.

Kurz gesagt: WhatsApp ersetzt die sechsstellige PIN der Verifizierung in zwei Schritten durch ein Passwort mit Buchstaben, Zahlen und Sonderzeichen, erlaubt mehrere Passkeys je Konto (Android und iOS) und zeigt auf Android Land und gemeinsame Gruppen bei Anrufen von Unbekannten. Betroffen ist jeder mit WhatsApp. Zu tun: Passwort setzen und Passkey anlegen, sobald deine App die Option zeigt; der Rollout läuft schrittweise.
Schaubild: Kontoklau bei WhatsApp in drei Schritten. SMS-Code abgreifen, Nummer neu anmelden, dann stoppt die Passwort-Abfrage der Verifizierung in zwei Schritten den Angreifer
Der dritte Schritt ist der einzige, den du kontrollierst: das Passwort der Verifizierung in zwei Schritten.

Warum WhatsApp überhaupt einen zweiten Code abfragt

Dein WhatsApp-Konto hängt an deiner Telefonnummer, nicht an einem Benutzernamen. Wer deine Nummer auf einem anderen Handy anmeldet, bekommt per SMS einen Einmalcode, tippt ihn ein, und das Konto zieht um. Dieser Code ist die einzige Hürde, und es gibt zwei Wege an ihn heran: über eine beim Mobilfunkanbieter übernommene SIM-Karte oder über einen Anruf, bei dem dir jemand den Code abschwatzt.

Die Verifizierung in zwei Schritten ist der zweite Riegel. Bei jeder Neuanmeldung fragt WhatsApp zusätzlich den Code, den du dir selbst ausgedacht hast, und laut der Anleitung von Malwarebytes zwischendurch auch beim Öffnen der App, damit er dir nicht abhandenkommt. WhatsApp beschreibt den Zweck in der Ankündigung selbst: Der Riegel hält auch dann, wenn jemand deinen Einmalcode in die Finger bekommt.

Aus sechs Ziffern wird ein Passwort

Bis jetzt bestand dieser Riegel aus sechs Ziffern. Das sind eine Million Möglichkeiten auf dem Papier, aber Menschen wählen keine zufälligen Ziffern. Sie wählen Geburtstage, und sie wählen 123456. Genau darauf zielt der Satz aus der Ankündigung.

Das neue Passwort darf länger sein und Buchstaben, Zahlen und Sonderzeichen enthalten. Wie lang genau, sagt WhatsApp nicht. WABetaInfo hat die Funktion im Juli in der Android-Beta 2.26.29.4 gesehen: Dort waren 6 bis 20 Zeichen erlaubt, mindestens ein Buchstabe und eine Zahl. iPhone-Ticker berichtet von mindestens acht Zeichen. Was deine App verlangt, siehst du beim Einrichten. Ich würde mich an keiner Untergrenze orientieren, sondern das Passwort vom Passwortmanager erzeugen lassen wie jedes andere auch. Wenn du noch keinen hast: Vaultwarden läuft auf dem eigenen Server, und die Daten bleiben bei dir.

Ein Passwort, das du dir nicht merken kannst, wird beim nächsten Handywechsel allerdings zum Problem, denn genau dann fragt WhatsApp danach. Deshalb gehört in dieselben Einstellungen die E-Mail-Adresse zum Zurücksetzen, die WhatsApp laut Malwarebytes optional anbietet. Sie ist dein Ersatzschlüssel, nicht der des Angreifers: Wer dein Postfach nicht lesen kann, kommt darüber nicht hinein.

Ein Passkey je Plattform

Ein Passkey ist ein Schlüssel, der im Passwortmanager deines Handys liegt, bei Google oder Apple, und den du mit Fingerabdruck, Gesicht oder Sperrcode freigibst. Du kennst ihn nicht, also kann dir auch niemand ihn am Telefon abschwatzen; abtippen lässt er sich nicht. Bei WhatsApp ersetzt er beim Anmelden SMS-Code und PIN zugleich. Eine Milliarde Menschen nutzen laut WhatsApp inzwischen einen. Ob alle wissen, dass sie einen haben, steht nicht dabei.

Neu ist, dass ein Konto mehr als einen Passkey haben darf, laut BleepingComputer einen je Plattform. Bisher war bei einem Schluss: Wer WhatsApp abwechselnd auf einem iPhone und einem Android-Gerät nutzt, musste sich für eines entscheiden. Jetzt bekommt jedes seinen eigenen Schlüssel. Die Voraussetzungen nennt WABetaInfo: Android ab Version 9 mit eingerichtetem Passwortmanager, iPhone ab iOS 16, jeweils mit Bildschirmsperre.

Ich würde den Passkey für den Alltag nehmen und das Passwort als Rückfalltür behalten, und die Rückfalltür genauso stabil bauen. Ein Angreifer nimmt nicht den bequemen Weg, sondern den schwächsten. Solange die Anmeldung per SMS-Code und Passwort möglich bleibt, ist das Passwort der Weg, den er versucht.

Fremde Anrufer bekommen auf Android ein Etikett

Die dritte Neuerung ist klein und trifft trotzdem den richtigen Punkt. Ruft eine Nummer an, die nicht in deinen Kontakten steht, zeigt WhatsApp auf Android künftig, ob sie aus einem anderen Land kommt und ob ihr gemeinsame Gruppen habt. WhatsApp begründet das mit einem Satz, den ich unterschreibe: Betrüger leben vom Zeitdruck, und ein bisschen Kontext vor dem Abheben nimmt ihnen den. iPhone-Nutzer bekommen die Funktion vorerst nicht; einen Termin nennt WhatsApp nicht.

Drei Handgriffe in den WhatsApp-Einstellungen

  • Passwort setzen: Einstellungen, Konto, Verifizierung in zwei Schritten. Zeigt deine App dort noch die sechsstellige PIN, ist das Update bei dir noch nicht angekommen; der Rollout läuft laut WABetaInfo schrittweise auf Android und iOS. Bis dahin wenigstens: keine 123456.
  • Passkey anlegen: Einstellungen, Konto, Passkeys, dann „Passkey erstellen“ und die Bildschirmsperre bestätigen. Nutzt du ein zweites Gerät auf der anderen Plattform, legst du dort den zweiten an.
  • E-Mail hinterlegen: in den Einstellungen zur Verifizierung die Adresse zum Zurücksetzen eintragen, für den Tag, an dem das Passwort weg ist und das neue Handy danach fragt.

Und der Satz, der bleibt: Einen Code, der dir per SMS zugeschickt wird, gibst du niemandem weiter, egal wie freundlich die Stimme am Telefon ist. Das neue Passwort schützt dich, wenn der Code weg ist. Besser ist, er kommt gar nicht erst weg.

Nutzt du die Verifizierung in zwei Schritten überhaupt, oder war dir die Abfrage beim Öffnen der App zu lästig? Und legst du deinen Passkey lieber ins Google- oder Apple-Konto, oder bleibst du beim Passwort, das du selbst verwaltest? Schreib es in die Kommentare.

Solche Umstellungen kommen ohne Fanfare; die meisten merken sie erst, wenn die App eines Tages anders fragt. Was die Woche an solchen Änderungen gebracht hat, sammelt der Newsletter am Sonntag in einer Mail, die Anmeldung steht unten.

Quellen