Click to Pray: Vatikans App gab Daten von 700.000 Nutzern preis

Die offizielle Gebets-App des Vatikans, Click to Pray, hat durch eine kritische technische Schwachstelle personenbezogene Informationen von mehr als 700.000 Anwendern preisgegeben. Berichten zufolge ermöglichte ein Fehler in der Systemarchitektur Unbefugten den Zugriff auf sensible Datensätze, ohne dass dafür eine Authentifizierung erforderlich war. Betroffen sind Nutzer weltweit, deren Namen, E-Mail-Adressen und Herkunftsländer über Monate hinweg einsehbar waren.

Technische Mängel und ignorierte Warnungen

Ursache für den Datenabfluss war eine sogenannte IDOR-Schwachstelle (Insecure Direct Object Reference). Diese Sicherheitslücke basierte auf der Verwendung fortlaufender Benutzer-IDs. Da das System keine ausreichende Identitätsprüfung durchführte, konnten Angreifer durch das einfache Hochzählen dieser Identifikationsnummern die Profile fremder Nutzer systematisch abrufen. Ein Sicherheitsforscher unter dem Pseudonym BobDaHacker hatte diese Schwachstelle bereits Anfang des Jahres entdeckt.

Trotz der frühen Entdeckung im Januar 2026 blieb das Problem über ein halbes Jahr lang bestehen. Der Sicherheitsforscher gab an, insgesamt neun verschiedene Kontaktstellen beim Vatikan über die Sicherheitslücke informiert zu haben. Eine Reaktion der Verantwortlichen blieb jedoch aus, und die Schwachstelle wurde zunächst nicht geschlossen. Erst nachdem die Problematik im Juli 2026 durch Fachmedien wie Dark Reading öffentlich gemacht wurde, leiteten die zuständigen Stellen Korrekturmaßnahmen ein. Am 24. Juli 2026 wurde die Schwachstelle schließlich behoben.

Ausmaß des Vorfalls und potenzielle Gefahren

Der aktuelle Datenabfluss bei Click to Pray zeigt, wie verwundbar private Profile auf mobilen Geräten sind, wenn grundlegende Sicherheitsvorkehrungen fehlen. Dieser kostenlose Ratgeber erklärt Ihnen, mit welchen 5 einfachen Maßnahmen Sie Ihr Smartphone effektiv vor Datenspionage schützen. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Nach vorliegenden Informationen wurden zwar keine Passwörter oder Finanzdaten der Nutzer offengelegt, dennoch stufen Experten den Vorfall als schwerwiegend ein. Die Kombination aus Namen, E-Mail-Adressen und der Bestätigung, dass die betroffenen Personen Nutzer einer religiösen App sind, bietet eine ideale Grundlage für gezielte Phishing-Angriffe. Insbesondere ältere Nutzer der Anwendung gelten hierbei als gefährdete Zielgruppe für betrügerische Aktivitäten.

Interessanterweise waren Nutzer, die zur Registrierung Anonymisierungsdienste wie die Funktion Hide My Email von Apple verwendeten, vor der direkten Preisgabe ihrer echten E-Mail-Adresse geschützt. Für die Mehrheit der über 700.000 Betroffenen waren die Daten jedoch im Klartext zugänglich.

Wiederholte Sicherheitsprobleme im digitalen Angebot

Dieser Vorfall ist nicht die erste Sicherheits Panne für das digitale Angebot des Vatikans. Bereits im Jahr 2019 war eine ähnliche Schwachstelle in der App Click to Pray bekannt geworden. Dass es nun erneut zu einem massiven Datenabfluss kam, wirft Fragen zur Wirksamkeit der IT-Sicherheitsprozesse auf. Besonders kritisch wird dabei angemerkt, dass die erst im Jahr 2024 verabschiedete Datenschutzverordnung des Vatikans diesen Vorfall nicht verhindern konnte.

Da Kriminelle gestohlene Daten oft für gezielte Manipulationen nutzen, ist proaktiver Schutz für App-Nutzer wichtiger denn je. Ein gratis Sicherheits-Leitfaden enthüllt jetzt, wie Sie Ihr Gerät gegen das Ausspähen durch Dritte absichern und die Kontrolle über Ihre Informationen behalten. Kostenlosen Sicherheits-Ratgeber herunterladen

Trotz der Behebung der technischen Lücke nach der öffentlichen Berichterstattung gibt es bislang keine offizielle Stellungnahme des Vatikans zu dem Ereignis. Nutzer der App werden allgemein dazu angehalten, bei eingehenden E-Mails unbekannter Absender besondere Vorsicht walten zu lassen, um nicht Opfer von Nachfolgeangriffen auf Basis der gestohlenen Daten zu werden.

de | wissenschaft | 69887409 |