Ein WhatsApp-Videoanruf, ein paar Fingertipps – und die Fotogalerie eines gesperrten Android-Handys steht offen. PIN, Fingerabdruck, Gesichtserkennung: alles wirkungslos.

Entdeckt hat das der Sicherheitsforscher Jose Rodriguez, der den Fall am 1. September auf der Plattform X öffentlich gemacht hat. Rodriguez ist einschlägig bekannt, er hat in den vergangenen Jahren mehrfach Wege gefunden, Sperrbildschirme von iPhones und Android-Geräten zu umgehen.

So funktioniert die WhatsApp-Lücke

Auf dem gesperrten Handy geht ein WhatsApp-Videoanruf ein. Der lässt sich annehmen, ohne das Gerät zu entsperren. So ist es vorgesehen, das kennt jeder aus dem Alltag.

Steht die Verbindung, öffnet ein Tippen auf das Effekte-Symbol ein Menü mit Filtern und Hintergründen. Von dort führt die Funktion, mit der sich per Meta AI ein Hintergrund erzeugen lässt, zur Option, ein vorhandenes Foto zu bearbeiten. Und die öffnet die Galerie.

Nach PIN oder Fingerabdruck fragt das Handy an keiner Stelle. Es ist die ganze Zeit über formal gesperrt.

Der Einstiegspunkt ist damit ausgerechnet die KI-Funktion, die Meta in den vergangenen Monaten in praktisch jede Ecke des Messengers eingebaut hat. Jede neue Funktion auf dem Sperrbildschirm vergrößert die Angriffsfläche.

Kein Hackerangriff aus der Ferne

Rodriguez selbst betont, dass hier nichts versteckt sei und niemand Programmierkenntnisse brauche. Das ist kein Hack, sondern ein Konstruktionsfehler.

Aus der Ferne kommt allerdings niemand an fremde Bilder. Wer die Lücke nutzen will, muss das Handy in der Hand halten. Das realistische Szenario ist das liegen gelassene Smartphone auf dem Kneipentisch, im Büro oder in der WG-Küche.

Auch der Zugriff selbst bleibt begrenzt. Der Rest des Geräts ist weiter gesperrt, und die Bilder lassen sich nach bisherigen Erkenntnissen nur ansehen, nicht über WhatsApp verschicken.

Ein echter Schutz ist das nicht: Wer die Galerie offen vor sich hat, kann den Bildschirm mit einem zweiten Handy abfotografieren.

Diese Android-Handys sind betroffen

Nicht jedes Gerät reagiert gleich. Das Fachportal Notebookcheck hat den Ablauf auf einem Google Pixel 6 Pro und einem Oppo K13 nachvollziehen können. In beiden Fällen öffnete sich die Galerie ohne Abfrage.

Ein Samsung Galaxy S25 Ultra blockierte den Zugriff dagegen und verlangte PIN oder Biometrie. Entscheidend ist: Oppo- und Samsung-Gerät liefen dabei auf derselben Android-Version.

Die österreichische Futurezone kam zu einem ähnlichen Ergebnis. Ein Galaxy Fold8 forderte vor dem Zugriff auf die Fotos die Entsperrung, auf einem Pixel 11 Pro XL ließ sich der Videoanruf im gesperrten Zustand gar nicht erst annehmen. Android Authority berichtet zusätzlich von betroffenen Geräten der Marke Vivo.

Die Ursache liegt demnach darin, wie die einzelnen Hersteller ihren Sperrbildschirm bauen. Ob das eigene Handy betroffen ist, hängt also weniger von der Android-Version ab als vom Hersteller.

Für Samsung-Nutzer heißt das trotzdem keine Entwarnung: Getestet wurden einzelne Modelle, nicht ganze Produktlinien.

Warum das iPhone sicher ist

Apple-Geräte sind nach allen bisherigen Tests nicht betroffen. Verantwortlich dafür ist eine Systemschnittstelle namens CallKit.

Sie zwingt Apps wie WhatsApp, eingehende Anrufe über die Anrufoberfläche von iOS abzuwickeln. Die WhatsApp-Menüs mit Effekten, Hintergründen und KI-Funktionen tauchen auf dem gesperrten iPhone deshalb gar nicht erst auf.

Meta und Google schweigen bisher

Rodriguez hat das Verhalten nach eigenen Angaben an Meta und an Google gemeldet. Ein Update soll die Lücke schließen.

Öffentlich geäußert hat sich bislang keiner der beiden Konzerne. Ein Patch war zum Zeitpunkt der Veröffentlichung dieses Textes nicht angekündigt.

WhatsApp-Berechtigungen ändern: So schützen Sie Ihre Fotos

Bis ein Update kommt, hilft eine Notlösung, die in wenigen Sekunden erledigt ist. Sie führt über die Systemeinstellungen des Handys, nicht über WhatsApp selbst.

Der Weg lautet: Einstellungen → Apps → WhatsApp → Berechtigungen → Fotos und Videos. Dort lässt sich der Zugriff entweder ganz entziehen oder, je nach Android-Version, auf ausgewählte Bilder beschränken.

Der Haken: Wer WhatsApp den Galeriezugriff komplett verwehrt, kann aus der App heraus keine gespeicherten Fotos mehr verschicken. Die eingeschränkte Freigabe ist im Alltag deshalb meist die bessere Wahl.

Wer konsequenter vorgehen will, kann der App zusätzlich die Kameraberechtigung entziehen. Dann funktionieren allerdings auch Videoanrufe nicht mehr.

Ein Test schafft Klarheit: Lassen Sie sich von einer vertrauten Person auf dem gesperrten Handy per WhatsApp-Video anrufen und prüfen Sie, ob sich das Effekte-Menü öffnen lässt. Verlangt das Gerät vorher PIN oder Fingerabdruck, sind Ihre Bilder auf diesem Weg sicher.