WhatsApp-Lücke: Fremde sehen Ihre Fotos am gesperrten Handy

Die schnelle Antwort: Auf manchen Android-Handys lässt sich der Sperrbildschirm über einen eingehenden WhatsApp-Videoanruf umgehen. Wer den Anruf annimmt und in der Anrufansicht einen Hintergrund erzeugen will, landet in der Fotomediathek, ohne PIN oder Fingerabdruck. Betroffen sind unter anderem Pixel- und Oppo-Geräte, iPhones nicht. Meta hat die Lücke bestätigt und verteilt ein Update.

Was der Sicherheitsforscher am 1. September gezeigt hat

Der Sicherheitsforscher Jose Rodriguez hat am 1. September 2026 einen Weg veröffentlicht, den Sperrbildschirm von Android-Handys über WhatsApp zu umgehen. Rodriguez ist in der Szene kein Unbekannter: Er hat über Jahre hinweg immer wieder Wege dokumentiert, wie sich Sperrbildschirme über Anruf- und Benachrichtigungsoberflächen aushebeln lassen. Am 3. September 2026 hat heise online den Ablauf und die betroffenen Geräte nachvollzogen, seither läuft die Meldung durch die deutschen Medien.

Der Ablauf selbst ist unspektakulär, und das ist der Punkt. Ein WhatsApp-Videoanruf lässt sich auf Android direkt vom Sperrbildschirm annehmen, ohne das Gerät zu entsperren. Das ist gewollt, denn niemand soll erst eine PIN eintippen müssen, um einen Anruf entgegenzunehmen. Nur: Die Anrufansicht, die danach erscheint, ist kein reiner Anruf mehr. Sie bringt Filter, Effekte und wechselbare Hintergründe mit, und in dieser Auswahl steckt die Möglichkeit, sich per Meta AI einen neuen Hintergrund erzeugen zu lassen. Als Vorlage dafür lässt sich ein vorhandenes Bild wählen. An dieser Stelle öffnet WhatsApp die Fotomediathek des Geräts, und zwar ohne vorher noch einmal nach PIN, Muster oder Fingerabdruck zu fragen.

Damit ist eine Grenze verschoben worden, die vielen gar nicht bewusst ist. Der Sperrbildschirm soll genau eine Zusage einlösen: Wer Ihr Handy in die Hand nimmt, sieht die Uhrzeit und darf ans Telefon gehen, sonst nichts. Jede Funktion, die eine App aus dem gesperrten Zustand heraus zusätzlich anbietet, ist ein Stück dieser Zusage, das aufgegeben wird. Die Anrufoberfläche ist dabei ein Klassiker, weil sie über die Jahre von einem simplen Annehmen-Knopf zu einer eigenen kleinen Anwendung mit Kamera, Effekten und inzwischen KI-Funktionen gewachsen ist. Je mehr dort hineinwandert, desto mehr Wege führen an der Sperre vorbei.

Meta hat die Lücke bestätigt und verteilt nach eigenen Angaben ein Update. Wann dieses Update welches Gerät erreicht, ist offen, denn Auslieferungen laufen in Wellen. Wichtig ist die Einordnung: Für den Zugriff muss jemand Ihr Handy tatsächlich in der Hand halten. Es gibt hier keinen Angriff über das Netz, keine Massenausbeutung, keine Möglichkeit, Ihre Bilder aus der Ferne abzugreifen.

Bin ich betroffen? Der Selbsttest in zwei Minuten

Auf diese Frage gibt es hier eine ungewöhnlich befriedigende Antwort, denn anders als bei einem Datenleck müssen Sie nicht auf eine Betroffenenliste warten. Sie können es selbst ausprobieren, gefahrlos und in zwei Minuten. Und Sie sollten es ausprobieren, statt sich auf Gerätelisten zu verlassen: Die bisher genannten Modelle stammen aus Stichproben, nicht aus einer vollständigen Prüfung aller Hersteller und Android-Versionen.

• Schritt 1, das Handy wirklich sperren: Drücken Sie die Standby-Taste und warten Sie, bis der Bildschirm dunkel ist. Ein Gerät, das noch im entsperrten Zustand nachleuchtet, verfälscht den Test.
• Schritt 2, sich anrufen lassen: Bitten Sie eine vertraute Person, Sie per WhatsApp-Videoanruf anzurufen, nicht per Sprachanruf. Nehmen Sie den Anruf direkt vom Sperrbildschirm an, ohne vorher zu entsperren.
• Schritt 3, zu den Hintergründen tippen: Suchen Sie in der laufenden Anrufansicht die Effekte und Hintergründe und darin die Möglichkeit, einen Hintergrund selbst erzeugen zu lassen. Genau dort wird nach einer Bildvorlage gefragt.
• Schritt 4, das Ergebnis lesen: Erscheint jetzt Ihre Fotomediathek, ist Ihr Gerät betroffen. Verlangt das Handy stattdessen PIN, Muster oder Fingerabdruck, greift die Sperre bei Ihnen. Beenden Sie den Anruf danach und stellen Sie die Berechtigung trotzdem um, dazu gleich mehr.

Welche Daten in Ihrer Galerie wirklich auf dem Spiel stehen

Die Berichterstattung endet meistens bei "Fotos". Das klingt nach Urlaub und Katzen und unterschätzt, was in einer durchschnittlich gewachsenen Handy-Galerie tatsächlich liegt. Entscheidend ist nicht die Zahl der Bilder, sondern welche Art von Daten darin steckt, denn daraus folgt jeweils ein anderes Risiko.

• Ausweis, Führerschein, Meldebescheinigung: Fast jeder hat irgendwann eine Ausweiskopie abfotografiert, für eine Anmeldung, einen Mietvertrag, eine Verifizierung. Ein solches Bild ist der Grundstoff für Identitätsdiebstahl, also für Verträge und Bestellungen, die auf Ihren Namen laufen. Das Risiko ist hier am höchsten, weil sich ein Ausweis nicht ändern lässt wie ein Passwort.
• Screenshots aus Banking und Bezahl-Apps: Kontoauszüge, Überweisungsbelege, abfotografierte Karten. Daraus ergeben sich IBAN und Kontoinhaber, also die Grundlage für Lastschriftbetrug, und nebenbei ein Bild Ihrer finanziellen Verhältnisse, das jede Betrugsmasche glaubwürdiger macht.
• Screenshots von Zugangsdaten und Wiederherstellungscodes: Der stille Klassiker. Wer die Wiederherstellungscodes seiner Zwei-Faktor-Authentifizierung als Screenshot in der Galerie abgelegt hat, verliert damit genau die Reserve, die den Zugang retten soll. Falls Sie das betrifft, erzeugen Sie diese Codes neu und bringen Sie Ihre zweite Sicherheitsstufe in die richtige Reihenfolge; welche 2FA-Verfahren gegen einen gekaperten Zugang wirklich halten, ordnet unsere Anleitung zum 2FA-Umbau gegen SIM-Swapping nach Wirksamkeit.
• Befunde, Rezepte, Krankschreibungen: Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonders geschützten Kategorien, und sie sind der Rohstoff für Erpressungsversuche. Ein abfotografierter Arztbrief ist kein Randfall, sondern in vielen Galerien vorhanden.
• Private Aufnahmen und Bilder Dritter: Hier geht es nicht um Betrug, sondern um Bloßstellung, und um Personen, die nie gefragt wurden. Ihre Galerie enthält auch die Kinder, Partner und Freunde anderer Leute. Deren Schutz hängt an Ihrem Sperrbildschirm mit.

Aus dieser Aufzählung folgt eine unbequeme Erkenntnis, die über den aktuellen Vorfall hinausreicht. Die Galerie ist bei den meisten Menschen längst das ungeordnete Aktenarchiv des Haushalts, aber sie wird wie ein Fotoalbum behandelt. Jede App, der Sie vollen Zugriff auf "Fotos und Videos" geben, bekommt damit Zugriff auf dieses Archiv, nicht auf ein paar Schnappschüsse. Darknet-Überwachung für Ihre Adresse aktivieren, damit Sie es mitbekommen, wenn Ihre Daten an anderer Stelle in Umlauf geraten.

Was Sie jetzt konkret einstellen sollten

Zwei Maßnahmen, in dieser Reihenfolge. Die erste beseitigt die Ursache, sobald sie bei Ihnen ankommt. Die zweite wirkt sofort und unabhängig davon, ob das Update schon da ist.

• WhatsApp aktualisieren: Öffnen Sie den Play Store, tippen Sie oben rechts auf Ihr Profilbild, dann auf "Apps und Gerät verwalten" und dort auf "Updates verfügbar". Aktualisieren Sie WhatsApp, falls es gelistet ist. Meta verteilt die Korrektur in Wellen, ein fehlendes Update bedeutet also nicht, dass Sie etwas falsch gemacht haben.
• Die Foto-Berechtigung einschränken: Gehen Sie in die Android-Einstellungen, dort zu "Apps", wählen Sie WhatsApp, dann "Berechtigungen" und den Eintrag "Fotos und Videos". Stellen Sie von "Alle zulassen" auf die eingeschränkte Auswahl um, je nach Android-Version heißt sie "Ausgewählte Fotos zulassen" oder "Eingeschränkten Zugriff zulassen". WhatsApp fragt Sie danach bei jedem Versenden, welche Bilder es sehen darf. Genau diese Umstellung empfiehlt auch Meta als Übergangslösung. Den allgemeinen Weg dorthin beschreibt Googles offizielle Hilfe zu App-Berechtigungen unter Android.
• Wenn Sie es gründlich wollen, den Sperrbildschirm entrümpeln: Gehen Sie die Liste durch, was Ihr Handy im gesperrten Zustand alles anbietet: Benachrichtigungsinhalte, Schnelleinstellungen, Assistenten, Zahlungsfunktionen. Jeder dieser Punkte ist eine eigene kleine Tür. Was Sie dort abschalten, kostet Sie zwei Sekunden Bequemlichkeit pro Tag und nimmt einem fremden Griff spürbar viel weg.

Wenn Sie ohnehin gerade in den App-Berechtigungen unterwegs sind, lohnt der Blick auf eine Kennung, die in demselben Menü sitzt und die Sie noch nie bewusst vergeben haben: Unsere Anleitung erklärt, warum das Zurücksetzen der Werbe-ID unter Android zu wenig ist und wie Sie sie tatsächlich löschen. Sie ist der Grund, warum Apps Ihr Gerät auch dann wiedererkennen, wenn Sie nirgends angemeldet sind.

Warum hier kein Leak-Check anschlägt, und was das bedeutet

Eine Einordnung, die in vielen Meldungen untergeht: Das ist kein Datenleck. Bei WhatsApp ist nichts abgeflossen, es wurde keine Datenbank kopiert, es sind keine Konten übernommen und keine Zugangsdaten erbeutet worden. Wer jetzt seine E-Mail-Adresse durch eine Leak-Datenbank schickt, wird zu diesem Vorfall nichts finden, und das ist keine Entwarnung, sondern schlicht die falsche Prüfung für den falschen Schadensweg.

Der Schaden entsteht hier lokal und einzeln: Jemand hat Ihr Handy in der Hand und sieht Bilder, die Sie ihm nicht zeigen wollten. Es gibt keinen zentralen Datensatz, der später irgendwo auftaucht. Weiterverwertet wird das, was jemand dabei abfotografiert oder abgeschrieben hat, und das taucht dann als etwas ganz anderes wieder auf: als Bestellung auf Ihren Namen, als Lastschrift von Ihrem Konto, als Anruf, bei dem der Gegenüber verdächtig viel über Sie weiß.

Deshalb ist die richtige Konsequenz aus diesem Vorfall keine Passwortänderung, sondern eine Aufräumaktion. Gehen Sie Ihre Galerie einmal durch und löschen Sie, was dort nicht hingehört: Ausweiskopien, Kontoauszüge, Screenshots mit Zugangsdaten, Wiederherstellungscodes. Was ein Dokument ist, gehört in einen verschlüsselten Speicher, nicht zwischen die Urlaubsbilder. Schutz für Ihre Identität einrichten und den Rest dieser Aufräumaktion nicht auf die lange Bank schieben.

Häufige Fragen zur WhatsApp-Lücke im September 2026

Was Sie merken, und was Sie nie merken würden

Der beunruhigende Teil an dieser Lücke ist nicht der Zugriff selbst, sondern seine Unsichtbarkeit. Ein durchgesehenes Fotoalbum hinterlässt keine Spur: keine Benachrichtigung, keinen Eintrag im Konto, keine fremde Sitzung, die Sie später beenden könnten. Wenn jemand Ihr Handy für zwei Minuten hatte, werden Sie es nicht erfahren. Bemerkbar wird der Vorfall erst dann, wenn das Abfotografierte weiterverwendet wird, und das geschieht selten sofort. Zwischen dem Abgreifen von Ausweisdaten und der ersten Bestellung auf fremden Namen liegen erfahrungsgemäß Wochen bis Monate, in denen aus einzelnen Fundstücken ein verkaufsfähiges Profil zusammengesetzt wird. Unser Darknet-Radar überwacht Ihre hinterlegte E-Mail-Adresse fortlaufend und meldet sich, sobald diese infolge eines Hacks oder einer Datenpanne dort auftaucht oder gehandelt wird. Im Tarif Tiefenreinigung kommt der Schadensersatz-Service hinzu: Sind Sie von einem solchen Vorfall betroffen, weisen wir Sie auf passende Sammel- oder Musterklagen und auf mögliche Ansprüche nach Art. 82 DSGVO hin, damit Sie Ihre Rechte gegenüber der verantwortlichen Stelle wahrnehmen können. Das ist ein Hinweis auf laufende Verfahren, keine eigene Rechtsberatung. Der Unterschied zum kostenlosen Check bleibt dabei entscheidend: Der zeigt Ihnen nur, was heute schon veröffentlicht ist. Das dauerhafte Monitoring ist das, was Sie später erreicht, wenn tatsächlich etwas auftaucht.