Eigentlich soll die App „Click To Pray“ Menschen weltweit beim gemeinsamen Gebet verbinden. Doch nun sorgt ausgerechnet die offizielle Gebets-App des Vatikans für Schlagzeilen aus einem ganz anderen Grund. Sicherheitsforscher haben schwerwiegende Schwachstellen entdeckt, durch die persönliche Daten von mehr als 719.000 registrierten Nutzerinnen und Nutzern ausgelesen werden konnten. Betroffen waren unter anderem Namen, E-Mail-Adressen, Geburtsdaten und weitere Kontoinformationen. Besonders brisant: Nach Angaben der Entdeckerin der Sicherheitslücken soll der Betreiber monatelang nicht auf entsprechende Warnungen reagiert haben.
Die App „Click To Pray“ gehört zum weltweiten Gebetsnetzwerk des Papstes und richtet sich an Katholiken und andere Gläubige rund um den Globus. Über die Anwendung können Nutzer persönliche Gebetsanliegen veröffentlichen, gemeinsam beten und an internationalen Gebetsaktionen teilnehmen. Die App steht sowohl für Android- und iOS-Geräte als auch als Web-Anwendung zur Verfügung.
Sicherheitsforscherin entdeckt gravierende Schwachstellen
Aufgedeckt wurden die Sicherheitsprobleme von einer IT-Sicherheitsforscherin, die unter dem Pseudonym „BobDaHacker“ arbeitet.
Nach ihren Angaben enthielt die App mehrere gravierende Schwachstellen, die es Angreifern ermöglichten, auf sensible Nutzerdaten zuzugreifen. Die Ergebnisse veröffentlichte sie ausführlich in ihrem Sicherheitsblog.
Besonders kritisch war dabei eine fehlerhaft abgesicherte Programmierschnittstelle – eine sogenannte API. Über diese Schnittstelle konnten Datensätze abgefragt werden, ohne dass eine ausreichende Authentifizierung erforderlich war.
Nutzer-ID genügte für Datenzugriff
Nach Darstellung der Sicherheitsforscherin benötigten Angreifer lediglich eine gültige Nutzer-ID.
Da diese Benutzerkennungen fortlaufend vergeben wurden, konnten sie vergleichsweise einfach automatisiert durchprobiert werden. Auf diese Weise ließ sich nach und nach auf sämtliche registrierten Nutzerkonten zugreifen.
Zu den abrufbaren Informationen gehörten unter anderem:
- Vor- und Nachname,
- E-Mail-Adresse,
- Geburtsdatum,
- Herkunftsland,
- Angaben zum Benutzerkonto,
- sowie weitere Profildaten.
Insgesamt sollen mehr als 719.000 Nutzerkonten betroffen gewesen sein.
Weitere Schwachstelle bei der Registrierung
Neben dem Datenleck entdeckte die Expertin noch ein zweites Sicherheitsproblem.
Zwar verschickte der Dienst zur Registrierung neuer Konten eine Bestätigungs-E-Mail, allerdings konnten die notwendigen Verifizierungsinformationen bereits vor Abschluss der Registrierung über eine weitere Programmierschnittstelle abgefragt werden.
Dadurch bestand theoretisch die Möglichkeit, Benutzerkonten mit fremden E-Mail-Adressen zu aktivieren und anschließend zu übernehmen.
Für Cyberkriminelle hätte dies ein erhebliches Missbrauchspotenzial eröffnet.
Warnung blieb monatelang unbeantwortet
Besonders kritisch sehen Sicherheitsexperten den Umgang mit der gemeldeten Schwachstelle.
Nach Angaben der Forscherin informierte sie die Betreiber der App bereits am 3. Januar 2026 ausführlich über die entdeckten Sicherheitslücken.
Eine Reaktion blieb jedoch offenbar über viele Monate aus.
Erst nachdem das internationale IT-Fachportal Dark Reading Ende Juli über den Fall berichtet hatte, wurden die betroffenen Schwachstellen nach Angaben der Forscherin geschlossen.
Warum die Behebung trotz frühzeitiger Hinweise so lange dauerte, wurde bislang nicht öffentlich erklärt.
Wurden Daten bereits gestohlen?
Ob die Sicherheitslücken tatsächlich von Kriminellen ausgenutzt wurden, ist derzeit unklar.
Bislang liegen keine öffentlichen Hinweise darauf vor, dass persönliche Daten in größerem Umfang missbraucht wurden. Allerdings lässt sich im Nachhinein häufig nur schwer feststellen, ob Angriffe unbemerkt erfolgt sind.
Gerade bei offenen Programmierschnittstellen können Zugriffe oftmals über längere Zeit unentdeckt bleiben, wenn keine ausreichende Protokollierung stattfindet.
APIs werden immer häufiger zum Angriffsziel
Der Vorfall zeigt erneut, welche zentrale Rolle sogenannte APIs inzwischen für die IT-Sicherheit spielen.
Programmierschnittstellen ermöglichen den Datenaustausch zwischen Apps, Webseiten und Servern. Werden sie jedoch unzureichend abgesichert, können Angreifer häufig direkt auf vertrauliche Informationen zugreifen.
Nach Einschätzung von Cybersecurity-Experten zählen fehlerhaft konfigurierte APIs mittlerweile zu den häufigsten Ursachen größerer Datenpannen weltweit.
Was Betroffene jetzt tun sollten
Nutzer der App sollten vorsorglich einige Sicherheitsmaßnahmen ergreifen.
Dazu gehört insbesondere die Änderung des Passworts, sofern dieses auch bei anderen Online-Diensten verwendet wurde. Grundsätzlich empfehlen Sicherheitsexperten, für jedes Benutzerkonto ein eigenes, starkes Passwort zu verwenden.
Zusätzlich sollten Nutzer ihre E-Mail-Konten aufmerksam beobachten. Gelangen persönliche Daten in die Hände von Kriminellen, folgen häufig Phishing-Mails oder gezielte Betrugsversuche, bei denen sich Angreifer als seriöse Organisationen ausgeben.
Datenpannen treffen auch vertrauenswürdige Organisationen
Der Vorfall macht deutlich, dass selbst Anwendungen renommierter Institutionen nicht automatisch vor Sicherheitsproblemen geschützt sind. Unabhängig davon, ob es sich um Behörden, Unternehmen, Kirchen oder gemeinnützige Organisationen handelt – jede digitale Plattform muss ihre Systeme kontinuierlich überprüfen und bekannte Schwachstellen schnell schließen.
Für die Betreiber der offiziellen Gebets-App des Vatikans dürfte die Datenpanne vor allem eines bedeuten: einen erheblichen Vertrauensverlust. Mehr als 700.000 registrierte Nutzer müssen nun darauf vertrauen, dass ihre persönlichen Daten trotz der monatelang offenen Sicherheitslücken nicht in falsche Hände geraten sind. Gleichzeitig unterstreicht der Fall, wie wichtig ein schneller und transparenter Umgang mit gemeldeten Sicherheitsproblemen im digitalen Zeitalter geworden ist.
