WeWorm: Wie eine KI fast alle WeChat-Konten kapern konnte
Was bei WeChat genau passiert ist
WeChat ist für die meisten Menschen in Deutschland eine App, von der man gehört hat, ohne sie täglich zu benutzen. In China und weiten Teilen Asiens ist sie dagegen so etwas wie das digitale Betriebssystem des Alltags: Nachrichten, Bezahlen, Behördengänge, Online-Shopping, alles läuft über eine einzige App mit weit über einer Milliarde Nutzerkonten. Genau in dieser App wurde eine Schwachstelle gefunden, die so schwerwiegend war, dass Sicherheitsforscher ihr einen eigenen Namen gaben: „WeWorm".
Der Kern des Problems war eine sogenannte Zero-Click-Lücke. Das bedeutet, dass ein Angreifer kein Klicken, kein Öffnen eines Anhangs und keine sonstige Handlung des Opfers benötigt hätte, um ein Konto zu übernehmen. Es hätte gereicht, dass die Schwachstelle ausgenutzt wird, während die App im Hintergrund läuft oder eine bestimmte Nachricht empfängt. Genau diese Eigenschaft macht solche Lücken zu den gefährlichsten überhaupt, denn das Opfer merkt im Zweifel gar nicht, dass etwas passiert, bis der Schaden bereits entstanden ist.
Laut den vorliegenden Informationen wäre es über diese Lücke möglich gewesen, sich wurmartig von Konto zu Konto zu verbreiten. Ein einmal kompromittiertes Konto hätte also nicht nur die Daten des einzelnen Nutzers offengelegt, sondern potenziell als Sprungbrett gedient, um weitere Konten anzugreifen, ganz ohne dass die betroffenen Personen etwas tun mussten. Die Lücke wurde entdeckt und ist inzwischen geschlossen, sodass aktuell keine akute Gefahr mehr besteht. Wichtig ist trotzdem, sich die Mechanik genauer anzusehen, denn sie ist lehrreich weit über WeChat hinaus.
Warum ein „Zero-Click-Wurm" so gefährlich ist
Um zu verstehen, warum diese Meldung mehr ist als eine Randnotiz aus der IT-Welt, hilft ein Vergleich mit klassischen Angriffsformen. Die meisten Cyberangriffe, mit denen Unternehmen in Deutschland zu tun haben, brauchen eine Aktion des Opfers: Ein Mitarbeiter klickt auf einen Link in einer Phishing-Mail, öffnet einen infizierten Anhang oder gibt Zugangsdaten auf einer gefälschten Login-Seite ein. Genau darauf zielt auch die klassische Mitarbeiterschulung ab, die für gute Cybersicherheit unverzichtbar ist: Menschen dafür zu sensibilisieren, verdächtige Nachrichten zu erkennen.
Bei einer Zero-Click-Schwachstelle greift diese Verteidigungslinie überhaupt nicht. Es gibt keinen verdächtigen Link, den man erkennen könnte, keinen ungewöhnlichen Absender, keine seltsame Datei. Die Lücke sitzt tief in der Software selbst, in der Art, wie die App bestimmte Daten verarbeitet, und wird ausgelöst, sobald diese Daten das Gerät erreichen. Für Angreifer ist das der Idealfall: maximale Wirkung, minimales Risiko, entdeckt zu werden, weil kein Mensch eine Fehlentscheidung treffen musste.
Kommt dann noch die Wurm-Eigenschaft dazu, also die Fähigkeit, sich selbst automatisch weiterzuverbreiten, entsteht ein Angriffsszenario, das sich exponentiell ausbreiten kann. Aus einem kompromittierten Konto werden zwei, aus zwei werden vier, und binnen Stunden könnte theoretisch ein erheblicher Teil der Nutzerbasis betroffen sein. Genau das war laut der Meldung bei WeWorm das Bedrohungspotenzial: eine Lücke, die nicht nur einzelne Konten, sondern in kürzester Zeit einen gewaltigen Teil aller Konten hätte betreffen können.
Der eigentliche Paukenschlag: Eine KI hat die Lücke gefunden
Der Teil der Meldung, der Sicherheitsverantwortliche in aller Welt aufhorchen lässt, ist nicht die Lücke selbst, sondern wer sie aufgespürt hat. Nicht ein klassisches Sicherheitsteam mit jahrelanger Erfahrung im manuellen Code-Audit, sondern eine KI hat die Schwachstelle identifiziert. Das ist ein Wendepunkt, der weit über einen einzelnen Fund hinausweist.
Bislang war die Suche nach solchen tiefliegenden, komplexen Schwachstellen eine Domäne hochspezialisierter Sicherheitsforscher, die sich oft wochen- oder monatelang durch Code arbeiten, um eine einzige ausnutzbare Lücke zu finden. Diese Arbeit war zeitintensiv, teuer und dadurch limitiert, wie viele Menschen mit diesem Spezialwissen überhaupt verfügbar sind. Genau diese Limitierung fällt weg, wenn KI-Systeme in der Lage sind, große Codebasen systematisch und in einem Bruchteil der Zeit zu durchsuchen.
Das ist zunächst eine gute Nachricht, wenn die KI, wie im vorliegenden Fall, auf der Seite der Verteidiger steht und den Fund verantwortungsvoll meldet, sodass die Lücke geschlossen werden kann, bevor sie ausgenutzt wird. Es ist aber gleichzeitig eine Warnung mit zwei Seiten. Was ein Sicherheitsforscher mit KI-Unterstützung finden kann, kann grundsätzlich auch ein Angreifer mit ähnlichen Werkzeugen finden, nur eben mit anderer Absicht. Die Fähigkeit, Schwachstellen in großem Maßstab und mit hoher Geschwindigkeit zu identifizieren, ist nicht an gute Absichten gebunden. Sie ist ein Werkzeug, das inzwischen beiden Seiten zur Verfügung steht.
Für Unternehmen bedeutet das: Die Zeitspanne zwischen „eine Schwachstelle existiert irgendwo in unserer Software" und „diese Schwachstelle wird aktiv gefunden und möglicherweise ausgenutzt" wird kürzer. Software, die man vor drei Jahren installiert und seitdem nicht mehr aktualisiert hat, war früher vielleicht deshalb sicher, weil niemand die Zeit investiert hat, sie gezielt zu durchsuchen. Dieses Sicherheitsnetz aus reiner Unauffälligkeit trägt zunehmend weniger.
Warum das nicht nur ein Problem von WeChat ist
Es wäre bequem, diese Meldung als „Problem einer chinesischen App, die wir hier ohnehin kaum nutzen" abzutun. Das greift aus mehreren Gründen zu kurz. Erstens zeigt der Fall exemplarisch, dass selbst extrem gut finanzierte, professionell betreute Software mit riesigen Entwicklerteams solche Lücken haben kann. Wenn es einen Konzern dieser Größenordnung treffen kann, ist kein Unternehmen grundsätzlich zu klein oder zu unwichtig, um selbst betroffen zu sein.
Zweitens ist die eigentliche Lehre nicht app-spezifisch, sondern methodisch: KI-gestützte Schwachstellenanalyse wird zum Standardwerkzeug, und zwar für Verteidiger genauso wie für Angreifer. Das betrifft nicht nur große Messenger-Apps, sondern jede Software, die ein mittelständisches Unternehmen im Einsatz hat: das Warenwirtschaftssystem, das CRM, die Website mit ihrem Shopsystem, die Buchhaltungssoftware, die Fernwartungslösung, mit der IT-Dienstleister auf Firmenrechner zugreifen, und nicht zuletzt die eigenen internen Tools und Skripte, die im Laufe der Jahre gewachsen sind.
Drittens: Viele mittelständische Unternehmen setzen selbst auf Messaging- und Kollaborationslösungen, die in Struktur und Komplexität WeChat nicht unähnlich sind, auch wenn sie kleiner sind. Wer Kunden über Messenger-Apps betreut, eigene mobile Apps anbietet oder Mitarbeiter über Collaboration-Tools vernetzt, betreibt im Grunde dieselbe Art von Angriffsfläche, nur in kleinerem Maßstab. Die Frage ist nicht, ob die eigene Software genauso komplex ist wie WeChat, sondern ob man genauso schnell reagieren könnte, wenn morgen eine vergleichbare Lücke in einem der eigenen eingesetzten Systeme bekannt würde.
Was das für den Mittelstand bedeutet
Die zentrale Botschaft aus diesem Vorfall lässt sich in einem Satz zusammenfassen: Die Geschwindigkeit, mit der Schwachstellen gefunden werden, steigt, also muss auch die Geschwindigkeit steigen, mit der Unternehmen auf bekannt gewordene Lücken reagieren. Patch-Management ist damit endgültig kein Thema mehr, das man „irgendwann mal machen sollte", sondern eine der wichtigsten laufenden Aufgaben im Unternehmen.
In der Praxis heißt das konkret:
Updates zeitnah einspielen, nicht sammeln. Viele Unternehmen warten aus Angst vor Kompatibilitätsproblemen mit Sicherheitsupdates, bis mehrere davon aufgelaufen sind, und spielen dann alles gesammelt in einem großen Wartungsfenster ein. Das verlängert genau das Zeitfenster, in dem eine bekannte Lücke ausnutzbar bleibt. Sicherheitsrelevante Updates für Betriebssysteme, Browser, Apps und Server-Software sollten so schnell wie vertretbar eingespielt werden, idealerweise automatisiert oder zumindest mit einem festen, kurzen Rhythmus.
Inventar der eingesetzten Software führen. Man kann nur patchen, was man kennt. Erschreckend viele Unternehmen wissen nicht genau, welche Apps, Plugins und Drittanbieter-Software auf ihren Firmengeräten und Servern tatsächlich laufen. Ein aktuelles Inventar ist die Grundlage jeder ernstgemeinten Absicherung.
Mobile Apps und Messenger-Dienste nicht als Nebensache behandeln. Die WeWorm-Lücke betraf eine App, nicht klassische Server-Infrastruktur. Viele Unternehmen konzentrieren ihre Absicherung auf Firewalls, Server und E-Mail, vergessen dabei aber, dass Smartphones mit Firmen-WhatsApp, Firmen-Teams oder anderen Apps ebenfalls ein voller Bestandteil der Angriffsfläche sind, oft sogar mit Zugriff auf sensible Kontakte und Geschäftskommunikation.
Externe Software-Dienstleister und deren Sicherheitspraxis hinterfragen. Wer Software von Drittanbietern einsetzt, etwa ein Shopsystem, eine Branchenlösung oder eine App eines Fremdanbieters, sollte wissen, wie schnell dieser Anbieter im Ernstfall reagiert. Ein regelmäßiges Website-Audit hilft, blinde Flecken in der eigenen Web- und Anwendungslandschaft aufzudecken, bevor es jemand anderes tut.
Notfallprozesse für „Zero-Day"-Situationen definieren. Wenn heute eine kritische Zero-Click-Lücke in einem zentral genutzten System bekannt würde, wie lange würde es in Ihrem Unternehmen dauern, bis der Patch überall eingespielt ist? Wer diese Frage nicht klar beantworten kann, hat hier einen konkreten Handlungsbedarf. Ein durchdachtes Sicherheitskonzept, wie es im Rahmen von IT-Sicherheit aufgebaut wird, sollte genau solche Reaktionszeiten und Verantwortlichkeiten vorab festlegen, statt sie erst im Ernstfall zu improvisieren.
Regulatorische Vorgaben nicht als Bürokratie, sondern als Leitplanke verstehen. Für viele mittelständische Betriebe wird das Thema Cybersicherheit inzwischen auch durch gesetzliche Vorgaben verbindlicher. Wer sich noch nicht mit den Anforderungen von NIS2 & IT-Sicherheit auseinandergesetzt hat, sollte das nachholen, denn viele der dort geforderten Maßnahmen, etwa strukturiertes Patch-Management und Risikobewertung, sind genau die Prozesse, die einen Fall wie WeWorm im eigenen Haus abfedern würden.
Was auffällt: Keine dieser Maßnahmen ist exotisch oder erfordert einen riesigen Investitionsschub. Es geht überwiegend um Disziplin, klare Zuständigkeiten und regelmäßige, konsequente Routinen. Genau daran scheitert es in der Praxis aber häufig, weil IT-Sicherheit im Tagesgeschäft schnell hinter dringlicheren Themen zurückfällt, bis ein Vorfall die Prioritäten neu ordnet.
Konkrete Schritte für die nächsten Wochen
Wer diesen Artikel liest und sich fragt, wo er konkret anfangen soll, kann sich an einer einfachen Reihenfolge orientieren. Zunächst lohnt sich eine ehrliche Bestandsaufnahme: Welche Apps, Systeme und Softwarelösungen sind im Unternehmen im Einsatz, und wer ist jeweils dafür verantwortlich, dass Updates zeitnah eingespielt werden? Danach folgt die Prüfung, ob es für kritische Systeme bereits klare Update-Zyklen gibt oder ob diese erst noch definiert werden müssen.
Im dritten Schritt sollte geprüft werden, wie die Update-Verantwortung technisch abgebildet ist. Häufig zeigt sich hier, dass die eigene IT-Abteilung schlicht keine Kapazität hat, jedes System permanent im Blick zu behalten, gerade in kleineren Unternehmen ohne dedizierte Sicherheitsstelle. An diesem Punkt kann externe Unterstützung sinnvoll sein, etwa über eine laufende Fernwartung, bei der ein Dienstleister genau diese Update- und Sicherheitsroutinen im Hintergrund übernimmt, statt darauf zu hoffen, dass niemand im Betrieb die Zeit dafür findet.
Schließlich sollte das Thema nicht als einmalige Aktion, sondern als fortlaufender Prozess verstanden werden. Sicherheitslücken wie WeWorm werden nicht seltener, wenn KI-Werkzeuge auf beiden Seiten des Spielfelds eingesetzt werden, im Gegenteil. Wer heute die Prozesse für schnelles Patchen etabliert, ist beim nächsten vergleichbaren Vorfall, und es wird einen nächsten geben, deutlich besser vorbereitet als jemand, der erst dann reagiert, wenn die eigene Software bereits in den Schlagzeilen steht.
Haeufige Fragen
Was ist ein Zero-Click-Wurm genau?
Ein Zero-Click-Wurm ist eine Schadsoftware oder ein Angriffsmuster, das keine Interaktion des Opfers benötigt, also kein Klicken auf einen Link oder Öffnen einer Datei. Die „Wurm"-Eigenschaft bedeutet zusätzlich, dass sich der Angriff nach erfolgreicher Ausnutzung selbstständig auf weitere Konten oder Geräte ausbreiten kann, ohne dass ein Mensch eingreifen muss.
Ist die WeChat-Lücke aktuell noch gefährlich?
Nach den vorliegenden Informationen wurde die Schwachstelle bereits geschlossen, sodass aktuell keine bekannte akute Gefahr mehr besteht. Die eigentliche Relevanz für andere Unternehmen liegt weniger in dieser einen konkreten Lücke, sondern darin, wie schnell und mit welchen Mitteln sie gefunden wurde.
Betrifft das auch kleine oder mittelständische Unternehmen ohne eigene Messenger-App?
Ja, denn die zugrunde liegende Entwicklung, dass KI-Systeme Schwachstellen in Software schneller und systematischer finden können, betrifft jede Art von Software, nicht nur Messenger-Apps. Warenwirtschaftssysteme, Shopsysteme, interne Tools und mobile Apps sind gleichermaßen betroffen.
Reicht es, Antivirus-Software zu installieren?
Nein, Antivirus-Software allein schützt nicht vor Lücken, die tief in einer App oder einem System selbst liegen. Entscheidend ist ein strukturiertes Patch-Management, also das zeitnahe Einspielen von Sicherheitsupdates, kombiniert mit einem klaren Überblick über die eingesetzte Software.
Wie schnell sollten Sicherheitsupdates eingespielt werden?
Als Faustregel gilt: je kritischer das System und je öffentlicher zugänglich es ist, desto schneller. Bei Systemen mit direktem Internetzugriff, etwa Websites oder Kunden-Apps, sollten sicherheitsrelevante Updates innerhalb von Tagen, im Idealfall automatisiert, eingespielt werden, nicht erst im nächsten geplanten Wartungsfenster in einigen Wochen.
Was hat NIS2 mit diesem Thema zu tun?
Die NIS2-Richtlinie verpflichtet immer mehr Unternehmen, strukturierte Prozesse für Risikomanagement, Vorfallserkennung und Patch-Management einzuführen. Genau solche Prozesse hätten in einem Unternehmen dafür gesorgt, dass eine Lücke wie WeWorm schnell erkannt und geschlossen worden wäre, statt unbemerkt zu bleiben.