Click to Pray: Vatikan-App gab Daten von 700.000 Nutzern frei
Veröffentlicht am: 25.07.2026 um 23:32 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben eine schwerwiegende Schwachstelle in der offiziellen Gebets-App des Vatikans, "Click to Pray", identifiziert. Wie aktuelle Untersuchungen belegen, gibt die Anwendung seit mehr als sechs Monaten sensible Informationen von rund 700.000 Nutzern preis. Trotz einer frühzeitigen Meldung der Sicherheitslücke blieb das Problem bis in den Juli hinein bestehen.
Systematische Offenlegung sensibler Nutzerdaten
Die Schwachstelle betrifft die Anwendung des Päpstlichen Weltgebetsnetzwerks, die von der Agentur La Machi entwickelt wurde. Den Berichten zufolge handelt es sich um eine sogenannte IDOR-Schwachstelle (Insecure Direct Object Reference). Diese ermöglichte es, über einen spezifischen API-Endpoint Daten abzurufen, ohne dass eine vorherige Authentifizierung erforderlich war.
Konkret konnten über den Pfad für Nutzerabfragen Informationen zu jedem registrierten Profil eingesehen werden. Da die Anwendung sequenzielle Nutzer-IDs verwendet, war es für Außenstehende möglich, systematisch Datensätze abzugreifen. Insgesamt sind von diesem Datenleck 719.517 Konten betroffen. Die offengelegten Informationen umfassen Namen, E-Mail-Adressen, Geburtsdaten sowie die Herkunftsländer der Anwender.
Der Fall der Vatikan-App zeigt, wie schnell technische Schwachstellen zur massenhaften Offenlegung sensibler Profildaten führen können. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken in Ihrem Unternehmen proaktiv schließen und aktuelle gesetzliche Anforderungen erfüllen. Gratis-E-Book: Cyber-Sicherheit stärken und Bedrohungen abwenden
Versäumnisse bei der Fehlerbehebung
Die Chronologie des Vorfalls deutet auf erhebliche Verzögerungen bei der Reaktion der Verantwortlichen hin. Ein Sicherheitsforscher hatte die Schwachstelle bereits Anfang Januar 2026 an die zuständigen Stellen gemeldet. Dennoch blieb die Sicherheitslücke über Monate hinweg ungepatcht. Bis zum 25. Juli 2026 konnten die Daten weiterhin ungeschützt abgerufen werden.
Zusätzlich zur IDOR-Lücke entdeckten die Experten ein weiteres Problem im Registrierungsprozess der App. Der sogenannte Signup-Endpoint gab einen Validierungshash zurück, der es ermöglichte, Konten zu verifizieren, ohne tatsächlich Zugriff auf das verknüpfte E-Mail-Konto zu haben. Dies erleichtert das Erstellen von Fake-Profilen oder die Übernahme von Identitäten innerhalb der Plattform.
Risiken für Mitarbeiter und administrative Rollen
Die Tragweite des Vorfalls wird dadurch verstärkt, dass nicht nur reguläre Nutzer, sondern auch Informationen über administrative Rollen und Mitarbeiter des Netzwerks einsehbar waren. Branchenexperten warnen in diesem Zusammenhang vor einem erhöhten Risiko für Phishing-Angriffe. Solche Attacken könnten sich gezielt gegen religiöse Nutzer und Mitarbeiter richten, indem die erbeuteten persönlichen Daten für glaubwürdig erscheinende Betrugsversuche missbraucht werden.
Wenn Mitarbeiterdaten und administrative Rollen offenliegen, steigt die Gefahr für gezielten Identitätsmissbrauch und CEO-Fraud massiv an. Dieser kostenlose Ratgeber zeigt Ihnen in 4 Schritten, wie Sie Ihr Unternehmen wirksam gegen psychologische Manipulationstaktiken und Phishing-Angriffe absichern. Anti-Phishing-Paket für Unternehmen jetzt kostenlos herunterladen
Der Vorfall rückt zudem die rechtlichen Rahmenbedingungen in den Fokus. Das Vatikanische Datenschutzdekret (DCLVII) aus dem Jahr 2024 schreibt eigentlich strenge Zugriffskontrollen für personenbezogene Daten vor. Die nun dokumentierte Schwachstelle stellt einen direkten Verstoß gegen diese internen Richtlinien dar. Bisher liegt seitens des Vatikans keine offizielle Stellungnahme zu der gemeldeten Sicherheitslücke oder den Gründen für die verzögerte Reaktion vor.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
