Die Ethical Hackerin BobDaHacker hat eine Datenpanne bei der offiziellen Gebets-App des Papstes „Click To Pray“ aufgedeckt. Über eine simple Sicherheitslücke waren die persönlichen Daten von mehr als 700.000 Nutzer:innen offen einsehbar, gemeldet bereits im Januar, monatelang unbeachtet.

Was ist passiert?

Die Sicherheitsforscherin BobDaHacker entdeckte, dass sich über die API der App „Click To Pray“ mit einer einfachen Anfrage die Daten beliebiger Nutzer:innen abrufen ließen, indem einfach die fortlaufende Nutzer-ID hochgezählt wurde. Betroffen waren E-Mail-Adresse, Vor- und Nachname, Land und Geburtsdatum von allen 719.517 registrierten Konten. Eine Autorisierungsprüfung, ob die anfragende Person überhaupt berechtigt war, diese Daten einzusehen, fand schlicht nicht statt. Die Forscherin meldete den Fehler bereits im Januar 2026 direkt an die Betreiber:innen, erhielt aber sieben Monate lang keinerlei Reaktion. Erst nachdem der Fall über eine Fachpublikation öffentlich wurde, bestätigte das Weltweite Gebetsnetzwerk des Papstes die Lücke und behob sie nach eigenen Angaben umgehend.

Wie kam es zu der Sicherheitslücke?

Technisch handelt es sich um eine sogenannte IDOR-Schwachstelle (Insecure Direct Object Reference), eine der grundlegendsten Fehlerarten in der Websicherheit. Der Server prüft nicht, ob die anfragende Person tatsächlich Zugriff auf die angeforderten Daten haben darf, sondern liefert bei jeder gültigen Nutzer-ID einfach die zugehörigen Informationen aus. Nach Angaben des Betreibers waren Passwörter, Anmeldedaten und Gebetsanliegen zu keinem Zeitpunkt betroffen.

Warum ist das relevant?

Die betroffene Nutzergruppe gilt als besonders vertrauensselig gegenüber Kommunikation mit vermeintlich kirchlichem Absender, was eine erbeutete Liste mit mehr als 700.000 echten Kontaktdaten zu einem besonders wertvollen Ausgangspunkt für gezielte Phishing-Kampagnen gemacht hätte, etwa mit gefälschten E-Mails im Namen des Vatikans. Der Fall zeigt zudem exemplarisch, wie lange auch gemeldete, leicht behebbare Sicherheitslücken bei fehlenden klaren Meldewegen unbearbeitet bleiben können, hier immerhin sieben Monate. Dennoch wurde nach öffentlicher Aufmerksamkeit die Lücke zügig geschlossen und sensible Zugangsdaten waren nach Angaben des Betreibers nie betroffen.