Die TU Graz veröffentlichte am 28. September 2026 Forschungsergebnisse zu einem Android-Seitenkanal: Eine App kann ohne besondere Berechtigungen ausgewählte Dateiänderungen und Dateinamen im WhatsApp-Medienordner beobachten. Die Forschenden sagen, dass sich darüber weder Nachrichten noch Medieninhalte lesen lassen.
Welche WhatsApp-Dateiaktivität eine App erkennen kann
In der Demonstration erfasst die beobachtende App Ereignisse zu eingehenden, gesendeten und gelöschten Bildern, Videos und Dateien. Dateinamen können auf den Medientyp hinweisen; der Speicherort kann erkennen lassen, ob eine Datei eingegangen oder gesendet wurde. Daraus lässt sich ein Verlauf bestimmter Dateiaktivitäten ableiten.
Warum FileObserver trotz geschützter Ordner Benachrichtigungen erhält
Androids FUSE-Schicht schirmt den privaten WhatsApp-Medienordner in der normalen Dateiübersicht vor anderen Apps ab. Eine andere App kann die Dateien dort also möglicherweise nicht auflisten. Trotzdem kann sie laut den Forschenden FileObserver für den Ordner registrieren und Dateiänderungen samt Namen gemeldet bekommen.
FileObserver ist eine Android-Schnittstelle für Dateiänderungen und basiert auf inotify. Der Seitenkanal betrifft damit Datei-Ereignisse und Metadaten – nicht den Zugriff auf die gespeicherten Inhalte.
Was ein Dateiereignis über den Zeitpunkt aussagt
Eine Benachrichtigung markiert eine Änderung am Dateisystem. Sie zeigt nicht zwingend den genauen Zeitpunkt, zu dem die zugehörige WhatsApp-Nachricht einging.
Was die Projektseite zum Android-Fix angibt
Das beschriebene Szenario ist lokal: Die beobachtende App muss auf demselben Gerät laufen. Als Bedrohung nennen die Forschenden einen lokalen Angreifer oder eine kompromittierte Software-Lieferkette. Die Projektseite der Forschenden nennt für Android keinen Fix. Das Team gibt außerdem an, keine Ausnutzung außerhalb der eigenen Tests zu kennen.
