Die Sicherheitsforscherin „BobDaHacker“ hat in der offiziellen Gebets-App des Papstes, „Click to Pray“, mehrere schwerwiegende Sicherheitslücken entdeckt. Nach ihren Angaben waren davon mehr als 719.000 registrierte Nutzer betroffen. Die App ist für Android und iPhone verfügbar und wird vom weltweiten Gebetsnetzwerk des Papstes betrieben. Zusätzlich existiert eine Webversion des Dienstes, über die sich Gläubige registrieren, Gebetsanliegen teilen und Teil der Gemeinschaft werden können.
Die Schwachstellen im Detail
Die Hauptursache der Sicherheitsprobleme lag laut BobDaHacker in einer ungeschützten Programmierschnittstelle (API). Für den Zugriff auf Nutzerdaten habe bereits die Angabe einer Nutzer-ID ausgereicht. Da diese IDs fortlaufend vergeben wurden, konnten Datensätze automatisiert abgerufen werden. Zu den abrufbaren Informationen gehörten Namen, E-Mail-Adressen, Geburtsdaten, Herkunftsländer sowie Angaben zum Kontostatus der Nutzer.
Neben diesem Datenleck entdeckte die Forscherin eine weitere Schwachstelle bei der Kontoerstellung. Zwar verschickte der Dienst Verifizierungs-E-Mails zur Bestätigung neuer Konten, doch die für die Aktivierung benötigten Informationen waren bereits zuvor über eine Programmierschnittstelle abrufbar. Dadurch wäre es theoretisch möglich gewesen, Konten mit fremden E-Mail-Adressen zu aktivieren und so die Identität anderer Nutzer anzunehmen.
Reaktion der Betreiber und mögliche Auswirkungen
BobDaHacker informierte die Betreiber der App bereits am 3. Januar 2026 über die entdeckten Sicherheitsprobleme. Eine Reaktion sei zunächst ausgeblieben. Erst nachdem das IT-Nachrichtenportal „Dark Reading“ Ende Juli über den Vorfall berichtete, wurden die Schwachstellen offenbar geschlossen. Ob die Sicherheitslücken vor ihrer Behebung von Cyberkriminellen ausgenutzt wurden, ist bislang nicht bekannt.
Die Offenlegung der persönlichen Daten könnte erhebliche Folgen für die betroffenen Nutzer haben. Neben der Gefahr von Identitätsdiebstahl und Phishing-Angriffen könnten die Daten auch für gezielte Spam-Kampagnen oder zur Profilbildung missbraucht werden. Die App wird von der katholischen Kirche weltweit beworben und dient als Plattform für Gebetsgemeinschaften. Dass gerade eine solche App derartige Sicherheitsmängel aufweist, untergräbt das Vertrauen der Nutzer in den Datenschutz kirchlicher Angebote.
Lehren aus dem Vorfall
Der Fall zeigt einmal mehr, dass auch nahezu heilige Institutionen nicht vor Sicherheitslücken gefeit sind. Experten fordern eine konsequente Überprüfung von APIs und regelmäßige Penetrationstests, um solche Datenlecks zu verhindern. BobDaHacker betonte in ihrem Blog, dass sie die Schwachstellen verantwortungsvoll gemeldet habe und erst nach erfolgloser Meldefrist an die Öffentlichkeit gegangen sei. Die Verantwortlichen der App haben nun die Möglichkeit, aus dem Vorfall zu lernen und die Sicherheitsmaßnahmen zu verbessern.
