Session Messenger: Neue Sicherheitslücken im August 2026 veröffentlicht

[Praetor]

Für alle, die Session benutzen, gibt es ein paar interessante Neuigkeiten zum Thema Sicherheit.

Im August 2026 wurde auf der USENIX WOOT-Konferenz eine Untersuchung von Sicherheitsforschern der Universität Osaka und des japanischen Forschungsinstituts NICT veröffentlicht.

Die Forscher haben sich das Verschlüsselungsprotokoll von Session genauer angeschaut und dabei zwei grundlegende Schwachstellen gefunden.

Daraus ergeben sich drei mögliche Angriffe.

1. Identität vortäuschen

Unter bestimmten Bedingungen kann ein manipulierter Serverknoten dafür sorgen, dass eine Nachricht scheinbar von einer anderen Person stammt.

2. Zeitstempel manipulieren

Ein Teilnehmer kann Nachrichten so manipulieren, dass sie im Chat früher oder später erscheinen, als sie tatsächlich verschickt wurden.

3. Nachrichten unterdrücken oder erneut zustellen

Ein manipulierter Serverknoten oder Gruppenadministrator kann unter bestimmten Bedingungen verhindern, dass Nachrichten ankommen. Auch das erneute Einspielen bereits verschickter Nachrichten ist möglich.

Das Interessante daran ist, dass die Forscher diese Schwachstellen nicht nur theoretisch beschrieben haben. Sie haben die Angriffe in einer eigenen Testumgebung praktisch nachgestellt.

Die Entwickler von Session wurden laut der Untersuchung bereits ab Dezember 2025 kontaktiert. Zum Zeitpunkt der Veröffentlichung lag den Forschern noch keine ausführliche Stellungnahme zu den Sicherheitsproblemen vor.

Was bedeutet das jetzt für Session-Nutzer?

Erst einmal sollte man nicht gleich davon ausgehen, dass sämtliche Session-Nachrichten mitgelesen werden können. Das wurde durch diese Untersuchung nicht nachgewiesen.

Trotzdem sind solche Schwachstellen natürlich ernst zu nehmen. Gerade bei einem Messenger, den viele wegen seiner Sicherheit und Anonymität benutzen.

Session arbeitet bereits an einem neuen Verschlüsselungsprotokoll (V2). Dieses soll unter anderem Perfect Forward Secrecy und zusätzliche Sicherheitsfunktionen bringen. Laut dem Entwicklungsbericht vom Oktober ist V2 allerdings noch nicht vollständig in der normalen App eingeführt.

Ich würde deshalb jedem empfehlen, diese Entwicklung im Auge zu behalten und Session momentan nicht einfach als uneingeschränkt sicher anzusehen.

Hier die Quellen zum Nachlesen:

Wissenschaftliche Untersuchung (USENIX 2026):

https://www.usenix.org/conference/woot26/presentation/urushigaki

Originalstudie als PDF:

https://www.usenix.org/system/files/woot26-urushigaki.pdf

GitHub mit dem veröffentlichten Testcode der Forscher:

https://github.com/kota5140/session-woot

Aktueller Entwicklungsstand von Session Protocol V2 (13.10.2026):

https://getsession.org/blog/session-protocol-v2-update

Gerade bei sicherheitsrelevanter Software sollte man sich nicht nur auf den guten Ruf eines Messengers verlassen. Solche unabhängigen Untersuchungen sind wichtig, damit Schwachstellen überhaupt erkannt und anschließend behoben werden können.

[BioLabor]

Am besten verzichtet man komplett auf Messenger und setzt stattdessen auf ein gutes Board – und genau das haben wir hier nun mal.

[hig]

Aber auch hier nicht blind drauf los gehen .... am besten PGP verschlüsselt kommunizieren

[Independence]

Sehr interessanter Beitrag @ Praetor

Vielen Dank dafür. 

[ironlionzion]

Danke für den Beitrag.