Jens Asbjørn Bøgen
Russland hat dieses Jahr damit verbracht, seine Bürger auf einen einzigen einheimischen Messenger zu drängen.
Max, entwickelt vom Technologieunternehmen VK, ist seit dem 1. September 2025 auf jedem in Russland verkauften Smartphone, Tablet, Computer und Smart-TV vorgeschrieben. Roskomnadzor hat WhatsApp am 11. Februar aus dem Domain-Name-System des Landes geworfen und Telegram zwei Tage zuvor bis nahe an eine Blockade gedrosselt.
Eine neue technische Überprüfung zeigt, dass die App mehr als nur eine staatlich genehmigte Marke ist. Das digitale Sicherheitslabor InterSecLab untersuchte Max neun Wochen lang und kam zu dem Schluss, dass VK geräuschlos ändern kann, wie die App jeden einzelnen Nutzer ausspioniert – ohne ein Update auszuliefern oder die Benutzeroberfläche zu verändern.
„Was Max tut, wird auf den Servern von VK festgelegt, pro Konto, ohne ein App-Update“, heißt es im Bericht von InterSecLab.
Netzwerküberprüfung, VPN-Erkennung, Transkription von Sprachnachrichten, erweiterte Protokollierung und die Liste externer Dienste, die die Identität eines Nutzers empfangen dürfen, können alle jeweils für ein einzelnes Konto aktiviert werden.
Keine Ende-zu-Ende-Verschlüsselung
Max bietet keinerlei Ende-zu-Ende-Verschlüsselung, und seine „geheimen Chats“ löschen Nachrichten nur automatisch, anstatt sie zu verschlüsseln, schreiben die Forscher. Sie fingen den Klartext-Datenverkehr innerhalb der App ab, bevor er die verschlüsselte Transportschicht erreichte.
Jeder Start der App sendet laut der Studie einen Bericht an VK, der die öffentliche IP-Adresse, den Mobilfunkanbieter, den VPN-Status und die Internet-Erreichbarkeit des Nutzers enthält. Ein separater, verdeckter Kanal leitet weitere Daten an eine Domain im Netzwerk von VK weiter.
Offenlegung von Adressbuch und Telefonnummern
Bei der Registrierung lädt Max das gesamte Adressbuch des Nutzers im Klartext zu VK hoch, einschließlich der Nummern von Nicht-Nutzern, schreibt InterSecLab. Das Unternehmen hatte zuvor erklärt, die Nummern würden gehasht.
Eine Telefonnummern-Suche liefert die Konto-ID, den Anzeigenamen und das Erstellungsdatum des Zielkontos zurück, ohne dass die gesuchte Person benachrichtigt wird und ohne Begrenzung der Abfragerate.
„Innerhalb von 1,2 Sekunden begannen die Server von VK, den Echtzeit-Online-Status dieser Person an das anfragende Konto zu streamen, und streamten ihn über fünfzehn Minuten lang weiter“, heißt es in dem Bericht.
VPN-Blockaden und vorausgewählte Kanäle
Die App erkennt ein VPN auf Geräteebene und zeigt eine bildschirmfüllende Anweisung an, dieses zu deaktivieren, bevor eine Nachricht gesendet werden kann, obwohl ein VPN auf Routerebene die Prüfung umgeht.
Neue Konten sind bereits mit 25 empfohlenen Kanälen vorkonfiguriert, die laut InterSecLab eine Tendenz zu Staatsmedien und regierungsnahen Personen aufweisen. Der Geschäftsführer von VK ist der Sohn eines hochrangigen Kreml-Beraters.
InterSecLab analysierte Version 26.12.0, Build 6664 der Android-App zwischen März und Mai 2026.