Der Katholizismus kennt viele Wege zum Gebet: Perle um Perle gleitet der Rosenkranz durch die Finger, in Kirchen zünden Menschen Kerzen an und verbinden das flackernde Licht mit einer Bitte. Seit Jahrhunderten rufen Kirchenglocken zum Gebet. Die katholische Plattform «Click To Pray» verlegt diesen Ruf ins Digitale: Statt eines Glockenschlags genügt ein Mausklick, um Teil einer weltweiten Gebetsgemeinschaft zu werden. Doch offenbar gilt auch im digitalen Gebetsraum: Der Himmel mag alles sehen – die Gläubigen sollten es besser nicht können.

Was ist passiert?

«Click to Pray» ist die offizielle Gebets-App des Papstes. Sie verbindet Gläubige auf der ganzen Welt und liefert täglich kurze Gebetsimpulse. Nutzerinnen und Nutzer können eigene Anliegen teilen, für andere beten und sich den monatlichen Gebetsanliegen des Papstes anschliessen. Nach eigenen Angaben erreichte das päpstliche Gebetsnetzwerk bis 2021 mehr als 2,5 Millionen Menschen. Rund 400'000 Personen nutzten die App jährlich. Auch bei kirchlichen Grossereignissen kam sie zum Einsatz, etwa beim Weltjugendtag 2023 in Lissabon. Wer nicht vor Ort war, konnte sich per Fernzugriff zu den täglichen Gebeten zuschalten.

Genau beim Zugriff lag allerdings das Problem. Anfang Januar 2026 entdeckte die Hackerin «bobdahacker» eine schwere Sicherheitslücke in der App. Über eine technische Schnittstelle liessen sich Daten fremder Konten abrufen, darunter Namen, E-Mail-Adressen, Geburtsdaten und Herkunftsländer. Dafür musste offenbar nur die fortlaufende Nummer eines Nutzerkontos verändert werden. So hätten theoretisch die Angaben aller mehr als 719’000 registrierten Personen automatisiert gesammelt werden können.

Lücke inzwischen wieder geschlossen

Für Kriminelle wären solche Daten hilfreich gewesen, um echt wirkende Betrugs- oder Phishing-Mails im Namen des Papstes oder des Vatikans zu verschicken. Hinweise darauf, dass die gesamte Datenbank tatsächlich kopiert oder missbraucht wurde, gibt es bisher allerdings nicht.

Die Hackerin meldete die Sicherheitslücke am 3. Januar 2026 dem Vatikan, bekam jedoch keine Antwort. Auch eine spätere Medienanfrage blieb laut ihr unbeantwortet. Erst nachdem ein IT-Sicherheitsmedium über den Fall berichtet hatte, wurde die Schnittstelle angepasst. Seither sind private Angaben fremder Konten nicht mehr einsehbar. Am 24. Juli bestätigte die Hackerin, dass die entscheidende Lücke geschlossen worden sei.