Signal-Phishing: Zwei Minuten fuer Ihr Konto

Wer Signal oder WhatsApp nutzt, sollte heute zwei Minuten in die Einstellungen investieren. Anlass ist ein Phishing-Angriff, der nach Recherchen des Spiegel vom 25. April 2026 mehrere Mitglieder der Bundesregierung getroffen hat, darunter Ministerinnen und Minister. Nach Angaben der Bundesregierung soll Russland hinter der Kampagne stecken — unabhaengig davon aendert das an den Schutzmassnahmen nichts. Technisch ist der Angriff erschreckend einfach.

Die Schwachstelle ist eine Funktion, kein Bug

Signal und WhatsApp erlauben es, das Konto auf einem zweiten Geraet zu nutzen, etwa auf dem Laptop. Die Verknuepfung laeuft ueber einen QR-Code, den die Kamera des Telefons einscannt. Genau diese Funktion missbrauchen die Angreifer. Sie schicken einen praeparierten QR-Code, getarnt als Einladung, Sicherheitshinweis oder vermeintliches Behoerdendokument. Wer den Code mit der Signal-App scannt, verknuepft nicht das eigene Geraet mit dem Konto, sondern das Geraet der Angreifer. Ab diesem Moment liest jemand Drittes jede neue Nachricht in Echtzeit mit, einschliesslich des bestehenden Verlaufs. Die Methode ist nicht neu. Googles Threat Analysis Group hatte sie bereits 2025 bei Angriffen auf Journalistinnen und Aktivisten dokumentiert.

Schritt eins: Verknuepfte Geraete pruefen

Signal-Nutzerinnen und -Nutzer oeffnen die App, gehen in die Einstellungen und tippen auf "Verknuepfte Geraete" (Linked Devices). Dort erscheint eine Liste aller Geraete, die derzeit Zugriff haben. Jeder Eintrag, der nicht erkennbar zugeordnet werden kann, sollte sofort entfernt werden. Ein Tippen genuegt, um die Sitzung zu beenden, der Zugriff endet im selben Moment. Das offizielle Signal-Hilfeteam empfiehlt, diese Liste regelmaessig und nicht nur einmalig zu kontrollieren.

Bei WhatsApp funktioniert es analog: Einstellungen, dann "Verknuepfte Geraete", jede unbekannte Sitzung abmelden. Der gesamte Vorgang dauert weniger als eine Minute pro App.

Schritt zwei: Registrierungssperre aktivieren

Die zweite Massnahme schuetzt vor einem anderen Angriffstyp, dem sogenannten SIM-Swap. Dabei laesst sich jemand die eigene Rufnummer auf eine neue SIM-Karte umschreiben und uebernimmt damit auch das Messengerkonto. Signal bietet dagegen eine Kombination aus PIN und Registrierungssperre. Beides findet sich in den Einstellungen unter "Konto". Wer beides aktiviert, verhindert, dass die eigene Nummer ohne Kenntnis der PIN auf einem fremden Geraet neu registriert wird. WhatsApp bietet das Gegenstueck unter "Konto" und "Verifizierung in zwei Schritten".

Eine Regel, die alles davor obsolet macht

Niemals einen QR-Code aus einem Chat, einer E-Mail oder einer Direktnachricht scannen, es sei denn, man hat den Verknuepfungsvorgang selbst gestartet. Ein QR-Code ist kein harmloser Link, sondern eine direkte Anweisung an die App, einen Zugang freizuschalten. Wer diese Regel beachtet, schliesst genau jenes Tor, durch das auch die Bundesregierung getroffen wurde.

Was der Vorfall nicht bedeutet

Signal und WhatsApp sind durch diesen Angriff nicht grundsaetzlich kompromittiert. Die Verschluesselung beider Dienste war nicht das Ziel und wurde nicht gebrochen. Verwundbar war eine Standardeinstellung, die viele Nutzerinnen und Nutzer nach der Installation nie wieder oeffnen. Wer die beschriebenen Schritte heute geht, schliesst diese Luecke. Fuer alle, die ueber Signal oder WhatsApp regelmaessig mit Familie oder Bekannten im Ausland kommunizieren, lohnt sich der Aufwand besonders, weil ein uebernommenes Konto nicht nur die eigene Korrespondenz offenlegt, sondern auch Adressen, Telefonnummern und Reiseplaene anderer.