Sensible Inhalte landen regelmäßig in ungeeigneten Messengern Sichere Messenger brauchen mehr als Verschlüsselung

Anbieter zum Thema

Secusmart GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

SI und Verfassungsschutz warnen vor gezielten Phishing-Angriffen über Messenger wie Signal. Staatliche Akteure nutzen keine komplexen Hacks, sondern gefälschte Support-Nachrichten und manipulierte QR-Codes. Die Vorfälle zeigen ein strukturelles Problem: Verschlüsselung allein macht Messenger nicht sicher. Entscheidend sind auch Identitätsprüfung, Metadatenkontrolle und eine souveräne Betriebsumgebung.

Die Warnungen des Bundesamts für Verfassungsschutz (BfVS) und des Bundesamts für Sicherheit in der Informationstechnik (BSI) waren eindringlich: Antworten Sie nicht auf „Signal“-Nachrichten von vermeintlichen Support-Konten, Blockieren Sie diese Konten und teilen Sie Ihre „Signal“-Pin niemals als Textnachricht. Staatlich gesteuerte Cyberakteure führten gezielt Phishing-Angriffe über Messengerdienste wie Signal durch. Die Ziele: Hochrangige Persönlichkeiten aus Politik, Militär und dem Journalismus in ganz Europa. Dabei nutzten die Angreifer keine komplexen Hacks oder Schwachstellen in Firewalls, sondern gefälschte Support-Nachrichten und manipulierte QR-Codes zur Gerätekopplung.

Update: Offizielles Statement von Signal

Regierungsmitglieder von Ausspähung über Signal betroffen

Bereits 2022 wurden rund 1.900 Telefonnummern von Signal-Nutzern kompromittiert. Hacker hatten damals den SMS-Dienstleister Twilio per Phishing-Angriff attackiert – und versuchten teilweise, die betroffenen Nutzer unter diesen Nummern neu zu registrieren. Fast zeitgleich mit dem BSI und BfVS berichteten das FBI und die CISA über eine Phishing-Kampagne russischer Akteure gegen Konten in kommerziellen Messenger-Diensten. Im vergangenen Jahr gaben sich Betrüger auf Telegram als US-Außenminister Marco Rubio aus, US-Verteidigungs­mi­nis­ter Pete Hegseth teilte mehrfach Angriffspläne in Signal-Chats.

Iranische Akteure

Hacker knacken Mailfach des FBI-Chefs Patel

All diese Sicherheitsvorfälle sind keine Aneinanderreihung unglücklicher Einzelfälle. Sie zeigen ein wiederkehrendes Muster, ein strukturelles Problem. Sie bedeuten nicht, dass die einzelnen Messenger generell unsicher sind. Aber sie zeigen deutlich, dass sensible Inhalte immer wieder über Kommunikationsmittel ausgetauscht werden, die für den Schutzbedarf der Informationen nicht angemessen sind: Über Messenger, deren Komfortschnittstellen zu Sicherheitslücken werden und die in Umgebungen betrieben werden, die nicht vollständig kontrolliert werden können.

Der blinde Fleck vieler Debatten

Nicht jede Kommunikation braucht dasselbe Schutzniveau. Für viele Alltagsgespräche im Unternehmen oder im privaten Umfeld kann ein gut abgesicherter Consumer-Messenger ausreichend sein. In staatlichen und anderen hochsensiblen Kontexten gelten jedoch andere Maßstäbe. Dort zählen nicht nur Vertraulichkeit, sondern auch Integrität, Verfügbarkeit, Nachvollziehbarkeit und Souveränität. Je sensibler der Inhalt, desto kleiner das akzeptable Restrisiko. Deshalb sollte nicht zuerst die Frage stehen, welche App am bequemsten oder am weitesten verbreitet ist, sondern welches Schutzniveau der Inhalt erfordert.

Genau hier liegt der blinde Fleck vieler Debatten der vergangenen Jahre. Sie behandeln sichere Kommunikation wie eine Produkteigenschaft: App A gilt als sicher, App B als weniger sicher. Für sensible Kommunikation reicht dieses Denken nicht.

WhatsApp mit Werbung

Zeit für einen anderen Messenger?

Die Ende-zu-Ende-Verschlüsselung (E2E) eines Messengers ist eine Grundvoraussetzung sicherer mobiler Kommunikation. Sie bleibt jedoch nur ein Baustein. Die entscheidende Frage lautet: Was macht einen Messenger in einem sensiblen Umfeld tatsächlich sicher? Die Antwort umfasst vier zentrale Punkte.

1) Belastbare Verschlüsselung

Eine belastbare E2E-Verschlüsselung schützt Nachrichten, Dateien und Sprachnotizen. Sie ver­hin­dert unbefugten Zugriff durch Provider, Plattformbetreiber, Administratoren, Angreifer im Netz oder auf Zwischenservern. Außerdem sorgt sie dafür, dass niemand Inhalte unterwegs ab­fängt oder manipuliert. Damit bleibt E2E unverzichtbar, ist aber nur der erste Schutzring.

2) Eindeutige Identifizierung aller Beteiligten

Eine kryptografische Authentifizierung stellt sicher, dass nur verifizierte Personen Zugang zu sensiblen Informationen erhalten. Fehlt sie, bleiben Systeme anfällig für Identitätsbetrug oder schlicht menschliche Nachlässigkeit. Vor zwei Jahren überwies ein Mitarbeiter eines multinationalen Engineering-Konzerns auf Anweisung seines vermeintlichen Finanzchefs umgerechnet rund 23 Millionen Euro in mehreren Tranchen auf verschiedene Konten. Später stellte sich heraus: Der Finanzchef war ein KI-generierter Deepfake. Auch unter Fachleuten wächst die Sorge vor Identitätsbetrug. Laut einer aktuellen ISACA-Studie fürchten 51 Prozent der europäischen IT- und Sicherheitsexperten KI-gestützte Angriffe und Deepfakes.

Sicherheit und Flexibilität für Behörden

Apple indigo und BlackBerry UEM

3) Kontrollierter Umgang mit Metadaten

Ein Punkt kommt in der Debatte oft zu kurz: Metadaten. Auch wenn Inhalte verschlüsselt sind, entstehen Informationen darüber, wer mit wem, wann, wie lange und mit welchem Endgerät kommuniziert. In staatlichen Zusammenhängen können genau diese Daten hochsensibel sein. Sie erlauben Rückschlüsse auf Befehlsketten, Zuständigkeiten, Routinen und Netzwerke. Der sogenannte Pentagon-Pizza-Report zeigt das seit Jahren auf anschauliche Weise: Steigende Pizza-Bestellungen rund um das Pentagon gelten als verlässlicher Hinweis auf politische Großereignisse oder Militärschläge.

4) Kontrollierte und souveräne Betriebsumgebung

Für hochsensible Kommunikation reicht die sichere App-Logik eines Messengers nicht aus. Erst das Zusammenspiel von Servern, Geräten, Authentifizierung und Betriebsprozessen in einem kontrollierten Umfeld macht Kommunikation wirklich sicher. Für den deutschen Staat bieten die Netze des Bundes (NdB) dieses Umfeld. Sie bilden eine weitgehend vom öffentlichen Internet abgeschottete Infrastruktur und unterliegen strengen Sicherheits- und Geheimschutz­vor­ga­ben des BSI. Dazu gehören sichere Ende-zu-Ende-Verschlüsselung, starke Zugriffs- und Rechtekontrollen, verschlüsselte VPN-Verbindungen und ein zentrales Monitoring durch die Bundesanstalt für den Digitalfunk der Behörden und Organisationen mit Sicherheitsaufgaben (BDBOS).

KI-Fälschungen sind visuell kaum noch erkennbar

Wie IT-Forensiker Deepfakes aufdecken

Und selbst wenn diese vier Punkte erfüllt sind, gibt es keine hundertprozentige Sicherheit. Ein Restrisiko bleibt, denn am Ende bleibt das schwächste Glied immer: der Mensch. Be­quem­lich­keit, Gewohnheit oder eine falsche Einschätzung sensibler Inhalte führen zu Fehlverhalten. Sichere Lösungen wirken nur dann, wenn Nutzer sie im Alltag nicht umgehen, sondern selbstverständlich einsetzen.

Entscheidend ist nicht allein, ob ein Messenger sicher verschlüsselt. Entscheidend ist, ob er in einen Sicherheitsrahmen eingebettet ist, der Identitäten verlässlich absichert, Metadaten minimiert oder kontrolliert, Infrastrukturhoheit ermöglicht und klare Nutzungsregeln durchsetzt. Sicherheit ist kein Icon auf dem Homescreen. Sie entsteht im Zusammenspiel von Technologie, Betrieb und Disziplin.

Über den Autor: Christoph Erdmann ist Gründer und Geschäftsführer der Secusmart GmbH. dem führenden Entwickler hochsicherer Kommunikationslösungen für Regierungen, Behörden und Unternehmen aus dem KRITIS-Umfeld. Alle Secusmart-Lösungen wurden durch das BSI mit einer Einsatzerlaubnis bis zu den Geheimhaltungsstufen VS-NfD und und NATO Restricted versehen. 2014 übernahm er außerdem die Rolle des Senior Vice President bei BlackBerry und trägt innerhalb des Mutterkonzerns die Verantwortung für den Geschäftsbereich sichere Kommunikation. Vor der Gründung von Secusmart im Jahr 2007, war er als Technology Manager bei Nokia tätig.

Instant Messaging wird zum Einfallstor für Cyberangriffe

Sichere Kommunikation wird zur strategischen Pflicht für Autobauer

(ID:50829375)