Messenger wie WhatsApp und Signal gelten dank Ende-zu-Ende-Verschlüsselung als schwer überwachbar. Recherchen zeigen jedoch, dass deutsche Sicherheitsbehörden Konten teilweise mit überraschend einfachen Mitteln auf eigene Geräte aufschalten. Wie diese Messenger-Überwachung funktioniert, warum sie rechtlich heikel ist und wie Nutzer sowie Unternehmen das Risiko reduzieren können, erklären wir in diesem Beitrag.
Wie Behörden WhatsApp und Signal mitlesen
Für die Überwachung braucht es offenbar nicht immer einen Staatstrojaner. Nach Recherchen von netzpolitik.org und Heise nutzen Ermittlungsbehörden teilweise einfach die von den Messengern selbst vorgesehenen Funktionen für zusätzliche Geräte. Wird etwa WhatsApp Web oder ein weiterer Telegram- oder Signal-Client erfolgreich gekoppelt, erhält dieser Zugang zu laufender Kommunikation und je nach Dienst auch zu älteren Nachrichten. Das Zollkriminalamt erprobte dieses sogenannte „Account-Cloning“ seit Ende 2023 und führte es im August 2025 dauerhaft als Ermittlungsinstrument ein.
Besonders anschaulich ist ein Fall aus dem Jahr 2020. Zeugen überließen Polizeibeamten ihre Smartphones freiwillig, damit einzelne WhatsApp-Nachrichten angesehen und fotografiert werden konnten. Die Beamten nutzten diesen Zugriff zusätzlich, um verdeckt WhatsApp Web auf einem Rechner des Bundeskriminalamts zu aktivieren. Der Zugang bestand damit über den von den Zeugen erlaubten Zweck hinaus fort.
Bemerkenswert ist dabei die Rollenverteilung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundesamt für Verfassungsschutz (BfV) warnen Nutzer ausdrücklich vor der Übernahme von Messenger-Konten durch Phishing und vor unbekannten gekoppelten Geräten. Diese Warnung ist richtig. Etwas schief wirkt sie trotzdem, wenn andere deutsche Sicherheitsbehörden eben diese Methode selbst als Überwachungsinstrument einsetzen.
Warum die Messenger-Überwachung rechtlich heikel ist
Der Bundesgerichtshof (BGH) hat im Januar 2026 entschieden, dass die heimliche Aufschaltung eines zusätzlichen Telegram-Geräts als Quellen-Telekommunikationsüberwachung einzuordnen ist. Damit gelten insbesondere die technischen Beschränkungen des § 100a Abs. 5 Strafprozessordnung (StPO). Es muss technisch sichergestellt sein, dass nur die gesetzlich zulässige Kommunikation erfasst wird und am betroffenen System nur für die Datenerhebung unerlässliche Veränderungen vorgenommen werden.
Das kann die beschriebene Ausforschung normaler Messenger-Clients rechtswidrig machen. Diese sind für Nutzer und nicht für Ermittlungsbehörden gebaut. Beim Koppeln synchronisieren sie unter Umständen bereits vorhandene Nachrichten. Außerdem kann ein gekoppelter Client grundsätzlich Nachrichten versenden oder andere Daten verändern. Eine Quellen-Telekommunikationsüberwachung darf dagegen gemäß § 100a Abs. 1 Satz 3 und Abs. 5 Satz 1 Nr. 1 Buchstabe b StPO nicht beliebig in älteren Chatbeständen stöbern. Für weitergehende Zugriffe kommt allenfalls eine Online-Durchsuchung nach § 100b StPO mit nochmals strengeren Voraussetzungen in Betracht.
Besonders heikel ist, dass ein regulär gekoppelter Messenger-Client nicht zwingend nur lesen kann. Der BGH hebt selbst hervor, dass bei einer solchen Aufschaltung „Änderungen der bestehenden Datenlage“ möglich sind. Für die Strafverfolgung ist das eine rechtliche Grenze: § 100a Abs. 5 StPO erlaubt nur für die Datenerhebung unerlässliche Veränderungen. Noch weiter geht ein Regierungsentwurf zur Reform des Nachrichtendienstrechts vom August 2026. Er sieht für bestimmte Fälle ausdrücklich Befugnisse zur Veränderung, Löschung oder sogar Verfälschung von Informationen vor. Dass Nachrichtendienste solche technischen Möglichkeiten nicht nur als Risiko, sondern teilweise als gewünschtes Instrument betrachten, zeigt der aktuelle Regierungsentwurf besonders deutlich.
Das kann auch für spätere Strafverfahren relevant werden. Wenn staatliche Stellen technisch in der Lage waren, einen Kommunikationsbestand zu verändern, darf die Authentizität belastender Chats nicht ohne Weiteres vorausgesetzt werden. Bestehen konkrete und nach Ausschöpfung der Aufklärungsmöglichkeiten verbleibende Zweifel daran, ob Nachrichten unverändert sind oder tatsächlich vom Beschuldigten stammen, müssen diese im Rahmen der Beweiswürdigung berücksichtigt werden. Der Grundsatz „in dubio pro reo“ bedeutet zwar nicht, jede abstrakte Manipulationsmöglichkeit zugunsten des Angeklagten zu unterstellen. Bei tatsächlichen Anhaltspunkten für einen staatlichen Zugriff kann die Integrität des Kommunikationsbestands aber zu einer zentralen Beweisfrage werden.
Wie WhatsApp und Signal die Messenger-Überwachung erschweren
Die Anbieter haben solche Kontoübernahmen inzwischen erschwert, teilweise schon unabhängig von den nun bekannt gewordenen Behördeneinsätzen. Signal verlangt vor dem Koppeln eines neuen Geräts nochmals Biometrie oder den Gerätecode. Ein bereits entsperrtes Smartphone kurz in der Hand zu haben, reicht daher nicht ohne Weiteres. Nutzer können außerdem sämtliche gekoppelten Geräte kontrollieren und entfernen. Bei einer neuen Kopplung können allerdings weiterhin auf Wunsch Chats und Medien der letzten 45 Tage synchronisiert werden.
WhatsApp geht seit März 2026 noch einen Schritt weiter. Verdächtige Kopplungsvorgänge sollen anhand bestimmter Verhaltenssignale erkannt und mit einer Warnung versehen werden. Telegram zeigt aktive Sitzungen und neue Anmeldungen an und bietet eine zweistufige Verifizierung. Auch Threema erlaubt die Kontrolle von Desktop- und Web-Sitzungen. Keine dieser Maßnahmen löst das Grundproblem vollständig. Wird ein weiteres Gerät erfolgreich autorisiert, ist es für den Messenger zunächst ein legitimes Endgerät. Auch eine Ende-zu-Ende-Verschlüsselung schützt nicht davor, wenn ein fremdes Gerät erfolgreich als zusätzlicher legitimer Empfänger autorisiert wird.
So schützen Nutzer WhatsApp, Signal und andere Messenger
Die wichtigste Schutzmaßnahme ist banal: gekoppelte Geräte regelmäßig kontrollieren und unbekannte Sitzungen sofort beenden. Daneben sollten Nutzer die angebotene zusätzliche Kontosicherung aktivieren, beispielsweise Signals Registrierungssperre oder die zweistufige Verifizierung bei WhatsApp und Telegram. Signal empfiehlt die Registrierungssperre ausdrücklich bei einem erhöhten Phishing-Risiko.
Vor allem sollte ein Kopplungs-QR-Code wie ein Zugangsschlüssel behandelt werden. Er sollte nur gescannt werden, wenn man selbst unmittelbar zuvor auf dem eigenen Gerät den Kopplungsvorgang gestartet hat. Unerwartete Verifizierungs- oder Kopplungsanfragen sollten immer Anlass sein, die aktiven Geräte zu kontrollieren.
Was Unternehmen bei Messengern beachten sollten
Unternehmen und Organisationen sollten sich nicht allein auf die Aufmerksamkeit einzelner Beschäftigter verlassen. Sinnvoll sind wenige klare Regeln:
- geschäftliche Messenger nur auf freigegebenen Geräten,
- keine Kopplung privater Rechner,
- starke Gerätesperren und
- eine unverzügliche Meldung unbekannter Sitzungen an die IT.
Eine zentrale Geräteverwaltung mittels Mobile Device Management (MDM) kann diese Vorgaben auf Dienstgeräten technisch unterstützen.
Auch das Offboarding gehört dazu. Verlässt ein Beschäftigter das Unternehmen oder geht ein Gerät verloren, sollten nicht nur klassische Benutzerkonten gesperrt, sondern auch Messenger-Sitzungen und gekoppelte Geräte widerrufen werden. Bei besonders vertraulicher Kommunikation sollte zudem hinterfragt werden, ob eine dauerhafte Synchronisation auf mehreren Endgeräten überhaupt erforderlich ist.
Messenger-Überwachung bleibt ein Endgeräteproblem
Ende-zu-Ende-Verschlüsselung bleibt wichtig. Sie hilft aber nicht, wenn ein fremdes Gerät erfolgreich als weiteres Ende der verschlüsselten Kommunikation autorisiert wird. Die aktuellen Enthüllungen zur Messenger-Überwachung zeigen daher vor allem: Auch technisch einfache Ermittlungsmaßnahmen müssen die gesetzlichen Grenzen einhalten. Nutzer und Unternehmen sollten zugleich die wenigen vorhandenen Schutzmechanismen konsequent einsetzen.
