{"id":612,"date":"2026-04-26T23:24:53","date_gmt":"2026-04-26T22:24:53","guid":{"rendered":"https:\/\/vsx.is\/?p=612"},"modified":"2026-05-20T19:26:03","modified_gmt":"2026-05-20T17:26:03","slug":"phishing-auf-ein-signal-bei-dem-die-angreifer-die-verschlusselung-nicht-knacken-mussen","status":"publish","type":"post","link":"https:\/\/vsx.is\/de\/phishing-na-signal-kdyz-utocnici-nepotrebuji-prolomit-sifrovani\/","title":{"rendered":"Phishing auf Signal: Wenn Angreifer die Verschl\u00fcsselung nicht knacken m\u00fcssen"},"content":{"rendered":"

Ende April 2026 zeigte sich wieder einmal, wie fragil die Idee der \u201esicheren Kommunikation\u201c sein kann. Am Freitag, den 24. April, gab die deutsche Bundesanwaltschaft bekannt, dass sie seit Mitte April Ermittlungen wegen Spionageverdachts durchf\u00fchrt - im Visier: Signal-Konten von Politikern, Diplomaten, Milit\u00e4rs und Journalisten. Als Zielpersonen wurden unter anderem die Bundesministerinnen Karin Prien (Bildung) und Verena Hubertz (Bau) sowie die Bundestagspr\u00e4sidentin Julia Kl\u00f6ckner genannt. Einem Bericht des Spiegels zufolge k\u00f6nnten \u00fcber 300 hochrangige Konten betroffen sein. Am darauffolgenden Tag erkl\u00e4rten deutsche Regierungsquellen gegen\u00fcber AFP, dass die Kampagne \u201ewahrscheinlich von Russland aus gesteuert wurde\u201c - eine Formulierung, die im Gegensatz zu der eindeutigeren Zuordnung durch die niederl\u00e4ndischen Dienste vorsichtig blieb.<\/p>\n\n\n\n

Dies ist kein Einzelfall. Bereits am 9. M\u00e4rz 2026 ver\u00f6ffentlichten die niederl\u00e4ndischen Geheimdienste AIVD und MIVD eine umfassende Warnung vor einer \u201egro\u00df angelegten globalen\u201c Kampagne, die auf Signal- und WhatsApp-Konten abzielte - niederl\u00e4ndische Beamte waren unter den Opfern. Und am 1. April brachte Politico einen Exklusivbericht: Die Europ\u00e4ische Kommission wies Abteilungsleiter und ihre Stellvertreter an, den internen Gruppenchat auf Signal aus Angst vor Hackerangriffen zu schlie\u00dfen.<\/p>\n\n\n\n

Drei Ereignisse, ein Muster. Und ein gemeinsamer Nenner, den es zu verstehen gilt: Verschl\u00fcsselung<\/a> Niemand ist in Signal eingebrochen. Die Angriffe richten sich an anderer Stelle - auf die Nutzer.<\/strong><\/p>\n\n\n\n

Warum es wichtiger ist als ein klassischer \u201eHack\u201c<\/h2>\n\n\n\n

Bei einem Angriff auf verschl\u00fcsselte Kommunikation denken die meisten von uns an eine mathematische Schwachstelle, einen Zero-Day in einer Anwendung oder Malware auf einem Telefon. Nichts von alledem ist hier der Fall. Die Angreifer nutzen eine v\u00f6llig legitime Funktion von Signal aus, die angeschlossene Ger\u00e4te<\/em> (Verkn\u00fcpfte Ger\u00e4te) - diejenige, mit der Sie Signal<\/a> auf Ihrem Desktop installieren und dasselbe Konto auf Ihrem Laptop und Ihrem Mobiltelefon verwenden (Signal unterst\u00fctzt bis zu f\u00fcnf verbundene Ger\u00e4te und synchronisiert Chats und Medien bis zu den letzten 45 Tagen nach der ersten Verbindung).<\/p>\n\n\n\n

Das Prinzip der Verbindung ist einfach: Die Desktop-Version von Signal zeigt einen QR-Code an, Sie scannen ihn mit Ihrem Mobiltelefon, und von diesem Moment an erhalten beide Ger\u00e4te Ihre Nachrichten. Die Verschl\u00fcsselung funktioniert weiterhin, aber das Ger\u00e4t des Angreifers wird zum autorisierten Endpunkt, an den Signal rechtm\u00e4\u00dfig neue Nachrichten liefert. Aus der Sicht des Signal-Servers ist dies eine normale, beabsichtigte Situation.<\/p>\n\n\n\n

Der Angriff nutzt genau diesen Mechanismus aus. Der Angreifer bereitet einen QR-Code eines verbundenen Ger\u00e4ts vor, tarnt ihn in einer betr\u00fcgerischen Seite (\u201eGruppeneinladung\u201c, \u201eSicherheitswarnung von Signal\u201c, \u201eAnmeldung bei der Unternehmens-App\u201c) und \u00fcbermittelt ihn dem Opfer \u00fcber einen Link in einer E-Mail, einer Nachricht oder einem sozialen Netzwerk. Wenn das Opfer den QR-Code mit einem Scanner auf dem Einstellungen \u2192 Verbundene Ger\u00e4te<\/em>, Er verkn\u00fcpft sein Konto mit der vom Angreifer kontrollierten Signal-Instanz. Das Mobiltelefon des Opfers zeigt keine Anzeichen einer Kompromittierung - es gibt keine Malware, die Akkulaufzeit nimmt nicht ab, das Betriebssystem hat nichts bemerkt. In der Zwischenzeit liest der Angreifer alle neuen Nachrichten in Echtzeit und konnte nach den Erkenntnissen der deutschen Ermittler \u00fcber ein Synchronisierungsfenster auf den Gespr\u00e4chsverlauf der letzten 45 Tage zugreifen.<\/p>\n\n\n\n

Es gibt einfachere Varianten des Angriffs. Laut AIVD\/MIVD-Warnung<\/a> i Berichterstattung \u00fcber den deutschen Fall<\/a> Angreifer geben sich oft als \u201eSignal Support Chatbot\u201c aus und fragen das Opfer nach einem SMS-Verifizierungscode oder einer Signal-PIN. Wenn der Nutzer den Code angibt, registriert der Angreifer das Konto einfach erneut auf seinem Ger\u00e4t - der urspr\u00fcngliche Besitzer wird bei der App abgemeldet.<\/p>\n\n\n\n

Der Vollst\u00e4ndigkeit halber: Der wirtschaftliche Kontext beschreibt EUobserver-Artikel<\/a>, die unter Berufung auf anonyme Quellen bei europ\u00e4ischen Geheimdiensten und privaten Sicherheitsdiensten berichtet, dass der Zugang zu ausl\u00e4ndischen Signalinhalten auf dem grauen Markt f\u00fcr 10.000-20.000 Dollar gehandelt wird, um WhatsApp<\/a> Inhalte f\u00fcr 2.000 bis 4.000 Dollar und die Reisedaten des Opfers f\u00fcr 200 bis 400 Dollar. Diese Zahlen konnten nicht unabh\u00e4ngig \u00fcberpr\u00fcft werden, aber selbst als Richtwert zeigen sie, dass es eine strukturierte Nachfrage nach dieser Art von Zugang gibt.<\/p>\n\n\n\n

Anatomie eines Angriffs in f\u00fcnf Schritten<\/h2>\n\n\n\n
    \n
  1. Vorbereitung.<\/strong> Ein Angreifer registriert eine Domain, die optisch Signal \u00e4hnelt (zum Beispiel signal-best\u00e4tigung.site<\/code>, signal-protect.host<\/code>) und klont die Seite \"Signal Group Invite\". Das JavaScript, das normalerweise zum Gruppeneintrag weiterleiten w\u00fcrde, wird durch Code ersetzt, der den URI aufruft sgnl:\/\/linkdevice?uuid=...<\/code> - Signal erkennt dies als eine Aufforderung, ein neues Ger\u00e4t anzuschlie\u00dfen.<\/li>\n\n\n\n
  2. K\u00f6der.<\/strong> Das Opfer erh\u00e4lt den Link - per E-Mail, in einer Signal\/Telegram-Nachricht oder \u00fcber einen kompromittierten Kontakt. Der K\u00f6der gibt vor, eine Einladung zu einer Gruppe, eine Signal-Sicherheitswarnung, Anweisungen zum Verbinden eines neuen Ger\u00e4ts oder eine Anmeldung bei einer speziellen App zu sein.<\/li>\n\n\n\n
  3. QR scannen.<\/strong> Das Opfer \u00f6ffnet die Seite, sieht den QR-Code und scannt ihn direkt mit dem Scanner in Einstellungen \u2192 Verbundene Ger\u00e4te \u2192 Verbinden eines neuen Ger\u00e4ts<\/em>. An diesem Punkt zeigt Signal treu sein normales \u201eConnect device? - Signal Desktop\u201c.<\/li>\n\n\n\n
  4. Verbindung.<\/strong> Die Signal-Instanz des Angreifers wird zu einem legitimen verkn\u00fcpften Ger\u00e4t im Konto des Opfers. Der Server sendet automatisch Kopien von Nachrichten.<\/li>\n\n\n\n
  5. Permanente Abh\u00f6rung.<\/strong> Jede neue Nachricht kommt gleichzeitig beim Opfer und beim Angreifer an. Die Entdeckung ist vor allem durch die \u00dcberpr\u00fcfung verbundener Ger\u00e4te m\u00f6glich; \u00c4nderungen an Sicherheitsnummern oder verd\u00e4chtige Duplikate von Kontakten in Gruppen k\u00f6nnen insbesondere bei der Neuregistrierung von Konten oder einem neu erstellten Konto neben dem eigenen helfen.<\/li>\n<\/ol>\n\n\n\n

    F\u00fcnf Minuten, die es sich lohnt, jetzt zu investieren<\/h2>\n\n\n\n

    Das ist der springende Punkt des gesamten Textes. Wenn Sie Signal verwenden, befolgen Sie diese Schritte - nicht irgendwann, sondern in den n\u00e4chsten paar Minuten.<\/p>\n\n\n\n

    1. Pr\u00fcfung der angeschlossenen Ger\u00e4te.<\/strong> \u00d6ffnen Sie Signal, tippen Sie auf Ihr Profilsymbol in der Ecke des Bildschirms und fahren Sie fort mit Einstellungen \u2192 Verbundene Ger\u00e4te<\/em>. Es sollten nur Ger\u00e4te angezeigt werden, die Sie selbst verbunden haben - normalerweise Signal Desktop auf Ihrem Computer oder iPad. Trennen Sie alles andere. Machen Sie diese \u00dcberpr\u00fcfung zu einer monatlichen Routine; wenn Sie in einem sensibleren Beruf t\u00e4tig sind (Journalist, Anwalt, Aktivist, Beamter), \u00fcberpr\u00fcfen Sie stattdessen einmal pro Woche.<\/p>\n\n\n\n

    2. die Signal-PIN und die Registrierungssperre.<\/strong> Einstellungen \u2192 Konto<\/em>. Wenn Sie noch keine PIN haben, sollten Sie eine erstellen - am besten eine alphanumerische, die l\u00e4nger als sechs Zeichen ist. Aber am wichtigsten ist Registrierungssperre einschalten<\/strong>. Ohne sie braucht ein Angreifer nur einen SMS-Code zu erfassen, um Ihre Nummer erneut bei seinem Telefon<\/a>. Die Registrierungssperre kann dies nicht ohne Ihre PIN tun. Achtung: Die Registrierungssperre wird nach sieben Tagen der Inaktivit\u00e4t aufgehoben, \u00f6ffnen Sie die App also mindestens einmal pro Woche.<\/p>\n\n\n\n

    3. die Sicherheitsnummern der wichtigsten Ansprechpartner.<\/strong> Jedes Gespr\u00e4ch hat eine eindeutige 60-stellige Sicherheitsnummer, die zur \u00dcberpr\u00fcfung der Identit\u00e4t des Gespr\u00e4chspartners verwendet wird. Tippen Sie in den Kontaktdetails auf Sicherheitsnummer anzeigen<\/em>. Die ideale Verifizierung ist pers\u00f6nlich - Sie scannen den QR-Code der anderen Partei. Wenn das nicht funktioniert, nutzen Sie einen anderen Kanal, den Sie bereits verifiziert haben (Telefon, pers\u00f6nliches Treffen). Senden Sie die Nummer niemals \u00fcber Signal selbst<\/strong> und lassen Sie die andere Seite immer zuerst ihre eigene senden - andernfalls wird der Angreifer, wenn er kompromittiert wird, Ihre eigene zur\u00fccksenden. Sicherheitsnummern sind keine magische Erkennungsmethode f\u00fcr jeden Angriff, aber eine konsequente \u00dcberpr\u00fcfung ist Teil der grundlegenden Hygiene.<\/p>\n\n\n\n

    4. Bildschirmsperre und Signalbildschirmsperre.<\/strong> Starkes alphanumerisches Telefonpasswort (keine vierstellige PIN), biometrische Entsperrung des Signals selbst (Einstellungen \u2192. Privatsph\u00e4re<\/a> \u2192 Bildschirmsperre<\/em>) und die Vorschau von Nachrichten in den Benachrichtigungen ausblenden. F\u00fcr iOS-Nutzer, die zu gef\u00e4hrdeten Gruppen geh\u00f6ren, empfehlen die Geheimdienste au\u00dferdem Abriegelungsmodus<\/strong> (Einstellungen \u2192 Datenschutz und Sicherheit<\/em>).<\/p>\n\n\n\n

    5. Aktualisieren.<\/strong> Versionen von Signal, die nach Februar 2025 ver\u00f6ffentlicht wurden, haben einen verbesserten QR-Phishing-Schutz - neue Verkn\u00fcpfungsdialoge und st\u00e4rkere Warnungen. Lassen Sie automatische Updates aktiviert.<\/p>\n\n\n\n

    Wie man einen gef\u00e4lschten QR-Code erkennt<\/h2>\n\n\n\n

    Der QR-Code selbst kann visuell nicht als \u201egut\u201c oder \u201eschlecht\u201c unterschieden werden - er ist lediglich eine grafische Darstellung der URI. Der Unterschied ist der Kontext, in dem er Ihnen pr\u00e4sentiert wird. Es ist wichtig zu unterscheiden, wof\u00fcr der QR-Code in Signal verwendet wird: Es gibt legitime QR-Codes f\u00fcr Beitritt zur Gruppe<\/strong> (Signal unterst\u00fctzt sie offiziell und das Scannen f\u00fcgt Sie nur der Gruppe hinzu), w\u00e4hrend QR-Codes f\u00fcr Verkn\u00fcpfung neuer Ger\u00e4te<\/strong> sind diejenigen, die zu Abh\u00f6rma\u00dfnahmen f\u00fchren k\u00f6nnen.<\/p>\n\n\n\n

    Ein einfacher Test, der jedes Mal funktioniert: wenn eine Seite, eine E-Mail oder ein Kontakt Sie zum Scannen eines QR-Codes auf der Speisekarte auffordert Einstellungen \u2192 Verbundene Ger\u00e4te<\/em>, betrachten Sie es als Angriff - es sei denn, der Code stammt direkt von Ihrer eigenen Signal Desktop- oder Signal iPad-Instanz, die Sie selbst von signal.org<\/code>.<\/strong><\/p>\n\n\n\n

    Weitere rote Fahnen:<\/p>\n\n\n\n