Zugriff ohne Staatstrojaner
Messenger-Überwachung: Behörden klonen WhatsApp-Konten
Deutsche Ermittlungsbehörden können verschlüsselte Messenger-Kommunikation offenbar auch dann mitlesen, wenn sie keine Überwachungssoftware auf dem Smartphone installieren. Statt das Gerät technisch zu infiltrieren, koppeln sie einen zusätzlichen Rechner an das bestehende Nutzerkonto.
Ein von netzpolitik.org veröffentlichtes internes Papier zeigt, dass der Zoll dieses Verfahren inzwischen regulär einsetzen kann.
Grundlage sind Funktionen, die WhatsApp, Telegram, Signal und andere Messenger für zusätzliche Geräte bereitstellen. Wird ein Rechner erfolgreich mit dem Konto verbunden, erhält er Zugriff auf die darüber laufende Kommunikation. Abhängig vom jeweiligen Dienst können dabei nicht nur neue Nachrichten, sondern auch bereits vorhandene Chat-Inhalte auf dem zusätzlichen Gerät landen.
Zweitgerät statt Schadsoftware
Entscheidend ist deshalb, wie die Behörden die notwendige Gerätefreigabe erhalten. Kommt der Bestätigungscode per SMS, kann er unter Umständen über eine bestehende Telefonüberwachung abgefangen werden. Erfordert der Messenger dagegen eine Bestätigung direkt auf dem Smartphone, benötigen die Ermittler Zugriff auf das Gerät.
Dass ein solcher Zugriff auch zweckentfremdet werden kann, zeigt ein Fall aus dem Jahr 2020. Ein Ehepaar übergab seine Telefone während einer Vernehmung, damit vorhandene Nachrichten eingesehen und fotografiert werden konnten. Währenddessen richteten die Beamten zusätzlich einen Zugang über WhatsApp Web ein und konnten die weitere Kommunikation anschließend über einen Behördenrechner verfolgen.
Beim Zoll läuft das Verfahren nicht mehr nur im Testbetrieb. Das Zollkriminalamt erprobte die Technik seit Ende 2023 und überführte sie zum 1. August 2025 in den regulären Betrieb. Nach Darstellung der Behörde kam sie zuvor bei Ermittlungen gegen schwere und organisierte Kriminalität zum Einsatz.
Nutzer können einen solchen zusätzlichen Zugang grundsätzlich entdecken. Messenger führen die mit einem Konto verbundenen Geräte in ihren Einstellungen auf und erlauben es, unbekannte Verknüpfungen zu entfernen. Diese Kontrolle ergänzt die zuletzt ausgebauten Sicherheitsfunktionen von WhatsApp.
Normale Web-Clients passen nicht zum Gesetz
Umstritten ist vor allem, auf welche Rechtsgrundlage sich diese Form der Überwachung stützen lässt. Der Bundesgerichtshof hat im Januar 2026 entschieden, dass eine heimliche Verbindung zu einem Telegram-Konto nicht als gewöhnliche Telekommunikationsüberwachung behandelt werden kann. Das Gericht ordnete die Technik stattdessen der Quellen-Telekommunikationsüberwachung zu.
Genau hier liegt das Problem: Bei einer solchen Überwachung dürfen Ermittler nicht einfach auf sämtliche vorhandenen Nachrichten zugreifen. Die normalen Web- und Desktop-Versionen der Messenger können diese Trennung aber nicht zuverlässig gewährleisten.
Zollkriminalamt und Bundeskriminalamt lassen gegenüber netzpolitik.org offen, wie häufig die Methode eingesetzt wird und wie sie dabei die gesetzlichen Grenzen technisch einhalten.
Tja gut, ist logisch dass das funktioniert. Aber in welcher Realität wollen sie einen Rechner an mein WhatsApp koppeln wenn ich NICHT ein, noch dazu entsperrtest, Gerät aus meinen Fingern gebe?
Vllt denkst du mal über den Tellerrand hinaus? Die Bestätigung auf deinem Gerät ist doch technisch gar nicht notwendig. Sie wird dir angezeigt, dass du dich sicher fühlst.
Die fangen einfach die Bestätigung SMS ab . Das kriegst du nicht mal mit weil die sms nicht bei dir ankommt .
Steht im Artikel, ich zitiere „Kommt der Bestätigungscode per SMS, kann er unter Umständen über eine bestehende Telefonüberwachung abgefangen werden. Erfordert der Messenger dagegen eine Bestätigung direkt auf dem Smartphone, benötigen die Ermittler Zugriff auf das Gerät.“
Nein – doch – oohhhh
Wie gut, dass das mit Threema nicht geht:
„Threema ist eine Messenger-App, die sich durch Datenschutz und Sicherheit auszeichnet. Aktuell (Stand September 2026) unterstützt Threema keine Multi-Device-Funktionalität – das bedeutet, dass ein Threema-Konto standardmäßig nur auf einem Gerät gleichzeitig aktiv sein kann.
Warum gibt es keine Multi-Device-Funktion?
Threema setzt auf Ende-zu-Ende-Verschlüsselung und Anonymität. Die App nutzt eine einzigartige Geräte-ID als Identifikator, die an ein einzelnes Gerät gebunden ist. Dies erschwert die Implementierung einer Multi-Device-Funktion, da:
– Sicherheitsrisiken minimiert werden sollen (z. B. durch gestohlene oder kompromittierte Geräte).
– Keine Telefonnummer oder E-Mail für die Registrierung erforderlich ist – stattdessen wird eine zufällige ID verwendet.
Da es sich um eine reguläre Gerätekopplung handelt, hinterlässt der Zugriff Spuren.
Man kann jederzeit selbst nachsehen, ob ein unbekanntes Gerät mit einem Konto verknüpft ist:
Einstellungen -> Verknüpfte Geräte. Dort ist Liste aller aktiven Sitzungen. Wenn ein Gerät einem unbekannt vorkommt:
„Abmelden“. Damit wird dem gekoppelten Rechner sofort der Zugriff entzogen.