// HEISE ONLINE — MOBILE & WEB
Überwachung ohne Staatstrojaner: Wie Behörden bei WhatsApp und Signal mitlesen
Laut einem Leak kapern Zoll und BKA Messenger-Konten über offizielle Web-Funktionen. Die rechtlich riskante Methode gleicht Attacken ausländischer Akteure.
Ermittlungsbehörden überwachen Ende-zu-Ende-verschlüsselte Kommunikation in Messenger-Diensten wie WhatsApp, Signal und Telegram weit umfassender und unkomplizierter als öffentlich bekannt. Ganz ohne den Einsatz hochentwickelter Staatstrojaner oder das zeitaufwendige Infiltrieren von Smartphones gelingt es Polizei und Zoll oft, den gesamten Nachrichtenverkehr Verdächtiger – und mitunter auch unbeteiligter Dritter – mitzulesen. Das belegt ein als Verschlusssache eingestuftes Behördendokument, das Netzpolitik.org veröffentlicht hat.
Aus einer internen Verfügung des Zollkriminalamts (ZKA) geht hervor, dass dessen Fahnder das „Account-Cloning“ seit August 2025 nach einem erfolgreichen Modellversuch als reguläres Ermittlungsinstrument verwenden. Die Praxis offenbart ein Paradox: Während deutsche Sicherheitsbehörden die Methode intern als effizientes Mittel im Kampf gegen organisierte Kriminalität feiern, schlagen der Verfassungsschutz und das Bundesamt für Sicherheit in der Informationstechnik (BSI) Alarm, wenn das gleiche Verfahren gegen deutsche Spitzenpolitiker in Stellung gebracht wird.
Die Funktionsweise der Überwachungsmethode ist recht simpel und nutzt Standardfunktionen der Messenger-Betreiber aus. Solche Dienste bieten oft offizielle Web-Clients und Desktop-Anwendungen, um ein Konto auf mehreren Geräten synchron zu halten. Die Ermittler etwa vom Zoll oder vom Bundeskriminalamt (BKA) richten über einen behördlichen Rechner einen Zweitzugang ein und spiegeln so das Konto der Zielperson. Um die Autorisierung zu erlangen, fangen sie unverschlüsselte Bestätigungs-SMS über eine klassische Telefonüberwachung ab oder nutzen den physischen Zugriff auf ein Gerät. Polizeibeamte können dazu etwa bei Zeugenvernehmungen unbemerkt einen QR-Code einscannen.
Diese Vorgehensweise unterscheidet sich technisch nicht von Phishing-Kampagnen feindlicher Cyberakteure. Erst kürzlich geriet die politische Prominenz in Aufregung, als das Signal-Konto von Bundestagspräsidentin Julia Klöckner (CDU) gekapert wurde. Rasch war von einem komplexen Hack die Rede, doch die Politikerin war auf eine Phishing-Nachricht hereingefallen. Dadurch konnten Angreifer ein verknüpftes Gerät autorisieren und Chat-Gruppen im parlamentarischen Raum mitlesen.
Der Fall Klöckner hat offengelegt, wie anfällig die Multi-Device-Architektur von Messengern für Angriffe über die administrative Hintertür ist. Zugleich herrscht eine Doppelmoral: Wenn ausländische Geheimdienste über Phishing-Links Bestätigungscodes abgreifen, gibt es offizielle Tipps zur genauen Überprüfung verknüpfter Sitzungen. Wenden der heimische Zoll oder das BKA das Verfahren an, gilt das als bewährtes Mittel.
Die behördliche Begeisterung für das Klonen von Messenger-Konten speist sich aus der niedrigen technischen Hürde im Vergleich zum fehleranfälligen Staatstrojaner. Doch Rechtswissenschaftler stufen die Methode als verfassungswidrig ein. Die Behörden stützen ihre Maßnahmen auf Rechtsgrundlagen, die Gerichte schon gekippt haben.
So berief sich das ZKA in seinen internen Verfügungen längere Zeit auf veraltete Beschlüsse. Dabei hatte der Bundesgerichtshof Anfang des Jahres klargestellt, dass das heimliche Aufschalten auf einen Messenger-Account einen schwerwiegenden Eingriff in das IT-System darstellt. Es handelt sich rechtlich nicht um eine einfache Telekommunikationsüberwachung (TKÜ), sondern um eine Maßnahme mit höchsten Eingriffshürden.
Der Bayreuther IT-Strafrechtler Christian Rückert hat in einem Kommentar zur Strafprozessordnung erläutert, warum er den behördlichen Einsatz der regulären Anbieter-Tools als unhaltbar einschätzt. Eine Einstufung als Quellen-TKÜ scheitert ihm zufolge am gesetzlichen Rahmen: Ermittler dürfen bei dieser Abhörmaßnahme ausschließlich die laufende Kommunikation ab dem Zeitpunkt der richterlichen Anordnung erfassen. Di