Ein aktuelles Datenleck zeigt ein bislang unbekanntes Überwachungsverfahren: Deutsche Behörden wie das Bundeskriminalamt und der Zoll greifen auf Benutzerkonten von Messenger-Diensten zu, um deren Kommunikation zu überwachen. Statt klassischer Staatstrojaner nutzen sie dabei die Web-Versionen von WhatsApp und Signal, um sich Zugang zu verschafften Konten zu verschaffen und die Nachrichten direkt mitzulesen.
Dieses Verfahren ermöglicht es den Behörden, ohne aufwendige technische Trojaner-Infrastruktur an vertrauliche Kommunikation zu gelangen. Es funktioniert jedoch nur, wenn die Beamten bereits in den Besitz der notwendigen Zugangsdaten gelangt sind oder diese beschaffen können.
Ein erhebliches Problem: Das Vorgehen gleicht den Angriffsmustern, die normalerweise von ausländischen Cyberkriminellen und staatlichen Hackern angewendet werden. Dabei werden legitime, von den App-Herstellern bereitgestellte Schnittstellen missbraucht. Für Nutzer ist es praktisch unmöglich zu bemerken, dass jemand sich auf diese Weise Zugang zu ihrem Konto verschafft hat.
Rechtsexperten bewerten die Methode als rechtlich problematisch. Sie befindet sich in einer Grauzone, da unklar ist, ob und unter welchen Bedingungen sie mit deutschen Datenschutzgesetzen und Geheimdienstregeln vereinbar ist. Im Gegensatz zu formal genehmigten Überwachungsmassnahmen unterliegt diese Vorgehensweise möglicherweise keinen ausreichenden Kontrollmechanismen.
Für Unternehmen und KMU ist diese Entwicklung relevant, da sie zeigt, wie anfällig etablierte Kommunikationsplattformen für Zugriffe sind. Nicht nur Cyberkriminelle, sondern auch Behörden nutzen solche Schwachstellen. Das unterstreicht die Notwendigkeit, Messenger-Accounts mit starken Passwörtern, Zwei-Faktor-Authentifizierung und regelmässiger Überprüfung aktiver Sitzungen zu schützen.