Kaffee läuft. Wir auch. Noch bis 18:00 Uhr erreichbar.

WhatsApp gekapert per Code? So prüfen Sie verknüpfte Geräte

·

Blogger Bernhard

Eine Nachricht von der Nachbarin, dem Vereinskollegen oder der Cousine: „Kannst du kurz für Sophia abstimmen? Sie braucht nur noch ein paar Stimmen für ihr Stipendium.“ Dazu ein Link. Wer hilfsbereit ist, klickt – und gibt im schlimmsten Fall nicht seine Stimme ab, sondern einem Fremden Zugang zum eigenen WhatsApp-Konto.

Die Masche läuft seit Monaten in wechselnden Varianten, im September 2026 etwa mit einer angeblichen Abstimmung für „Sophia“, in anderen Varianten mit „Klara“ oder „Eliška“. Die Namen ändern sich, der Trick bleibt gleich. Dieser Beitrag erklärt, wie der Angriff funktioniert, warum er so lange unbemerkt bleiben kann, wie Sie in einer Minute prüfen, ob Ihr Konto betroffen ist – und was die Zwei-Schritt-Verifizierung hier leistet und was nicht.

Was steckt hinter der Masche?

WhatsApp lässt sich nicht nur auf dem Smartphone nutzen, sondern zusätzlich auf weiteren Geräten – etwa im Browser über WhatsApp Web, am PC oder auf einem Tablet. Diese „verknüpften Geräte“ werden mit dem Hauptkonto gekoppelt, klassisch per QR-Code oder alternativ über die Telefonnummer und einen achtstelligen Kopplungscode.

Genau diese legitime Funktion missbrauchen die Angreifer. Sicherheitsforscher von Gen Digital (u. a. Norton und Avast) haben das Vorgehen im Dezember 2025 unter dem Namen „GhostPairing“ beschrieben, zuerst beobachtet in Tschechien. Das BSI hat im Januar 2026 vor derselben Methode gewarnt. Der Ablauf sieht typischerweise so aus:

  1. Köder von einem bekannten Kontakt: Die Nachricht kommt oft von einem bereits übernommenen Konto aus dem eigenen Adressbuch – deshalb wirkt sie vertrauenswürdig.
  2. Gefälschte Webseite: Der Link führt auf eine Seite, die eine Abstimmung, einen Foto-Viewer oder eine Social-Media-Anmeldung vortäuscht.
  3. Telefonnummer eingeben: Angeblich zur Bestätigung der Stimme. Tatsächlich starten die Täter damit im Hintergrund bei WhatsApp eine Gerätekopplung für die eingegebene Nummer.
  4. Code bestätigen: Die Seite zeigt einen Code an und fordert dazu auf, ihn in WhatsApp einzugeben. Wer das tut, bestätigt damit die Verknüpfung eines fremden Geräts mit dem eigenen Konto.

Eine Variante arbeitet mit QR-Codes, die der Kopplung von WhatsApp Web nachempfunden sind. Das Prinzip ist dasselbe: Das Opfer genehmigt die Verbindung selbst – nur weiß es nicht, was es da genehmigt.

Warum der Angriff so lange unbemerkt bleibt

Bei einer klassischen Kontoübernahme fliegt man aus dem eigenen Konto heraus und merkt sofort, dass etwas nicht stimmt. Hier nicht. WhatsApp läuft auf dem eigenen Smartphone ganz normal weiter. Gleichzeitig kann das fremde Gerät mitlesen und Nachrichten im Namen des Opfers verschicken. Das BSI weist ausdrücklich darauf hin, dass der Missbrauch einer legitimen Funktion dazu führt, dass solche Zugriffe lange unentdeckt bleiben können.

Auch die Ende-zu-Ende-Verschlüsselung hilft in diesem Fall nicht: Sie schützt Nachrichten auf dem Weg zwischen den Geräten eines Kontos – und das fremde Gerät gehört nach der Kopplung technisch dazu. Verschlüsselung verhindert Mitlesen von außen, aber nicht, dass man selbst einen ungebetenen Gast hereinbittet.

Was die Täter mit dem Zugang anfangen, zeigt ein Fall, über den die Berliner Zeitung im Juli 2026 berichtete: Über das gekaperte Konto eines 65-Jährigen aus dem Landkreis Rostock wurden dessen Kontakte um Geld für eine angeblich dringende Zahnbehandlung gebeten. Trotz schneller Warnung durch den Betroffenen überwiesen einige Kontakte bereits. Parallel dient jedes übernommene Konto als Absender für die nächste Runde Abstimmungs-Links.

Hilft die Zwei-Schritt-Verifizierung?

Kurze Antwort: gegen diese Masche nur begrenzt – trotzdem sollte sie eingeschaltet sein.

Die Zwei-Schritt-Verifizierung von WhatsApp ist eine selbst gewählte PIN, die abgefragt wird, wenn jemand Ihre Nummer auf einem neuen Smartphone registrieren will. Sie schützt also vor der klassischen Übernahme, bei der Betrüger sich den SMS-Bestätigungscode erschleichen und das Konto komplett auf ihr Telefon holen. Bei der Gerätekopplung greift sie dagegen nicht: Hier bestätigen Sie die Verknüpfung in Ihrer eigenen, bereits angemeldeten App. Mehrere Fachquellen, darunter Norton als Teil von Gen Digital, weisen darauf hin, dass die PIN diesen Weg nicht zuverlässig blockiert.

Das ist dasselbe Grundproblem, das wir im Beitrag „Mehr Sicherheit beim Login: Welche Zwei-Faktor-Methode passt?“ beschrieben haben: Jedes Verfahren, bei dem ein Mensch einen Code abtippt oder etwas bestätigt, lässt sich mit einer guten Geschichte missbrauchen. Die Technik ist dann nicht kaputt – sie tut exakt, was man ihr sagt.

In einer Minute prüfen: Ist ein fremdes Gerät verknüpft?

Die wichtigste Maßnahme ist zugleich die einfachste: regelmäßig in die Liste der verknüpften Geräte schauen.

  • Android: WhatsApp öffnen → Menü mit den drei Punkten (⋮) → Verknüpfte Geräte.
  • iPhone: WhatsApp öffnen → Einstellungen → Verknüpfte Geräte.

Dort steht jedes Gerät, das gerade Zugriff auf Ihr Konto hat, meist mit Browser- oder Systemname und dem Zeitpunkt der letzten Aktivität. Stellen Sie sich bei jedem Eintrag eine einfache Frage: Kenne ich dieses Gerät, und nutze ich es noch? Ein unbekannter Eintrag – oder ein „Chrome unter Windows“, obwohl Sie WhatsApp nie am PC benutzen – ist ein Alarmsignal. Ein Tipp auf den Eintrag und Abmelden beendet die Verbindung.

Auch Einträge, die Sie selbst angelegt, aber längst vergessen haben – der Büro-PC des alten Arbeitgebers, der Laptop, der inzwischen bei den Kindern liegt –, dürfen gern gleich mit verschwinden. Jedes verknüpfte Gerät ist ein zusätzlicher Zugang zu Ihren Chats.

Was tun, wenn es schon passiert ist?

  1. Fremde Geräte abmelden: In der Liste der verknüpften Geräte alle unbekannten Einträge entfernen. Im Zweifel alle abmelden und die eigenen Geräte danach neu koppeln.
  2. Kontakte warnen: Über einen anderen Weg – Anruf, SMS, E-Mail oder einen Status – Bescheid geben, dass in Ihrem Namen Nachrichten verschickt wurden. Je schneller, desto weniger Schaden durch Geldbitten und weitergeleitete Links.
  3. Zwei-Schritt-Verifizierung einschalten: Falls noch nicht geschehen, unter Einstellungen → Konto aktivieren. Das verhindert zumindest, dass die Täter im zweiten Anlauf das komplette Konto auf ihr eigenes Telefon umziehen.
  4. Anzeige erstatten: Ist Geld geflossen oder wurde in Ihrem Namen betrogen, ist die Polizei der richtige Ansprechpartner.
  5. Weiterdenken: Wer mitlesen konnte, hat womöglich auch Dinge gesehen, die in Chats nichts verloren haben – Zugangsdaten, Fotos von Ausweisen, Bestätigungscodes anderer Dienste. Betroffene Passwörter sollten Sie dann ändern.

Selbstständige und kleine Betriebe: Das Firmenhandy ist auch betroffen

Viele Handwerksbetriebe, Praxen und kleine Läden kommunizieren mit Kunden über WhatsApp oder WhatsApp Business, oft zusätzlich über WhatsApp Web am Empfangs- oder Büro-PC. Ein gekapertes Konto ist hier doppelt unangenehm: Die Täter erreichen nicht nur Familie und Freunde, sondern Kunden, die dem Absender vertrauen – und können alles mitlesen, was im Chat besprochen wird.

Sinnvoll ist deshalb eine kleine Routine: Wer hat Zugriff auf das Firmenkonto? Welche Geräte sind verknüpft, und gehören sie alle zum Betrieb? Ein kurzer Blick in die Liste, etwa beim monatlichen Gerätecheck, kostet kaum Zeit. Und es hilft, Mitarbeitenden die einfache Regel mitzugeben, die unten im Fazit steht.

Nicht nur WhatsApp

Das Prinzip ist nicht auf einen Messenger beschränkt. BSI und Bundesamt für Verfassungsschutz haben im Februar 2026 gemeinsam vor Phishing über Messenger gewarnt, bei dem sich Täter als „Signal Support“ ausgeben und Opfer dazu bringen, einen QR-Code zu scannen oder PIN und Bestätigungscode herauszugeben. Diese Kampagne richtete sich gezielt gegen Personen aus Politik, Militär, Diplomatie und Journalismus. Die Behörden halten vergleichbare Angriffe auf WhatsApp ausdrücklich für möglich. Für Signal-Nutzer gilt sinngemäß dasselbe: verknüpfte Geräte prüfen und die Registrierungssperre in den Einstellungen aktivieren.

Grenzen und offene Punkte

  • Die Menüpfade können sich mit App-Updates ändern. Wenn „Verknüpfte Geräte“ nicht dort steht, wo beschrieben, hilft die Suchfunktion in den WhatsApp-Einstellungen.
  • Laut WinFuture bleiben die Sitzungstokens verknüpfter Geräte bis zu 14 Tage aktiv, auch wenn das Hauptgerät offline ist. Als Schutz taugt das nicht: Wer sein Telefon täglich verwendet, hält damit auch die fremde Verbindung am Leben (unsere Einschätzung).
  • Ein technischer Schutz, der diese Masche zuverlässig verhindert, existiert derzeit nicht. Die wirksamste Verteidigung bleibt, keine Codes einzugeben und keine QR-Codes zu scannen, die man nicht selbst angefordert hat.

Fazit: Ein Code gehört nie auf eine fremde Webseite

Die Abstimmungs-Masche funktioniert nicht, weil WhatsApp unsicher wäre, sondern weil sie Hilfsbereitschaft und Vertrauen ausnutzt – und weil das Ergebnis unsichtbar bleibt. Daraus folgen drei einfache Regeln: Kopplungscodes und QR-Codes nur verwenden, wenn Sie selbst gerade ein eigenes Gerät verbinden. Bei ungewöhnlichen Bitten den Absender über einen anderen Weg kurz anrufen. Und hin und wieder einen Blick in die Liste der verknüpften Geräte werfen. Die Zwei-Schritt-Verifizierung gehört trotzdem eingeschaltet – sie schließt eine andere, ebenfalls offene Tür.

Ein Smartphone, auf dem Messenger, Banking und zweiter Faktor zusammenlaufen, sollte außerdem noch Sicherheitsupdates bekommen. Wie Sie das prüfen, steht in „Wie lange bekommt mein Smartphone noch Updates?“. Sie möchten die Firmenhandys und Messenger-Zugänge in Ihrem Betrieb einmal sauber durchgehen? DGH-IT unterstützt bei der Bestandsaufnahme – ohne Verkaufsdruck.

Quellen & weiterführende Informationen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert