Mitlesen ohne Staatstrojaner: Behörden klonen WhatsApp- und Signal-Accounts

12. Januar 2020, eine Vernehmung bei der Polizei: Ein Ehepaar gibt „freiwillig" die Handys heraus. Die Beamten öffnen WhatsApp, scannen einen QR-Code – und ab diesem Moment liest ein Rechner des BKA jede Nachricht mit, wochenlang, unbemerkt. Kein Staatstrojaner, keine Sicherheitslücke, kein Hollywood-Hack. Nur eine Standardfunktion, die Du selbst täglich nutzt: verknüpfte Geräte. Interne Dokumente, die netzpolitik.org jetzt veröffentlicht hat, zeigen: Was wie ein Einzelfall klingt, ist längst Routine. Das Zollkriminalamt hat das „Account-Cloning" seit Ende 2023 in einem Modellversuch erprobt und zum 1. August 2025 in den Regelbetrieb übernommen. Das BKA nutzte die Masche schon zwischen 2015 und 2020 in Dutzenden Verfahren.

Die Masche: ein Behörden-Zweitgerät in Deinem Account

WhatsApp, Signal, Telegram und Threema erlauben es, zusätzlich zum Handy weitere Geräte mit dem Konto zu verbinden – den Desktop-Client im Büro, das Tablet auf dem Sofa. Genau diese Komfortfunktion machen sich die Ermittler zunutze: Sie richten auf einem Behördenrechner einen Zweitzugang ein und spiegeln so das Konto der Zielperson. Die Ende-zu-Ende-Verschlüsselung wird dabei nicht geknackt – sie wird umgangen, denn das Behördengerät ist aus Sicht des Messengers einfach eines Deiner Geräte und entschlüsselt brav alles mit.

In den Account kommen die Ermittler auf zwei Wegen. Weg eins: physischer Zugriff auf das entsperrte Handy – bei einer Vernehmung, einer Kontrolle, einer Durchsuchung reichen wenige Sekunden, um den QR-Code für einen Web-Client zu scannen. Weg zwei: die abgefangene Bestätigungs-SMS. Wird Dein Anschluss ohnehin klassisch überwacht, bekommt die Behörde jede SMS in Kopie – auch den Registrierungscode, den der Messenger verschickt.

Der SMS-Trick – und warum Telegram das Traumziel ist

Der SMS-Weg funktioniert nicht bei jedem Messenger gleich. Bei Telegram öffnet der abgefangene Code eine zusätzliche, parallele Sitzung: Dein Handy bleibt verbunden, nichts wird getrennt – und die neue Sitzung lädt das komplette Cloud-Archiv aller Chats herunter. Genau so „schaltete" sich die Polizei im März 2022 auf den Telegram-Account eines Verdächtigen in Niedersachsen „auf". Der bemerkte die fremde Sitzung zwar und warf sie nach wenigen Stunden raus – da hatte die Polizei sein komplettes Nachrichten-Archiv aber längst kopiert.

Bei WhatsApp und Signal registriert der SMS-Code die Nummer dagegen neu: Dein altes Gerät fliegt aus dem Konto und meldet, dass die Nummer nicht mehr registriert ist. Zum heimlichen Dauer-Mitlesen taugt das weniger – aber die Behörde (oder ein Krimineller, die Technik ist dieselbe) übernimmt damit Deine Identität: Sie empfängt ab sofort alles, was Dir geschickt wird, sieht Deine Gruppen und kann in Deinem Namen schreiben. Verfassungsschutz und BSI warnten Anfang 2026 ausdrücklich vor genau diesen Übernahme- und Verknüpfungstricks – nachdem unter anderem das WhatsApp-Konto von Bundestagspräsidentin Julia Klöckner per Phishing gekapert worden war.

Wenn Du es merkst, ist es zu spät

Das Tückische am geklonten Zweitgerät: Die Messenger synchronisieren dem Neuzugang auch die Vergangenheit. WhatsApp überträgt an verknüpfte Geräte den Chatverlauf von bis zu etwa einem Jahr, Signal immerhin die letzten 45 Tage, Telegram ohnehin das gesamte Cloud-Archiv. Wer also irgendwann das fremde Gerät in seiner Geräteliste entdeckt und entfernt, hat den Schaden längst: Das Archiv ist kopiert. Genau das macht die Methode auch juristisch brisant. Der Bundesgerichtshof stellte im Januar 2026 klar, dass das heimliche Aufschalten auf einen Messenger-Account ein schwerwiegender Eingriff in das IT-System ist – keine simple Telefonüberwachung. IT-Strafrechtler halten die Praxis für rechtswidrig: Eine Überwachungsanordnung erlaubt nur laufende Kommunikation ab dem richterlichen Beschluss, nicht das Absaugen alter Chats. Und weil die Ermittler mit dem Klon sogar aktiv Nachrichten im Namen des Betroffenen versenden könnten, wäre eigentlich die viel höhere Hürde der Online-Durchsuchung nötig. Die Behörden machen trotzdem weiter – nicht das erste Mal, dass Ermittler rechtliche Hürden kreativ umkurven.

Gegenmaßnahmen: So sperrst Du den ungebetenen Mitleser aus

• Verknüpfte Geräte regelmäßig prüfen: WhatsApp: Einstellungen → Verknüpfte Geräte. Signal: Einstellungen → Gekoppelte Geräte. Telegram: Einstellungen → Geräte. Alles, was Du nicht kennst, sofort abmelden – im Wissen, dass mitgelesene Zeit nicht zurückkommt.
• Signal-Registrierungssperre aktivieren (Einstellungen → Konto → Registrierungssperre): Danach ist eine Neuregistrierung der Nummer nur noch mit Deiner PIN möglich – die abgefangene SMS allein reicht nicht mehr.
• Das Gegenstück bei den anderen: WhatsApp „Verifizierung in zwei Schritten", Telegram „Zweistufige Bestätigung" (Cloud-Passwort). Beides blockiert den SMS-Trick ebenfalls.
• Handy nie entsperrt aus der Hand geben – auch nicht „freiwillig" bei einer Vernehmung. Der QR-Scan dauert Sekunden. Wie Du Dein Gerät für Kontrollen härtest, haben wir hier beschrieben.
• Verschwindende Nachrichten aktivieren: Was nach Stunden oder Tagen gelöscht ist, kann kein Klon mehr aus dem Verlauf kopieren.
• Unverschlüsselte Cloud-Backups abschalten bzw. bei WhatsApp das Ende-zu-Ende-verschlüsselte Backup aktivieren – sonst liegt Dein Archiv zusätzlich bei Google oder Apple.
• Messenger von Deiner bekannten Nummer entkoppeln: Läuft Dein Account auf einer separaten, anonym beschafften Nummer, geht der Registrierungscode nicht über den überwachten Anschluss.

Die Lektion ist unbequem: Der Staat braucht keinen Trojaner mehr, wenn Komfortfunktionen ihm die Tür aufhalten. Sichere Verschlüsselung nützt nichts, wenn das Konto selbst offen steht. Wie Du Messenger, Nummer und Gerät zu einem stimmigen Schutzkonzept verbindest, zeigt Schritt für Schritt das E-Book „Anonym im Netz – Der praktische Guide 2026".

Quellen: heise online – Überwachung ohne Staatstrojaner: Wie Behörden bei WhatsApp und Signal mitlesen (02.09.2026) · netzpolitik.org – Immer mehr Polizei überwacht Messenger wie WhatsApp (Original-Recherche mit Dokumenten) · Signal-Support – Signal-PIN und Registrierungssperre (englisch)