Der kompromittierte Signal-Account von Julia Klöckner ist inzwischen mehr als ein Einzelfall. Nach Berichten über Angriffe auf die Bundestagspräsidentin und weitere hochrangige deutsche Nutzer reagiert Signal mit zusätzlichen Schutzmaßnahmen gegen Phishing. Wichtig ist dabei die genaue Einordnung: Nach bisher bekannten Informationen wurde nicht die Ende-zu-Ende-Verschlüsselung des Messengers gebrochen. Die Angreifer setzten auf Social Engineering und brachten Betroffene dazu, Verknüpfungen oder Kontozugriffe selbst zu ermöglichen.
Warum der Fall politisch brisant ist
Bekannt wurde der Fall Klöckner Ende April. Sicherheitsbehörden warnten zu diesem Zeitpunkt bereits vor einer Kampagne gegen Politiker, Diplomaten, Militärangehörige und Journalisten. Reuters berichtete, dass die Bundesanwaltschaft wegen einer Phishingkampagne ermittelt und dass Angreifer den Signal-Account Klöckners kompromittiert haben sollen. Auch ein Versuch gegen Bundeskanzler Friedrich Merz wurde demnach genannt, soll aber nicht erfolgreich gewesen sein.
Für die politische Kommunikation ist das heikel. Signal wird in Regierung, Parlament und Parteien häufig genutzt, weil die App starke Verschlüsselung und vergleichsweise wenig Datensammlung bietet. Genau dadurch entsteht aber auch ein gefährlicher Fehlschluss: Ein sicherer Messenger schützt Inhalte während der Übertragung, verhindert aber nicht automatisch, dass ein Nutzer auf eine gefälschte Support-Nachricht hereinfällt oder ein neues Gerät mit seinem Konto verknüpft.
BSI und BfV hatten vor der Masche gewarnt
Das Bundesamt für Sicherheit in der Informationstechnik und das Bundesamt für Verfassungsschutz warnten bereits vor Phishing über Messengerdienste. Der Kern der Masche ist dabei nicht neu: Angreifer geben sich als Support, bekannte Kontaktperson oder vertrauenswürdige Organisation aus. Das Ziel ist, Opfer zur Preisgabe von Codes, zur Bestätigung einer Geräteverknüpfung oder zu einem anderen sicherheitskritischen Klick zu bewegen.
Gerade bei Messenger-Konten ist die Geräteverknüpfung ein attraktiver Angriffspunkt. Wer ein fremdes Gerät erfolgreich mit einem Konto verbindet, muss nicht die Verschlüsselung brechen, um Nachrichten in der laufenden Sitzung oder Kontaktdaten mitzulesen. Deshalb ist die Überschrift „Signal gehackt“ zwar eingängig, aber technisch unsauber. Präziser ist: Nutzerkonten wurden durch Phishing übernommen oder mit Angreifergeräten verknüpft.
Signal verschärft die Warnhinweise
Signal-Präsidentin Meredith Whittaker kündigte nach den Angriffen zusätzliche Sicherheitsmechanismen an. Künftig sollen Nutzer deutlicher gewarnt werden, wenn eine Nachricht von einer unbekannten Nummer kommt. Auch das Akzeptieren neuer Kontakte soll nicht mehr so beiläufig möglich sein wie bisher. Diese Änderungen zielen genau auf den Moment, in dem Social Engineering funktioniert: eine fremde Nachricht wirkt dringend, glaubwürdig oder vertraut genug, um den Nutzer zu einer schnellen Reaktion zu verleiten.
Die Reaktion ist sinnvoll, aber sie löst nicht das gesamte Problem. Hochrangige Nutzer brauchen neben App-Warnungen auch klare interne Regeln: keine Kontocodes weitergeben, Verknüpfungen nur über offiziell geprüfte Geräte erlauben, Sicherheitsnummern verifizieren und sensible politische Kommunikation nicht in informelle Gruppen auslagern. Technische Schutzmaßnahmen werden schwächer, wenn organisatorische Prozesse fehlen.
Was aus dem Angriff zu lernen ist
Der Fall zeigt nicht, dass verschlüsselte Messenger nutzlos sind. Er zeigt, dass starke Verschlüsselung nur ein Teil von Sicherheit ist. Für Politiker, Behörden und Parteien wird Account-Schutz zur eigenen Infrastrukturfrage: Wer darf welche Gruppen nutzen, wie werden Geräte geprüft, wie schnell werden verdächtige Nachrichten gemeldet und wer entscheidet über die Sperrung eines kompromittierten Kontos?
Für normale Nutzer ist die Lehre einfacher. Signal, WhatsApp oder andere Messenger fragen nicht plötzlich per Chat nach Codes. Wer eine Nachricht erhält, die Druck aufbaut, technische Hilfe simuliert oder zur schnellen Geräteverknüpfung auffordert, sollte abbrechen und den Kontakt über einen zweiten Kanal prüfen. Phishing greift nicht die Mathematik der Verschlüsselung an, sondern Vertrauen, Routine und Zeitdruck. Genau dort müssen die neuen Schutzmechanismen ansetzen.
