Messenger-Überwachung: Immer mehr Polizei überwacht Messenger wie WhatsApp

Was geschehen ist – die Kernmeldung

Deutsche Sicherheitsbehörden, darunter das Zollkriminalamt und das Bundeskriminalamt, setzen verstärkt auf eine Überwachungsmethode, die ohne den Einsatz komplexer Staatstrojaner auskommt. Dabei verschaffen sich Beamte Zugriff auf Messenger-Dienste wie WhatsApp, Telegram oder Signal, indem sie die offiziellen Web-Clients oder Desktop-Anwendungen der Anbieter nutzen. Dies geschieht häufig durch das Einrichten eines zweiten Zugangs zum Konto der Zielperson, etwa durch das Scannen von QR-Codes oder das Abfangen von Verifizierungscodes via SMS. Während die Behörden diese Methode als effizientes Mittel zur Bekämpfung schwerer Kriminalität darstellen, warnen Rechtsexperten vor einer massiven Überschreitung rechtlicher Befugnisse. Die Praxis ermöglicht den Ermittlern nicht nur das Mitlesen aktueller Kommunikation, sondern oft auch den Zugriff auf das gesamte Nachrichtenarchiv sowie die Möglichkeit, Nachrichten im Namen der Betroffenen zu versenden. Diese Vorgehensweise findet weitgehend ohne explizite gesetzliche Grundlage statt, wobei Behörden sich auf fragwürdige Interpretationen bestehender Gesetze stützen, die von Gerichten bereits teilweise korrigiert wurden.

Die Einzelheiten der Überwachungspraxis

Die technische Umsetzung der Überwachung ist simpel, aber weitreichend. Ermittler nutzen die von den Messenger-Anbietern bereitgestellten Schnittstellen für Web-Clients. Ein prägnantes Beispiel ist der Fall des Ehepaars P., das am 12. Januar 2020 vernommen wurde. Die Eheleute stellten ihre Mobiltelefone freiwillig zur Verfügung, um Nachrichten über ihre Tochter zu belegen. Die Beamten nutzten diesen Zugang jedoch verdeckt, um über eine vom Bundeskriminalamt bereitgestellte Internetseite die Anwendung WhatsApp Web zu aktivieren. Dadurch wurde der gesamte Nachrichtenverkehr über einen BKA-Rechner gespiegelt. Ein weiteres Beispiel betrifft einen Doping-Dealer in Niedersachsen, dessen Telegram-Account am 30. März 2022 durch eine sogenannte Aufschaltung überwacht wurde. Das Zollkriminalamt hat diese Methode nach einem Modellversuch, der Ende 2023 begann, seit August 2025 dauerhaft eingeführt. Dokumente belegen, dass das Zollkriminalamt die Methode als Instrument zur Aufzeichnung von Daten ohne Infiltration eines IT-Systems durch Quellen-TKÜ-Software beschreibt. Dabei wird teilweise auf technische Amtshilfe anderer Bundesbehörden zurückgegriffen, um die Überwachung zu realisieren.

Hintergrund und bisheriger Verlauf

Die Methode des Account-Clonings ist nicht völlig neu, gewinnt jedoch durch die systematische Anwendung an Bedeutung. Bereits vor fünf Jahren veröffentlichte netzpolitik.org Dokumente des Bundeskriminalamts, die diese Praxis detailliert beschrieben. Die Behörden argumentierten lange Zeit, es handele sich um eine klassische Telekommunikationsüberwachung (TKÜ). Diese Rechtsauffassung wurde jedoch durch den Bundesgerichtshof (BGH) im Januar 2026 erschüttert. In einer Entscheidung vom 20. Januar 2026 stellte der BGH klar, dass die heimliche Aufschaltung ohne Einbeziehung des Anbieters oder des Nutzers als Quellen-TKÜ zu werten ist. Dennoch hielt das Zollkriminalamt noch am 20. Februar 2026 an der veralteten Rechtsauffassung fest. Der Modellversuch des Zolls, der zu erheblichen Ermittlungserfolgen geführt haben soll, diente als Grundlage für die dauerhafte Etablierung. Die Behörden betrachten die Methode als eine Möglichkeit, die Hürden des Einsatzes von Staatstrojanern zu umgehen, da keine Software auf dem Endgerät installiert werden muss, sondern lediglich die bestehende Infrastruktur der Messenger-Dienste für polizeiliche Zwecke zweckentfremdet wird.

Die Beteiligten und ihre Rollen

Zu den handelnden Institutionen gehören das Zollkriminalamt (ZKA) und das Bundeskriminalamt (BKA). Auf der Seite der Kritiker steht Professor Dr. Christian Rückert, Inhaber des Lehrstuhls für Strafrecht, Strafprozessrecht und IT-Strafrecht an der Universität Bayreuth, der die Methode in einer Analyse für den Münchener Kommentar zur Strafprozessordnung als äußerst problematisch einstuft. Betroffen sind Bürger, die – wie im Fall des Ehepaars P. – unter Umständen getäuscht werden, um Zugriff auf ihre Geräte zu erhalten. Auch das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) sind involviert, allerdings in beratender Funktion: Sie warnen vor den Sicherheitsrisiken des Account-Clonings durch Dritte, da diese Methode auch von staatlich gesteuerten Cyberakteuren genutzt wird. Auf politischer Ebene hat sich der grüne Bundestagsabgeordnete Marcel Emmerich mit Anfragen an die Bundesregierung gewandt, um das Ausmaß der Überwachung zu klären, stieß jedoch auf die Verweigerungshaltung der Ministerien, die eine Beantwortung mit Verweis auf einen unzumutbaren Aufwand ablehnten.

Einordnung der rechtlichen Lage

Einzuordnen ist das Vorgehen der Behörden als eine rechtliche Grauzone, die zunehmend durch richterliche Entscheidungen eingeengt wird. Professor Rückert betont, dass die Nutzung von Anbieter-Tools für polizeiliche Zwecke nicht den Anforderungen an eine Quellen-TKÜ entspricht. Eine Quellen-TKÜ darf technisch nur aktuelle Kommunikation ausleiten und muss sicherstellen, dass keine darüber hinausgehenden Daten – wie etwa alte Nachrichtenarchive oder Kontaktlisten – erfasst werden. Da die Web-Clients der Messenger beim Einrichten eines neuen Geräts automatisch das vollständige Archiv der letzten 45 Tage übertragen, verstoßen die Behörden gegen das Gebot der Verhältnismäßigkeit und die gesetzlichen Beschränkungen der Quellen-TKÜ. Den Berichten zufolge handelt es sich bei der Messenger-Überwachung mittels Anbieter-Tools rechtlich eher um einen Spezialfall der Online-Durchsuchung, für den jedoch die notwendigen technischen Sicherheitsvorkehrungen fehlen, um eine unzulässige Datenveränderung oder den unbefugten Versand von Nachrichten zu verhindern.

Offene Fragen und Informationslücken

Der Quelltext lässt zahlreiche Fragen unbeantwortet, die für eine öffentliche Debatte von zentraler Bedeutung wären. Es bleibt unklar, wie häufig die Methode des Account-Clonings durch die verschiedenen Polizeibehörden in Deutschland insgesamt angewandt wurde. Die Bundesregierung verweigert hierzu eine Auskunft mit dem Hinweis auf den unzumutbaren Aufwand. Ebenso bleibt offen, wie die Behörden die gesetzliche Anforderung technisch sicherstellen wollen, dass keine Nachrichten im Namen der Zielperson versendet werden, da die Standard-Tools der Messenger diese Funktion technisch gar nicht unterbinden können. Auch die Frage, ob nach dem BGH-Urteil vom Januar 2026 laufende Überwachungsmaßnahmen eingestellt oder angepasst wurden, wird von den Behörden nicht beantwortet. Das Zollkriminalamt und das BKA berufen sich auf die Geheimhaltung als Verschlusssache und verweigern jegliche detaillierte Auskunft über die angewandten technischen Verfahren und die zugrunde liegenden internen Anweisungen.

Wie es weitergeht

Die Situation bleibt festgefahren. Während die Behörden ihre Praxis als dauerhaft etabliert betrachten, wächst der Druck durch die juristische Aufarbeitung. Das Zollkriminalamt hat die Methode bereits im August 2025 in den Regelbetrieb überführt und sieht darin ein bewährtes Einsatzmittel. Ob es in Zukunft zu einer gesetzlichen Neuregelung kommt, die diese Form der Überwachung explizit legitimiert oder weiter einschränkt, ist derzeit nicht absehbar. Die Opposition im Bundestag versucht zwar, durch parlamentarische Anfragen Transparenz zu schaffen, stößt jedoch auf die Blockadehaltung der Regierung. Es ist zu erwarten, dass weitere juristische Auseinandersetzungen folgen werden, da die Diskrepanz zwischen der polizeilichen Praxis und den Anforderungen des Bundesgerichtshofs an die Quellen-TKÜ weiterhin besteht. Die Betroffenen sind zudem angehalten, ihre Konten regelmäßig auf verknüpfte Geräte zu prüfen, um eine solche Überwachung zumindest im Nachhinein bemerken zu können, wie es der Doping-Dealer in Niedersachsen erfolgreich praktizierte.