Threema: DDoS-Angriffe sorgen für Ausfälle bei Messenger

Was geschehen ist – die Kernmeldung

Der bekannte Messenger-Dienst Threema ist seit dem Dienstag, dem 12. August 2026, Ziel massiver Überlastungsangriffe geworden. Diese sogenannten DDoS-Attacken (Distributed Denial of Service) führten dazu, dass der Dienst über viele Stunden hinweg für die Nutzer nicht oder nur sehr eingeschränkt erreichbar war. Die Störungen äußerten sich darin, dass Nachrichten weder versendet noch empfangen werden konnten. Die Nutzer bekamen innerhalb der Anwendung eine rote Leiste angezeigt, die auf eine fehlende Verbindung zu den Servern des Anbieters hinwies, ungeachtet der Qualität der bestehenden Internetverbindung auf den jeweiligen Mobilgeräten. Nachdem die Verantwortlichen am späten Dienstagabend zunächst Entwarnung gegeben hatten, mussten sie kurz darauf einräumen, dass die Probleme weiter bestehen. Am Mittwochmorgen bestätigte das Unternehmen, dass eine neue Angriffswelle das System belastet. Die Betreiber arbeiten nach eigenen Angaben aktiv daran, diese Angriffe abzuwehren, wobei sie einräumen, dass es auch weiterhin zu vorübergehenden Unterbrechungen kommen kann. Die Situation bleibt dynamisch, da die Angriffe den regulären Betrieb des Messengers spürbar beeinträchtigen.

Die Einzelheiten der Störungen

Die Auswirkungen der Angriffe waren weitreichend. Laut der offiziellen Statusseite des Unternehmens waren sämtliche Dienste von Threema von den Störungen betroffen. Dies unterstreicht die Schwere der Attacken, da nicht nur einzelne Funktionen, sondern die gesamte Infrastruktur unter dem massiven Ansturm zu leiden hatte. Selbst die Statusseite, die eigentlich dazu dienen sollte, Kunden über den aktuellen Zustand der Dienste zu informieren, war am Dienstag zeitweise nicht erreichbar. Erst am Mittwoch zeichnete sich eine leichte Entspannung ab, da die Probleme merklich kleiner wurden und die Kommunikation zwischenzeitlich wieder funktionierte. Die Verantwortlichen nutzen vor allem den Kurznachrichtendienst Mastodon, um die Öffentlichkeit über den Stand der Dinge auf dem Laufenden zu halten. Dort wurde am Mittwoch bestätigt, dass der ursprüngliche Ausfall am Dienstag auf einen Angriff gegen einen Dienstleister zurückzuführen war, bei dem Threema Serverkapazitäten angemietet hatte. Ob sich die nun andauernden Attacken gezielt gegen die eigene Infrastruktur von Threema richten oder weiterhin die Partner betreffen, konnte das Unternehmen bisher nicht abschließend klären. Die Kommunikation erfolgt nun direkt über die eigenen Kanäle, um die Nutzer trotz der widrigen Umstände zu informieren.

Hintergrund und bisheriger Verlauf

Threema ist seit dem Jahr 2012 auf dem Markt und hat sich von Beginn an durch einen starken Fokus auf Verschlüsselung und Datenschutz einen Namen gemacht. Das Geschäftsmodell unterscheidet sich dabei grundlegend von vielen Konkurrenten, da die Anwendung kostenpflichtig ist. Nutzer zahlen aktuell für die iOS-Version rund 8 Euro, während für die Android-Variante 6,50 Euro anfallen. Eine besondere Bekanntheit erlangte der Dienst in einer Phase, in der viele Nutzer nach Alternativen zu WhatsApp suchten, nachdem Facebook den Messenger übernommen hatte. Während Ende-zu-Ende-Verschlüsselung heute bei fast allen Messengern zum Standard gehört, hat sich Threema über die Jahre eine treue Basis aufgebaut. In jüngerer Zeit sah sich der Dienst jedoch einer stärkeren Konkurrenz durch Anbieter wie Signal gegenüber. Neben der klassischen App für Privatnutzer bietet Threema zudem eine Business-Lösung an, die es Unternehmen ermöglicht, den Messenger in einer eigenen Umgebung zu hosten. Die aktuelle DDoS-Problematik stellt eine der größten technischen Herausforderungen für die Stabilität des Dienstes in der jüngeren Geschichte dar, da die Infrastruktur durch die gezielten Überlastungsangriffe an ihre Kapazitätsgrenzen gebracht wurde.

Die Beteiligten und Verantwortlichen

Im Zentrum der Ereignisse steht das Unternehmen Threema selbst, das für den Betrieb des Messengers verantwortlich ist. Die Kommunikation über den Vorfall erfolgt primär durch die Verantwortlichen des Dienstes, die über ihre Präsenz auf der Plattform Mastodon die Öffentlichkeit informieren. Betroffen sind in erster Linie die Nutzer des Messengers, die auf die Dienste angewiesen sind. Da Threema auch eine Business-Lösung für Unternehmen anbietet, hat der Vorfall eine zusätzliche Dimension, da auch professionelle Anwender von den Ausfällen betroffen sein könnten. Zudem spielt ein nicht namentlich genannter Dienstleister eine zentrale Rolle in der Geschichte, da Threema bei diesem Partner Serverkapazitäten angemietet hat. Die Probleme begannen nach Angaben des Unternehmens durch einen Angriff auf eben diesen Dienstleister. Die IT-Sicherheitsteams von Threema sind nun damit befasst, die Abwehrmaßnahmen gegen die anhaltenden Angriffswellen zu koordinieren. Die Transparenz gegenüber den Kunden wird dabei über die Statusseite des Dienstes und soziale Medien sichergestellt, wobei die Verantwortlichen bemüht sind, trotz der technischen Schwierigkeiten eine klare Linie in der Kommunikation zu halten.

Einordnung der Geschehnisse

Einzuordnen ist das Geschehen als eine ernsthafte Belastungsprobe für die technische Infrastruktur des Messengers. DDoS-Angriffe sind darauf ausgelegt, Server durch eine Flut von Anfragen in die Knie zu zwingen, was den Dienst für legitime Nutzer unbrauchbar macht. Den Berichten zufolge ist es bemerkenswert, dass die Störungen trotz der anfänglichen Versicherung, das Problem sei behoben, am nächsten Tag wieder aufflammten. Dies deutet auf eine hohe Hartnäckigkeit der Angreifer hin. Dass die Statusseite des Dienstes selbst zeitweise offline war, erschwerte die Krisenkommunikation erheblich, da Nutzer keine verlässliche Quelle für Informationen hatten. Die Abhängigkeit von externen Dienstleistern, bei denen Serverkapazitäten gemietet werden, erweist sich in solchen Situationen als potenzielle Schwachstelle, da man auf die Abwehrkapazitäten dieser Partner angewiesen ist. Die Tatsache, dass der Messenger am Mittwoch wieder teilweise funktionierte, zeigt jedoch, dass die getroffenen Schutzmaßnahmen eine gewisse Wirkung zeigen. Dennoch bleibt die Situation fragil, da die Angreifer ihre Strategie offenbar anpassen, um den Dienst weiterhin zu stören.

Offene Fragen und Lücken

Der vorliegende Sachverhalt lässt einige wesentliche Fragen offen, die für eine vollständige Bewertung der Lage notwendig wären. Es bleibt beispielsweise unklar, wer genau hinter den DDoS-Angriffen steckt und welches Motiv die Akteure verfolgen. Ebenso wenig ist bekannt, ob es sich bei dem Angriff auf den Dienstleister um einen gezielten Schlag gegen Threema handelte oder ob der Messenger lediglich ein Kollateralschaden eines breiter angelegten Angriffs auf die Infrastruktur des Partners war. Auch zur genauen technischen Natur der Abwehrmaßnahmen gibt es keine detaillierten Informationen, was aus Sicherheitsgründen nachvollziehbar ist, aber den Blick auf die Effektivität der Gegenmaßnahmen verstellt. Eine weitere Lücke besteht in der Frage, wie viele Nutzer von den Ausfällen konkret betroffen waren und ob auch die Business-Kunden, die den Dienst selbst hosten, in Mitleidenschaft gezogen wurden. Da keine weiteren Informationen vorliegen, bleibt offen, wie lange die aktuelle Angriffswelle noch anhalten wird und ob die Kapazitäten des Messengers langfristig ausreichen, um derartige Attacken in Zukunft besser abzufangen. Die Verantwortlichen haben sich zu diesen Details bislang nicht geäußert, was den Spielraum für Spekulationen offen lässt.

Wie es weitergeht

Die Verantwortlichen von Threema haben angekündigt, dass sie aktiv an der Abwehr der laufenden Angriffswellen arbeiten. Die Nutzer sind dazu angehalten, die offizielle Statusseite des Dienstes im Auge zu behalten, um Informationen über den aktuellen Betriebszustand zu erhalten. Da die Verantwortlichen vor weiteren vorübergehenden Ausfällen gewarnt haben, ist in den kommenden Stunden und Tagen weiterhin mit einer instabilen Erreichbarkeit zu rechnen, bis die Angriffe vollständig neutralisiert sind. Es ist davon auszugehen, dass das Unternehmen die Sicherheitsvorkehrungen bei dem betroffenen Dienstleister sowie in der eigenen Infrastruktur überprüfen wird, um ähnliche Vorfälle in der Zukunft zu vermeiden. Weitere Schritte, wie etwa eine detaillierte Analyse des Vorfalls nach dessen Beendigung, wurden zwar nicht explizit angekündigt, sind jedoch in der IT-Branche üblich. Die Kommunikation wird weiterhin über die bestehenden Kanäle, insbesondere Mastodon, fortgesetzt, um die Nutzer über den Fortschritt bei der Wiederherstellung der vollen Dienstleistung zu informieren. Bis dahin bleibt die Situation für die Anwender von Unsicherheiten geprägt.