Überwachung ohne Staatstrojaner: Wie Behörden bei WhatsApp und Signal mitlesen

Was geschehen ist – die Kernmeldung ausführlich

Sicherheitsbehörden in Deutschland, namentlich das Zollkriminalamt (ZKA) und das Bundeskriminalamt (BKA), haben eine Methode zur Überwachung verschlüsselter Messenger-Dienste etabliert, die ohne den Einsatz hochkomplexer Staatstrojaner auskommt. Wie aus einem als Verschlusssache eingestuften Dokument hervorgeht, das durch Netzpolitik.org an die Öffentlichkeit gelangte, nutzen Ermittler reguläre Funktionen der Messenger-Anbieter selbst, um Kommunikation mitzulesen. Dabei werden Konten von Zielpersonen auf behördliche Rechner gespiegelt, indem offizielle Web-Clients oder Desktop-Anwendungen der Dienste wie WhatsApp, Signal oder Telegram verwendet werden. Diese Praxis, die intern als „Account-Cloning“ bezeichnet wird, ermöglicht es den Behörden, den gesamten Nachrichtenverkehr der Betroffenen – und teils auch unbeteiligter Dritter – in Echtzeit zu erfassen. Die Methode ist technisch simpel, da sie lediglich auf die Synchronisationsfunktionen der Messenger aufbaut, die eigentlich dazu gedacht sind, ein Konto bequem auf mehreren Geräten gleichzeitig zu nutzen. Die Ermittler umgehen dabei die Ende-zu-Ende-Verschlüsselung, indem sie sich als rechtmäßiger Nutzer des Kontos ausgeben, anstatt die Verschlüsselung technisch zu knacken. Dies stellt eine signifikante Abkehr von bisher bekannten Überwachungspraktiken dar, bei denen meist aufwändige Software-Infiltrationen im Vordergrund standen.

Die Einzelheiten der Überwachungspraxis

Die technische Umsetzung des „Account-Cloning“ ist laut den vorliegenden Informationen unkompliziert. Um ein Konto zu spiegeln, benötigen die Ermittler die Autorisierung für ein neues, verknüpftes Gerät. Dies geschieht entweder durch das Abfangen von Bestätigungs-SMS, die im Zuge einer klassischen Telekommunikationsüberwachung (TKÜ) abgefangen werden, oder durch den physischen Zugriff auf das Smartphone der Zielperson. In bestimmten Fällen, etwa bei Zeugenvernehmungen, können Polizeibeamte unbemerkt einen QR-Code vom Display des Zielgeräts scannen, um die Verknüpfung zu autorisieren. Seit August 2025 wird dieses Verfahren beim Zollkriminalamt nach einem erfolgreichen Modellversuch offiziell als reguläres Ermittlungsinstrument eingesetzt. Die Vorgehensweise ist dabei identisch mit Methoden, die von externen Cyberakteuren bei Phishing-Angriffen genutzt werden. Ein prominentes Beispiel für die Anfälligkeit dieser Architektur war der Vorfall um die Bundestagspräsidentin Julia Klöckner (CDU), deren Signal-Konto nach einer Phishing-Nachricht gekapert wurde. Während ein solcher Vorfall bei Politikern als Sicherheitslücke wahrgenommen wird, stufen ZKA und BKA das identische Vorgehen als legitimes Werkzeug zur Bekämpfung organisierter Kriminalität ein. Die Behörden nutzen hierbei die Multi-Device-Architektur der Messenger aus, um sich als autorisierte Nutzer einzuschleusen.

Hintergrund der behördlichen Strategie

Die Entscheidung der Behörden, vermehrt auf das Klonen von Accounts zu setzen, ist maßgeblich durch die technischen Schwierigkeiten bei der Entwicklung und dem Einsatz von Staatstrojanern motiviert. Diese sind oft fehleranfällig und erfordern einen hohen technischen Aufwand, um die Sicherheitsbarrieren moderner Smartphones zu überwinden. Im Gegensatz dazu bieten die offiziellen Web-Schnittstellen der Messenger eine „Hintertür“, die bereits im Systemdesign der Anbieter angelegt ist. Diese Schnittstellen sind für die Synchronisation zwischen Smartphone und Desktop-PC vorgesehen und bieten somit einen einfachen Zugangsweg. Die Entwicklung hin zu dieser Praxis ist das Ergebnis einer Suche nach effizienteren Wegen, um die Ende-zu-Ende-Verschlüsselung zu umgehen. Während die Behörden das Verfahren intern als großen Erfolg feiern, steht es in einem krassen Kontrast zu den Warnungen, die das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Verfassungsschutz aussprechen, wenn es um die Sicherheit von Spitzenpolitikern geht. Die Diskrepanz zwischen der offiziellen Warnung vor solchen Angriffen und der eigenen Anwendung der Methode durch Sicherheitsbehörden wirft grundlegende Fragen zur behördlichen Integrität und zur Sicherheit der digitalen Infrastruktur in Deutschland auf.

Die Beteiligten und ihre Rollen

Zu den zentralen Akteuren in diesem Vorgang zählen das Zollkriminalamt (ZKA) und das Bundeskriminalamt (BKA), welche die Methode als Ermittlungsinstrument einsetzen. Das ZKA hat hierbei eine Vorreiterrolle eingenommen, indem es das Verfahren nach einer Testphase fest in seinen Dienstbetrieb integriert hat. Auf der kritischen Seite stehen Experten wie der Bayreuther IT-Strafrechtler Christian Rückert, der die rechtliche Zulässigkeit der Methode scharf angreift. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie der Verfassungsschutz sind involviert, da sie die Sicherheitsrisiken der Multi-Device-Architektur bei Messengern regelmäßig thematisieren, insbesondere wenn es um den Schutz hochrangiger Politiker wie Julia Klöckner geht. Die Plattformen selbst, wie WhatsApp, Signal und Telegram, bieten die technischen Grundlagen für diese Überwachung, ohne dass eine direkte Kooperation mit den Ermittlungsbehörden zwingend erforderlich wäre, da die Behörden die offiziellen Schnittstellen nutzen, die für alle Nutzer zur Verfügung stehen. Die Rolle der Gerichte ist ebenfalls entscheidend, da sie über die Zulässigkeit der Beweismittel entscheiden müssen, die durch diese Methode gewonnen wurden.

Einordnung der rechtlichen Problematik

Einzuordnen ist das Vorgehen der Ermittlungsbehörden als rechtlich hochgradig riskant. Experten weisen darauf hin, dass die Behörden ihre Maßnahmen auf Rechtsgrundlagen stützen, die von Gerichten bereits in Teilen verworfen wurden. Das ZKA berief sich in internen Verfügungen lange Zeit auf veraltete Beschlüsse. Der Bundesgerichtshof hat jedoch bereits Anfang des Jahres klargestellt, dass das heimliche Aufschalten auf einen Messenger-Account einen schwerwiegenden Eingriff in das IT-System darstellt. Rechtlich gesehen handelt es sich hierbei nicht um eine einfache Telekommunikationsüberwachung, sondern um eine Maßnahme, die höchsten Eingriffshürden unterliegt. Den Berichten zufolge ist die Einstufung als Quellen-TKÜ unzulässig, da diese gesetzlich auf die Erfassung laufender Kommunikation ab dem Zeitpunkt der Anordnung begrenzt ist. Da die Messenger-Clients beim Einrichten eines Zweitgeräts jedoch automatisch das gesamte Chat-Archiv und historische Verläufe synchronisieren, greifen Ermittler unzulässigerweise auf Daten der Vergangenheit zu. Dies widerspricht den strengen gesetzlichen Vorgaben für derartige Überwachungsmaßnahmen massiv.

Rechtliche Mängel und Beweisverwertungsverbote

Die Kritik am Vorgehen der Behörden konzentriert sich auf die Unverhältnismäßigkeit und die technische Unzulänglichkeit der verwendeten Mittel. Der IT-Strafrechtler Christian Rückert betont, dass die Methode den Anforderungen an eine Online-Durchsuchung nicht genügt. Der Gesetzgeber verlangt für eine solche Maßnahme, dass am Zielsystem nur die für die Datenerhebung absolut notwendigen Veränderungen vorgenommen werden. Die handelsüblichen Messenger-Tools erlauben es den Ermittlern jedoch, aktiv Nachrichten im Namen des Betroffenen zu versenden, was einen massiven Eingriff in die Integrität der Kommunikation darstellt. Damit die Methode rechtlich haltbar wäre, müssten die Behörden Spezialsoftware einsetzen, die das Senden von Nachrichten technisch unterbindet und die Synchronisation des Archivs blockiert. Da dies bei den derzeit genutzten Standard-Tools nicht der Fall ist, drohen den Behörden erhebliche Konsequenzen. Da die Datenerhebung gegen grundlegende Zulässigkeitsvoraussetzungen verstößt, ist mit Beweisverwertungsverboten in Strafprozessen zu rechnen. Dies könnte dazu führen, dass mühsam gewonnene Erkenntnisse vor Gericht nicht als Beweismittel zugelassen werden, was die gesamte Ermittlungsstrategie in Frage stellt.

Offene Fragen zur behördlichen Praxis

Der vorliegende Quelltext lässt eine Reihe von Fragen offen, die für das Verständnis der Tragweite des „Account-Cloning“ von Bedeutung wären. Zunächst bleibt unklar, in wie vielen Fällen diese Methode bereits angewendet wurde und ob es bereits zu konkreten Gerichtsverfahren kam, in denen die Beweisverwertung aufgrund dieser Praxis angegriffen wurde. Ebenso wird nicht detailliert erläutert, welche spezifischen internen Sicherheitsvorkehrungen die Behörden treffen, um den Missbrauch der gekaperten Konten durch die Ermittler selbst zu verhindern – etwa das versehentliche Senden von Nachrichten. Auch die Frage, wie die Behörden mit der Tatsache umgehen, dass sie durch das Klonen von Accounts potenziell auch die Privatsphäre unbeteiligter Dritter verletzen, die mit der Zielperson kommunizieren, wird im Text nicht abschließend geklärt. Zudem bleibt offen, ob die Messenger-Anbieter selbst Kenntnis von dieser behördlichen Praxis haben oder ob sie aktiv versuchen, solche Zugriffe durch technische Änderungen an ihren Web-Clients zu unterbinden. Die genaue Abgrenzung zwischen den Befugnissen von Zoll und BKA bei der Nutzung dieser Methode bleibt ebenfalls vage.

Wie es weitergeht

Die Debatte über die Rechtmäßigkeit der behördlichen Überwachungsmethoden dürfte sich in den kommenden Monaten weiter verschärfen. Da mit der Einführung des „Account-Cloning“ als reguläres Ermittlungsinstrument beim ZKA seit August 2025 ein neuer Standard gesetzt wurde, ist zu erwarten, dass die ersten Gerichtsentscheidungen zu dieser Praxis mit Spannung erwartet werden. Sollten die Gerichte, wie von Experten wie Christian Rückert prognostiziert, Beweisverwertungsverbote aussprechen, könnte dies den Druck auf den Gesetzgeber erhöhen, die Rechtsgrundlagen für die Überwachung von Messengern grundlegend zu überarbeiten oder spezifische Spezialsoftware für die Ermittlungsbehörden zu fordern, die den rechtlichen Anforderungen entspricht. Die Diskrepanz zwischen der internen Nutzung der Methode und der öffentlichen Warnung vor Phishing-Gefahren wird zudem Gegenstand parlamentarischer Anfragen und kritischer Berichterstattung bleiben. Ob die Behörden ihre Praxis angesichts der rechtlichen Bedenken anpassen oder an der derzeitigen Methode festhalten, bleibt abzuwarten. Es ist davon auszugehen, dass die rechtliche Auseinandersetzung um die Quellen-TKÜ und die Online-Durchsuchung in Bezug auf Messenger-Dienste ein zentrales Thema der IT-Sicherheitspolitik bleiben wird.