FBI und CISA haben am 26. Juni 2026 eine aktualisierte Warnung zu einer laufenden Phishing-Kampagne russischer Nachrichtendienste veröffentlicht. Die Angreifer haben es auf Konten von Messenger-Diensten abgesehen, allen voran Signal. Die zentrale Neuerung gegenüber der ersten Warnung vom März: Statt einmaliger Verifizierungscodes wollen die Täter inzwischen den Backup Recovery Key der Opfer. Das ist eine deutliche Verschärfung, denn dieser Schlüssel öffnet nicht nur das aktuelle Konto, sondern den gesamten Nachrichtenverlauf und bleibt dauerhaft gültig.

Wer dahintersteckt

Das FBI ordnet die Aktivität mehreren Gruppen russischer Nachrichtendienste zu, die jetzt öffentlich unter den Bezeichnungen UNC5792 und UNC4221 geführt werden. UNC5792 steht in Verbindung mit dem russischen Inlandsgeheimdienst FSB, konkret mit Offizieren der FSB-Grenztruppen. UNC4221 handelt im Auftrag der russischen Streitkräfte. Google Threat Intelligence Group hatte UNC5792 bereits Anfang 2025 dabei beobachtet, wie die Gruppe Signals Funktion für verknüpfte Geräte missbrauchte, später dann auch bei WhatsApp und Telegram.

Das US-Außenministerium hat parallel zur Warnung über sein Programm Rewards for Justice eine Belohnung von bis zu 10 Millionen US-Dollar für Hinweise zu UNC5792 ausgesetzt. Das zeigt, wie ernst die Behörden die Kampagne nehmen. Die Aktivität deckt sich mit früheren Warnungen der niederländischen Dienste AIVD und MIVD, des deutschen BfV und BSI sowie der französischen ANSSI.

Wer im Visier ist

Die Kampagne richtet sich gezielt gegen Personen mit hohem nachrichtendienstlichen Wert. Dazu zählen aktuelle und ehemalige Regierungsmitarbeiter aus den USA und dem Ausland, Militärangehörige, Politiker, Journalisten sowie Schlüsselpersonen in der Ukraine. Laut der März-Warnung wurden weltweit bereits Tausende einzelne Konten kompromittiert. Wichtig zu verstehen: Es handelt sich um Angriffe auf einzelne Nutzerkonten, nicht auf die Verschlüsselung von Signal oder die App selbst. Die Ende-zu-Ende-Verschlüsselung wurde nicht gebrochen. Die Angreifer umgehen sie schlicht, indem sie den legitimen Zugang übernehmen.

Die Täter geben sich als automatisierter Support-Account von Signal aus. In der aktuellen Welle führen sie ihre Opfer Schritt für Schritt dazu, Backups zu aktivieren, den Backup Recovery Key aufzurufen und ihn in den Chat einzufügen. Die veröffentlichten Beispielnachrichten nutzen zwei Vorwände. Die eine tarnt sich als angeblich verpflichtende Umstellung auf Zwei-Faktor-Verifizierung, die andere als dringende Datenrettung für Nachrichten, die angeblich verloren zu gehen drohen. In beiden Fällen läuft es auf dasselbe hinaus: Das Opfer soll den Recovery Key preisgeben.

Sobald ein Opfer den Schlüssel teilt, kann der Angreifer das Backup wiederherstellen, den kompletten Verlauf aus Einzel- und Gruppenchats lesen und das Konto übernehmen. Frühere Wellen zielten auf Verifizierungscodes, PINs oder präparierte Einladungslinks, mit denen ein Angreifergerät unbemerkt als verknüpftes Gerät hinzugefügt wurde. Das reichte, um künftige Nachrichten mitzulesen. Der Zugriff auf den Recovery Key geht deutlich weiter.

Warum das besonders gefährlich ist

Der Backup Recovery Key bleibt gültig, auch wenn das Opfer den Angriff bemerkt und ein neues Konto anlegt. Selbst wenn dabei dieselbe Telefonnummer verwendet wird, kann der Angreifer den einmal erbeuteten Schlüssel später erneut gegen das neue Konto einsetzen. Ein einmaliger Fehler wirkt also dauerhaft nach.

Wer den Schlüssel weitergegeben hat, muss in den Einstellungen einen neuen Backup Recovery Key erzeugen. Das macht den alten Schlüssel für alle künftigen Backup-Downloads ungültig. Zu beachten ist aber: Das verhindert nicht, dass der Angreifer bereits eine Kopie des ursprünglichen Backups heruntergeladen hat. Was einmal abgeflossen ist, bleibt kompromittiert.