Ende-zu-Ende-Verschlüsselung schützt Nachrichten auf dem Weg vom Absender zum Empfänger. Sie schützt aber nicht davor, dass jemand ein zweites Gerät mit eurem Konto verknüpft und ab dann alles mitliest. Genau das ist gerade Thema: Ein von netzpolitik.org veröffentlichtes, als Verschlusssache eingestuftes Dokument des Zollkriminalamts zeigt, dass deutsche Ermittlungsbehörden Messenger-Konten über die ganz normalen Web- und Desktop-Funktionen der Anbieter kapern. Die Technik dahinter ist dieselbe, die auch Geheimdienste und kriminelle Phisher nutzen. Und genau deshalb ist das für jede Privatperson und jedes Unternehmen relevant, unabhängig davon, wer der Angreifer ist.

Was ist Account-Cloning?

WhatsApp, Telegram und Threema bieten Web-Clients an, Signal eine Desktop-Software. Damit können Messenger auf einem zweiten Gerät genutzt werden, etwa am Laptop. Beim Einrichten wird das neue Gerät mit einem Konto verknüpft. Ab diesem Moment laufen alle Nachrichten parallel auf beiden Geräten.

Beim Account-Cloning meldet sich ein Angreifer mit einer Rufnummer bei einem Web-Client an und verknüpft heimlich sein eigenes Gerät mit dem Konto. Danach liest er alle ein- und ausgehenden Nachrichten in Echtzeit mit. Bei vielen Diensten wird beim Verknüpfen zusätzlich ein Teil der bisherigen Chats übertragen, sodass der Angreifer auch in eure Vergangenheit blicken kann. Für Signal warnen Verfassungsschutz und BSI konkret, dass ein geklontes Gerät Zugriff auf die Nachrichteninhalte der letzten 45 Tage erhält.

Wie kommt der Angreifer an die Bestätigung?

Damit ein zweites Gerät verknüpft werden kann, muss die Anmeldung bestätigt werden. Genau an dieser Stelle setzen die Angriffe an, und dafür gibt es mehrere Wege.

Der erste Weg ist Phishing. Viele Messenger übertragen den Bestätigungscode innerhalb der App. Wer die Zielperson mit einer manipulierten Nachricht dazu bringt, einen QR-Code zu scannen oder einen Code weiterzugeben, autorisiert damit unbemerkt das Gerät des Angreifers. Anfang 2026 hat ein wahrscheinlich staatlich gesteuerter Cyberakteur genau so Phishing-Angriffe über Signal gefahren, gezielt gegen Menschen aus Politik, Militär, Diplomatie und Investigativjournalismus. Auch der Fall der Bundestagspräsidentin Julia Klöckner, deren Signal-Konto laut Berichterstattung gekapert wurde, geht auf eine Phishing-Nachricht zurück, über die ein verknüpftes Gerät autorisiert wurde.

Der zweite Weg ist der kurzzeitige Zugriff auf das entsperrte Smartphone. Wer das Gerät auch nur für einen Moment in der Hand hat, kann in den Einstellungen ein neues Gerät koppeln oder einen QR-Code vom Bildschirm scannen.

Der dritte Weg ist das Abfangen einer SMS. Einige Dienste verschicken den Bestätigungscode unverschlüsselt per SMS. Diese lässt sich mit einer klassischen Telefonüberwachung abgreifen.

Das Verfahren nutzt keine Sicherheitslücke und keine Schadsoftware. Es missbraucht legitime Funktionen der Messenger. Deshalb funktioniert es geräteübergreifend und hinterlässt auf den ersten Blick keine Spuren. Der einzige verlässliche Hinweis ist die Liste der verknüpften Geräte in der App.

Für Unternehmen kommt eine besondere Brisanz hinzu: Wenn Mitarbeitende geschäftliche Absprachen über WhatsApp, Signal oder Telegram führen, kann ein einziges geklontes Konto ganze Projektgruppen, Kundendaten und interne Kommunikation offenlegen. Und da ein geklontes Gerät technisch auch im Namen der Zielperson Nachrichten verschicken kann, drohen zusätzlich Identitätsmissbrauch und Social-Engineering-Folgeangriffe auf Kontakte.

Der rechtliche Streit im Hintergrund

Der Zoll setzt die Methode laut dem geleakten Dokument seit August 2025 dauerhaft ein, nach einem Modellversuch seit Ende 2023. Rechtlich ist das umstritten. Der Bundesgerichtshof entschied am 20. Januar 2026, dass das heimliche Aufschalten auf einen Messenger-Account als Quellen-Telekommunikationsüberwachung zu werten ist und die zuvor herangezogene Rechtsgrundlage nicht trägt. Der IT-Strafrechtler Christian Rückert hält den Einsatz der Anbieter-Tools für eine solche Überwachung für unzulässig, weil sie technisch nicht sicherstellen, dass nur laufende Kommunikation erfasst wird und keine Nachrichten im Namen der Betroffenen verschickt werden können. Das ZKA stützte sich in seiner Verfügung vom 20. Februar 2026 dennoch weiter auf die vom BGH bereits gekippte Auffassung. Diese juristische Debatte ändert für euch als Nutzer nichts an der Technik, aber sie zeigt, wie unauffällig und wie umfassend ein solcher Zugriff sein kann.