Messenger-Apps sind zum Hauptkanal für Phishing und Spyware geworden

Messenger-Apps wurden für Geschwindigkeit, Komfort und Privatsphäre entwickelt.

Plattformen wie Signal, Telegram und WhatsApp bieten Ende-zu-Ende-Verschlüsselung, sofortige Zustellung und ein Gefühl persönlicher Nähe, das E-Mails nur selten erzeugen. Leider haben genau diese Eigenschaften Messenger zu einem der wirksamsten Kanäle für Phishing, Social Engineering und die Verbreitung von Spyware gemacht.

Zwischen Januar 2024 und November 2025 dokumentierte die CISA einen Anstieg von 347 % bei Social-Engineering-Vorfällen über Messenger, die Sektoren kritischer Infrastruktur betrafen. Das belegt: Verschlüsselung schützt Daten auf dem Transportweg, kann aber weder manipulierte Nutzende noch kompromittierte Geräte absichern.

Warum sind Messenger für Angreifende so attraktiv?

Vertrauen und Informalität

Nachrichten, die über Chat-Apps eintreffen, wirken persönlich und informell.

Nutzende reagieren auf eine unerwartete Nachricht im Messenger deutlich eher als auf eine verdächtige E-Mail. Diese geringere Skepsis macht es Angreifenden leichter, Gespräche zu beginnen, schadhafte Links zu verschicken oder Betroffene zu übereilten Handlungen zu bewegen.

Umfangreiche persönliche Daten ermöglichen Präzision

Die Wirksamkeit von Phishing über Messenger wird durch großflächige Datenlecks und Enumeration-Schwachstellen zusätzlich verstärkt.

So wurden etwa WhatsApp-Nutzerdaten wie aktive Telefonnummern, Namen, Profilbilder und Statustexte in enormem Umfang offengelegt. Mit diesen Informationen können Angreifende hochgradig personalisierte Nachrichten verfassen, die schon beim ersten Kontakt glaubwürdig wirken statt generisch oder zufällig.

Eingebaute Funktionen lassen sich missbrauchen

Moderne Messenger-Apps bringen Funktionen mit, die den Alltag erleichtern sollen: verknüpfte Geräte, Anmeldung per QR-Code, Cloud-Backups und plattformübergreifende Synchronisierung.

Es gibt Berichte, wonach Angreifende diese Funktionen wiederholt missbraucht haben, um unbemerkt nicht autorisierte Geräte mit den Konten Betroffener zu verknüpfen oder Nutzende auf Phishing-Seiten zu leiten, die legitime Einrichtungsbildschirme täuschend echt nachbilden. In diesen Fällen bleibt die Verschlüsselung intakt, spielt aber keine Rolle mehr: Die angreifende Person liest die Nachrichten schlicht auf ihrem eigenen verknüpften Gerät mit.

Gefälschte Apps und trojanisierte Software

Eine weitere Taktik nimmt zu: das Verbreiten gefälschter Versionen beliebter Apps.

Diese Apps sehen legitim aus, enthalten aber Spyware, die Nachrichten, Kontakte, Mikrofonaufnahmen und weitere sensible Daten abgreifen kann. Telegram-Kanäle haben sich dabei als besonders wirksamer Verbreitungsweg etabliert, weil sich dort legitime Inhalte und schadhafte Nachahmungen vermischen.

Vom Phishing zur vollständigen Kompromittierung des Geräts

Die CISA warnt, dass Angreifende Social Engineering zunehmend mit kommerzieller Spyware und Fernzugriffswerkzeugen kombinieren.

Eine einzige täuschende Nachricht kann zur Kontosübernahme oder zur Installation von Spyware eskalieren. In mehreren jüngeren Kampagnen wurden offengelegte WhatsApp-Schwachstellen auf iOS-Geräten in Zero-Click-Angriffen ausgenutzt, bei denen Betroffene weder einen Link öffnen noch überhaupt mit einer Nachricht interagieren mussten.

Solche Operationen richten sich zwar häufig gegen besonders lohnende Ziele, die Techniken finden aber früher oder später den Weg in die breite kriminelle Nutzung.

Ein Betrugsmodell, das sich jedem Opfer anpasst

Diese Art von Angriff ist nicht neu.

Es handelt sich um eines der ältesten Betrugsmodelle, immer wieder neu auf das jeweilige Opfer zugeschnitten.

Bei den einen tritt es als berufliche Chance auf. Bei den anderen als besonders günstiges Preisangebot.

Verändert hat sich der Realismus. Mit KI-generierten Bildern, Voice Cloning, Deepfakes und Zugriff auf geleakte persönliche Daten können Betrügende heute Identitäten erschaffen, die überzeugender wirken als je zuvor. 

{{quote}}

Wer wird angegriffen – und warum?

Dokumentierte Betroffene gehören meist zu besonders lohnenden Zielgruppen: Regierungs- und Militärangehörige, Journalistinnen und Journalisten, Führungskräfte in kritischen Sektoren sowie Mitglieder zivilgesellschaftlicher Organisationen. Sie nutzen verschlüsselte Messenger als schnelle und weniger formelle Alternative zur E-Mail und verlagern sensible Gespräche standardmäßig dorthin.

Da starke Verschlüsselung inzwischen verbreitet ist, versuchen Angreifende gar nicht mehr, sie zu brechen. Stattdessen konzentrieren sich staatsnahe Gruppen auf die einfacheren Wege: Nutzende täuschen, Schwachstellen in Geräten ausnutzen und geleakte persönliche Daten verwenden, um Zugriff zu erlangen, ohne die Verschlüsselung selbst anzutasten.

Fazit

Eine wichtige Erkenntnis: Sichere Messenger garantieren keine sichere Kommunikation.

Verschlüsselung schützt Nachrichten auf dem Transportweg, aber sie schützt nicht vor kompromittierten Geräten, geleakten persönlichen Daten oder manipulierten Nutzenden. Messenger-Plattformen sind gerade deshalb zum idealen Zustellkanal für Phishing und Spyware geworden, weil Menschen ihnen vertrauen.

In Kombination mit massiven Datenlecks, KI-gestützter Identitätsvortäuschung und ausgefeiltem Social Engineering wird dieses Vertrauen zum Risiko.

Solange Angreifende die Lücke zwischen Komfort und Sicherheit ausnutzen, hängt wirksame Verteidigung nicht allein von Technologie ab, sondern ebenso von Verhalten und Wissen: Skepsis gegenüber unerwarteten Nachrichten, Vorsicht bei Links und Apps.

Aus diesem Grund führen wir inzwischen Phishing-Simulationen direkt in Messenger-Plattformen durch – im Bewusstsein, dass Messenger zu einer primären Angriffsfläche geworden sind und nicht zu einer nachrangigen.