KI · Dieser Artikel wurde mit Unterstützung von KI erstellt.
Die meisten WhatsApp-Übernahmen kommen ohne Schadsoftware aus. Angreifer bringen das Opfer dazu, einen Bestätigungscode herauszugeben oder unter „Verknüpfte Geräte“ ein neues Gerät freizugeben, und nutzen dann die Funktionen von WhatsApp selbst. Ob Sie den Zugriff verloren haben oder noch im Konto sind, bestimmt den ersten Schritt.
Schnell-Checkliste zur Wiederherstellung
- Zugriff verloren? Registrieren Sie WhatsApp auf Ihrem Smartphone neu, mit Ihrer Nummer und dem sechsstelligen Code. Damit werden alle anderen Geräte abgemeldet.
- Noch Zugriff? Öffnen Sie Einstellungen → Verknüpfte Geräte und melden Sie jedes Gerät ab, das Sie nicht kennen.
- Konto absichern: Aktivieren Sie die Verifizierung in zwei Schritten (je nach Konto mit PIN oder Passwort) und erwägen Sie einen Passkey.
- Kontakte warnen: per Anruf, SMS oder über einen anderen Messenger, bis Sie sicher sind, dass der Angreifer draußen ist. Erstatten Sie anschließend Anzeige.
Woran erkennen Sie, dass Ihr WhatsApp gehackt wurde?
Die Polizei warnt vor einem wiederkehrenden Köder: Eine Nachricht von einem bekannten Kontakt bittet um eine kurze Stimme, etwa bei einem Tanzwettbewerb oder einer Stipendienvergabe. Der Link führt auf eine professionell wirkende Seite, die nach der Telefonnummer und dann nach einem Code oder einem QR-Scan fragt. Laut der Polizeilichen Kriminalprävention (ProPK) reicht das, damit Angreifer das Konto auf einem eigenen Gerät registrieren oder mit ihm verknüpfen. An WhatsApp selbst ist nichts kaputt.
Es gibt zwei Übernahmemuster:
| Vollständige Übernahme per Code oder PIN | Stille Verknüpfung per QR- oder Kopplungscode | |
|---|---|---|
| Wie es passiert | Das Opfer gibt den sechsstelligen Bestätigungscode oder die PIN bzw. das Passwort der Zwei-Schritt-Verifizierung weiter, etwa an eine gefälschte Abstimmungsseite oder einen „Support“-Chat | Das Opfer scannt einen QR-Code oder gibt unter „Verknüpfte Geräte“ einen Kopplungscode ein, auf einer Seite, die sich als Abstimmung ausgibt |
| Opfer behält Zugriff | Nein, das Konto ist auf dem Gerät des Angreifers registriert | Ja, das Konto funktioniert normal weiter |
| Was der Angreifer erhält | Neue Nachrichten, Kontakte und Gruppen sowie die Möglichkeit, im Namen des Opfers zu schreiben | Dasselbe, dazu den auf das verknüpfte Gerät synchronisierten jüngeren Chatverlauf, ohne dass das Opfer etwas bemerkt |
Das BfV und das BSI beschrieben beide Muster in einem gemeinsamen Sicherheitshinweis vom 6. Februar 2026. Diese Kampagne richtete sich gegen Signal-Nutzer, vergleichbare Angriffe auf WhatsApp nannten die Behörden denkbar. Die Fake-Abstimmungen übertragen dieselben Methoden inzwischen auf WhatsApp.
Typische Anzeichen sind Hinweise von Kontakten auf Nachrichten, die Sie nie geschrieben haben (oft Geldforderungen), eine Meldung, dass Ihre Nummer auf einem neuen Gerät registriert wurde, eine plötzliche Abmeldung oder Nachrichten in Ihren Chats, die Sie nicht gesendet haben.
Wie stellen Sie ein gehacktes WhatsApp-Konto wieder her?
Wenn Sie keinen Zugriff mehr haben, öffnen Sie WhatsApp auf Ihrem Smartphone, geben Sie Ihre Nummer ein und bestätigen Sie den sechsstelligen Code per SMS oder Anruf. Laut WhatsApps Hinweisen zu gestohlenen Konten werden mit der Eingabe des Codes alle anderen Geräte abgemeldet, die das Konto nutzen, auch das des Angreifers.
Fragt WhatsApp danach nach einer PIN oder einem Passwort für die Verifizierung in zwei Schritten, das Sie nie festgelegt haben, hat der Angreifer sie vermutlich aktiviert. Dann müssen Sie in der Regel sieben Tage warten, bevor Sie sich ohne sie anmelden können. Der Angreifer bleibt in dieser Zeit abgemeldet.
Wenn Sie noch Zugriff haben, handelt es sich möglicherweise um eine stille Verknüpfung. Prüfen Sie dann die verknüpften Geräte wie unten beschrieben.
Sichern Sie danach das Konto ab. Aktivieren Sie die Verifizierung in zwei Schritten, sobald WhatsApp es zulässt. Im August 2026 hat Meta sie von einer sechsstelligen PIN auf ein vollständiges Passwort umgestellt, je nach Konto legen Sie also eine PIN oder ein Passwort fest. Ein Passkey ermöglicht zusätzlich die Anmeldung per Fingerabdruck, Gesicht oder Bildschirmsperre. Nutzen Sie nur die Wiederherstellung von WhatsApp selbst, keine „Wiederherstellungsdienste“ Dritter.
Wie prüfen und entfernen Sie verknüpfte Geräte in WhatsApp?
Mit „Verknüpfte Geräte“ lässt sich ein Konto auf bis zu vier weiteren Geräten nutzen, etwa auf einem Laptop oder Tablet. Genau diese Funktion missbrauchen Angreifer. Die Faktencheck-Seite Mimikama hat eine der Abstimmungsseiten analysiert und festgestellt, dass ihr letzter Schritt eine solche Verknüpfung autorisierte.
- Öffnen Sie die WhatsApp-Einstellungen: unter Android über das Drei-Punkte-Menü, auf dem iPhone über Einstellungen.
- Tippen Sie auf Verknüpfte Geräte. Jeder Eintrag sollte ein Gerät sein, das Sie kennen.
- Tippen Sie auf jeden unbekannten Eintrag und melden Sie ihn ab.
- Gehen Sie Ihre Chats nach Nachrichten durch, die Sie nicht geschrieben haben. Daran sehen Sie, ob der Angreifer in Ihrem Namen geschrieben oder nur mitgelesen hat.
Prüfen Sie die Liste auch nach einer Wiederherstellung. So bestätigen Sie, dass das Konto sauber ist, und finden Geräte, die Sie selbst verknüpft haben und nicht mehr nutzen.
Wie warnen Sie Kontakte nach einem WhatsApp-Hack?
Solange das Konto möglicherweise noch kompromittiert ist, kann der Angreifer mitlesen, was Sie darüber senden. Warnen Sie Ihre Kontakte deshalb per Anruf, SMS oder über einen anderen Messenger. ProPK empfiehlt eine kurze Nachricht, etwa: „Mein WhatsApp-Konto wurde übernommen. Bitte ignoriert vorerst Nachrichten von mir.“ Sobald Sie das Konto wiederhergestellt und abgesichert haben, ist eine zusätzliche Nachricht in WhatsApp-Gruppen in Ordnung.
- Warnen Sie einzelne Kontakte und jede Gruppe, in der das Konto ist.
- Bitten Sie sie, kein Geld und keine Codes zu senden und jede ungewöhnliche Bitte per Anruf bei Ihnen zu prüfen.
- Erstatten Sie Anzeige bei der Polizei, wie ProPK empfiehlt.
Bei den Geldforderungen entstehen die Schäden. Ein typisches Muster, beschrieben von Mimikama, ist eine Nachricht von einem gekaperten Konto, der Absender sei gerade beim Zahnarzt und seine Karte funktioniere nicht, gefolgt von der Bitte um eine dringende Überweisung. Im Unternehmen gilt dieselbe Regel: Nachrichten von einem echten, aber übernommenen Konto bestehen jede Absenderprüfung, deshalb muss die Prüfung über einen zweiten Kanal laufen.
Wann wird ein WhatsApp-Hack zum Sicherheitsvorfall im Unternehmen?
Eine private Übernahme wird zur Sache des Unternehmens, sobald dienstliche Informationen erreichbar waren. Eine praktische Abfolge für die betroffene Person und das Security-Team:
- Dienstliche Inhalte erfassen. Listen Sie dienstliche Chats und Gruppen im Konto auf, etwa zur Projekt-, Kunden- oder Schichtkoordination.
- Prüfen, wer angeschrieben wurde. Klären Sie, ob Kolleginnen und Kollegen, Kunden oder Partner Nachrichten, Geld- oder Code-Anfragen im Namen der Person erhalten haben.
- Einschätzen, was zugänglich war. Halten Sie fest, welche geschäftlichen Informationen in Chats, Dateien oder dem synchronisierten Verlauf standen.
- Über einen vertrauenswürdigen Kanal melden. Nutzen Sie den internen Melde-Button, eine E-Mail oder einen Anruf beim Security-Team, nicht das kompromittierte Konto.
- Betroffene warnen. Informieren Sie die in Schritt 2 ermittelten Kolleginnen, Kollegen und Partner über einen Kanal außerhalb des Kontos.
Wie können Teams eine WhatsApp-Übernahme sicher üben?
Die meisten dieser Vorfälle entscheiden sich in zwei Momenten. Eine Person erhält von einem vertrauten Kontakt die unerwartete Bitte, einen Code zu teilen, einen QR-Code zu scannen oder eine Geräteverknüpfung zu bestätigen. Oder jemand bemerkt seltsame Nachrichten und muss andere außerhalb von WhatsApp warnen. Schriftliche Leitfäden erklären, was zu tun ist, doch Mitarbeitende erkennen solche Anfragen zuverlässiger, wenn sie vorher realistische Beispiele gesehen haben. Den Unterschied zwischen Lesen und Üben erklärt unser Beitrag dazu, warum KI-Phishing klassische Schulungen bricht.
Eine sinnvolle Übung deckt die ganze Abfolge ab: eine vertrauenswürdig wirkende Anfrage, das Erkennen und Ablehnen, das Melden und das Warnen von Kolleginnen und Kollegen über einen zweiten Kanal. Wer neben Klicks auch Meldungen zählt, sieht, ob sich diese Gewohnheit bildet.
So unterstützt revel8
revel8 führt Multi-Channel-Phishing-Simulationen über die Kanäle durch, die Angreifer nutzen, darunter E-Mail, SMS, Anrufe, WhatsApp und Deepfake-Video. Mitarbeitende können die Anfragen aus diesem Artikel üben: eine unerwartete Bitte um einen Bestätigungscode, eine Fake-Abstimmung von einem bekannten Kontakt, eine Aufforderung zur Geräteverknüpfung oder einen Identitätsbetrug. Die Szenarien werden mit OSINT und Threat Intelligence personalisiert, und zu jeder Simulation gehört ein kurzes Microlearning zu den übersehenen Signalen.
