Phishing-Angriffe auf Messaging-Dienste sind keine neuen Phänomene, doch das Ausmaß und die Zielgruppe dieser Kampagne sind bemerkenswert. Die Angreifer setzten auf eine bewährte Taktik: Die Opfer erhielten Nachrichten von einem gefälschten Signal-Sicherheits-Chatbot, der sie vor verdächtigen Aktivitäten auf ihren Konten warnte und zur sofortigen Aktion aufforderte. Wer den Anweisungen folgte — etwa durch die Eingabe einer PIN oder das Scannen eines QR-Codes — verband damit sein Signal-Konto unwissentlich mit einem externen Gerät unter Kontrolle der Angreifer.
Damit verschafften sich die Cyberkriminellen Zugriff auf Chatverläufe, laufende Gespräche, Adressbücher und weitere gespeicherte Daten. Ein besonders perfides Detail: Die Attacke nutzt das von Signal selbst angebotene Feature der „Linked Devices” aus — eine Funktion, die normalerweise für legitime Nutzung gedacht ist.
Bereits im Februar hatten BSI und BfV vor dieser Kampagne gewarnt und sie einem staatlich kontrollierten Akteur zugeordnet. Bundesweit wurden mehrere Politiker persönlich kontaktiert, um sie vor möglichen Angriffen zu warnen. Damit handelte es sich nicht um überraschend plötzliche Attacken, sondern um eine koordinierte Kampagne, die deutschen Behörden bereits bekannt war.
Die Verdächtigungen gegen Russland stützen sich auf Erkenntnisse mehrerer Geheimdienste. Auch die niederländischen Geheimdienste warnten im März, dass „russische staatliche Hacker eine großflächige weltweite Cyber-Kampagne durchführen, um Zugang zu Signal- und WhatsApp-Konten von Würdenträgern, Militärangehörigen und Beamten zu erlangen.” Neben niederländischen Regierungsangestellten könnten auch Journalisten Ziele gewesen sein.
Die russische Botschaft in Berlin lehnte eine Stellungnahme ab. Moskau bestreitet kontinuierlich, in Spionageaktivitäten verwickelt zu sein. Die angespannte deutsch-russische Beziehung verschärft die Situation zusätzlich.
Für Unternehmen und Behörden in Deutschland ergibt sich daraus eine dringliche Handlungsempfehlung: Mitarbeiter sollten verstärkt für Phishing-Attacken sensibilisiert werden, auch wenn die Absender bekannte Dienste zu sein scheinen. Zwei-Faktor-Authentifizierung und regelmäßige Sicherheitsupdates bleiben essentiell. Die Meldepflicht gemäß DSGVO verpflichtet betroffene Organisationen zur Benachrichtigung der Aufsichtsbehörden sowie potenziell der BfDI bei personenbezogenen Daten.