Der Reiz der Messenger liegt für die Angreifer im Vertrauensvorsprung: In der E-Mail erwarten Beschäftigte bösartige Nachrichten, in verschlüsselten Diensten wie WhatsApp und Signal dagegen kaum. Genau diese Erwartung und die Eile, mit der Sofortnachrichten geöffnet und beantwortet werden, nutzen staatliche Gruppen aus.
Die deutschen Behörden beschrieben zwei Vorgehensweisen. In einigen Fällen gaben sich die Angreifer als offizielles Support-Team oder Support-Chatbot von Signal aus und schickten dringende Sicherheitswarnungen, die den Verlust der eigenen Daten in Aussicht stellten — Ziel war die Herausgabe der Konto-PIN. In anderen Fällen wurden die Betroffenen unter beliebigen Vorwänden dazu gebracht, QR-Codes zu scannen, ohne zu erkennen, dass sie damit die Geräte der Angreifer mit ihren Konten verknüpften.
“Es gibt definitiv einen Trend, dass Bedrohungsakteure die Kommunikation bei ihren Phishing-Angriffen aus der E-Mail heraus verlagern”, sagt Volexity-Präsident Steven Adair. Der erste Kontakt erfolge teils über Signal, WhatsApp, Telegram oder LINE, teils beginne er per E-Mail, um dann auf andere Plattformen zu wechseln. Verbreitet sei das unter russischen, chinesischen und iranischen Akteuren, weil der Wechsel “die eigentliche detaillierte Kommunikation und die Phishing-Köder häufig außerhalb der Sichtbarkeit der Sicherheitsüberwachung platziert”. Zudem ließen sich Nachrichten in vielen dieser Kanäle löschen — anders als bei E-Mail.
Die Signal-Kampagne in Deutschland war überraschend erfolgreich. Bundeskanzler Friedrich Merz kompromittierten die Angreifer nicht, Bundestagspräsidentin Julia Klöckner hingegen schon. In den Wochen und Monaten danach stellte eine Reihe weiterer EU-Regierungen fest, ebenfalls im Visier zu stehen: Anfang März meldete die niederländische Regierung Angriffe über WhatsApp und Signal auf Würdenträger, Militärangehörige und Beamte. Etwa zur gleichen Zeit drängte die Europäische Kommission eine Gruppe hoher Beamter, eine Signal-Gruppe aufzugeben, weil sie kompromittiert sein könnte.
Den aus seiner Sicht wichtigeren Befund verortet Collin Hogue-Spears, Senior Director Solution Management bei Black Duck, unterhalb der Schlagzeile: Es gebe kein gemeinsames System für den Austausch sensibler und klassifizierter Dokumente zwischen den EU-Institutionen, die darunterliegenden Sicherheitsarchitekturen unterschieden sich. Ohne gemeinsame sichere Plattform absorbierten Consumer-Messenger weiter den dienstlichen Verkehr — “die Bedingung, von der jede einzelne dieser Kampagnen abhängt”. Das Abschalten eines Signal-Gruppenchats helfe wenig: “Wer eine App aus einem Arbeitsablauf entfernt, entfernt die App, nicht den Arbeitsablauf.” Er empfiehlt einen selbst betriebenen Messenger auf Basis des Matrix-Protokolls, mit Identitäten aus dem Regierungsverzeichnis und Geräteregistrierung über Mobile Device Management — sowie eine klare Regel: Signal und WhatsApp seien für Terminorganisation zuständig und nichts weiter.
Einige EU-Staaten gehen diesen Weg bereits. Frankreich, Deutschland und Belgien haben in dieser Reihenfolge eigene Messenger-Dienste eingeführt; laut Politico verfolgen Luxemburg, Polen und die Niederlande ähnliche Projekte. Die Europäische Kommission schrieb in einem “Cyber Blueprint” von 2025, EU-Einrichtungen sollten sich bis Ende 2026 auf ein interoperables Set sicherer Kommunikationslösungen verständigen — für Sprache, Daten, Videokonferenzen, Messaging sowie Zusammenarbeit und Dokumentenaustausch, mit Grundsätzen wie technologischer Souveränität, Ende-zu-Ende-Verschlüsselung, Zertifizierung durch europäische Stellen und Post-Quanten-Kryptografie.
Eine Garantie sind hausgemachte Apps nicht: Frankreichs Vorreiter Tchap startete 2019 und wurde 2025 für Beamte verpflichtend. 2026, als alle Regierungskommunikation an einem Ort zusammenlief, wurde dieser Ort kompromittiert. Berichten zufolge gelangten drei Jahre sensibler Kommunikation von 73.000 Regierungsbeschäftigten ins Darknet.