"Klonen" - Polizeiliche Überwachung von Messengern

Theorie & Analyze
➣ (Anti-)Repression

Ein Ehepaar geht zur Polizei. Sie sollen als Zeugen über ihre Tochter aussagen. Die Beamten wollen die WhatsApp-Kommunikation mit der Tochter lesen. Sie bitten die Eltern um ihre Mobiltelefone. Die willigen ein, freiwillig.

Doch die Polizisten machen viel mehr, als sie sagen. Sie verschaffen sich dauerhaften Zugriff auf die WhatsApp-Konten. Sie richten WhatsApp Web auf einem Polizei-Computer ein. Den QR-Code zur Verifizierung scannen sie in den WhatsApp-Apps der Eltern. Ab diesem Zeitpunkt kann die Polizei auch alle zukünftigen WhatsApp-Nachrichten mitlesen, ebenso das Archiv aller WhatsApp-Nachrichten – ganz ohne Trojaner.

Messenger-Überwachung

Polizei und Geheimdienste dürfen Staatstrojaner einsetzen, um Messenger wie WhatsApp abzuhören. Doch sie können verschlüsselte Messenger auch mitlesen, ohne die Geräte zu hacken. Vor fünf Jahren haben wir ein Dokument vom Bundeskriminalamt veröffentlicht, das diese Überwachungs-Methode beschreibt.

Jetzt können wir belegen, dass eine weitere Behörde die Methode einsetzt. Das Zollkriminalamt hat die Messenger-Überwachung vor einem Jahr dauerhaft eingeführt. Wir veröffentlichen ein eingestuftes Dokument: Verfügung zur dauerhaften Einführung der Messenger-Überwachung im Zoll.

Ohne Staatstrojaner

Der Zoll beschreibt die Messenger-Überwachung als Möglichkeit, „über Instant Messenger ausgetauschte Daten aufzuzeichnen, ohne das IT-System mit einer Überwachungs-Software (Quellen-TKÜ) infiltrieren zu müssen“.

Das Zollkriminalamt hat die Überwachungs-Methode „seit Ende des Jahres 2023 […] im Rahmen eines Modellversuchs erprobt“. Demnach hat „sich das Einsatzmittel bewährt und zu erheblichen Ermittlungserfolgen im Bereich der schweren und organisierten Kriminalität geführt“.

Seit August 2025 „steht die Messenger-Überwachung nunmehr dauerhaft den Ermittlungseinheiten des Zolls […] zur Verfügung“. Dafür nutzt der Zoll „die technische Amtshilfe anderer Bundesbehörden“.

Angriff mit Phishing

Die Behörden nutzen dafür Standard-Tools der Messenger-Anbieter. WhatsApp, Telegram und Threema bieten Web-Clients an, Signal eine Desktop-Software. Die Ermittler richten damit einfach einen zweiten Zugang zum Konto der Zielpersonen ein.

Das bestehende Konto muss die Anmeldung des zweiten Geräts bestätigen. Viele Messenger übertragen den Bestätigungs-Code innerhalb ihrer App. Angreifer können diese Codes zum Beispiel mit Phishing ergaunern.

Anfang des Jahres hat „ein wahrscheinlich staatlich gesteuerter Cyberakteur Phishing-Angriffe über Messengerdienste, insbesondere Signal“ durchgeführt. Das Bundesamt für Verfassungsschutz und das Bundesamt für Sicherheit in der Informationstechnik warnen vor einer Übernahme von Messenger-Konten mit dieser Methode.

Angriff mit Gerät

Polizei und Ermittler haben weitere Möglichkeiten, den Bestätigungs-Code abzufangen. Zum Beispiel, wenn sie Zugriff auf das Gerät und die App der Zielperson haben.

Beim oben erwähnten Ehepaar haben die Polizisten den für einen anderen Zweck erteilten Zugang zum Gerät ausgenutzt:

Am 12. Januar 2020 kam es zur Vernehmung der Eheleute P. Im Rahmen der Vernehmung überließen P. den Vernehmungsbeamten freiwillig für einen kurzen Zeitraum ihre mitgeführten Mobiltelefone, damit darauf enthaltene Nachrichten von ihrer Tochter eingesehen und u.a. fotografiert werden konnten.

Im Zuge der Fertigung von entsprechenden Fotos konnte die computerbasierte Anwendung WhatsApp Web, über eine vom BKA online zur Verfügung gestellte Internetseite verdeckt aktiviert werden, sodass die Nachrichten über einen BKA Rechner (sic!) mitgelesen werden können. Es liegt kein Eingriff in Form eines Trojaners o.ä. vor.

Angriff mit SMS

Einige Messenger verschicken den Bestätigungs-Code auch unverschlüsselt, zum Beispiel per SMS. Ermittler können diese SMS mit einer normalen Telefonüberwachung abfangen.

Das Bundeskriminalamt hat sich mit dieser Methode in Dutzenden Fällen Zugriff auf Telegram-Konten verschafft, zum Beispiel bei der neonazistischen Terrororganisation Oldschool Society.

In Niedersachsen überwachte die Polizei einen Doping-Dealer mit dieser Methode:

In der Nacht des 30. März 2022 nahmen Polizeibeamte eine „Aufschaltung“ des vom Beschuldigten genutzten Telegram-Accounts vor.

Geräte prüfen - Eine Notwendigkeit

Betroffene Konten-Inhaber können diese Überwachungs-Maßnahme erkennen. Die Messenger-Anbieter empfehlen, mit dem Konto verknüpfte Geräte regelmäßig zu überprüfen: Signal, WhatsApp, Telegram, Threema.

Auch Verfassungsschutz und BSI empfehlen: „Überprüfen Sie regelmäßig die Liste der Geräte, die Zugriff auf Ihr ‚Signal’-Konto haben. […] Entfernen Sie unbekannte Geräte umgehend.“

Der Doping-Dealer in Niedersachsen hat diesen Rat befolgt. Nachdem sich die Polizei Zugriff auf sein Telegram-Konto verschaffte, hat „er die Maßnahme wenige Stunden später [unterbunden]“. Da hatte die Polizei sein Nachrichten-Archiv aber bereits kopiert.

Rechtsgrundlage umstritten

Diese Methode der Messenger-Überwachung ist bisher wenig bekannt. Kein Parlament hat darüber entschieden, kein Gesetzgeber hat ein Gesetz dazu beschlossen. Die Ermittlungsbehörden interpretieren andere Gesetze als Rechtsgrundlage für die Messenger-Überwachung. Doch Juristen und Gerichte widersprechen der Polizei.

Professor Dr. Christian Rückert ist Rechtswissenschaftler und Inhaber des Lehrstuhls für Strafrecht, Strafprozessrecht und IT-Strafrecht an der Universität Bayreuth. Er hat die wohl gründlichste rechtliche Analyse zur Messenger-Überwachung verfasst, im juristischen Standardwerk Münchener Kommentar zur Strafprozessordnung.

Wir veröffentlichen den Abschnitt: Zugriff auf Messenger-Chats durch „Klonen“ eines Accounts (Account-Cloning).

Keine Telefonüberwachung

Einige Juristen haben versucht, die Messenger-Überwachung als normale Telekommunikationsüberwachung einzustufen. So sah es auch der Generalbundesanwalt beim getäuschten Ehepaar im Jahr 2020.

Der Ermittlungsrichter beim Bundesgerichtshof beschloss damals, der Paragraf zur Telekommunikationsüberwachung sei „einschlägige gesetzliche Anordnungsgrundlage für diese spezifische Überwachungstechnik“.

Doch diese Rechtsauffassung wurde höchstrichterlich gekippt. Der Bundesgerichtshof entschied im Januar: Der Rechtsauffassung des Ermittlungsrichters „ist […] nicht zu folgen“.

Bei der Überwachung und Aufzeichnung von Telegram-Chats durch heimliche Aufschaltung ohne Einbeziehung des Informationsdiensteerbringers oder Nutzers handelt es sich um eine Quellen-Telekommunikationsüberwachung.

Pikant: Der Bundesgerichtshof beschloss diese Entscheidung am 20. Januar 2026. Der Zoll stützte sich noch einen Monat später – am 20. Februar – auf die veraltete und ungültige Rechtsauffassung.

Keine Quellen-TKÜ

Die gesetzliche Regelung der Quellen-TKÜ erlaubt nur das Ausleiten aktueller Kommunikation. Zunächst betraf das ausschließlich laufende Kommunikation, mittlerweile auch gespeicherte Kommunikation ab richterlicher Anordnung. Ermittler müssen „technisch sicherstellen“, dass darüber hinausgehende Inhalte nicht überwacht und aufgezeichnet werden können.

Die Messenger-Anbieter kennen diese Einschränkung nicht – ihre Tools sind nicht für die Polizei gemacht. Die meisten Web-Clients übermitteln beim Einrichten eines neuen Geräts das vollständige Archiv aller Nachrichten. Verfassungsschutz und BSI warnen für Signal: „Die Angreifer […] bekommen zusätzlichen Zugriff auf die Nachrichteninhalte der letzten 45 Tage.“

Polizei und Ermittler dürfen bei einer Quellen-TKÜ keine alten Nachrichten übermitteln. Und sie dürfen keine Technik einsetzen, die alte Kommunikation überhaupt übermitteln kann. Die Tools der Anbieter sind daher für eine Quellen-TKÜ nicht zulässig.

Diese Rechtsauffassung betont auch Professor Rückert in seinem Kommentar. Für den Strafrecht-Experten ist klar: Messenger-Überwachung durch Nutzung der Anbieter-Tools ist keine Quellen-TKÜ, sondern ein Spezialfall der Online-Durchsuchung.

Äußerst problematisch

Das Gesetz stellt eine weitere Anforderung sowohl an die Quellen-TKÜ als auch an die Online-Durchsuchung, die bei der Messenger-Überwachung nicht immer eingehalten wird. Ermittler dürfen am Ziel-System „nur Veränderungen [vornehmen], die für die Datenerhebung unerlässlich sind“. Das müssen sie „technisch sicherstellen“.

Auch diese Einschränkung kennen die Tools der Messenger-Anbieter nicht. Die Web-Clients übertragen nicht nur Kommunikations-Inhalte, sondern auch Kontakt-Listen. Verfassungsschutz und BSI warnen: Angreifer können mit einem geklonten Account nicht nur mitlesen, sondern „im Namen der Zielperson Nachrichten verschicken“.

Keine Auskunft

Die Behörden täuschen Opfer, stützen sich auf problematische Rechtsauffassungen – und sie verweigern eine öffentliche Diskussion. Das Zollkriminalamt warnt intern: „Um das Einsatzinstrument für die Sicherheitsbehörden in Deutschland nicht zu gefährden, ist eine äußerst sensible Behandlung auch im Zoll erforderlich. Es gilt der Grundsatz ‚Kenntnis, nur wenn nötig’.“

Wir haben Zollkriminalamt und Bundeskriminalamt eine Reihe an Fragen zur Messenger-Überwachung gestellt. Wir wollten wissen, seit wann und wie oft sie die Überwachungs-Methode einsetzen, was die Rechtsgrundlage dafür ist, ob das BGH-Urteil von diesem Jahr etwas geändert hat und wie sie die gesetzlichen Anforderungen „technisch sicherstellen“.

Der Zoll sagt nur: „Die von Ihnen erbetenen Informationen sind als Verschlusssache eingestuft und können nicht veröffentlicht werden.“

Das BKA sagt: „Bitte haben Sie Verständnis, dass wir im Bereich der informationstechnischen Überwachung grundsätzlich keine Auskünfte erteilen.“ Im Übrigen „richtet sich das BKA stets nach der aktuellen Gesetzeslage sowie deren Auslegung durch die Gerichte“.

Auskunft unzumutbar

Da die Behörden der Presse eine Antwort verweigern, haben wir im Bundestag nachfragen lassen. Leider konnten wir keinen Abgeordneten einer Regierungspartei finden, der die Bundesregierung dazu befragen wollte.

Also haben wir die Opposition gebeten. Der grüne Innenpolitiker Marcel Emmerich hat die Bundesregierung gefragt, wie oft Ermittlungsbehörden die Messenger-Überwachung eingesetzt haben.

Das Justizministerium hat nur für den Generalbundesanwalt geantwortet, Polizei und Zoll ignoriert es. Trotzdem verweigert das Ministerium eine inhaltliche Antwort: „Eine Beantwortung der Frage [kann] wegen des unzumutbaren Aufwandes, der mit der Beantwortung verbunden wäre, nicht erfolgen.“

Digitale Selbstverteidigung - Each one teach one

Es ist schwer den Überblick über die zahlreichen technischen Angriffsvektoren auf unsere Mittel der Kommunikation zu behalten. Daher ist es umso wichtiger, existierendes Wissen zu teilen. Neben vielen anderen Aspekten zugleich berücksichtigen, je weniger Daten erzeugt werden, desto weniger Daten können im Zweifelsfall ermittlungstaktisch genutzt werden. 

Leicht veränderte Version von netzpolitik.org