Russland für Signal-Phishing-Angriffe auf deutsche Beamte verantwortlich gemacht
Deutschland hat eine ausgeklügelte Phishing-Kampagne offiziell russischen staatlich geförderten Akteuren zugeschrieben, nachdem Hunderte hochrangige Ziele, darunter Bundesminister, Mitglieder des Bundestages und Diplomaten, ihre Signal-Konten kompromittiert hatten. Der Generalbundesanwalt hat ein formelles Spionageermittlungsverfahren eingeleitet und den Vorfall als einen der bedeutendsten staatlich unterstützten Cyber-Eingriffe gegen deutsche politische Persönlichkeiten in jüngerer Erinnerung eingestuft.
Der Angriff hat die Verschlüsselung von Signal nicht gebrochen. Stattdessen wurde etwas ausgenutzt, das weitaus schwieriger zu beheben ist: menschliches Vertrauen.
Wie der Signal-Phishing-Angriff funktionierte
Die Angreifer gaben sich als Signal-Supportmitarbeiter aus und schickten gefälschte Nachrichten, die die Zielpersonen dazu veranlassten, ihre Konto-Verifizierungscodes preiszugeben. Sobald die Hacker im Besitz dieser Codes waren, konnten sie die Signal-Konten der Opfer mit von Angreifern kontrollierten Geräten verknüpfen und erhielten so in Echtzeit vollen Zugriff auf private Gespräche und Kontaktlisten – ohne jemals die zugrundeliegende Verschlüsselung der App knacken zu müssen.
Diese Technik wird als Linked-Device-Hijack bezeichnet und ist besonders gefährlich, weil Signal von Haus aus kein Passwort zum Lesen von Nachrichten erfordert, sobald ein Konto verknüpft ist. Die Verschlüsselung, die Signal bei Journalisten, Aktivisten und Regierungsbeamten so beliebt macht, wird in dem Moment effektiv umgangen, in dem ein Angreifer ein verknüpftes Gerät kontrolliert.
Die Lehre hier ist nicht, dass Signal unsicher ist. Sie lautet, dass kein einzelnes Sicherheitswerkzeug, egal wie gut es entwickelt wurde, einen Nutzer schützen kann, der dazu gebracht wird, seine Zugangsdaten preiszugeben.
Warum verschlüsselte Apps allein nicht ausreichen
Dieser Angriff verdeutlicht eine kritische Lücke in der Art und Weise, wie viele Menschen – einschließlich Fachleute, die es besser wissen sollten – über digitale Sicherheit denken. Verschlüsselte Messaging-Apps schützen Daten bei der Übertragung. Sie schützen nicht vor Social Engineering, kompromittierten Endpunkten oder Manipulation auf Kontoebene.
Staatlich geförderte Bedrohungsakteure, insbesondere solche mit erheblichen Ressourcen und operativer Geduld, zielen präzise auf die menschliche Ebene ab, weil die technische Ebene so schwer zu durchdringen ist. Es ist weitaus einfacher, jemanden dazu zu bringen, einen Verifizierungscode herauszugeben, als moderne Verschlüsselung zu brechen.
Deshalb befürworten Sicherheitsfachleute konsequent mehrschichtige Verteidigungsmaßnahmen anstatt die Abhängigkeit von einem einzigen Werkzeug. Jede zusätzliche Schutzschicht zwingt einen Angreifer dazu, ein weiteres Hindernis zu überwinden, und in der Praxis werden die meisten Angreifer zu leichteren Zielen weitergehen, anstatt Ressourcen für ein gut gesichertes Ziel zu verschwenden.
Was das für Sie bedeutet
Die meisten Menschen, die dies lesen, sind keine deutschen Bundesminister. Aber die in dieser Kampagne verwendeten Taktiken sind nicht auf hochrangige Regierungsziele beschränkt. Phishing-Angriffe, die beliebte Apps und Dienste imitieren, gehören zu den häufigsten Bedrohungen für alltägliche Nutzer, und Signal-Imitation wurde in den letzten zwei Jahren in mehreren Ländern dokumentiert.
Folgendes macht der deutsche Fall für jeden klar, der für sensible Kommunikation auf verschlüsselte Nachrichten angewiesen ist:
Verifizierungscodes sind die Schlüssel zu Ihrem Konto. Kein legitimer Dienst, einschließlich Signal, wird Sie jemals auffordern, einen Verifizierungscode per Chat-Nachricht oder E-Mail zu teilen. Wenn jemand nach Ihrem fragt, ist die Anfrage betrügerisch – Punkt.
Verknüpfte Geräte sind eine echte Angriffsfläche. Die regelmäßige Überprüfung der mit Ihrem Signal-Konto verknüpften Geräte (zu finden in den Einstellungen unter Verknüpfte Geräte) dauert etwa dreißig Sekunden und kann unbefugten Zugriff aufdecken, bevor erheblicher Schaden entsteht.
Zwei-Faktor-Authentifizierung schafft eine bedeutungsvolle Barriere. Signal bietet eine Registrierungssperre-Funktion, die eine PIN erfordert, bevor Ihr Konto auf einem neuen Gerät neu registriert werden kann. Diese zu aktivieren ist einer der einfachsten und effektivsten Schritte, die Sie unternehmen können. Darüber hinaus erhöht die Verwendung einer Authentifizierungs-App anstatt SMS für die Zwei-Faktor-Authentifizierung bei allen Konten den Aufwand für eine Kontoübernahme durch einen Angreifer erheblich.
Gerätesicherheit ist genauso wichtig wie App-Sicherheit. Wenn das Gerät, auf dem Signal läuft, durch Malware oder physischen Zugriff kompromittiert ist, bietet die Verschlüsselung nur wenig Schutz. Das Aktualisieren von Betriebssystemen, die Verwendung sicherer Geräte-PINs oder Biometrie sowie das Vermeiden von sidegeloadeten Apps reduziert dieses Risiko erheblich.
Netzwerksicherheitsbewusstsein zählt. Der Zugriff auf sensible Konten über nicht vertrauenswürdige öffentliche Netzwerke schafft zusätzliche Risiken. Ein seriöses VPN kann das Risiko der Datenverkehrsabfangung reduzieren, wenn Sie sich nicht in einem von Ihnen kontrollierten Netzwerk befinden, obwohl es eine Schutzschicht unter mehreren und keine vollständige Lösung darstellt.
Das größere Bild
Der deutsche Signal-Phishing-Angriff ist eine Erinnerung daran, dass die stärkste Verschlüsselung der Welt keine fehlende Kultur des Sicherheitsbewusstseins kompensieren kann. Wenn ausgeklügelte staatliche Akteure bereit sind, in geduldige, gezielte Social-Engineering-Kampagnen gegen Gesetzgeber und Diplomaten zu investieren, stehen gewöhnliche Nutzer, die sensible persönliche oder berufliche Informationen verwalten, einer ähnlichen, wenn auch weniger ressourcenstarken Version derselben Bedrohung gegenüber.
Die Antwort ist nicht Panik, und es ist auch nicht das Aufgeben von Tools wie Signal, das nach wie vor eine der sichersten verfügbaren Messaging-Optionen ist. Die Antwort besteht darin, Gewohnheiten und mehrschichtige Verteidigungsmaßnahmen aufzubauen, die Social Engineering schwerer durchführbar machen. Überprüfen Sie Ihre verknüpften Geräte, aktivieren Sie Registrierungssperren, behandeln Sie unaufgeforderte Anfragen nach Verifizierungscodes als automatische Warnsignale, und betrachten Sie Ihre Sicherheitslage als eine Reihe überlappender Schutzmaßnahmen, anstatt eine einzige App die gesamte Arbeit erledigen zu lassen.
