Phishing-Angriffe auf Signal-Backup-Schlüssel nehmen Nachrichtenarchive ins Visier
Eine neue Welle von Phishing-Angriffen zielt auf besonders wirkungsvolle Weise auf Signal-Nutzer ab: Kriminelle geben sich als Signal-Support aus, um Menschen zur Preisgabe ihrer Backup-Wiederherstellungsschlüssel zu verleiten, wodurch die Angreifer vollständigen Zugriff auf die verschlüsselten Nachrichtenarchive der Opfer erhalten. Die Kampagne der Signal-Backup-Key-Phishing-Angriffe offenbart eine harte Wahrheit über Messenger mit sicherer Verschlüsselung: Die Technik kann mathematisch unknackbar sein, während der Mensch, der sie nutzt, vollkommen angreifbar bleibt.
Dies ist keine Schwachstelle in der Signal-Verschlüsselung. Es ist eine Erinnerung daran, dass Social Engineering technische Schutzmaßnahmen stets überholt und dass selbst die sicherheitsbewusstesten Nutzer überrumpelt werden können, wenn eine vertrauenswürdig klingende Quelle nach Anmeldedaten fragt.
Wie der Betrug mit dem vorgeblichen Signal-Support funktioniert
Der Angriff folgt einem bekannten Phishing-Drehbuch, angewandt auf ein ungewöhnlich hochwertiges Ziel. Die Angreifer kontaktieren Signal-Nutzer per SMS, über soziale Medien oder sogar über Signal selbst und geben sich als Mitarbeiter des Signal-Supports aus. Die Nachrichten stellen die Anfrage meist als dringend dar, unter Berufung auf eine Kontoprüfung, ein Sicherheitsproblem oder eine notwendige Backup-Migration.
Das Ziel ist immer dasselbe: den 64-stelligen Backup-Wiederherstellungsschlüssel des Opfers zu erbeuten. Die Funktion „Sichere Backups“ von Signal verschlüsselt die Nachrichtenarchive mit diesem Schlüssel, der niemals an die Server von Signal weitergegeben wird. Dieses Design soll die Privatsphäre der Nutzer schützen. In diesem Zusammenhang wird es zum Risiko, denn der Schlüssel ist das Einzige, was einen Angreifer von einer vollständigen, lesbaren Kopie des Nachrichtenverlaufs einer Person trennt.
Sobald ein Angreifer im Besitz des Wiederherstellungsschlüssels ist, kann er das Backup-Archiv selbstständig herunterladen und entschlüsseln. Eine weitere Authentifizierung ist nicht erforderlich. Das Ergebnis ist der vollständige Zugriff auf sämtliche Nachrichten im Archiv, einschließlich Kontakte, Gruppenchats und Anhänge – ohne dass das Opfer merkt, dass ein Zugriff stattgefunden hat.
Signal hat öffentlich bestätigt, dass es von sich aus niemals Nutzer per Telefon, SMS oder über soziale Medien kontaktiert und niemals nach einer PIN oder einem Wiederherstellungsschlüssel fragt. Diese Richtlinie ist klar, kann aber in einer überzeugend formulierten Nachricht leicht übersehen werden.
Warum ein gestohlener Backup-Schlüssel gefährlicher ist als ein gehacktes Passwort
Den meisten Menschen ist klar, dass ein gestohlenes Passwort ernst ist. Weniger ist bekannt, dass ein gestohlener Backup-Wiederherstellungsschlüssel noch schlimmer sein kann, weil er nahezu jede moderne Kontoschutzschicht umgeht.
Wenn ein Angreifer ein Passwort stiehlt, stehen ihm weiterhin mögliche Hürden bevor: Zwei-Faktor-Authentifizierung, Login-Benachrichtigungen, Geräteprüfung oder Kontosperren. Ein Backup-Wiederherstellungsschlüssel ist von all diesen Kontrollinstanzen nicht betroffen. Er ist ein statischer, kryptografischer Berechtigungsnachweis, der archivierte Daten direkt entschlüsselt. Der Angreifer muss weder Ihr Konto noch Ihre Telefonnummer oder Ihre aktive Sitzung berühren. Der Schaden entsteht offline, still und oft ohne jegliche Benachrichtigung an das Opfer.
Deshalb werden Signal-Nutzer zunehmend über Wege kompromittiert, die nichts mit der Verschlüsselung der App zu tun haben. Die Verschlüsselung ist solide. Das Problem ist, was passiert, wenn Nutzer dazu manipuliert werden, die Schlüssel herauszugeben, die sie schützen.
Vergleichen Sie das mit der mit Russland in Verbindung stehenden Phishing-Kampagne, die deutsche Amtsträger über Signal ins Visier nahm. In diesem Fall nutzten staatlich unterstützte Akteure dieselbe grundlegende Technik: Sie gaben sich als vertrauenswürdige Einrichtungen aus, um Zugang zu Signal-Kommunikation zu erlangen. Die Raffinesse des Angreifers ändert sich, aber die ausgenutzte Schwachstelle bleibt konstant: menschliches Vertrauen.
Was diese Angriffe über das alleinige Vertrauen auf verschlüsselte Messenger offenbaren
Die Hartnäckigkeit und Wirksamkeit der Signal-Backup-Key-Phishing-Angriffe offenbaren ein allgemeineres Problem im Umgang mit sicheren Kommunikationstools. Starke Verschlüsselung erzeugt ein Gefühl von Sicherheit, das sich nicht immer auf die umliegenden Sicherheitspraktiken erstreckt.
Nutzer, die Signal aufgrund seiner Verschlüsselung einsetzen, wenden auf ihre Gewohnheiten beim Kontomanagement, die Backup-Einstellungen und die Reaktion auf unerwartete Support-Anfragen oft weniger kritische Prüfung an. Genau diese Lücke nutzen Angreifer aus. Die App wird zur gesamten Sicherheitsstrategie, statt eine Schicht innerhalb eines breiteren Ansatzes zu sein.
Ähnliche Muster traten auf anderen Messaging-Plattformen auf. Der WhatsApp-Zugangsdatendump, der Millionen von Nutzerdaten offenlegte, folgte einer vergleichbaren Logik: Die Sicherheitsfunktionen der Plattform waren nicht die Schwachstelle. Nutzeranmeldedaten und Kontomanagementpraktiken waren es.
Das bedeutet nicht, dass verschlüsselte Messenger nicht nutzenswert wären. Ganz im Gegenteil. Es bedeutet, dass Verschlüsselung ein Boden und keine Decke ist und dass Nutzer darauf aufbauend Sicherheitsgewohnheiten entwickeln müssen.
Praktische Schutzmaßnahmen: MFA, VPNs und das Erkennen von Social-Engineering-Warnsignalen
Der Schutz vor Signal-Backup-Key-Phishing erfordert sowohl technische Schritte als auch eine Veränderung Ihrer Reaktion auf unaufgeforderte Kontaktversuche.
Beginnen Sie mit Ihren Signal-Backup-Einstellungen. Wenn Sie die Funktion „Sichere Backups“ von Signal nutzen, behandeln Sie Ihren 64-stelligen Wiederherstellungsschlüssel wie ein Master-Passwort: Bewahren Sie ihn offline und an einem sicheren Ort auf und geben Sie ihn niemals an irgendjemanden weiter – unabhängig davon, wie die Anfrage formuliert ist. Das Signal-Team wird niemals danach fragen.
Richten Sie eine Signal-PIN und die Registrierungssperre ein, um die unerlaubte erneute Registrierung Ihres Kontos auf einem neuen Gerät zu verhindern. Dies schützt Ihren Backup-Schlüssel nicht direkt, schließt aber einen weiteren häufigen Angriffsvektor.
Über Signal hinaus sollten Sie die Multi-Faktor-Authentifizierung für Konten aktivieren, die mit der Telefonnummer oder E-Mail-Adresse verknüpft sind, die Sie für Ihr Signal-Profil verwenden. Da Signal Telefonnummern zur Registrierung nutzt, kann ein SIM-Swap-Angriff oder eine kompromittierte Telefonnummer zusätzliche Angriffsflächen schaffen. Token-basierte Authentifizierung fügt eine sinnvolle Hürde für Angreifer hinzu, die versuchen, über angrenzende Dienste Konten zu übernehmen.
Die Nutzung eines VPN in Netzwerken außerhalb Ihres Zuhauses bietet eine weitere Schutzebene, indem Ihr Datenverkehr maskiert und die Sichtbarkeit Ihres Geräts und Ihrer Browsing-Aktivität für potenzielle Angreifer verringert wird, die vor einem gezielten Phishing-Versuch Aufklärungsarbeit leisten.
Die wichtigste Verteidigung ist jedoch Skepsis gegenüber unaufgeforderten Kontaktversuchen. Jede Nachricht, die angeblich vom Signal-Support stammt und Sie auffordert, Anmeldedaten zu bestätigen, einen Wiederherstellungsschlüssel zu verifizieren oder auf einen Link zu klicken, um ein Kontoproblem zu lösen, sollte standardmäßig als Phishing-Versuch behandelt werden. Seriöse Support-Systeme arbeiten nicht auf diese Weise.
Was das für Sie bedeutet
Die Kampagne der Signal-Backup-Key-Phishing-Angriffe ist eine konkrete Erinnerung daran, dass kein Werkzeug, so gut es auch gestaltet sein mag, Nutzer vollständig schützt, die nicht die entsprechenden Gewohnheiten darum herum aufgebaut haben. Die Signal-Verschlüsselung bleibt stark. Das Risiko liegt darin, wie die Schlüssel zu dieser Verschlüsselung verwaltet und geschützt werden.
Nehmen Sie sich jetzt die Zeit, Ihre Signal-Einstellungen zu überprüfen, stellen Sie fest, wo Ihr Backup-Wiederherstellungsschlüssel aufbewahrt wird, und bewerten Sie Ihren allgemeinen Kontosicherheitsstatus. Teilen Sie dieses Bewusstsein mit Menschen in Ihrem Netzwerk, die Signal nutzen, insbesondere mit jenen, die Sicherheitsnachrichten möglicherweise nicht aufmerksam verfolgen. Social Engineering funktioniert am besten bei Menschen, die nicht wissen, dass es auf sie zukommt.
