Phishing Messenger Sicherheitswarnung: Signal im Visier

Staatlich gesteuerter Angreifer nutzt legitime Messenger-Funktionen – was Krankenhäuser jetzt wissen müssen.

Warum diese Warnung auch Kliniken betrifft

Am 6. Februar 2026 haben das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeinsam eine Phishing Messenger Sicherheitswarnung der höchsten Kritikalitätsstufe 1 herausgegeben. Im Mittelpunkt: gezielte Angriffe über Signal und vergleichbare Messengerdienste, die ohne Schadsoftware und ohne technische Schwachstellen auskommen.

Die Warnung adressiert primär Politik, Militär, Diplomatie und Investigativjournalismus. Dennoch wäre es ein Fehler, die Relevanz für das Gesundheitswesen zu unterschätzen. Krankenhäuser und Kliniken sind kritische Infrastrukturen mit hochsensiblen Daten, exponierter Führungsebene und einer gewachsenen Messenger-Nutzung – insbesondere seit der COVID-Pandemie. Chefärzte, Geschäftsführer, Pflegedienstleitungen und Sicherheitsverantwortliche kommunizieren längst über Signal oder WhatsApp. Genau dort setzt diese Kampagne an.

Dieser Artikel analysiert die technische Methodik des Angriffs, zeigt die spezifischen Risiken im Klinikkontext und gibt konkrete Handlungsempfehlungen für ISB und IT-Leitung.

Angriffsmethodik: Social Engineering mit legitimen Funktionen

Was diese Kampagne von klassischen Phishing-Angriffen unterscheidet, ist die Abwesenheit von Malware und Zero-Day-Exploits. Die Angreifer missbrauchen keine technische Schwachstelle in Signal selbst – sie nutzen Features, die eigentlich der Sicherheit dienen.

Die „Verknüpftes Gerät"-Funktion als Einfallstor

Signal erlaubt es, einen Account auf mehreren Geräten gleichzeitig zu betreiben. Die Verknüpfung erfolgt über das Scannen eines QR-Codes in der App unter Einstellungen → Verknüpfte Geräte. Genau diesen Mechanismus nutzen die Angreifer aus:

  1. Das Ziel erhält über Signal eine Nachricht – oft scheinbar von einem bekannten Kontakt oder aus einer legitim wirkenden Gruppe.
  2. Die Nachricht enthält einen Link oder ein eingebettetes Bild mit einem QR-Code.
  3. Der QR-Code wird als harmloser Inhalt getarnt – etwa als Einladung zu einer Konferenz, als Sicherheitshinweis der App selbst oder als Authentifizierungsaufforderung.
  4. Scannt das Opfer den Code mit der Signal-App (Funktion „Gerät verknüpfen"), erhält der Angreifer vollständigen, dauerhaften Lesezugriff auf alle laufenden und zukünftigen Chats – ohne dass das Opfer dies bemerkt.

Warum das so gefährlich ist

  • Kein Alarm: Signal zeigt verknüpfte Geräte in den Einstellungen an, aber eine aktive Push-Benachrichtigung oder ein deutlicher Hinweis im Chat-Verlauf fehlt.
  • Kein Malware-Scan hilft: Endpoint-Protection-Lösungen erkennen diesen Angriff nicht, weil kein Schadcode ausgeführt wird.
  • Persistenter Zugriff: Solange das verknüpfte Gerät nicht manuell entfernt wird, liest der Angreifer kontinuierlich mit – einschließlich Gruppenchats und Kontaktlisten.
  • Übertragbar auf WhatsApp: WhatsApp nutzt mit „Verknüpfte Geräte" ein funktional identisches Konzept. BfV und BSI weisen explizit auf vergleichbare Risiken hin.

Risikolage im Krankenhaus: Wer ist besonders exponiert?

Im Klinikumfeld kommunizieren bestimmte Personengruppen regelmäßig über Messenger – teils aus Effizienzgründen, teils weil offizielle Kommunikationskanäle als zu langsam gelten:

Rolle Typische Messenger-Nutzung Risikorelevanz
Geschäftsführung / Vorstand Koordination mit Aufsichtsrat, externen Partnern Hoch – strategische Informationen
Chefärzte / Leitende Ärzte Fallbesprechungen, Konsiliaranfragen Hoch – Patientendaten, ggf. Forschungsdaten
Pflegedienstleitung Dienstplanung, interne Koordination Mittel
IT-Leitung / ISB Technische Abstimmung, Incident-Kommunikation Sehr hoch – Systemzugänge, Netzinfos
Einkauf / Beschaffung Lieferantenkoordination Mittel – Supply-Chain-Relevanz

Besonders kritisch: Wird die IT-Leitung oder der ISB selbst kompromittiert, kann ein Angreifer Incident-Response-Kommunikation mitlesen – und im Ernstfall gezielte Gegenmaßnahmen unterlaufen.

Datenschutzrechtliche Dimension

Werden über kompromittierte Messenger-Accounts Patientendaten übermittelt, entsteht unmittelbar ein meldepflichtiger Vorfall nach Art. 33 DSGVO (Meldung an die Aufsichtsbehörde binnen 72 Stunden) und ggf. nach Art. 34 DSGVO (Benachrichtigung betroffener Personen). Krankenhäuser sind zudem nach § 391 SGB V verpflichtet, angemessene technische und organisatorische Maßnahmen zur IT-Sicherheit nachzuweisen. Eine ungesteuerte Messenger-Nutzung für klinische Kommunikation ohne entsprechende Sicherheitskontrollen stellt hier ein strukturelles Compliance-Risiko dar.

Hinweis: Für die rechtliche Bewertung im Einzelfall wenden Sie sich an einen spezialisierten Anwalt.

Technische und organisatorische Gegenmassnahmen

Sofortmassnahmen (kurzfristig umsetzbar)

1. Prüfung verknüpfter Geräte Alle Nutzer mit privilegiertem Zugang sollten umgehend ihre Signal- und WhatsApp-Einstellungen auf unbekannte verknüpfte Geräte prüfen: - Signal: Einstellungen → Verknüpfte Geräte - WhatsApp: Einstellungen → Verknüpfte Geräte

Unbekannte Einträge sofort entfernen. Falls ein unbekanntes Gerät gefunden wird: Vorfall dokumentieren, ISB informieren, ggf. Meldepflichten prüfen.

2. Sensibilisierung der exponierten Nutzergruppen Gezielte Kurzinformation (kein generisches Awareness-Mailing) an Geschäftsführung, leitende Ärzte und IT-Verantwortliche mit folgenden Kernbotschaften: - Keine QR-Codes aus Messenger-Nachrichten scannen, ohne deren Herkunft sicher zu verifizieren. - Auch Nachrichten von bekannten Kontakten können Teil eines Angriffs sein (kompromittiertes Gerät des Absenders). - Einladungen zu Gruppen oder Anfragen zur Geräteverkopplung grundsätzlich telefonisch verifizieren.

3. Behandlung als Phishing Messenger Sicherheitswarnung im internen Lagebild Nehmen Sie die BSI-Meldung (Kritikalität 1) in Ihr internes Threat-Intelligence-Lagebild auf. Dokumentieren Sie die Bewertung für Ihr ISMS-Nachweissystem.

Mittelfristige Massnahmen (ISMS-Integration)

Mobile Device Management und Messenger-Richtlinie Prüfen Sie, ob Ihre bestehende Mobile Security Policy die Nutzung privater Messenger für dienstliche Kommunikation explizit regelt. Empfehlenswert: - Klare Trennung: dienstliche Kommunikation nur über vom Haus freigegebene und konfigurierte Lösungen (z. B. Siilo, Teamwire oder ähnliche datenschutzkonforme Alternativen mit MDM-Integration). - Private Messenger (Signal, WhatsApp) für dienstliche Inhalte grundsätzlich untersagen – oder den Nutzungsrahmen klar definieren und dokumentieren. - MDM-Richtlinien, die das automatische Verknüpfen von Geräten unterbinden oder zumindest protokollieren.

Awareness-Training aktualisieren Social-Engineering-Angriffe über Messenger sind in den meisten Awareness-Schulungen unterrepräsentiert. Ergänzen Sie Ihre Trainings um: - Konkrete Szenarien: „Wie sieht ein Angriff via Signal aus?" - Simulierte Phishing-Tests auf Messenger-Ebene (soweit technisch und rechtlich umsetzbar). - Klare Eskalationswege: Was tue ich, wenn ich eine verdächtige Nachricht erhalte?

Incident-Response-Plan anpassen Stellen Sie sicher, dass Ihr IR-Plan den Fall „kompromittierter Messenger-Account" abdeckt: - Beweissicherung (Screenshots der verknüpften Geräte, Zeitstempel). - Kommunikationskanal für den Incident-Response-Prozess selbst – dieser darf nicht über potenziell kompromittierte Messenger laufen. - Meldepflicht-Checkliste für DSGVO Art. 33/34 und ggf. BSI-Meldepflicht nach § 32 BSIG (für KRITIS-Betreiber).

Einordnung in den regulatorischen Rahmen

Für Krankenhäuser, die als KRITIS-Betreiber eingestuft sind oder unter die erweiterten Anforderungen des NIS2UmsuCG (gilt in Deutschland seit 2025) fallen, ergibt sich aus dieser Sicherheitswarnung unmittelbarer Handlungsbedarf:

  • § 30 BSIG (Maßnahmen zur IT-Sicherheit): Die Pflicht, angemessene technische und organisatorische Maßnahmen umzusetzen, umfasst explizit den Schutz vor Social-Engineering-Angriffen. Eine fehlende Messenger-Richtlinie bei gleichzeitiger Nutzung für dienstliche Kommunikation kann als Maßnahmenlücke gewertet werden.
  • § 32 BSIG (Meldepflichten): Erhebliche Sicherheitsvorfälle – dazu kann ein bestätigter Kontoverlust über diese Methodik zählen – sind dem BSI zu melden.
  • B3S Krankenhaus: Der branchenspezifische Sicherheitsstandard fordert unter anderem ein funktionierendes Awareness-Programm und die Absicherung von Kommunikationskanälen. Die vorliegende Kampagne ist ein konkreter Testfall für die Wirksamkeit Ihrer Maßnahmen.
  • ISO 27001 / ISO 27799: Kontrollen zur Absicherung mobiler Geräte und zur Mitarbeitersensibilisierung (Annex A 6.8, 8.1) sind unmittelbar berührt.

Checkliste: Was ISB und IT-Leitung jetzt tun sollten

  • [ ] BSI-Sicherheitshinweis (PDF) intern verteilt und dokumentiert
  • [ ] Gefährdungseinschätzung für die eigene Institution erstellt und ins ISMS-Nachweissystem aufgenommen
  • [ ] Zielgruppenspezifische Kurzinformation an exponierte Nutzer versendet
  • [ ] Nutzer mit privilegiertem Zugang haben verknüpfte Geräte geprüft
  • [ ] Interne Messenger-Richtlinie geprüft und ggf. aktualisiert
  • [ ] Incident-Response-Plan auf Messenger-Kompromittierung erweitert
  • [ ] Awareness-Schulungsunterlagen aktualisiert
  • [ ] DSGVO-Meldepflichtkette für Messenger-Vorfälle definiert
  • [ ] KRITIS/NIS2: Interne Bewertung, ob Meldepflicht nach § 32 BSIG ausgelöst wird

Einen strukturierten Überblick über Ihre aktuelle ISMS-Reife – inklusive Kommunikationssicherheit und Awareness-Prozesse – erhalten Sie mit dem ISMShield Assessment.

Fazit

Diese Phishing Messenger Sicherheitswarnung von BfV und BSI ist kein akademisches Dokument – sie beschreibt eine aktive, staatlich gesteuerte Kampagne mit erprobten Methoden. Die Besonderheit: Technologie schützt hier nicht. Kein Virenscanner, kein Firewall-Regelwerk erkennt einen QR-Code, den ein Mitarbeiter wissentlich mit seiner App scannt.

Das macht Aufklärung, klare Richtlinien und gelebte Sicherheitskultur zur entscheidenden Verteidigungslinie. Gerade im Krankenhaus, wo Messenger-Kommunikation oft ungeplant und ohne IT-Begleitung entstanden ist, besteht struktureller Nachholbedarf – der jetzt angegangen werden sollte.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich