Phishing über Messengerdienste: Schutz für Kliniken

Warum dieser Angriff auch Krankenhäuser betrifft

Im Februar 2026 veröffentlichten das Bundesamt für Verfassungsschutz (BfV) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen gemeinsamen Sicherheitshinweis zur Kritikalitätsstufe 1: Ein wahrscheinlich staatlich gesteuerter Cyberakteur führt gezielte Phishing-Angriffe über Messengerdienste wie Signal durch. Die primären Angriffsziele sind hochrangige Personen aus Politik, Militär und Diplomatie. Für ISB und CISOs im Gesundheitswesen sollte das kein Anlass sein, sich entspannt zurückzulehnen: Krankenhäuser, Unikliniken und Gesundheitsnetzwerke zählen längst zum bevorzugten Zielspektrum staatlich gelenkter Angreifer – nicht zuletzt wegen ihrer Rolle in der kritischen Infrastruktur und der Sensibilität medizinischer Forschungsdaten.

Die beschriebene Angriffsmethode ist dabei technisch besonders tückisch: Es wird weder Schadsoftware eingesetzt noch werden technische Schwachstellen der Messengerdienste ausgenutzt. Wer also auf „kein Malware-Fund" als Schutzindikator setzt, hat ein strukturelles Erkennungsproblem. Dieser Artikel erklärt die Angriffsmethode, bewertet die Relevanz für das Gesundheitswesen und leitet konkrete Maßnahmen ab.

Die Angriffsmethode: Wie Signal-Phishing funktioniert

Das Besondere an dieser Kampagne ist die Nutzung legitimer Sicherheitsfunktionen des Messengers gegen die eigene Nutzerbasis. Signal bietet die Funktion "Verknüpfte Geräte" (Linked Devices), über die ein Account auf mehreren Endgeräten gleichzeitig genutzt werden kann – ein normales, dokumentiertes Feature für Nutzerkomfort.

Der Angreifer sendet dem Ziel eine manipulierte Einladung, die optisch einer legitimen Signal-Gruppeneinladung oder einer Geräteverknüpfungsanfrage ähnelt. Das Opfer scannt – vermeintlich harmlos – einen QR-Code. Tatsächlich autorisiert es damit das Gerät des Angreifers als verknüpftes Gerät auf dem eigenen Account. Ab diesem Moment liest der Angreifer still und unbemerkt alle eingehenden und ausgehenden Nachrichten mit, ohne dass das Opfer eine Benachrichtigung erhält. Der Zugriff erstreckt sich auf:

Einzel- und Gruppenchats in Echtzeit
Kontaktlisten und Metadaten
Gesendete Medien und Dokumente

Es gibt keine Malware, keinen Exploit, kein ungewöhnliches Netzwerkverhalten – klassische EDR- und SIEM-Systeme sehen schlicht nichts Auffälliges. Die Kompromittierung bleibt so lange aktiv, bis der legitime Nutzer die Liste seiner verknüpften Geräte aktiv überprüft und den Fremdlink entfernt.

Da WhatsApp ein technisch ähnliches Geräte-Linking-Modell nutzt, warnen BfV und BSI ausdrücklich, dass vergleichbare Angriffsvektoren dort ebenfalls denkbar sind.

Relevanz für das Gesundheitswesen: Unterschätztes Risiko

Messenger-Nutzung im klinischen Alltag

Die Nutzung von Messengerdiensten im klinischen Umfeld ist Realität – oft jenseits offizieller IT-Freigaben. Chefärzte kommunizieren Befunde per WhatsApp-Gruppe, Schichtleitungen koordinieren Personalengpässe via Signal, administrative Führungsebenen nutzen Telegram. Diese Schatten-Kommunikationskanäle entstehen, weil offizielle Systeme zu langsam, zu umständlich oder schlicht nicht mobil verfügbar sind.

Das schafft einen strukturellen blinden Fleck im ISMS: Kommunikation, die nicht über überwachte Unternehmenskanäle läuft, ist für das SOC unsichtbar. Wird ein Klinikarzt oder ein Mitglied der Krankenhausleitung über Signal kompromittiert, hat die IT keine Möglichkeit, dies zu erkennen – und der Angreifer bekommt möglicherweise Zugang zu:

Informationen über laufende IT-Projekte und Sicherheitslücken (besonders relevant bei Kliniken mit Forschungsauftrag)
Personalentscheidungen und Organigramminformationen (wertvoll für weiteres Spear-Phishing)
Koordinationsinformationen im Krisenfall (besonders sensitiv bei KRITIS-Einrichtungen)
Vorabinformationen zu Einkauf, Vergabe und Lieferkette

Einordnung in die regulatorische Pflicht

Für Krankenhäuser, die unter §391 SGB V fallen, gilt seit Oktober 2024 die Pflicht zur Umsetzung angemessener technischer und organisatorischer Maßnahmen zur IT-Sicherheit – mit Nachweispflicht gegenüber den gesetzlichen Krankenkassen. BSI-KRITIS-Betreiber sind seit Inkrafttreten des NIS2UmsuCG zusätzlich verpflichtet, nach §30 BSIG geeignete Sicherheitsmaßnahmen zu implementieren, die auch das Risikomanagement für Kommunikationskanäle umfassen. Die vorliegende Bedrohung durch Messenger-Phishing ist dabei explizit dem Bereich Social Engineering und Awareness zuzuordnen – ein Bereich, der in Audits nach BSI IT-Grundschutz (ORP.3: Sensibilisierung und Schulung) und ISO 27001 (A.6.3) direkt abprüfbar ist.

Der aktuelle BSI-Sicherheitshinweis mit Kritikalität 1 ist für KRITIS-Betreiber und NIS2-betroffene Einrichtungen darüber hinaus ein regulatorisch relevantes Signal: Die Nichtberücksichtigung bekannter, behördlich kommunizierter Bedrohungslagen kann im Schadensfall als Verletzung der Sorgfaltspflicht gewertet werden.

Angriffsindikatoren und Erkennungsansätze

Da diese Angriffsmethode keine klassischen technischen Indikatoren (IOCs) produziert, verlagert sich die Erkennung auf die Verhaltens- und Managementebene. Folgende Signale sollten Misstrauen wecken:

Auf Nutzerebene: - Unaufgeforderte QR-Codes über Signal oder WhatsApp, auch wenn der Absender bekannt erscheint - Einladungen zu Gruppen oder Geräteverknüpfungen, die mit einem gewissen Zeitdruck verknüpft werden ("Bitte jetzt bestätigen") - Nachrichten, die typische Social-Engineering-Muster aufweisen: Dringlichkeit, Autorität, Vertrautheit

Auf Systemebene: - Unbekannte oder nicht mehr genutzte Geräte in der Liste verknüpfter Geräte des eigenen Signal-Accounts - Auffälligkeiten in der Nachrichtenchronologie (Lücken, unerwartete Lesebestätigungen)

Auf Organisationsebene: - Fehlen einer Richtlinie zur Messenger-Nutzung im Dienstumfeld - Kein Awareness-Training zu Messenger-spezifischen Angriffsvektoren

Konkrete Schutzmaßnahmen für Kliniken

1. Messenger-Richtlinie etablieren oder aktualisieren

Wenn Ihre Einrichtung keine verbindliche Regelung zur Nutzung von Messengerdiensten für dienstliche Kommunikation hat, ist jetzt der richtige Zeitpunkt. Die Richtlinie sollte mindestens regeln:

Welche Messenger für welche Kommunikationszwecke freigegeben sind
Dass dienstliche Kommunikation grundsätzlich über freigegebene, überwachbare Kanäle erfolgt
Verbote der Übermittlung von Patientendaten, Zugangsdaten oder sicherheitsrelevanten Informationen über nicht freigegebene Dienste
Meldepflichten bei verdächtigen Kontaktaufnahmen

2. Zielgruppen-spezifisches Awareness-Training

Die Zielgruppe dieser Kampagne sind Führungskräfte und Entscheidungsträger – im Krankenhaus sind das Geschäftsführung, ärztliche Direktoren, Pflegedirektionen und IT-Leitung. Standard-Awareness-Programme erreichen diese Gruppe oft nicht ausreichend. Empfehlenswert sind:

Dedizierte Executive-Awareness-Briefings zu aktuellen Bedrohungslagen, idealerweise mit Referenz auf aktuelle BSI-Warnmeldungen
Simulierte Social-Engineering-Übungen auch über Messenger-Kanäle (mit rechtlicher Abstimmung vorab)
Klare Eskalationswege: Wer ist im Verdachtsfall zu kontaktieren?

3. Technische Hygiene bei Signal und WhatsApp

Für Nutzer, die diese Dienste dienstlich oder privat auf dienstlichen Geräten nutzen:

Regelmäßige Überprüfung verknüpfter Geräte: In Signal unter Einstellungen → Verknüpfte Geräte, in WhatsApp unter Einstellungen → Verknüpfte Geräte. Nicht erkannte Einträge sofort entfernen.
QR-Code-Scans grundsätzlich hinterfragen: Kein legitimer Dienst erzeugt unaufgefordert über Dritte einen QR-Code zur Gerätekopplung.
Registrierungssperre (Registration Lock) aktivieren: Signal bietet eine PIN-gesicherte Registrierungssperre, die verhindert, dass der eigene Account auf einem neuen Gerät ohne PIN reaktiviert werden kann.

4. MDM-Kontrolle für dienstliche Mobilgeräte

Über ein Mobile Device Management (MDM) sollte geregelt werden, welche Messenger-Applikationen auf dienstlichen Endgeräten installiert werden dürfen. Eine Whitelist-Strategie reduziert die Angriffsfläche erheblich. In Verbindung mit einer Container-Lösung (Trennung dienstlicher und privater Bereiche) lässt sich zudem das Risiko durch BYOD-Szenarien eingrenzen.

5. SIEM-seitige Kompensationsmaßnahmen

Da der Angriff selbst im SIEM nicht sichtbar ist, sollte die Logging-Strategie auf Folgeindikatoren ausgerichtet werden:

Auffällige Authentifizierungsversuche nach ungewöhnlichen Zeitmustern (mögliche Nutzung kompromittierter Informationen aus Chats)
Neue Zugriffsversuche auf sensible Systeme nach internem Wechsel von Kommunikationsgewohnheiten
Phishing-Versuche über andere Kanäle (E-Mail, VPN), die auf Informationen aus kompromittierten Chats hindeuten

Incident-Response-Aspekte: Was tun bei Verdacht?

Wenn ein Mitarbeiter oder eine Führungskraft meldet, einen verdächtigen QR-Code gescannt oder eine ungewöhnliche Geräteverknüpfungsanfrage erhalten zu haben, gilt folgende Sofortmaßnahme-Sequenz:

Verknüpfte Geräte sofort prüfen und alle unbekannten Geräte entfernen (in Signal und WhatsApp)
Account-PIN und Registrierungssperre aktivieren (sofern nicht bereits aktiv)
Vorfall dem ISB melden – auch bei Unsicherheit, ob tatsächlich eine Kompromittierung stattgefunden hat
Betroffene Chats und Gesprächspartner informieren: Wenn der Account kompromittiert war, könnten Gesprächspartner Folgeangriffe erhalten haben
BSI-Meldung prüfen: Für KRITIS-Betreiber und NIS2-betroffene Einrichtungen ist zu prüfen, ob ein meldepflichtiger Vorfall nach §32 BSIG vorliegt
Forensische Sicherung: Soweit möglich und rechtlich zulässig, Gerät für forensische Auswertung sicherstellen

Hinweis: Für die rechtliche Bewertung von Meldepflichten und datenschutzrechtlichen Konsequenzen im Einzelfall wenden Sie sich an einen Fachanwalt für IT-Recht bzw. Ihren Datenschutzbeauftragten.

Checkliste: Phishing Messengerdienste – Sofortmaßnahmen

Maßnahme	Verantwortlich	Priorität
Messenger-Richtlinie erstellen/aktualisieren	ISB / IT-Leitung	Hoch
Executive-Awareness-Briefing durchführen	ISB / CISO	Hoch
Überprüfung verknüpfter Geräte bei allen Führungskräften	IT / Nutzer selbst	Sofort
Registrierungssperre in Signal aktivieren	Alle Nutzer	Hoch
MDM-Applikationsrichtlinie prüfen	IT-Leitung	Mittel
SIEM-Regeln auf Folgeindikatoren ausrichten	SOC / IT-Sicherheit	Mittel
Eskalationspfad für Social-Engineering-Verdacht kommunizieren	ISB	Hoch

Fazit

Die im BSI/BfV-Sicherheitshinweis beschriebene Angriffsmethode ist ein prägnantes Beispiel dafür, dass technische Sicherheitsmaßnahmen allein keinen ausreichenden Schutz bieten. Phishing über Messengerdienste wie Signal nutzt weder Exploits noch Malware – es nutzt Vertrauen, Funktionalität und fehlende Sensibilisierung. Für Krankenhäuser und Gesundheitseinrichtungen, die zunehmend als KRITIS-Betreiber regulatorisch in der Pflicht stehen, ist dies ein klares Signal: Die Governance rund um Messenger-Kommunikation muss ins ISMS integriert, entsprechende Richtlinien müssen etabliert und Führungskräfte müssen gezielt geschult werden.

Nutzen Sie den aktuellen Anlass für ein kurzfristiges Awareness-

Kostenlose NIS2-Bestandsaufnahme starten →