Phishing-Angriffe auf Signal-Konten: Auch SPD-Abgeordnete betroffen

Eine Phishing-Kampagne gegen Nutzer des Messengerdienstes Signal hat nach Angaben der SPD-Bundestagsfraktion auch einzelne Abgeordnete der Sozialdemokraten erreicht. Deutsche Sicherheitsbehörden warnen seit Monaten vor der Angriffswelle, die ausländischen Geheimdiensten zufolge auf russische Akteure zurückgeht.

„Nach derzeitigem Kenntnisstand sind einige wenige Abgeordnete unserer Fraktion von diesen Angriffen betroffen“, sagte ein Sprecher der SPD-Bundestagsfraktion. Die Fraktion arbeite eng mit den Sicherheitsbehörden zusammen. Am Dienstag sei sie über die Bedrohungslage informiert worden, am Mittwoch hätten alle Abgeordneten aktualisierte Sicherheitshinweise erhalten.

Andere Fraktionen wollten am Donnerstag keine Fälle bestätigen. Eine Sprecherin der Grünen erklärte, ihr lägen keine Informationen über betroffene Abgeordnete vor. Auch ein AfD-Sprecher sagte, der Fraktion seien keine Fälle bekannt. Union und Linke äußerten sich nicht. Der Spiegel hatte am Mittwoch berichtet, auch Bundestagspräsidentin Julia Klöckner (CDU) sei Opfer der Kampagne geworden, unter anderem in einem Gruppenchat mit Mitgliedern des CDU-Präsidiums, dem auch Kanzler Friedrich Merz angehört. Ein Sprecher Klöckners wollte die Angaben gegenüber AFP weder bestätigen noch dementieren.

Behörden sehen staatlichen Akteur am Werk

Das Bundesamt für Verfassungsschutz und das Bundesamt für Sicherheit in der Informationstechnik hatten am 6. Februar einen fünfseitigen Hinweis veröffentlicht und diesen vergangenen Freitag aktualisiert. „Aktuelle Erkenntnisse zeigen, dass die Kampagne weiterhin aktiv ist und an Dynamik gewinnt“, heißt es darin. Die Angriffe würden „wahrscheinlich durch einen staatlich gesteuerten Cyberakteur durchgeführt“. Ein konkretes Land nannten die Behörden nicht. Der niederländische Geheimdienst hatte Anfang März „staatliche russische Hacker“ verantwortlich gemacht, wenig später verwies auch das FBI auf Akteure mit Verbindungen zu russischen Geheimdiensten.

Zwei Methoden des Zugriffs

Bei der ersten Variante geben sich die Angreifer als Signal-Support aus und bringen Betroffene dazu, ihre Sicherheits-PIN preiszugeben. Bei der zweiten Methode werden die Ziele unter einem Vorwand veranlasst, einen QR-Code zu scannen, über den ein zusätzliches Gerät mit dem Konto gekoppelt wird. Die Angreifer können dann Chats, Gruppen, Fotos und Dateien der vergangenen 45 Tage mitlesen.

Signal erklärte im Onlinedienst X, die eigene Verschlüsselung und Infrastruktur seien nicht kompromittiert worden. Der Support nehme „niemals über In-App-Nachrichten, SMS oder soziale Medien Kontakt“ mit Nutzern auf, um PIN oder Bestätigungscode zu erfragen. BfV und BSI verwiesen darauf, dass vergleichbare Angriffe „aufgrund ähnlicher Funktionsprinzipien auch bei WhatsApp denkbar“ seien.