WhatsApp-Abstimmungsbetrug: Zwei Tricks – und zwei Wege zurück
Das Bundesamt für Cybersicherheit meldet im Oktober über 50 Hinweise auf die Masche. Warum ein vertrauter Absender kein Schutz ist und die Art des Zugriffs die Gegenmassnahmen bestimmt.
Die Bitte klingt harmlos: Jemand aus der eigenen Kontaktliste braucht eine Stimme für einen Wettbewerb. Dahinter kann jedoch ein Angriff auf das WhatsApp-Konto stecken. Das Bundesamt für Cybersicherheit (BACS) warnt am 27. Oktober 2026 vor einer erneuten Welle solcher Nachrichten. Im laufenden Monat erhielt es nach eigenen Angaben über 50 Meldungen zu diesem Vorgehen.
Die Zahl beschreibt Hinweise an die Bundesstelle, nicht sämtliche Angriffe in der Schweiz. Eine Erfolgsquote oder eine repräsentative Gesamtsumme der Schäden lässt sich daraus nicht berechnen. Bestätigt ist die beobachtete Masche: Die Täter missbrauchen Vertrauen zwischen Bekannten und bringen die Angeschriebenen dazu, Sicherheitsfunktionen selbst für einen fremden Zugriff einzusetzen.
Der bekannte Kontakt kann bereits übernommen sein
Nach Darstellung des BACS kommen die Locknachrichten von Konten, die schon kompromittiert wurden. Sie verweisen auf einen angeblichen Schul- oder Tanzwettbewerb und erzeugen Zeitdruck. Der Name im Adressbuch ist deshalb kein Beleg dafür, dass tatsächlich die bekannte Person schreibt. Auch eine liebevoll formulierte Bitte ist keine technische Sicherheitsgarantie.
Der Link führt auf eine gefälschte Abstimmungsseite. Dort trennen sich die Angriffswege. Bei der ersten Variante soll man seine Telefonnummer und anschliessend einen SMS-Code eingeben. Tatsächlich handelt es sich um den sechsstelligen Registrierungscode von WhatsApp. Er bestätigt keine Wettbewerbsstimme, sondern kann die Einrichtung des Kontos auf einem anderen Gerät ermöglichen.
Bei der zweiten Variante soll ein QR-Code mit der WhatsApp-Funktion «Verknüpfte Geräte» gescannt werden. Die Funktion ist legitim, etwa für die Nutzung am eigenen Computer. Auf der betrügerischen Seite verbindet sie das Konto jedoch mit einem Gerät der Angreifer. Das eigene Telefon kann dabei weiterhin normal funktionieren. Ein ausbleibender Kontoverlust ist folglich keine Entwarnung.
Nicht jeder Zugriff legt sämtliche alten Chats offen
Die Unterscheidung betrifft auch die Folgen. Das BACS warnt allgemein vor Zugriff auf Nachrichten und Medien. WhatsApp präzisiert dagegen, dass eine blosse Neuregistrierung auf einem neuen Gerät nicht automatisch frühere Gespräche lesbar macht: Nachrichten werden auf dem bisherigen Gerät gespeichert. Diese Aussage zur Neuregistrierung ist keine Entwarnung für ein zusätzlich verknüpftes Gerät.
Eine pauschale Behauptung, jeder gestohlene SMS-Code öffne zwingend die gesamte Chatgeschichte, wäre deshalb zu weitgehend. Sicher relevant bleibt der Identitätsmissbrauch: Unter dem vertrauten Namen können weitere Kontakte angeschrieben werden. Welche Daten im Einzelfall zugänglich wurden, lässt sich aus der blossen Beschreibung der Masche nicht feststellen.
Geschildert wird damit kein nachgewiesener Bruch der Verschlüsselung, sondern ein Missbrauch von Registrierungs- und Verknüpfungsfunktionen. Für die Einordnung ist das wichtig: Eine technisch verschlüsselte Unterhaltung schützt nicht davor, dass jemand den falschen Teilnehmer zum eigenen Konto zulässt. Die Bundeswarnung belegt auch nicht, dass alle Nachrichten mit Wettbewerbslinks betrügerisch sind.
Was nach einem Verdacht zu tun ist
Wer die App noch öffnen kann, sollte in «Verknüpfte Geräte» die angemeldeten Geräte prüfen und unbekannte Einträge abmelden. Genau diesen Schritt empfiehlt das BACS für die QR-Variante. Entscheidend ist die tatsächlich bestehende Verbindung – nicht bloss das Löschen der betrügerischen Nachricht oder des geöffneten Browserfensters.
Nach einer fremden Neuregistrierung führt der offizielle Wiederherstellungsweg über die eigene Telefonnummer und einen neuen Registrierungscode in der WhatsApp-App. Laut Anbieter werden andere angemeldete Geräte nach der erneuten Registrierung mit diesem Code ausgeloggt. Eine unbekannte PIN der zweistufigen Verifizierung kann dennoch eine Wartefrist von sieben Tagen auslösen. Den erhaltenen Code darf man gerade dann nicht an angebliche Helfer weitergeben.
Kontakte sollten gleichzeitig über Telefon, SMS oder einen anderen unabhängigen Kanal gewarnt werden. Eine Rückfrage im möglicherweise übernommenen Chat bestätigt die Identität des Absenders nicht zuverlässig. Vorbeugend empfiehlt der Bund die zweistufige Verifizierung. Sie ergänzt den Schutz; bewusst genehmigte Verknüpfungen mit fremden Geräten werden dadurch nicht zu einer sicheren Handlung.
Für Schweizer Nutzerinnen und Nutzer liegt die wichtigste Grenze somit nicht zwischen bekannten und unbekannten Namen, sondern zwischen einer Nachricht und der Berechtigung, die sie verlangt. Eine Stimme für einen Wettbewerb braucht keinen WhatsApp-Registrierungscode und keine Verbindung zum eigenen Konto. Wer diese Grenze beachtet, unterbricht die Kette, bevor auch die eigenen Kontakte zum Ziel werden.
Quellen
- BACS: Wochenrückblick 43, erneute Welle gefälschter WhatsApp-Abstimmungen, 27. Oktober 2026
- WhatsApp: Wiederherstellung eines kompromittierten Kontos
- WhatsApp: Registrierung und zweistufige Verifizierung
- BACS: Frühere Warnung vor der Abstimmungsmasche, 26. Mai 2026
- Titelbild: microsiervos, WhatsApp, Wikimedia Commons
- Titelbildlizenz: CC BY 2.0
- Artikelbild: Helar Lukats, Whatsapp texting, Wikimedia Commons
- Artikelbildlizenz: CC BY-SA 4.0
