Seit August 2026 warnt die Polizei in Deutschland und der Schweiz vor einer WhatsApp-Masche, die nicht von Fremden ausgeht. Die Nachrichten kommen von Menschen, die du kennst, und sie werden von deren echten Konten geschrieben. Allein die Polizei in Zwickau zählte zwischen Mitte August und Ende September zwölf Fälle.
Die Masche richtet sich an Privatleute. Das Muster dahinter hat aber in diesem Jahr auch eine große europäische Bank zig Millionen Euro gekostet. Beide Fälle zeigen dasselbe: Ein vertrauter Name auf dem Bildschirm beweist nichts.
So funktioniert die Masche
- Von einem echten Kontakt kommt eine Nachricht mit der Bitte, für Klara abzustimmen, die Tochter einer Freundin, die bei einem Foto- oder Tanzwettbewerb mitmacht. In anderen Varianten geht es um eine Sportabstimmung oder ein junges Talent.
- Der Link führt auf eine überzeugend gemachte Abstimmungsseite. Um abzustimmen, gibst du deine Telefonnummer ein und bestätigst eine WhatsApp-Anmeldung, entweder mit einem Code oder indem du einen QR-Code scannst.
- Tatsächlich hast du damit bestätigt, dass das Gerät des Angreifers mit deinem WhatsApp-Konto verknüpft wird. Sicherheitsforscher nennen das "Ghost Pairing".
- Du merkst davon nichts. Dein WhatsApp funktioniert wie bisher, während der Angreifer deine Chats liest und in deinem Namen schreibt.
- Dein Konto verschickt jetzt die Klara-Nachricht an deine Kontakte. Einige von ihnen bekommen zusätzlich einen vorgetäuschten Notfall samt Bitte um Geld.
Jedes Opfer wird so zum vertrauenswürdigen Absender der nächsten Runde, und deshalb verbreitet sich die Masche so schnell.
Warum die üblichen Ratschläge nicht greifen
Jahrelang lautete der Standardrat, den Absender zu prüfen. Bei einer unbekannten Nummer, einem seltsamen Profilbild oder merkwürdiger Rechtschreibung solltest du vorsichtig sein.
Hier besteht der Absender jede dieser Prüfungen. Das Konto ist echt, ebenso das Profilbild und der Chatverlauf, der Jahre zurückreicht. Nur der Mensch, der tippt, ist ein anderer. Eine Prüfung, die sich das Konto selbst ansieht, kann diesen Angriff nicht erkennen.
So schützt du dich
- Gib niemals einen WhatsApp-Code ein und scanne keinen QR-Code, nur weil eine Website dich dazu auffordert. Verknüpfungscodes sind nur dafür da, deine eigenen Geräte zu verbinden, etwa deinen Laptop.
- Prüfe noch heute deine verknüpften Geräte. Öffne in WhatsApp Einstellungen → Verknüpfte Geräte und melde jedes Gerät ab, das du nicht kennst.
- Prüfe ungewöhnliche Bitten über einen zweiten Kanal. Wenn ein Kontakt dich um Geld, eine Abstimmung oder einen Code bittet, ruf ihn unter der Nummer an, die du schon von ihm hast.
- Vereinbare mit deiner Familie ein Codewort. Stimmen lassen sich heute mit KI klonen, ein Anruf allein ist deshalb kein Beweis mehr.
Dasselbe Muster bei einer Bank: Fideuram
Das ist nicht nur ein Problem von Privatleuten. Am 23. Februar 2026 erhielt der Vorsitzende von Fideuram, der Private-Banking-Sparte von Intesa Sanpaolo, eine WhatsApp-Nachricht, die scheinbar von Konzernchef Carlo Messina stammte. Darin bat er um dringende, vertrauliche Überweisungen für eine Übernahme im Ausland.
Danach rief ein Anwalt an, den der Vorsitzende persönlich kannte. Die Stimme klang richtig, sie war aber mit KI geklont worden, und der echte Anwalt hatte mit der Sache nichts zu tun. Es folgten gefälschte Dokumente, darunter eine Vollmacht mit Messinas vermeintlicher Unterschrift. Rund 95 Millionen Euro verließen die Bank. Etwa 53 Millionen Euro wurden zurückgeholt, und nach Angaben von Reuters fehlen noch rund 36 Millionen Euro.
In einem Detail unterscheidet sich der Fall von der Klara-Masche. Der falsche Messina schrieb von einer unbekannten Nummer und begründete das mit der Vertraulichkeit des Geschäfts. Die Klara-Betrüger brauchen nicht einmal diese Ausrede, weil sie vom echten Konto aus schreiben.
In beiden Fällen sahen Name, Stimme und Dokumente richtig aus, und keines davon bewies, wer am anderen Ende wirklich saß.
Wo Trusted Codes ansetzt
Trusted Codes verhindert weder die Übernahme eines Kontos noch eine geklonte Stimme. Es macht beides für den Betrug, der darauf folgt, unbrauchbar.
Kolleginnen, Kollegen und Geschäftspartner, die in Trusted Codes miteinander verbunden sind, sehen in der App ein gemeinsames Codewort aus drei Wörtern. Es wechselt in einem festen Abstand, den du in den Business-Tarifen selbst wählst, von sechs Stunden bis zu 30 Tagen. Das Geheimnis dahinter liegt im geschützten Speicher des Geräts, unter iOS in der Keychain und unter Android im Keystore.
Kommt eine ungewöhnliche Bitte, ob über WhatsApp, am Telefon oder per E-Mail, fragst du nach dem aktuellen Codewort. Der Angreifer hat vielleicht eine neue Nummer, eine geklonte Stimme oder sogar das echte WhatsApp-Konto deines Kollegen. Was er nicht hat, sind die Geräte deines Kollegen, und ohne sie gibt es kein Codewort.
Es ist das Familien-Codewort, angepasst an den geschäftlichen Einsatz:
- Es wechselt. Ein Wort, das gestern mitgehört oder abgefischt wurde, ist heute wertlos.
- Es funktioniert auf jedem Kanal, auch per E-Mail. In den Business-Tarifen kannst du eine Nachricht außerdem versiegeln, und der Empfänger kann sie mit dem signierten Original vergleichen.
- Es hinterlässt eine Spur. In den Business-Tarifen sehen Administratoren im Verifizierungsprotokoll, wer wen wann verifiziert hat. Die Wörter selbst werden nie gespeichert.
Im Fall Fideuram hätte eine einzige Frage gereicht: "Wie lautet unser Codewort?" Weder der falsche Konzernchef noch der geklonte Anwalt hätten sie beantworten können.
Was du jetzt tun solltest
Prüfe noch heute deine verknüpften Geräte in WhatsApp. Und lege fest, wie ihr die nächste "dringende" Bitte prüft, bevor sie dein Finanzteam erreicht, denn wenn das Geld erst weg ist, ist es zu spät, darüber nachzudenken.
Quellen
- Polizeidirektion Zwickau, Warnung vom 24. September 2026 (über verbraucherschutzforum.berlin)
- Kantonspolizei Zürich, cybercrimepolice.ch (über Beobachter)
- Reuters, 25. September 2026: AI messaging scam costs Italy's top bank Intesa millions (über Cybernews)
- Sky TG24, 25. September 2026: Truffa a Fideuram