Die Masche ist alt, die Methode wird immer raffinierter.
So kapern Kriminelle deinen Account
Die Angreifer setzen auf eine Technik namens DLL-Sideloading. Dabei schleusen sie Schadsoftware über getarnte ZIP-Dateien in legitime Programme ein.
Der Klassiker: Eine E-Mail mit dringendem Geschäftsbericht oder Fehlerprotokoll als Anhang. Öffnet der Mitarbeiter die Datei, übernehmen die Täter die aktive WhatsApp-Web-Sitzung auf dem Rechner.
Was dann passiert? Der Chef scheint persönlich zu schreiben. Die Nachricht an Untergebene: Dringende Überweisung auf ein ausländisches Konto. In Indien registrierten die Behörden allein in 20 Tagen bis Ende Juni über 300 solcher Fälle.
Millionenschäden durch gefälschte Profile
Die finanziellen Folgen sind enorm. In Mumbai flogen sechs Festnahmen, nachdem ein Senior umgerechnet über eine Million Euro verloren hatte. Die Täter hatten sich auf WhatsApp als Firmendirektor ausgegeben – inklusive passendem Profilbild.
Ein Fall aus Ahmedabad zeigt das Muster: Gezielte Nachrichten mit dringenden Handlungsaufforderungen führten zu Verlusten in Millionenhöhe.
Doch die Masche beschränkt sich nicht auf WhatsApp. Weltweit beliefen sich die Verluste durch Business Email Compromise (BEC) im Jahr 2025 auf rund 2,8 Milliarden Euro. Besonders alarmierend: Deepfake-Betrug nahm um 1.300 Prozent zu. Kriminelle fälschen Stimmen und Gesichter von Führungskräften – immer glaubwürdiger.
Allein in Indien registrierten Behörden in 20 Tagen über 300 Fälle von WhatsApp-Identitätsdiebstahl – mit Millionenschäden. Die Täter nutzen getarnte ZIP-Dateien und gefälschte Chef-Profile. Ihr Unternehmen braucht jetzt einen klaren Abwehrplan. Jetzt kostenlosen Schutz-Report anfordern
Neue WhatsApp-Funktion als Einfallstor?
Seit dem 30. Juni können Nutzer Benutzernamen reservieren. Statt Telefonnummern sollen künftig Handles die Identifikation ermöglichen.
Klingt praktisch, birgt aber Risiken. Experten befürchten, dass Kriminelle sich leicht verwechselbare Namen sichern – und damit Mitarbeiter täuschen. Meta verspricht Schutz: Automatische Erkennung von Fake-Konten und Sperrung bekannter Namen seien integriert.
Wenn KI zum Ziel wird
Die Angreifer denken weiter. Unter dem Begriff „Agentjacking“ manipulieren sie Fehlerberichte an KI-gestützte Programmier-Agenten. Die Systeme unterscheiden oft nicht zwischen harmlosem Text und ausführbarem Code. Bei Tests in über 100 Organisationen lag die Erfolgsquote der Angreifer bei 85 Prozent.
Auch klassische Wege bleiben beliebt. Das Bundeszentralamt für Steuern warnte Ende Juni vor gefälschten Briefen und Mails. Die Aufforderung: Kontodaten auf Phishing-Seiten verifizieren. Ähnliche Wellen treffen Mieter mit gefälschten Zahlungsaufforderungen und Hotels mit Schadsoftware in angeblichen Gästebeschwerden.
Was Unternehmen jetzt tun müssen
Die neue WhatsApp-Benutzernamen-Funktion öffnet ein weiteres Einfallstor für Identitätsdiebstahl. Kriminelle sichern sich leicht verwechselbare Handles und täuschen Mitarbeiter. Mit unserer Checkliste erkennen Sie Phishing-Versuche und schulen Ihr Team – bevor der Schaden eintritt. Checkliste WhatsApp-Sicherheit jetzt sichern
Die Politik reagiert. In der Schweiz wird ab dem 1. Juli Spoofing gekennzeichnet – das Vortäuschen falscher Absenderidentitäten. Australien markiert SMS von nicht registrierten Absendern als „nicht verifiziert“. Seit Jahresbeginn blockierte das Land über 150 Millionen Phishing-Nachrichten.
Die Devise für Unternehmen: Bei unerwarteten Zahlungsaufforderungen über Messenger oder Mail hilft nur eines – telefonische Rücksprache über etablierte Nummern. Und: Mitarbeiter im Umgang mit verdächtigen Dateianhängen schulen. Denn der beste Schutz bleibt die gesunde Skepsis.
