WhatsApps Sicherheitsarchitektur steht massiv in der Kritik. Gleich mehrere Enthüllungen zu staatlich gesteuerten Hackerangriffen, einer neuen Zero-Click-Lücke und unverschlüsselten Chat-Datenbanken auf Apple-Geräten erschüttern das Vertrauen in den Meta-Konzern.
Die Vorfälle Ende Mai 2026 haben eine globale Debatte über den Unterschied zwischen Verschlüsselung während der Übertragung und der Sicherheit lokal gespeicherter Daten neu entfacht. WhatsApp wirbt zwar mit Ende-zu-Ende-Verschlüsselung als Goldstandard für Privatsphäre – doch forensische Untersuchungen und rechtliche Schritte legen erhebliche Lücken offen.
Viele Nutzer wiegen sich bei WhatsApp in falscher Sicherheit, während Experten bereits vor neugierigen Mitlesern und Datenauswertung warnen. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie in nur fünf Minuten zu einer sicheren, anonymen Alternative wechseln können. Kostenlosen Report für maximalen Datenschutz sichern
Australischer Parlamentsskandal: Staatliche Hacker schlagen zu
Eine Anhörung im australischen Senat am 25. und 26. Mai 2026 enthüllte einen schwerwiegenden Sicherheitsvorfall: Ein Bundestagsabgeordneter und drei Mitarbeiter wurden bereits Anfang des Jahres Opfer eines erfolgreichen Angriffs durch einen ausländischen Geheimdienst. Die zuständige Parlamentsverwaltung (DPS) bestätigte, dass der Einbruch am 6. März 2026 sowohl dienstliche als auch private Mobilgeräte betraf. Die Angreifer nutzten eine ausgeklügelte Phishing-Kampagne, um Zugang zu den Konten zu erlangen.
Die DPS arbeitete daraufhin mit dem australischen Signals Directorate (ASD) zusammen, um die Bedrohung einzudämmen. Eine vorübergehende Sperrung von WhatsApps Desktop- und Web-Anwendungen im Netzwerk des Parlamentsgebäudes sollte weitere Datenabflüsse verhindern. Die Zahlen der Behörde zeichnen ein düsteres Bild der Bedrohungslage: Rund 20.000 Phishing-Versuche wurden allein in einem Monat registriert. Seit dem 31. März 2026 verzeichnete die Abteilung 46 separate Malware-Funde – ein Beleg für die anhaltende Angriffswelle gegen hochrangige Regierungsziele.
Forscher entdecken unverschlüsselte Chat-Datenbanken
Während der australische Vorfall auf Social Engineering setzte, förderte eine technische Untersuchung des Sicherheitsteams Mysk vom 23. Mai 2026 eine grundlegende Schwachstelle zutage. WhatsApp speichert entschlüsselte Chat-Datenbanken im Klartext innerhalb gemeinsamer App-Gruppencontainer auf iOS und macOS. Die Forscher identifizierten Dateien wie Axolotl.sqlite (mit Sitzungsschlüsseln) und ContactsV2.sqlite sowie gesamte Nachrichtenordner im Verzeichnis group.net.whatsapp.WhatsApp.shared.
Diese Speichermethode ermöglicht anderen Anwendungen aus dem Meta-Ökosystem – wie Facebook und Instagram – potenziell den Zugriff auf die Daten, ohne dass der Nutzer explizit zustimmen muss. Die Ende-zu-Ende-Verschlüsselung schützt zwar die Nachrichten während der Übertragung, nicht aber nach der Zustellung und Entschlüsselung auf dem Gerät.
Die Entdeckung spaltet die Sicherheitsexperten. Während einige auf Apples systemweite Sandboxing-Funktion verweisen, die unbefugte Drittanbieter-Apps blockiere, kontern die Mysk-Forscher: Eine Sicherheitslücke in der Archivierungsfunktion von macOS (CVE-2026-28910) könne diese Schutzmechanismen umgehen. Für Nutzer, die maximale Privatsphäre wünschen, bleiben nur wenige Optionen: Ende-zu-Ende-verschlüsselte Backups aktivieren, andere Meta-Apps vom selben Gerät entfernen oder auf alternative verschlüsselte Messenger umsteigen.
Der Wechsel zu einer datenschutzfreundlichen Alternative ist oft einfacher als gedacht und schützt Ihre privaten Chats vor unbefugtem Zugriff. Erfahren Sie in diesem Gratis-Report, wie Sie Ihre Kommunikation sofort absichern und WhatsApp den Rücken kehren. Sichere WhatsApp-Alternative jetzt gratis einrichten
Zero-Click-Exploit und globale Datenlecks
Die italienische Forensikfirma Forenser enthüllte zudem eine Zero-Click-Schwachstelle, die iPhone-Nutzer mit iOS 16 betrifft. Der Angriff ermöglicht die Übernahme eines WhatsApp-Kontos ohne jede Nutzerinteraktion – selbst die üblichen Warnhinweise beim Verknüpfen eines neuen Geräts bleiben aus. Der Exploit nutzt zwei spezifische Lücken: CVE-2025-43300 (ImageIO) und CVE-2025-55177 (innerhalb von WhatsApp selbst).
Sobald die Angreifer die Kontrolle erlangt haben, extrahieren sie kryptografisches Material für einen Sitzungs-Handshake und spiegeln das Konto. In dokumentierten Fällen verschickten die Entführer sofort betrügerische Geldüberweisungsanfragen an die Kontakte der Opfer. Experten raten betroffenen Nutzern dringend zum Update auf die neueste iOS-Version, zur Nutzung der Chat-Sperre oder zur sauberen Neuinstallation der App.
Parallel dazu kursiert ein drei Terabyte großer Datensatz auf Cybercrime-Foren, der angeblich Telefonnummern von Millionen WhatsApp-Nutzern aus Israel und Russland enthält. Forscher bestätigten die Echtheit vieler Nummern – die Quelle sei jedoch groß angelegtes Phishing oder Infostealer-Malware, kein direkter Einbruch in WhatsApps Server. Die Verfügbarkeit dieser Daten erhöht das Risiko von SMS- und Sprachanruf-Phishing für die betroffenen Nutzer erheblich.
Juristischer Gegenwind für Meta
Die Sicherheitsvorfälle liefern auch Munition für rechtliche Schritte gegen Meta. Der texanische Generalstaatsanwalt Ken Paxton verklagte Meta und WhatsApp im Mai 2026 wegen irreführender Geschäftspraktiken beim Datenschutz. Die Klage behauptet, dass das Unternehmen trotz der Bewerbung seiner Ende-zu-Ende-Verschlüsselung als Garantie absoluter Privatsphäre weiterhin auf bestimmte Nachrichteninhalte und Metadaten zugreifen könne.
Die texanische Klage argumentiert, dass WhatsApps Behauptungen für Verbraucher irreführend seien, die glaubten, ihre Kommunikation sei vor allen Dritten – einschließlich des Dienstanbieters selbst – geschützt. Meta wies die Vorwürfe zurück und betonte die Robustheit seiner Verschlüsselungsprotokolle. Der Rechtsstreit folgt auf eine frühere Einigung, bei der Meta 1,4 Milliarden US-Dollar an Texas zahlte – wegen unbefugter Nutzung biometrischer Daten.
Neue Ära der Messaging-Sicherheit?
Die Ereignisse des Mai 2026 deuten auf einen grundlegenden Wandel hin: Der Fokus verschiebt sich von der Sicherheit der Daten während der Übertragung hin zur Verwundbarkeit der Endgeräte – der physischen Geräte und ihrer lokalen Speichersysteme. Der australische Parlamentsvorfall zeigt: Selbst die stärkste Verschlüsselung schützt nicht vor Nutzern, die auf ausgeklügelte Phishing-Angriffe hereinfallen. Die Mysk-Forschung belegt, dass die lokale Datenverwaltung oft nicht die gleiche Sorgfalt erfährt wie die Netzwerkprotokolle.
Branchenbeobachter erwarten, dass Meta unter wachsenden Druck geraten wird, hardwarenahe Verschlüsselung für lokale Datenbanken auf iOS und macOS zu implementieren. Die Zero-Click-Schwachstellen deuten zudem darauf hin, dass das Wettrüsten zwischen Mobilbetriebssystem-Entwicklern und hochentwickelten Angreifern in eine aggressivere Phase eintritt. Für professionelle und behördliche Nutzer könnten die jüngsten Vorfälle zu strengeren Richtlinien führen – und den Wechsel zu unternehmensverwalteten Kommunikationsplattformen mit strengeren lokalen Sicherheitskontrollen beschleunigen.
