Der Messenger-Dienst Signal galt lange Zeit als besonders sicher und ist - beziehungsweise war - deshalb etwa bei Politikern, Diplomaten , Militärangehörigen und Journalisten beliebt. Doch in den vergangenen Tagen wurde bekannt, dass es Hacker auf die Chat-App abgesehen hatten. Berichte über gezielte Phishing-Attacken auf die Nutzerinnen und Nutzer häuften sich. In einem Statement äußert sich Signal jetzt zu den Angriffen.
Zunächst will Signal darin klarstellen, dass die App nicht „gehackt“ wurde. Es seien weder Verschlüsselungen, noch die Infrastruktur oder die Integrität des App-Codes beeinträchtigt worden, beteuert das Unternehmen. „Allerdings haben raffinierte Angreifer eine schädliche Phishing-Kampagne durchgeführt, indem sie ihren Profilnamen änderten und sich als „Signal-Support“ ausgaben sowie Social Engineering einsetzten, um Nutzer zur Preisgabe ihrer Zugangsdaten zu verleiten“, heißt es. „Diese Informationen ermöglichten es den Angreifern, gezielt Signal-Konten zu übernehmen.“ Die Angreifenden brauchten offenbar also keinen ausgefeilten technischen Zugriff auf etwaige Sicherheitslücken der App, vielmehr nutzten sie den Menschen als einen Schwachpunkt der Cybersicherheit.
Das sei nichts Ungewöhnliches: Signal zufolge kämpfe jede Chat-App mit ähnlicher Reichweite mit derartigen Problemen, bei denen Angreifer Nutzerinnen und Nutzer verleiteten, sie durch die „Vordertür“ hereinzulassen. Das Unternehmen sei sich der Tragweite bewusst.
Konseqeuenzen sollen folgen: In den kommenden Wochen würden verschiedene Änderungen eingeführt, um diese Art von Angriffen weiter zu erschweren, teilt Signal mit. Das Unternehmen setzte alles daran, Nutzerinnen und Nutzer dabei zu unterstützen, solche Betrugsversuche zu erkennen und zu vermeiden. Es sei allerdings auf die Informationen der Betroffenen über die Angriffe angewiesen, da Signal grundsätzlich keine Nutzerdaten speichere.
Weitere Details dazu, wie die Schutzmaßnahmen konkret aussehen sollen, lässt Signal in dem Statement offen. Allerdings betont der Messenger-Dienst, dass Support-Mitarbeitende der App niemals nach Verifikations-Codes oder Pins fragen würden. Für zusätzlichen Schutz empfiehlt Signal Userinnen und User die Registrierungssperre in der App zu aktivieren.
Aus Kreisen der Bundesregierung hieß es zuvor, dass die Phishing-Kampagne mutmaßlich aus Russland gesteuert wurde, wie der Spiegel und die Deutsche Presse-Agentur (dpa) zuerst berichteten. Im Präsidium des Bundestags wird der dpa zufolge derzeit überlegt, künftig auf den Messenger-Dienst Wire zu setzen. Die Regierung der Niederlande, die ebenfalls von entsprechenden Angriffen betroffen war, hatte laut dpa-Bericht bereits erklärt, sie sehe Russland hinter der Kampagne.