Eine kurze Nachricht von einem Bekannten, ein freundlicher Ton, eine Bitte um einen Klick – und schon ist das Konto weg. Genau so laufen die Betrugsmaschen, vor denen Polizei und Sicherheitsbehörden derzeit warnen. Ob eine angebliche Abstimmung auf WhatsApp, eine SMS von der Sparkasse oder eine Mail vom Finanzamt: Die Angriffe setzen nicht auf technische Wunderwaffen, sondern auf einen Moment der Unaufmerksamkeit.

Passend dazu greift auch die Fachpresse das Thema auf. heise online kündigt ein c't-Webinar zu Phishing, Passkeys und IT-Sicherheit für den Alltag an – ein Signal, dass die Abwehr solcher Angriffe längst kein Spezialwissen mehr ist, sondern zur Grundausstattung gehört. Dieser Artikel bündelt, welche Maschen gerade kursieren, welche technischen Schutzmechanismen wirklich helfen und was du konkret tun kannst.

Die aktuelle WhatsApp-Welle: Abstimmung, Ghost Pairing und Kontoübernahme

Mehrere Meldungen aus den vergangenen Tagen drehen sich um dasselbe Ziel: die vollständige Übernahme eines WhatsApp-Kontos. Die Kölner Polizei warnt laut Berichten vor einer Masche, bei der eine scheinbar vertraute Person schreibt, man möge doch bitte „für Eliska abstimmen“. Hinter dem harmlos klingenden Abstimmungslink steckt jedoch der Versuch, dir die Kontrolle über deinen Account zu entreißen.

Das Muster ist perfide, weil es Vertrauen ausnutzt. Die Nachricht kommt nicht von einer unbekannten Nummer, sondern von einem Kontakt, dessen Konto bereits gekapert wurde. Wer dem Link folgt und im nächsten Schritt einen zugesandten Code weitergibt oder eine Bestätigung erteilt, öffnet den Angreifern die Tür. Danach verschickt der übernommene Account dieselbe Bitte an alle Kontakte – die Kette setzt sich fort.

Was hinter Ghost Pairing steckt

Parallel machen Berichte über eine Technik namens „Ghost Pairing“ die Runde. Dabei geht es darum, ein fremdes WhatsApp-Konto über die Funktion für verknüpfte Geräte zu übernehmen. WhatsApp erlaubt es, denselben Account auf mehreren Geräten und im Browser zu nutzen. Genau diese Bequemlichkeit machen sich Angreifer zunutze: Gelingt es ihnen, dich zu einer scheinbar harmlosen Bestätigung zu bewegen, koppeln sie unbemerkt ihr eigenes Gerät an dein Konto und lesen fortan mit oder schreiben in deinem Namen.

Der gemeinsame Nenner all dieser Maschen: Sie brauchen deine Mithilfe. Kein Betrüger kann ein aktuelles WhatsApp-Konto einfach so knacken – er muss dich dazu bringen, einen Code weiterzugeben, einen Link zu bestätigen oder eine Kopplung zuzulassen. Das ist die gute Nachricht, denn genau an dieser Stelle kannst du den Angriff stoppen.

Phishing per SMS und Mail: Sparkasse, Finanzamt und Co.

Neben den Messenger-Maschen läuft eine breite Phishing-Welle über klassische Kanäle. Betrüger geben sich in Nachrichten als Sparkasse oder als Finanzamt aus und versuchen so, an Zugangsdaten oder Zahlungen zu kommen. Das Vorgehen ist immer ähnlich: Es wird ein Problem behauptet, ein angeblich fälliger Betrag genannt oder eine dringende Bestätigung verlangt – verbunden mit einem Link, der auf eine täuschend echt nachgebaute Anmeldeseite führt.

Wer dort seine Zugangsdaten eingibt, liefert sie direkt an die Angreifer. Der psychologische Trick dahinter ist Zeitdruck. Wenn eine Nachricht suggeriert, dass dein Konto gesperrt wird oder eine Frist abläuft, sollen Betroffene handeln, bevor sie nachdenken. Seriöse Banken und Behörden arbeiten so nicht: Sie fordern niemals per SMS oder Mail dazu auf, über einen mitgeschickten Link Passwörter, PINs oder TANs einzugeben.

Auch andere Plattformen sind betroffen. So wurde etwa aus dem Kreis Euskirchen der Fall eines Seniors gemeldet, der auf einen Betrug über TikTok hereinfiel. Das zeigt: Die Kanäle wechseln, das Grundprinzip bleibt. Betrüger folgen ihren Opfern dorthin, wo diese aktiv sind – vom Messenger über soziale Netzwerke bis zur SMS-Inbox.

Passkeys: Warum das Passwort langsam ausgedient hat

Ein großer Teil aller erfolgreichen Angriffe steht und fällt mit einem Passwort, das in falsche Hände gerät. Genau hier setzen Passkeys an, die auch das c't-Webinar als eines der Kernthemen nennt. Ein Passkey ersetzt das klassische Passwort durch ein kryptografisches Schlüsselpaar. Der private Teil bleibt sicher auf deinem Gerät, der öffentliche liegt beim Dienst. Bei der Anmeldung bestätigst du per Fingerabdruck, Gesichtserkennung oder Geräte-PIN – ein Passwort, das man abtippen, erraten oder auf einer gefälschten Seite eingeben könnte, gibt es nicht mehr.

Der entscheidende Vorteil gegenüber Phishing: Ein Passkey ist an die echte Domain des Dienstes gebunden. Landest du auf einer nachgebauten Sparkassen-Seite, funktioniert der Passkey dort schlicht nicht, weil die Adresse nicht stimmt. Damit läuft der klassische Trick – Nutzer auf eine Fälschung locken und Zugangsdaten abgreifen – ins Leere. Große Anbieter wie Apple, Google und Microsoft unterstützen Passkeys inzwischen breit, und immer mehr Dienste bieten die Anmeldung ohne Passwort an.

Zwei-Faktor-Authentifizierung als Zwischenschritt

Nicht überall gibt es schon Passkeys. Wo sie fehlen, bleibt die Zwei-Faktor-Authentifizierung (2FA) der wichtigste zusätzliche Schutz. Dabei reicht das Passwort allein nicht aus – es kommt ein zweiter Faktor hinzu, etwa ein Code aus einer Authenticator-App. Bei WhatsApp trägt die sogenannte Verifizierung in zwei Schritten denselben Gedanken: Wird eine PIN gesetzt, kann ein Konto nicht ohne Weiteres auf ein neues Gerät übertragen werden, selbst wenn Angreifer an einen Bestätigungscode gelangen. Wichtig ist nur, diesen zweiten Faktor niemals an Dritte weiterzugeben – auch nicht, wenn die Bitte scheinbar von einem Freund kommt.

Nicht nur das Handy: Warum Updates überall zählen

Sicherheit im Alltag hört nicht beim Smartphone auf. Im Hintergrund veröffentlicht das BSI über seinen Dienst CERT-Bund fortlaufend Warnungen zu Schwachstellen in Software, die viele Menschen indirekt nutzen – etwa auf Servern, in Betriebssystemen oder in Netzwerk-Bibliotheken. Allein am 18. September 2026 erschien eine ganze Reihe solcher Meldungen, die zeigen, wie eng getaktet die Arbeit an der Absicherung von Software läuft.

Ein Beispiel ist eine als hoch eingestufte Schwachstelle in der Bibliothek libsoup unter Red Hat Enterprise Linux, über die sich Sicherheitsvorkehrungen umgehen und Daten manipulieren lassen. Eine weitere libsoup-Lücke ermöglicht das Offenlegen von Informationen. Im Linux-Kernel wurde eine als mittel bewertete Schwachstelle beschrieben, über die ein lokaler Angreifer seine Rechte ausweiten kann. Dazu kommen Meldungen zu libxml2, zum XML-Parser expat und zu Eclipse Jetty, bei denen es meist um Denial-of-Service-Angriffe oder das Umgehen von Schutzmaßnahmen geht.

Für dich als Privatnutzer klingt das erst einmal abstrakt. Der praktische Kern ist aber einfach: Diese Bibliotheken stecken in unzähligen Programmen und Onlinediensten. Ob eine Lücke geschlossen wird, hängt davon ab, dass Betreiber und Hersteller Updates einspielen – und dass du auf deinen eigenen Geräten dasselbe tust. Jede nicht installierte Aktualisierung ist eine offene Tür, die irgendwann jemand findet.

Was bedeutet das für dich?

Die aktuelle Häufung von Warnungen wirkt bedrohlich, doch die meisten Angriffe scheitern an ein paar konsequent umgesetzten Grundregeln. Diese Schritte solltest du zeitnah abarbeiten:

  • WhatsApp absichern: Aktiviere die Verifizierung in zwei Schritten und vergib eine PIN. Prüfe unter den verknüpften Geräten regelmäßig, ob dort nur deine eigenen Geräte auftauchen, und entferne alles Unbekannte sofort.
  • Codes niemals weitergeben: Kein seriöser Dienst und kein echter Freund braucht deinen WhatsApp-Bestätigungscode, deine Banking-TAN oder einen 2FA-Code. Solche Anfragen sind praktisch immer ein Betrugsversuch.
  • Bei Druck misstrauisch werden: Nachrichten, die mit Sperrung, Frist oder Strafe drohen, sind ein Warnsignal. Ruf im Zweifel bei der Bank oder Behörde über die offizielle, selbst herausgesuchte Nummer an – nie über Kontaktdaten aus der verdächtigen Nachricht.
  • Links nicht blind anklicken: Öffne Anmeldeseiten von Bank, Finanzamt oder Shops immer direkt über die App oder eine selbst eingetippte Adresse, nicht über einen zugeschickten Link.
  • Passkeys nutzen, wo möglich: Stell bei wichtigen Konten auf Passkeys um. Wo es die noch nicht gibt, richte 2FA über eine Authenticator-App ein.
  • Rückfrage über einen zweiten Kanal: Wenn ein Kontakt dich um eine Abstimmung, Geld oder einen Code bittet, ruf ihn kurz an. Ist das Konto gekapert, fliegt der Betrug so sofort auf.
  • Updates einspielen: Halte Betriebssystem und Apps aktuell und schiebe Sicherheitsupdates nicht auf. Genau diese Aktualisierungen schließen die Lücken, vor denen Stellen wie das BSI warnen.

Wenn du den Verdacht hast, dass ein Konto bereits übernommen wurde, zählt Schnelligkeit. Melde dich bei WhatsApp erneut mit deiner Nummer an, um das fremde Gerät hinauszuwerfen, ändere betroffene Passwörter und warne deine Kontakte, damit sie nicht auf Nachrichten in deinem Namen hereinfallen. Bei finanziellem Schaden solltest du zusätzlich deine Bank informieren und Anzeige erstatten.

Warum Aufklärung der beste Schutz bleibt

Dass ein Fachmagazin wie c't ein ganzes Webinar auf Phishing und Passkeys ausrichtet, unterstreicht einen Punkt: Technik allein löst das Problem nicht. Die stärkste Firewall nützt wenig, wenn ein Anruf oder eine geschickte Nachricht dazu führt, dass jemand seine Zugangsdaten freiwillig herausgibt. Angreifer wissen das und investieren ihre Energie in Psychologie, nicht in komplizierten Code.

Genau deshalb ist das Wissen um die Muster so wirksam. Wer die Masche mit dem Abstimmungslink einmal kennt, klickt beim nächsten Mal nicht mehr reflexartig. Wer weiß, dass eine Bank niemals per SMS zur Passworteingabe auffordert, entlarvt die Fälschung sofort. Und wer verstanden hat, warum ein Passkey nicht auf einer gefälschten Seite funktioniert, hat einen echten technischen Vorteil auf seiner Seite. Sicherheit im Alltag ist kein einmaliger Kraftakt, sondern eine Handvoll Gewohnheiten, die zur Routine werden.

Kurz beantwortet

Häufige Fragen

Wie erkenne ich den WhatsApp-Abstimmungsbetrug?

Typisch ist eine Nachricht von einem bekannten Kontakt, die dich freundlich um deine Stimme bei einer angeblichen Abstimmung bittet – etwa „für Eliska“ oder ein Kind bei einem Wettbewerb. Der mitgeschickte Link führt zu einem Schritt, der letztlich die Übernahme deines Kontos vorbereitet. Stutzig machen sollte dich, wenn im weiteren Verlauf ein Code abgefragt oder eine Bestätigung verlangt wird. Frag im Zweifel per Anruf beim Absender nach, denn dessen Konto könnte längst gekapert sein.

Was ist Ghost Pairing bei WhatsApp?

Ghost Pairing bezeichnet laut Berichten das unbemerkte Ankoppeln eines fremden Geräts an dein WhatsApp-Konto über die Funktion für verknüpfte Geräte. Gelingt das, können Angreifer mitlesen und in deinem Namen schreiben. Schutz bieten die Verifizierung in zwei Schritten und die regelmäßige Kontrolle der verknüpften Geräte in den WhatsApp-Einstellungen. Taucht dort ein Gerät auf, das du nicht kennst, solltest du es sofort entfernen.

Sind Passkeys wirklich sicherer als Passwörter?

Gegen Phishing bieten Passkeys einen deutlichen Vorteil. Da der private Schlüssel dein Gerät nie verlässt und an die echte Domain des Dienstes gebunden ist, lässt er sich nicht auf einer gefälschten Seite eingeben oder abfangen. Es gibt kein Passwort, das erraten, gestohlen oder weitergegeben werden könnte. Wichtige Anbieter wie Apple, Google und Microsoft unterstützen die Technik bereits, weshalb sich der Umstieg bei zentralen Konten lohnt.

Woran erkenne ich Phishing-Nachrichten von Bank oder Finanzamt?

Achte auf Zeitdruck, Drohungen und die Aufforderung, über einen Link Zugangsdaten, PINs oder TANs einzugeben. Seriöse Banken und Behörden verlangen so etwas nie per SMS oder Mail. Prüfe außerdem die Absenderadresse und öffne Anmeldeseiten grundsätzlich über die offizielle App oder eine selbst eingetippte Webadresse. Im Zweifel gilt: nicht klicken, sondern direkt über offizielle Kontaktwege nachfragen.

Muss ich mich um die BSI-Warnungen zu Linux kümmern?

Als Privatnutzer musst du die einzelnen Advisories nicht im Detail verfolgen. Sie richten sich vor allem an Administratoren und Betreiber, die Server und Systeme absichern. Für dich bleibt die praktische Konsequenz simpel: Halte deine eigenen Geräte und Apps aktuell und installiere Sicherheitsupdates zügig. Denn viele der genannten Komponenten stecken auch in Software und Diensten, die du täglich nutzt.