Gefälschte Abstimmungen kapern WhatsApp-Konten: über 50 Meldungen im Oktober – das BACS warnt

Der Angriff beginnt laut BACS immer gleich: mit einer WhatsApp-Nachricht von jemandem aus dem eigenen Adressbuch. Dieses Konto ist bereits gekapert, der eigentliche Besitzer weiss oft nichts davon. Die Nachricht appelliert an die Hilfsbereitschaft und lautet sinngemäss: Stimm bitte für die Tochter meines Freundes ab, sie heisst Sophie, die Abstimmung endet bald und es dauert weniger als eine Minute. Weil der Absender vertraut ist und die Zeit angeblich drängt, klicken viele Empfänger auf den mitgeschickten Link. Um Sicherheitsfilter zu umgehen, wechseln die Täter die Adressen dieser Links laut BACS ständig und nutzen eine Vielzahl unterschiedlicher Domains.

Der Link führt auf eine professionell gefälschte Website, die einen Schul- oder Tanzwettbewerb simuliert. Für die vermeintliche Stimmabgabe setzen die Täter auf eine von zwei Methoden. Bei der ersten verlangt die Seite deine Handynummer und anschliessend einen Code, der dir per SMS zugestellt wird. Dieser Code ist in Wahrheit der offizielle sechsstellige Registrierungscode von WhatsApp. Tippst du ihn auf der Seite ein, aktivieren die Täter dein Konto auf ihrem eigenen Gerät – und du fliegst aus deinem eigenen WhatsApp.

Bei der zweiten Methode blendet die Seite einen QR-Code ein und fordert dich auf, ihn in WhatsApp über die Funktion «Verknüpfte Geräte» zu scannen. Das ist die legitime Funktion, mit der du WhatsApp Web am Computer einrichtest. Der Scan verknüpft dein Konto unbemerkt mit dem System der Kriminellen. Das BACS nennt diese Variante besonders tückisch, weil du eingeloggt bleibst und unter Umständen gar nicht merkst, dass dein Konto parallel mitgelesen und missbraucht wird.

Gelingt der Angriff, haben die Täter laut BACS die volle Kontrolle: Zugriff auf Chatverläufe, Gruppen, ausgetauschte Fotos und vertrauliche Informationen. Als Nächstes geht dieselbe Abstimmungs-Nachricht an dein gesamtes Adressbuch. Jede erfolgreiche Übernahme liefert so Dutzende neue Ziele – dieser Schneeballeffekt sorgt laut BACS für die aktuell hohe Verbreitung der Masche.

Die Zahlen des BACS sind deutlich: Allein im Oktober 2026 gingen über 50 Meldungen zu diesem Vorgehen ein, von denen laut BACS auch viele erfolgreich waren. Das Amt spricht von einer erneuten, grösseren Welle gestohlener oder manipulierter WhatsApp-Konten und hält fest, dass sich die Methode offenbar etabliert hat.

Neu ist sie nicht. Bereits am 26. Mai 2026 beschrieb das BACS im Wochenrückblick 21 dieselbe Masche mit denselben zwei Fallen – damals mit dem Beispielsatz «Stimm für die Tochter meines Freundes ab» und einem Mädchen namens Sofia. Die Nachrichten kursierten laut BACS in verschiedenen Sprachen, oft auf Italienisch oder Deutsch; die Anweisung zum QR-Scan war in den gemeldeten Fällen italienisch. Zahlen nannte das BACS damals keine.

Auch die Kantonspolizei Zürich dokumentiert die Entwicklung auf cybercrimepolice.ch. Am 9. September 2026 veröffentlichte sie den Fall «Gefälschte Tanzabstimmung führt zu Zugriff auf das WhatsApp-Konto»: eine Bitte um eine Stimme für eine junge Tänzerin, eine Seite mit Kandidatinnen, Fotos und Stimmenzahlen, und zur «Verifizierung» ein QR-Code, der in Wahrheit das Konto mit einem Gerät der Betrüger verknüpft. Bis zu unserer Prüfung am 30. Oktober 2026 hatten sich dort 46 Betroffene gemeldet. Am 12. Oktober 2026 folgte der Fall «Übernommene WhatsApp-Konten: Betrüger versenden Links oder fordern Geld», der zeigt, was mit den gekaperten Konten danach geschieht.

Das Kapern von WhatsApp-Konten selbst hat eine noch längere Geschichte. Im August 2023 warnte das damalige NCSC (heute BACS) vor einer Variante über die Combox: Die Täter gaben die Zielnummer bei WhatsApp als ihre eigene an und liessen sich den Code – wenn er nicht an die hinterlegte E-Mail-Adresse ging – nachts per Anruf vorlesen. Weil niemand abnahm, landete der Code auf dem Anrufbeantworter – und der war bei vielen Betroffenen noch mit dem Standard-PIN gesichert, etwa den letzten vier Ziffern der Telefonnummer. Neu an der aktuellen Welle ist also nicht das Ziel, sondern der Massstab und der Köder: Statt technischer Tricks genügt heute eine freundliche Bitte um eine Stimme.

Ein gekapertes WhatsApp-Konto ist für Betrüger vor allem eines: ein vertrauter Absender. Die Kantonspolizei Zürich beschreibt, dass die Übernahme für Empfänger nicht ohne Weiteres erkennbar ist, weil die Nachrichten im bestehenden Chatverlauf erscheinen und sowohl die Telefonnummer als auch das Profil der bekannten Person unverändert bleiben. Nur der Mensch dahinter ist ein anderer.

Dieses Vertrauen nutzen die Täter laut cybercrimepolice.ch auf drei Wegen. Erstens verschicken sie weitere Links zu gefälschten Websites, um auch die Konten der Kontakte zu übernehmen – das ist der Schneeball, den das BACS beschreibt. Zweitens beginnen sie persönliche Unterhaltungen und bitten im Verlauf unter einem Vorwand um eine Geldüberweisung. Drittens veröffentlichen sie Geldforderungen direkt im WhatsApp-Status des übernommenen Kontos, um mehrere Kontakte gleichzeitig zu erreichen; Begründung, Betrag und Zahlungsart variieren dabei.

Dazu kommt der Zugriff auf alles, was im Konto liegt. Das BACS nennt Chatverläufe, Gruppen, ausgetauschte Fotos und vertrauliche Informationen; im Mai berichtete es zudem von Fällen, in denen über übernommene Konten Desinformation in Gruppenchats verbreitet oder weitere Betrugsversuche gestartet wurden. Beim QR-Trick ist das besonders heikel: Weil du eingeloggt bleibst, läuft die Überwachung still mit, bis du die fremde Verknüpfung entdeckst und beendest.

Das erste Warnsignal ist die Bitte selbst. Das BACS rät, bei Aufforderungen zu Abstimmungen oder Wettbewerben via Messenger grundsätzlich misstrauisch zu sein – auch wenn der Absender bekannt ist. Genau das ist ja der Trick: Die Nachricht kommt von einem echten Kontakt, dessen Konto bereits übernommen wurde. Zeitdruck («endet bald», «dauert weniger als eine Minute») verstärkt den Verdacht, statt ihn auszuräumen.

Das zweite Warnsignal ist der Ablauf auf der Website. Eine echte Abstimmung braucht weder deine Handynummer noch einen Code, der dir per SMS zugeschickt wird. Verlangt eine Seite genau das, handelt es sich um den WhatsApp-Registrierungscode – es gibt keinen anderen sechsstelligen Code, den du nach Eingabe deiner Nummer bekommst. Dasselbe gilt für die Aufforderung, einen QR-Code «mit WhatsApp» oder über «Verknüpfte Geräte» zu scannen: Diese Funktion verbindet ein Gerät mit deinem Konto, sonst nichts. Eine Stimmabgabe hat damit nichts zu tun.

Im Zweifel hilft der Rat des BACS: Frag den Absender über einen anderen Kanal, zum Beispiel per Anruf, ob die Nachricht wirklich von ihm stammt. Oft erfährt er erst so, dass sein Konto gekapert ist – mach ihn darauf aufmerksam, dass in seinem Namen solche Nachrichten verschickt werden. WhatsApp selbst fasst den wichtigsten Schutz auf seiner Sicherheitsseite in einem Satz zusammen: Richte eine geheime PIN ein und teile sie mit niemandem, damit dir niemand das Konto stehlen kann, schreibt WhatsApp.

Die wirksamste Massnahme ist die zweistufige Überprüfung. Du findest sie laut BACS in WhatsApp unter Einstellungen > Konto > Zweistufige Überprüfung. Wer sie aktiviert, sichert das Konto zusätzlich zum SMS-Code mit einer selbst gewählten PIN ab – laut WhatsApp schützt das auch dann, wenn jemand den Einmalcode abgreift. Das BACS schreibt, diese einfache Massnahme mache eine Kontoübernahme um ein Vielfaches schwieriger. Laut WhatsApp-Blog vom 25. August 2026 ist die Funktion inzwischen gestärkt worden: Statt einer sechsstelligen PIN kannst du ein längeres Passwort mit Buchstaben, Zahlen und Sonderzeichen setzen. Wie du ein solches Passwort baust, das du dir trotzdem merkst, steht in (→ Sicheres Passwort erstellen – und was 2026 wirklich sicher ist) – und «123456» ist laut WhatsApp ausdrücklich keine Option.

Dazu kommen Passkeys. Laut demselben Blog-Beitrag nutzen über eine Milliarde Menschen bei WhatsApp einen Passkey, mit dem sie sich per Fingerabdruck, Gesicht oder Bildschirmsperre anmelden – ohne Codes oder PINs. Seit August 2026 kannst du mehrere Passkeys pro Konto hinterlegen, etwa wenn du Android und iOS nutzt. WhatsApp nennt den Weg «Settings > Account > Passkeys», auf Deutsch sinngemäss Einstellungen > Konto > Passkeys; den genauen deutschen Menünamen haben wir nicht geprüft. Was ein Passkey ist und warum er Phishing-Seiten ins Leere laufen lässt, erklären wir am Beispiel Google in (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey) – das Prinzip ist bei WhatsApp dasselbe.

Zweitens die «Verknüpften Geräte»: Nutze diese Funktion laut BACS ausschliesslich, um WhatsApp Web auf deinen eigenen, vertrauenswürdigen Geräten einzurichten – etwa dem eigenen Laptop. Scanne keine QR-Codes von unbekannten Websites, egal, was dort als Grund steht. Wirf ausserdem regelmässig einen Blick in die Liste unter Einstellungen > Verknüpfte Geräte: Dort muss jedes Gerät stehen, das du kennst, und sonst keines.

Drittens der Code: Gib den sechsstelligen WhatsApp-Verifizierungscode laut BACS niemals an Dritte weiter und tippe ihn niemals auf Webseiten ein. Er gehört nur in die WhatsApp-App auf deinem eigenen Telefon. Und viertens die Combox: Ändere den PIN deines Anrufbeantworters, falls er noch auf dem Standardwert steht. Das NCSC riet schon 2023, alle voreingestellten Passwörter zu ändern und PIN-Codes gleich zu behandeln wie Passwörter – sonst können sich Täter den Code nachts einfach vorlesen lassen.

Zuerst die Kontakte. Informiere sie laut BACS umgehend über andere Kanäle – per normaler SMS, Anruf oder E-Mail –, dass dein Konto gehackt wurde, und warne sie davor, Links in Nachrichten anzuklicken, die angeblich von dir stammen. Je schneller das geschieht, desto weniger neue Opfer bringt dein Konto den Tätern.

Dann das Konto. Beim QR-Trick hast du noch Zugriff auf die App: Geh laut BACS sofort zu Einstellungen > Verknüpfte Geräte, tippe auf alle unbekannten Einträge und wähle «Abmelden». Beim SMS-Trick wurdest du aus der App abgemeldet: Registriere dich auf deinem Smartphone neu mit deiner Handynummer. Du erhältst einen neuen sechsstelligen SMS-Code, und mit dessen Eingabe wird die Täterschaft laut BACS automatisch ausgeloggt. Haben die Angreifer in der Zwischenzeit eine eigene PIN für die zweistufige Überprüfung aktiviert, musst du sieben Tage warten, bis du dich ohne diese PIN wieder anmelden kannst – dein Konto ist für die Täter in dieser Zeit laut BACS aber ebenfalls abgemeldet. Deine bisherigen Chats sind laut WhatsApp auf deinem Telefon gespeichert und für jemanden, der sich Zugang zum Konto verschafft, nicht lesbar.

Zum Schluss die Behörden. Die Kantonspolizei Zürich rät, nach telefonischer Voranmeldung bei der örtlichen Polizeistelle Anzeige zu erstatten. Hast du auf eine Geldbitte aus einem gekaperten Konto bereits überwiesen, kontaktiere umgehend deine Bank oder den Zahlungsdienstleister und lass eine Rückforderung prüfen. Und wenn du dasselbe Passwort auch anderswo verwendest, ändere es überall.

Einordnung von DealsScout: Dass die Täter einen Code und kein Passwort wollen, ist kein Zufall. WhatsApp verlangt beim Einrichten kein Passwort – der Nachweis, dass die Nummer dir gehört, läuft über den SMS-Code. Ein Konto ohne zweistufige Überprüfung oder Passkey ist deshalb nur so sicher wie diese eine SMS, und die lässt sich mit einer freundlichen Bitte abgreifen. Die zweistufige Überprüfung ändert das Spiel, weil die PIN oder das Passwort nur in deinem Kopf existiert und nie per SMS unterwegs ist. Dieselbe Logik gilt für dein E-Mail-Konto, über das sich fast alle anderen Zugänge zurücksetzen lassen: Wie du es mit einem zweiten Faktor absicherst, zeigt (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey). Ein VPN hilft hier übrigens nicht – es verschlüsselt den Weg deiner Daten, nicht deine Entscheidung, einen Code auf einer fremden Seite einzutippen (→ Was ist ein VPN? So funktioniert das virtuelle private Netzwerk).