Signal: QR-Code-Trick kapert Konten und so schützt du dich

Du bekommst eine Nachricht: „Dein Signal-Konto muss überprüft werden“, „Neues Gerät koppeln“ oder „Support: Sicherheitscheck“. Dazu ein QR-Code, der seriös aussieht. Viele scannen so etwas schnell, weil QR-Codes im Alltag längst normal sind, von Tickets bis Banking. Genau diese Gewohnheit nutzen Betrüger aus.

Laut einem gemeinsamen Sicherheitshinweis von BSI und BfV vom 06.02.2026 werden Signal-Nutzerinnen und -Nutzer mit Social Engineering in zwei Richtungen gedrängt: Entweder sollen sie sensible Codes oder eine Signal-PIN preisgeben, oder sie werden dazu gebracht, ein fremdes Gerät über einen QR-Code mit dem eigenen Konto zu verknüpfen. Beides kann im Ergebnis dazu führen, dass jemand anderes Nachrichten lesen oder in deinem Namen schreiben kann. Besonders tückisch ist die Variante mit dem verknüpften Gerät, weil dein Signal auf dem Handy oft weiter scheinbar normal funktioniert.

Damit du nicht raten musst, zerlegen wir das Thema in klare Schritte: Was steckt technisch und organisatorisch dahinter, was sind typische Betrugsformeln, wo findest du die entscheidenden Einstellungen in Signal und welche Maßnahmen lohnen sich wirklich, ohne Panik und ohne gefährliche Detailanleitungen.

Signal gilt als besonders sicher, weil Nachrichten Ende-zu-Ende verschlüsselt sind. Das bedeutet: Inhalte sollen unterwegs nicht von Dritten gelesen werden. Diese Stärke bleibt auch bei dem QR-Trick grundsätzlich bestehen. Das Problem ist nicht „gebrochene Verschlüsselung“, sondern eine echte Funktion, die sich missbrauchen lässt.

Signal erlaubt, mehrere Geräte mit einem Konto zu nutzen. Praktisch ist das zum Beispiel für Desktop-Apps oder ein zusätzliches Tablet. Die Kopplung läuft über einen QR-Code: Das neue Gerät zeigt einen Code an, und du bestätigst mit dem Scan auf deinem Smartphone, dass dieses Gerät zu deinem Konto gehören soll. In diesem Moment wird das neue Gerät aus Sicht von Signal zu einem legitimen, verknüpften Gerät.

Sinngemäß raten BSI und BfV: QR-Codes zum Verknüpfen solltest du nur scannen, wenn du den Kopplungsprozess selbst bewusst gestartet hast.

Warum ist das so entscheidend? Weil ein Angreifer nicht deine Verschlüsselung knacken muss. Wenn er dich dazu bringt, den Kopplungs-Schritt selbst auszuführen, bekommt sein Gerät die gleichen Rechte wie dein eigener Computer. Laut Signal-Support können bis zu 5 verknüpfte Geräte aktiv sein. Außerdem kann ein verknüpftes Gerät auch arbeiten, wenn dein Telefon gerade offline ist. Das erhöht den Komfort, kann aber bei einem heimlich verknüpften Gerät die Entdeckung verzögern.

Der gemeinsame Hinweis von BSI und BfV beschreibt zudem, dass bei dieser Masche unter Umständen ein Zugriff auf Nachrichteninhalte über einen relevanten Zeitraum möglich ist. Signal nennt für den Verlaufstransfer beim ersten Verknüpfen eine Option von bis zu 45 Tagen. Genau deshalb ist schnelles Prüfen so wichtig: Je früher du ein unbekanntes Gerät entfernst, desto kleiner ist das mögliche Schadensfenster.

Die Masche lebt von Glaubwürdigkeit. Laut dem Sicherheitshinweis von BSI und BfV treten die Angreifer als vermeintlicher Support auf oder erzeugen Stress, damit du schnell handelst. Typische Aufhänger sind Formulierungen wie „Gerät koppeln“, „Sicherheitscheck“ oder „dein Konto ist gefährdet“. Solche Nachrichten können über SMS, Chats oder andere Kanäle kommen und sind oft in gutem Deutsch geschrieben. Das ist kein Qualitätsmerkmal, sondern Teil der Täuschung.

Variante eins ist die klassische Kontoübernahme über Zugangsdaten: Du sollst eine Signal-PIN oder einen Bestätigungs-Code weitergeben. Aus dem Hinweis geht hervor, dass so eine vollständige Übernahme möglich ist, etwa indem ein Konto neu registriert wird. Das kann sich dadurch bemerkbar machen, dass Signal plötzlich eine (Neu-)Registrierung verlangt oder du unerwartete Sicherheitsabfragen bekommst.

Variante zwei ist subtiler: Statt nach einem Code zu fragen, wird dir ein QR-Code präsentiert, angeblich für eine harmlose Kopplung oder einen Check. Wenn du scannst, autorisierst du möglicherweise ein neues, fremdes Gerät. Signal ist so gebaut, dass verknüpfte Geräte grundsätzlich erlaubt sind. Die Verschlüsselung funktioniert weiter, nur eben für mehr Geräte, als du eigentlich wolltest.

Warum wirkt das bei Signal besonders gefährlich? Erstens, weil ein zusätzliches Gerät im Hintergrund weiterlaufen kann. Zweitens, weil laut Signal-Support beim ersten Verknüpfen eine Übertragung von Nachrichtenverlauf optional ist, und zwar bis zu 45 Tagen. Der Sicherheitshinweis nennt diese Größenordnung als relevanten Zeitraum für mögliche Einsicht in Inhalte. Drittens, weil die alltägliche Nutzung nicht zwingend sofort „kaputt“ aussieht. Du chattest weiter, während jemand anders mitliest oder unter deinem Namen schreibt.

Wichtig ist dabei: Du brauchst keine Angst vor einem technischen Exploit zu haben. In den beschriebenen Fällen ist der zentrale Hebel deine Zustimmung durch den Scan oder das Teilen von Codes. Genau deshalb sind klare Gewohnheiten so wirksam.

Der schnellste Sicherheitsgewinn kommt aus einer Stelle, die viele selten öffnen: die Liste deiner verknüpften Geräte. Laut Signal-Support findest du den Kopplungsprozess über die Einstellungen und „Linked Devices“, in der deutschen Oberfläche üblicherweise „Verknüpfte Geräte“. Dort werden gekoppelte Geräte angezeigt, und dort kannst du sie auch entfernen.

Praktische Faustregel: Wenn du dich nicht erinnern kannst, ein Gerät gekoppelt zu haben, behandle es als verdächtig. Entferne es sofort. Du musst dafür keine technischen Details verstehen. Entscheidend ist nur, dass die Liste wieder zu deinem tatsächlichen Gerätebestand passt.

Achte dabei auf zwei Dinge, die im Alltag leicht untergehen. Erstens: Ein verknüpftes Gerät ist nicht automatisch „dein Laptop“. In Familien oder WGs wurden Geräte schon oft aus Bequemlichkeit geteilt. Das ist verständlich, aber bei Messengern riskant. Zweitens: Die erlaubte Anzahl verknüpfter Geräte ist laut Signal-Support begrenzt, nämlich auf 5. Wenn du dort mehr Aktivität siehst als erwartet, ist das ein starkes Warnzeichen.

Signal nennt in seiner Dokumentation außerdem, dass ein verknüpftes Gerät nach 30 Tagen Inaktivität automatisch getrennt werden kann. Das ist gut als Hygiene-Funktion, ersetzt aber nicht deinen manuellen Check, wenn du einen Verdacht hast. Ein Angreifer, der aktiv bleibt, kann innerhalb dieser Frist weiterhin verbunden sein.

Wenn du Hinweise auf einen Angriff hast, plane zusätzlich die „menschliche“ Seite ein. Informiere wichtige Kontakte außerhalb von Signal, zum Beispiel per Telefon, dass Nachrichten von dir vorübergehend mit Skepsis behandelt werden sollten. Das reduziert Folgeschäden, etwa wenn jemand unter deinem Namen um Geld oder Daten bittet. Der gemeinsame Sicherheitshinweis erwähnt als Indikatoren unter anderem ungewöhnliche Geräte-Einträge sowie auffällige Konto- oder Sicherheitsmeldungen. Das sind genau die Momente, in denen du nicht diskutieren solltest, sondern handeln.

Und noch ein Punkt, der oft unterschätzt wird: Ein kompromittiertes Konto ist nicht nur ein Risiko für dich. Es ist auch ein Risiko für alle, die dir vertrauen. Darum lohnt sich der Check selbst dann, wenn du meinst, „nichts Wichtiges“ zu schreiben. Vereinsabsprachen, Adressen, Fotos oder Terminpläne sind in der Praxis häufig sensibel.

Aus dem Hinweis von BSI und BfV lassen sich fünf Maßnahmen ableiten, die im Alltag realistisch sind. Sie funktionieren unabhängig davon, ob der Betrugsversuch per Chat, SMS oder E-Mail kommt.

Erstens: Scanne keine fremden QR-Codes, die angeblich dein Signal-Konto „prüfen“ oder „absichern“. QR-Codes zum Koppeln gehören in einen klaren Kontext: Du sitzt vor deinem eigenen Computer oder Tablet, öffnest dort Signal und startest die Kopplung bewusst. Jede Abweichung ist ein Warnsignal.

Zweitens: Prüfe regelmäßig deine verknüpften Geräte und entferne unbekannte sofort. Das ist die direkte Gegenmaßnahme gegen die QR-Verknüpfung. Mach daraus eine Routine, ähnlich wie ein Blick auf Kontoauszüge. Es kostet wenig Zeit und verhindert langen, stillen Zugriff.

Drittens: Aktiviere die Schutzfunktion für die Registrierung. In der Signal-Welt ist das als „Registration Lock“ bekannt, im Deutschen meist „Registrierungssperre“. Der Sicherheitshinweis empfiehlt, solche Schutzmechanismen zu nutzen. Wichtig ist, dass du die dazugehörige PIN sicher verwahrst und sie nicht über Chats weitergibst. Kein echter Support wird dich seriös danach fragen.

Viertens: Halte Betriebssystem und App aktuell. Das ist keine magische Lösung gegen Social Engineering, aber es reduziert das Risiko zusätzlicher Schwachstellen und sorgt dafür, dass Sicherheitsfunktionen wie vorgesehen arbeiten. Der Hinweis selbst fokussiert zwar auf Betrugsmethoden, doch Updates bleiben ein Grundpfeiler der Basissicherheit.

Fünftens: Erkenne Warnzeichen und kenne deine Meldewege. Der gemeinsame Hinweis nennt als Beispiele auffällige Registrierungsaufforderungen, unbekannte verknüpfte Geräte oder überraschende Sicherheitsänderungen in Chats. Wenn du so etwas siehst, sichere zuerst dein Konto: verknüpfte Geräte prüfen, verdächtige Sessions beenden, wichtige Kontakte informieren. Für Meldungen und weitere Informationen sind in Deutschland unter anderem das BSI und die Polizei relevante Anlaufstellen. Bei konkretem Betrug kann eine Anzeige sinnvoll sein, schon um Muster zu dokumentieren.

Für Gruppen in Deutschland und Europa, in denen Signal oft als vertraulicher Kanal genutzt wird, ergibt sich daraus eine einfache Regel: Nicht nur auf „starke Verschlüsselung“ verlassen, sondern die Kontohygiene mitdenken. Technik schützt dich gut vor Abhören auf dem Transportweg. Gegen manipulierte Entscheidungen am Bildschirm hilft am Ende vor allem Klarheit im Ablauf.

Der QR-Code-Trick gegen Signal ist deshalb so wirksam, weil er keine Sicherheitslücke ausnutzen muss. Er nutzt eine Komfortfunktion und setzt auf Tempo, Autorität und kleine Alltagsroutinen, die wir uns angewöhnt haben. Der Sicherheitshinweis von BSI und BfV vom 06.02.2026 macht deutlich, dass sowohl die Preisgabe von PINs und Codes als auch das unbedachte Verknüpfen von Geräten zu ernsten Folgen führen kann. Gleichzeitig ist die Abwehr überraschend greifbar: Keine fremden Kopplungs-QRs scannen, verknüpfte Geräte konsequent prüfen, Registrierungsschutz aktivieren und bei Warnzeichen sofort reagieren. So bleibt Signal das, was es sein soll: ein Messenger, der dir Kontrolle gibt, statt sie dir unbemerkt zu nehmen.