WhatsApp: Die Verschlüsselung schützt auch das fremde Gerät

Öffne auf deinem Handy die WhatsApp-Einstellungen und tippe auf "Verknüpfte Geräte". Ganz unten, direkt unter der Liste, steht ein Satz mit einem kleinen Schlosssymbol davor. "Deine persönlichen Nachrichten sind auf all deinen Geräten Ende-zu-Ende-verschlüsselt." Der Satz ist korrekt. Er steht nur an einer unglücklichen Stelle, denn er beruhigt genau dort, wo ein Problem sichtbar würde.

Ein verknüpftes Gerät bricht die Verschlüsselung nicht, es ist ein vollwertiger Teilnehmer daran. WhatsApp beschreibt das im Hilfebereich so: "Jedes verknüpfte Gerät verbindet sich separat mit WhatsApp. Dabei bleibt das von WhatsApp bekannte Maß an Sicherheit und Privatsphäre dank der Ende-zu-Ende-Verschlüsselung bestehen." Wer also ein Gerät an dein Konto koppelt, sitzt nicht draußen und lauscht. Er sitzt drin.

Vier Geräte, ein Einmalcode, vierzehn Tage

Bis zu vier Geräte lassen sich gleichzeitig mit deinem Konto verbinden. Nötig ist dafür entweder ein QR-Code oder, seit einiger Zeit, allein deine Telefonnummer. WhatsApp schreibt dazu: "Du kannst ein Gerät über die Haupttelefonnummer deines Kontos und einen Einmalcode verknüpfen." Dein Haupttelefon muss danach nicht online bleiben.

Eine Frist gibt es trotzdem, und sie steht ebenfalls im Hilfebereich. "Du musst dich alle 14 Tage mindestens einmal auf deinem Haupttelefon bei WhatsApp anmelden, damit verknüpfte Geräte in deinem WhatsApp-Konto angemeldet bleiben." Diese Regel klingt nach Schutz. Sie wirkt aber nur gegen Geräte, die niemand mehr benutzt. Wer WhatsApp täglich öffnet, und das tun die meisten, hält damit jedes gekoppelte Gerät dauerhaft am Leben, auch ein fremdes.

Die Masche heißt Ghost Pairing

Das BSI hat im Januar 2026 vor einer Phishing-Methode gewarnt, die genau diese Funktion missbraucht. Der Ablauf ist unspektakulär und deshalb wirksam. Eine Nachricht kommt herein, oft vom bereits gekaperten Konto einer Bekannten oder im Namen einer Social-Media-Plattform, und führt auf eine gefälschte Seite. Dort sollst du deine Identität oder deine Telefonnummer bestätigen.

Was danach passiert, beschreibt das BSI so: Die eingegebene Nummer leiten die Angreifer an WhatsApp weiter und starten damit die Funktion "Gerät über Telefonnummer verknüpfen". WhatsApp erzeugt einen achtstelligen Kopplungscode, den die Kriminellen abfragen. In der App erscheint dann eine Kopplungsanfrage, die Betroffene selbst bestätigen sollen.

Hier liegt der Unterschied zu allem, was Nutzer über Kontoübernahmen gelernt haben. Registriert jemand deine Nummer neu, fliegst du raus und merkst es sofort. Eine Geräteverknüpfung ist dagegen keine Registrierung, weshalb nichts davon passiert. Du bleibst angemeldet, deine Chats laufen weiter, dein Handy verhält sich normal. Das BSI formuliert die Folge nüchtern und schreibt, der Angriff bleibe häufig lange unentdeckt, weil eine legitime Funktion der App ausgenutzt werde und WhatsApp normal weiterlaufe.

Seit März warnt WhatsApp, aber nicht immer

Meta hat inzwischen nachgelegt und am 11.03.2026 eine Warnung bei Geräteverknüpfungen angekündigt. Im Wortlaut heißt es, WhatsApp werde Nutzer künftig warnen, "when behavioral signals suggest a linking request might be suspicious", und dabei anzeigen, woher die Anfrage kommt.

Zwei Einschränkungen stecken in diesem einen Satz. Die Warnung hängt an Verhaltenssignalen, und sie bewertet eine Anfrage als möglicherweise verdächtig. Eine Meldung bei jeder Kopplung ist das ausdrücklich nicht, sondern eine Risikoerkennung, die im Zweifel danebenliegt. Angaben zu Regionen, Plattformen oder einem Zeitplan macht Meta in der Ankündigung nicht, und der Beitrag erschien im indischen Newsroom mit Zahlen aus Indien. Ob die Warnung auf einem deutschen Konto erscheint, lässt sich von außen nicht sagen.

Der Selbsttest, der immer funktioniert

Unabhängig davon gibt es einen Weg, der jederzeit klappt und zwei Minuten dauert. In den WhatsApp-Einstellungen findest du unter "Verknüpfte Geräte" den Abschnitt "Gerätestatus" und darin jedes Gerät, das gerade an deinem Konto hängt. Ein Tippen öffnet die Detailansicht mit Gerätenamen, Plattform und dem Hinweis "Synchronisierung abgeschlossen" für den Chatverlauf. Unten sitzt ein roter Knopf "Abmelden", und darunter steht ein Satz, der zeigt, dass WhatsApp mit dem Fall rechnet: "Wenn du dieses Gerät nicht kennst oder keinen Zugriff mehr darauf hast, solltest du dich dort abmelden."

Eine Angabe fehlt allerdings, und sie ist die wichtigste. WhatsApp zeigt nur, wann ein Gerät zuletzt aktiv war, etwa "Zuletzt aktiv heute um 09:01". Wann es gekoppelt wurde, steht nirgends. Ein Eintrag, den du nicht zuordnen kannst, lässt sich also nicht datieren, und du erfährst auch nicht, wie lange schon mitgelesen wird. Im Zweifel hilft nur abmelden und danach die Zwei-Schritt-Verifizierung prüfen.

Die ist seit dem 25.08.2026 stabiler geworden. Aus der sechsstelligen PIN ist ein vollwertiges Passwort geworden, länger, alphanumerisch, auch mit Sonderzeichen. Zusätzlich lässt sich ein Passkey einrichten, seit dem Update sogar mehrere. Beides verhindert kein Ghost Pairing, denn dort bestätigst du selbst. Beides macht es Angreifern aber deutlich schwerer, aus einem gekaperten Zugang dauerhaft etwas zu machen.

Was du dir merken solltest

Ein Kopplungscode ist wie ein Schlüssel, den du aus dem Fenster wirfst. Niemand außer dir braucht ihn, und keine echte Webseite fragt danach. Wer dich zu einem QR-Code drängt oder acht Ziffern haben will, will dein Konto. Der Rest ist Routine: die Geräteliste hin und wieder öffnen, unbekannte Einträge abmelden, und den beruhigenden Satz darunter als das lesen, was er ist, nämlich eine Aussage über Verschlüsselung und nicht über die Frage, wer alles mitliest.