Was der EncroChat-Hack über deine Privatsphäre verrät: die Fehler, die Anonymität zerstören

Ein eigens gebautes Smartphone. Verschlüsselte Nachrichten. Keine Verbindung zur normalen Rufnummer. Pseudonyme statt Namen. Ein erheblicher Aufwand, nur damit niemand herausfindet, wer da schreibt.

Und dann reicht ein Foto von einem Stück Käse. Oder das normale Handy in der anderen Hosentasche. Oder ein Auto im Hintergrund eines Bildes.

Genau deshalb ist der EncroChat-Hack eine ungewöhnlich aufschlussreiche Fallstudie über digitale Privatsphäre und Datenschutz. Nicht weil jeder Leser etwas zu verbergen hätte, sondern weil die Verfahren offenlegen, wie erstaunlich wenig Information nötig ist, um zwei getrennte digitale Identitäten wieder zusammenzuführen. Der Schutz wurde nicht einfach durch einen kryptanalytischen Bruch des Verschlüsselungsalgorithmus überwunden. Entscheidend waren Infrastruktur, Endgeräte und die Informationen, die sich anschließend Personen zuordnen ließen.

Warum EncroChat so viel über digitale Privatsphäre verrät

EncroChat verkaufte umgebaute Android-Telefone mit verschlüsseltem Nachrichtendienst und dem Versprechen, die Privatsphäre seiner Nutzer sei unangreifbar. Die Geräte waren teuer, wurden nicht im Laden verkauft und nutzten eine eigene geschlossene Kommunikationsinfrastruktur. Nach Darstellung der Ermittler gab es eine Löschfunktion, mit der sich der Inhalt des Geräts unwiderruflich entfernen ließ. Alles daran war auf Abschottung ausgelegt.

Im Frühjahr 2020 verschafften sich französische Ermittler Zugang zur EncroChat-Infrastruktur und zu den verbundenen Geräten. Über rund zweieinhalb Monate war der Nachrichtenverkehr lesbar, zu einem erheblichen Teil in Echtzeit. Nach der gemeinsamen Darstellung von Eurojust und Europol war EncroChat Anfang 2020 einer der größten Anbieter verschlüsselter digitaler Kommunikation überhaupt. Am 13. Juni 2020 bemerkte das Unternehmen den Zugriff und warnte seine Nutzer. Da war das Material längst gesichert.

Für unser Thema Privatsphäre ist der interessante Teil nicht der Zugriff selbst, sondern das, was danach passierte. Das Bundeskriminalamt hat öffentlich beschrieben, dass sich die EncroChat-Ermittler nach Erhalt der Daten zunächst darauf konzentrierten, die Personen hinter den EncroChat-Nutzernamen zu identifizieren, und dass aus mehreren hunderttausend Chatverläufen auf diesem Weg Tausende Nutzer bestimmt werden konnten. Diese Zuordnung ist die eigentliche Geschichte. Sie zeigt in bisher unerreichter Breite, welche Kleinigkeiten ausreichen, um ein Pseudonym aufzulösen – und genau deshalb ist EncroChat für jeden interessant, der seine digitale Privatsphäre ernst nimmt, ganz ohne kriminellen Bezug.

Verschlüsselung ist nicht Anonymität: die drei Ebenen deiner Privatsphäre

Ein verbreiteter Denkfehler beim Thema Privatsphäre und Datenschutz lautet: Ich benutze etwas Sicheres, also bin ich sicher. Tatsächlich zerfällt Privatsphäre in drei Ebenen, die unabhängig voneinander scheitern können.

Ebene 1: technische Sicherheit

Hier geht es um Verschlüsselung, Betriebssystem, Gerät, Netzwerk. Ist die Verbindung geschützt? Ist das System aktuell? Kann jemand mitlesen, der zwischen Sender und Empfänger sitzt? Das ist die Ebene, auf der die meisten Ratgeber enden – und die EncroChat-Nutzer hatten sie ungewöhnlich gut abgedeckt. Wer diese Ebene für sich verbessern will, findet in unserem Beitrag zu sicheren Messengern ohne Telefonnummer wie Session, Status und ADAMANT die ernsthaften Alternativen zu den üblichen Diensten.

Ebene 2: Informationssicherheit

Welche Daten gibst du inhaltlich preis – in Texten, Bildern, Dateien, Sprachnachrichten? Diese Ebene ist unabhängig von der Technik. Ein perfekt verschlüsseltes Foto ist ein perfekt verschlüsseltes Foto deiner Hand. Der Empfänger sieht es im Klartext, und beim Empfänger liegt es dann auch.

Ebene 3: Verhaltenssicherheit – OPSEC

OPSEC beantwortet eine einzige Frage: Verbindet dein eigenes Verhalten die getrennten Identitäten wieder miteinander? Trägst du beide Geräte gemeinsam? Bist du in beiden Rollen zu denselben Uhrzeiten aktiv? Benutzt du zweimal denselben Namen? Diese Ebene kostet kein Geld und keine Software. Zahlreiche dokumentierte Zuordnungen zeigen, dass Verhalten und selbst preisgegebene Informationen technische Schutzmaßnahmen wieder unterlaufen können. OPSEC ist damit der billigste und zugleich einer der wirksamsten Teile deiner Privatsphäre.

Die zentrale Erkenntnis: Es gab EncroChat-Nutzer, die auf Ebene 1 mehr investiert hatten als fast jeder Privatanwender – und die über einen Fehler auf Ebene 2 oder 3 identifiziert wurden. Privatsphäre entsteht also nicht dort, wo die meiste Technik steckt. Sicherheit ist keine Kette, in der das schwächste Glied ein technisches ist.

Fehler 1: Der eigene Körper im Bild – wie ein Foto die Anonymität beendet

Der bekannteste EncroChat-Fall ist zugleich einer der lehrreichsten. Ein Nutzer aus Liverpool, der unter dem Namen „Toffeeforce“ auftrat, verschickte über EncroChat ein Foto eines Stück Stilton-Käses aus dem Supermarkt. Er hielt den Block dabei in der offenen Handfläche. Die Polizei von Merseyside wertete Finger- und Handabdrücke aus dem Bild aus und ordnete es einer Person zu. Das Urteil lautete auf 13 Jahre und sechs Monate.

Noch aufschlussreicher ist ein Fall, der schon Jahre vorher und ganz ohne technische Operation funktionierte. In Bridgend in Wales fanden Ermittler 2018 auf dem Telefon eines Festgenommenen ein Messenger-Foto: eine Handfläche mit Ecstasy-Tabletten, offenkundig als Verkaufsangebot verschickt. Der zuständige Sachverständige beschrieb später, dass nur der mittlere und untere Teil eines Fingers sichtbar war. Für einen Abgleich gegen die nationale Datenbank reichte das nicht, weil dort die Fingerkuppen gespeichert sind. Für den Vergleich mit einer bereits verdächtigen Person reichte es. Es folgten elf Verurteilungen. Sein Fazit an die Presse: Das habe die Schleusen geöffnet, seither würden Kollegen jedes Foto einschicken, auf dem ein Stück Hand zu sehen sei.

Der EncroChat-Fehler passiert im entspannten Moment, nicht bei der Arbeit

Ein dritter Fall macht das besonders deutlich. Ein Nutzer mit dem Handle „Centralhuman“ wurde nach Angaben der Merseyside Police über gleich drei selbst gelieferte Bausteine erkannt: Er verschickte ein Selfie, er gab in anderen Nachrichten eine Wegbeschreibung zur Wohnung eines Angehörigen, und er fotografierte im Urlaub seine eigene Hand mit einer Bierflasche darin. Aus diesem Urlaubsfoto ließen sich seine Fingerabdrücke bestimmen.

Das ist die eigentliche Pointe dieser Fallgruppe: Der Fehler entsteht nicht in der angespannten, konzentrierten Situation, sondern im Feierabend. Man ist am Strand, man hat ein Bier in der Hand, man schickt es in den Chat, weil man gute Laune hat. Wer Vorsicht nur dann übt, wenn er sich gerade in Gefahr fühlt, übt sie nicht.

In deutschen Verfahren wird dasselbe Muster beschrieben. Fachanwälte, die EncroChat-Verfahren führen, nennen als typische Zuordnungsmerkmale auf Bilddateien ausdrücklich die Einrichtung einer Wohnung, spezifische Tätowierungen und erkennbare Fingerlinien.

Praktisch heißt das: Produkte auf eine neutrale Fläche legen statt in die Hand nehmen. Auf Tätowierungen, Narben, Muttermale, Ringe, Uhren und Nagellack achten. Und daran denken, dass auch Spiegelungen in Fenstern, Brillengläsern, Bildschirmen und Backofentüren Teil des Bildes sind.

Der nächste Fehler ist noch banaler – und er betrifft dich mit ziemlicher Sicherheit selbst, ganz ohne Foto.

Fehler 2: Zwei Geräte, ein Bewegungsmuster – der teuerste OPSEC-Fehler

Dies ist der EncroChat-Fehler, der dich am ehesten selbst betrifft – auch völlig ohne kriminellen Bezug. Er zeigt zugleich, warum ein zweites Handy allein noch keine zweite Identität ergibt.

Ein Mann, der später wegen Verabredung zum Mord verurteilt wurde, führte sein EncroChat-Telefon gemeinsam mit seinem regulären, auf ihn angemeldeten Mobiltelefon mit sich. Auf Fahrten von London nach Cardiff meldeten sich beide Geräte zur selben Zeit an denselben Funkmasten an. Damit war es sehr wahrscheinlich, dass beide derselben Person gehörten. Der leitende Ermittler der Metropolitan Police hat diesen Fall in einer BBC-Podcastreihe selbst als Beispiel benannt.

In einem zweiten Verfahren wurde derselbe Nachweis noch weiter getrieben. Nach der Festnahme eines Beschuldigten wurden sein verschlüsseltes Gerät und eines seiner privaten Telefone ausgewertet. Beide buchten sich in dieselbe Funkzelle nahe seiner Wohnadresse ein. Eine Auswertung von Kennzeichenerfassungskameras zeigte zusätzlich, dass beide Telefone auf seinen Autofahrten dieselben Funkzellen nacheinander durchliefen.

Auch in Deutschland lief die Zuordnung wesentlich über diesen Weg. In der Berichterstattung über die deutschen Verfahren heißt es, die Zuordnung sei nach den Standorten der Funkmasten erfolgt, in die sich die EncroChat-Nutzer bei der Kommunikation eingewählt hatten. Aus einer Entscheidung des Hanseatischen Oberlandesgerichts in Bremen geht hervor, welche Datenfelder dabei übergeben wurden: Gerätekennung der in Deutschland eingebuchten Mobilgeräte, die Adresse des Geräts, die jeweiligen Kontaktpartner, Datum, Uhrzeit und Funkmaststandort der Kommunikation sowie die Inhalte einschließlich der Bilddateien.

Das gilt weit über EncroChat hinaus. Dasselbe Prinzip trifft die zweite E-Mail-Adresse, das anonyme Verkaufskonto, das getrennte Social-Media-Profil. Wenn beide Identitäten aus demselben Browser, über dieselbe Leitung, zu denselben Tageszeiten und mit demselben Schreibstil benutzt werden, ist die Trennung Dekoration. Getrennte Rollen können wieder miteinander verknüpft werden, wenn sie gemeinsame dauerhafte Kennungen, Geräte, Konten oder andere wiederkehrende Merkmale verwenden. Der OPSEC-Leitfaden erklärt diese Korrelationsrisiken ausführlicher.

Fehler 3: Der Hintergrund verrät den Ort

Im selben EncroChat-Verfahren wie oben findet sich ein zweiter, noch simplerer Fehler für die Privatsphäre. Ein Beteiligter schickte ein Foto vom Haus seiner Mutter. Auf dem Bild waren ihr Auto und das Kennzeichen zu erkennen. Damit war nicht nur ein Ort bekannt, sondern über den Halter auch ein Name und eine Familienbeziehung.

Auch Innenräume tragen erstaunlich viel Information: Fensterform, Heizkörpertyp, Bodenbelag, Steckdosen, Fliesenschnitt, Deckenhöhe, Treppengeländer, die Aussicht. Alles zusammen ergibt einen Abgleichspunkt, sobald Ermittler oder ein Angreifer den Raum später einmal sehen.

Und die Latte liegt heute deutlich niedriger als 2020. Standort aus Foto erkennen: KI-Modelle trafen im McAfee-Test in bis zu 91 Prozent der Fälle zeigt, dass automatisierte Systeme aus Vegetation, Architektur, Straßenmöbeln und Lichtverhältnissen auf den Ort schließen – ganz ohne GPS-Angaben in der Datei. Wer glaubt, das Entfernen der EXIF-Daten reiche aus, unterschätzt, wie viel Ortsinformation im sichtbaren Bild selbst steckt.

Und damit sind wir beim Punkt, an dem die Anonymität schon vor der ersten Nachricht verloren geht. Praktisch: Vor dem Senden das Bild ganz bewusst am Rand entlang absuchen. Kennzeichen, Hausnummern, Straßenschilder, Klingelschilder, Firmenlogos, Vereinswappen, Schulranzen, Aufkleber, Poststücke auf dem Tisch, der Aufdruck auf dem Kaffeebecher. Das Motiv sieht man; die Ränder muss man suchen.

Fehler 4: Der EncroChat-Nickname aus dem echten Leben

Diesen Fehler machen Menschen fast reflexhaft, weil ein Pseudonym irgendwie zu einem passen soll. Er kostet mehr Anonymität als jede fehlende Verschlüsselung.

Ein Händler, der später wegen Verabredung zum Mord und Drogenhandel verurteilt wurde, nutzte den Namen „Boboku“. Das war der Kosename seines fünfjährigen Sohnes. Auf dem Gerät fanden sich zusätzlich Bilder des Kindes und Geburtstagsglückwünsche, in denen der Familienname fiel. Ein anderer, der Drogen in einem Baggerfahrzeug nach Australien schmuggeln wollte und unter „ThrowtheDice“ auftrat, lieferte den Ermittlern die Zuordnung mit einem Foto seines Hundes.

Dieser Fall verdient einen zweiten Blick, weil er zeigt, wie klein das entscheidende Detail sein kann. Nicht der Hund war das Problem und auch nicht das Motiv. Auf dem Halsband war eine Telefonnummer zu sehen – die seiner Partnerin. Das berichtet der damalige Einsatzleiter der britischen Operation Venetic in einem Rückblick auf das Verfahren. Der Nutzer hatte also nichts über sich erzählt, keine Adresse genannt, kein Selfie verschickt. Er hat sein Haustier fotografiert.

Und ja: den Fall mit dem gleichen Nickname in sozialen Medien gibt es

Er ist sogar der berühmteste Fehler dieser Art überhaupt. Der Betreiber des Marktplatzes Silk Road warb im Januar 2011 in zwei Foren – einem Bitcoin-Forum und einem Pilzforum – unter dem Namen „altoid“ für die Plattform. Silk Road war dort vorher nie erwähnt worden. Das allein wäre folgenlos geblieben. Acht Monate später suchte derselbe Nutzer „altoid“ in einem der Foren einen IT-Fachmann für ein Projekt und bat um Zusendung an eine E-Mail-Adresse, die aus seinem vollen Klarnamen bestand. Später legte er zusätzlich in einem Entwicklerforum ein Konto unter seinem echten Namen an, stellte eine Frage zur Anbindung an das Tor-Netzwerk und änderte den Namen eine Minute später. Zu spät: Der Beitrag war da, und der neue Name entsprach ausgerechnet der Kennung, unter der der Serveradministrator arbeitete.

Beim Marktplatz AlphaBay lief es fast identisch. Der Administrator trat dort unter „Alpha02“ auf. Denselben Namen hatte er schon 2008 in einem französischsprachigen Technikforum benutzt – dort zusammen mit seinem Klarnamen und einer privaten Hotmail-Adresse. Diese Adresse tauchte anschließend in den Kopfzeilen der automatischen Begrüßungs- und Passwort-Mails des Marktplatzes auf. Die Adresse selbst bestand aus einem Vornamen und einem Geburtsjahr. Über sie fanden die Ermittler ein Bezahlkonto, eine Firma und ein Profil in einem Karrierenetzwerk.

Konkret also: keine Spitznamen, keine Geburtsjahre, keine Haustiernamen, keine Vereine, keine Hausnummern, keine Autokennzeichen, keine Lieblingsband. Kennungen zufällig erzeugen und für jede Rolle eine eigene verwenden. Ein Passwortmanager mit Alias-Adressen und Passkeys nimmt einem genau diese Disziplin ab, weil er pro Dienst eine eigene Kennung und eine eigene Weiterleitungsadresse anlegt, statt dass man dieselbe Kombination immer wieder tippt.

Fehler 5: Die Schnittmenge harmloser Angaben

Ein besonders aufschlussreicher EncroChat-Fall enthält keine einzige heikle Angabe – und beendet die Anonymität trotzdem.

Ein Kokainhändler prahlte in seinen Chats damit, in einem teuren Lokal in Mayfair bestellt zu haben, und erwähnte außerdem, er sei einem gehobenen Golfclub beigetreten. Beides für sich ist völlig belanglos. Zusammen ergab es zwei Namenslisten – die Bestellungen des Restaurants und die Mitglieder des Clubs. Auf beiden Listen stand genau ein Name.

Ein Geldwäscher desselben Verfahrens sprach über das Modell seines Sportwagens und erwähnte nebenbei, er habe einen Prüftermin verpasst. Auch das ergab, kombiniert, einen sehr kleinen Kreis von Haltern.

Dieses Muster heißt Schnittmengen-Angriff und ist besonders unangenehm, weil es ohne jede Technik und ohne jede Verschlüsselung auskommt. Wohnort auf Stadtebene, ungefähres Alter, Beruf, Arbeitgeberbranche, Zahl der Kinder, Hunderasse, Urlaubsziel im Sommer, Automarke, Verein, Lieblingsserie: Jede einzelne dieser Angaben würdest du im Smalltalk sofort preisgeben. Mehrere solcher Angaben können den Kreis möglicher Personen drastisch verkleinern; wie stark, hängt von den konkreten Merkmalen und den verfügbaren Vergleichsdaten ab.

Fehler 6: Selbstoffenbarung im vermeintlich sicheren EncroChat

Die Ermittler waren nach eigener Aussage überrascht, wie sorglos die EncroChat-Nutzer ihre Identität preisgaben – vermutlich, weil sie an die Unangreifbarkeit der Verschlüsselung glaubten. In einem Fall schickte ein Beschuldigter seinen Namen, sein Geburtsdatum und seine Adresse in einer Nachricht. In anderen Fällen tauschten Nutzer schlicht Selfies aus. Der leitende Ermittler beschrieb, dass die Kommunikation eben nicht nur geschäftlich war: Es gab Plauderei, und darin steckten immer wieder kleine Hinweise.

Deutsche Verteidiger berichten dasselbe: Teilweise stützen die Behörden die Identifizierung schlicht auf persönliche Anreden in den Chats.

Der Geburtstag, zweimal erwähnt

Wie weit das gehen kann, hält ein österreichischer Gerichtsbeschluss vom Dezember 2025 fest. Ein Nutzer teilte an einem Tag im April 2021 in einem Chat mit, dass er an diesem Tag Geburtstag habe. Zwei Tage später ergänzte er, sein Geburtstag sei zwei Tage zuvor gewesen und er sei dreißig Jahre alt geworden. Damit standen Tag und Jahr fest.

Am selben Geburtstag verschickte er zusätzlich ein Selfie. Das Gericht hält fest, dass dieses Bild mit dem Lichtbild aus einer erkennungsdienstlichen Behandlung aus dem Jahr 2018 übereinstimmte. Über zwei Konten desselben Nutzers bei einem zweiten Dienst waren außerdem zahlreiche Selfies, Sprachaufnahmen und ein Foto seines Reisepasses verschickt worden.

Das ist der Punkt, an dem Vertrauen in Technik zur Falle für die eigene Privatsphäre wird. Ein sicherer Kanal senkt die Hemmschwelle. Man schreibt Dinge, die man am Telefon nie sagen würde, weil das Werkzeug einem Sicherheit suggeriert. Genau dieses Gefühl ist die Schwachstelle.

Übertragen: Ein Pseudonym hält exakt so lange, bis dich der erste Gesprächspartner beim Vornamen nennt. Dein eigenes Verhalten kannst du steuern, das deines Gegenübers nicht. Wer eine getrennte Rolle wirklich braucht, muss sie auch gegenüber Vertrauten durchhalten – oder darf die Rolle diesen Personen gar nicht erst zeigen.

Fehler 7: WLAN, Funkzelle und die Metadaten-Spur des Geräts

Nach der Darstellung des leitenden Ermittlers der Metropolitan Police gelang es den französischen Behörden, Nutzer aus Großbritannien zu bestimmen, indem sie die EncroChat-Nutzerkennungen mit den WLAN-Netzen und Funkmasten verknüpften, in die sich die EncroChat-Geräte eingewählt hatten. Nicht der Inhalt war hier der Ansatz, sondern die Verbindungsspur.

Ein Gerät erzeugt auch dann Daten, wenn niemand tippt – und genau diese Metadaten sind für eine Zuordnung wertvoll. Je nach Betriebssystem und Einstellungen kann es sich automatisch mit bekannten Netzen verbinden, es meldet sich an Funkzellen an, fragt Zeitserver, holt Aktualisierungen. Solche Vorgänge können je nach Netz, Dienst und vorhandenen Protokolldaten zusätzliche Zeit-, Netzwerk- oder Standortbezüge erzeugen. Über längere Zeit können daraus charakteristische Nutzungsmuster entstehen: Hinweise auf wiederkehrende Aufenthaltsorte und Arbeitszeiten, wann du unterwegs bist, wen du regelmäßig triffst.

Warum schon die Inbetriebnahme Spuren erzeugt

Ein Gerät erzeugt Verbindungsdaten, bevor damit die erste Nachricht geschrieben wird. Es muss ins Netz, um Aktualisierungen zu laden, ein System zu installieren oder sich anzumelden – und dabei meldet es sich an Funkmasten an und speichert Netze, in die es sich später automatisch wieder einwählt.

Genau dieser Weg wurde in den EncroChat-Verfahren genutzt: Nach der Darstellung des leitenden Ermittlers wurden britische Nutzer bestimmt, indem man die Kennungen mit den WLAN-Netzen und Funkmasten verknüpfte, in die sich die Geräte eingewählt hatten. Ob die Einwahl beim Einrichten, beim Aktualisieren oder beim Chatten geschah, spielte dabei keine Rolle.

Die Fälle zeigen damit, dass ein vermeintlich getrenntes Gerät über Netz- und Verbindungsdaten mit dem normalen Alltag korreliert werden kann. Welche technischen und organisatorischen Konsequenzen daraus für legitime Privatsphäre folgen, behandelt der OPSEC-Leitfaden.

Die Fälle zeigen, dass gemeinsame Netzwerk- und Verbindungsdaten als Korrelationsmerkmale dienen können. Welche Konsequenzen daraus im legitimen Privatsphärenkontext folgen, behandelt der OPSEC-Leitfaden. In fremden Netzen gelten zudem eigene Regeln – warum fremde WLANs und fremde Geräte bei Krypto besonders riskant sind gilt genauso für jede andere sensible Sitzung.

Ein VPN mit Secure Core und NetShield verschlüsselt den Datenverkehr zwischen Gerät und VPN-Server und ersetzt gegenüber Zielseiten die öffentliche Ausgangs-IP-Adresse. Es bietet keine universelle Ende-zu-Ende-Verschlüsselung des Inhalts, ist auf der technischen Ebene aber der richtige Schritt. Was es nicht verdeckt, ist die Tatsache, dass dein Gerät zu dieser Uhrzeit in dieser Funkzelle eingebucht war. Gegen einen Gleichlauf zweier Geräte richtet kein Tunnel etwas aus.

Fehler 8: Blindes Vertrauen in den Anbieter – der Datenschutz-Einzelpunkt

Der wichtigste strukturelle Punkt des ganzen EncroChat-Falls für deinen Datenschutz: Nach dem heute öffentlich bekannten technischen Stand wurde nicht einfach der zugrunde liegende Verschlüsselungsalgorithmus kryptanalytisch gebrochen; der Zugriff setzte bei Infrastruktur und kompromittierten Endgeräten an. Sie sind über die zentrale Infrastruktur und die Endgeräte gegangen. Nach den Verfahrensdarstellungen wurde auf Servern und auf den verbundenen Geräten Software aufgespielt; gespeicherte und ausgetauschte Daten wurden abgefangen und ausgewertet.

Das ist keine Besonderheit dieses einen Anbieters. Jede Architektur, die einen zentralen Punkt hat – einen Server, ein Konto, ein Aktualisierungssystem, einen Betreiber –, hat damit auch einen Punkt, an dem alles zusammenbrechen kann. Das gilt für Chatdienste, für Cloud-Speicher, für Passwortdienste, für Notiz-Apps.

Was daraus für deinen Datenschutz folgt, ist nicht Panik, sondern eine nüchterne Frage bei jedem Dienst: Was passiert, wenn dieser Anbieter kompromittiert wird oder zur Herausgabe gezwungen wird? Wie viel meiner Daten liegt dann offen? Wer diese Frage ernst nimmt, landet bei Diensten, die möglichst wenig über ihre Nutzer wissen können, und bei einer klaren Trennung der Bereiche. Verschlüsselte E-Mail aus der Schweiz mit Zero-Access-Verschlüsselung ist ein Beispiel für diesen Ansatz: Zero-Access-Verschlüsselung kann den Zugriff des Anbieters auf bestimmte Nachrichteninhalte einschränken. Konto-, Verbindungs- und andere Metadaten können davon unabhängig weiterhin beim Anbieter vorhanden sein.

Und die politische Ebene der Privatsphäre gehört dazu: Chatkontrolle und die CSAR-Verordnung, wenn der Staat an deine Verschlüsselung will beschreibt, wie ernsthaft derzeit über verpflichtende Zugriffswege diskutiert wird. Der EncroChat-Fall ist die praktische Vorschau darauf, was ein solcher Zugang bedeutet.

Fehler 9: Löschen kommt immer zu spät

Am 13. Juni 2020 bemerkte EncroChat, dass eine Behörde in die Plattform eingedrungen war, und schickte eine Warnung an alle Nutzer mit dem Rat, die Telefone sofort wegzuwerfen. Zu diesem Zeitpunkt lag das Material bereits bei den Behörden. Das Löschen war ein Reflex, kein Schutz.

Das ist die härteste und zugleich nützlichste Lektion des EncroChat-Falls für deine Privatsphäre: Es gibt keine rückwirkende Privatsphäre. Der einzige Moment, in dem du über eine Information wirklich entscheidest, liegt vor dem Senden.

Wie das FBI gelöschte Signal-Nachrichten aus der iPhone-Benachrichtigungsdatenbank holte, zeigt dasselbe Prinzip außerhalb dieses Verfahrens: Nachrichten waren trotz Löschung noch auslesbar, weil sie an anderer Stelle im System zwischengespeichert lagen. Eine Nachricht verschwindet also nicht schon deshalb, weil sie in der App nicht mehr angezeigt wird.

Beim Gerät selbst reicht das normale Löschen ebenfalls nicht. Warum Löschen und Formatieren nicht reichen und wie du Festplatte, SSD und den ganzen PC endgültig bereinigst, erklärt, warum ausgemusterte Rechner und Telefone regelmäßig zum Datenleck werden – oft Jahre nach dem Verkauf.

Fehler 10: Der unvorsichtigste Mensch in der Kette

Ein letzter EncroChat-Fall, der oft übersehen wird, weil er nicht technisch ist und trotzdem über die Privatsphäre entscheidet. Eine Mitarbeiterin einer Polizeibehörde gab Informationen über die laufende Operation an einen Bekannten weiter. Der reichte sie an einen Freund weiter, der wiederum einen Nutzer des Dienstes informierte. Sie wurde dafür verurteilt.

Bemerkenswert daran ist die Richtung: Auch die Warnung an die EncroChat-Nutzer floss über Menschen, nicht über Technik. Information bewegt sich in beide Richtungen entlang derselben Wege – Menschen können auf beiden Seiten solcher Informationswege eine wichtige Rolle spielen; zugleich können technische Systeme und Datenbestände eigenständige Zuordnungsquellen sein.

Für dich bedeutet das: Deine Privatsphäre ist so gut wie der unvorsichtigste Mensch in der Kette. Der Freund, der ein Gruppenfoto weiterleitet. Der Kollege, der dich in einem Beitrag markiert. Der Verwandte, der deine neue Adresse in eine Gruppe schreibt, weil er ein Paket schicken will. Deshalb ist die wichtigste Regel bei jeder getrennten Identität nicht technisch, sondern sozial: Je weniger Personen von der Trennung wissen, desto länger hält sie.

Social Engineering mit KI – warum der Mensch das Haupt-Einfallstor bleibt zeigt, wie systematisch Angreifer inzwischen genau an dieser Stelle ansetzen. Nicht das System wird angegriffen, sondern die Person, die Zugang dazu hat.

Falsche IT-Techniker im Büro und physischer Zugriff als größte Schwachstelle beschreibt dieselbe Lücke in der analogen Welt: Wer glaubwürdig auftritt, kommt an Orte, an die keine Software ihn ließe.

Fehler 11: Das offene Notebook im Moment des Zugriffs

Dieser Fehler ist der bitterste von allen, weil er in einer einzigen Sekunde alles zunichtemacht, was vorher an Verschlüsselung und Datenschutz richtig gemacht wurde.

Der Betreiber von Silk Road wurde in einer öffentlichen Bibliothek in San Francisco festgenommen. Sein Notebook war zu diesem Zeitpunkt aufgeklappt, angemeldet und mit den Servern verbunden, die er verwaltete. Die Ermittler beschlagnahmten es im laufenden Betrieb. Der Zugriff war eigens so geplant, dass er in genau diesem Moment erfolgte.

Beim Marktplatz AlphaBay lief es fast identisch. Als die Ermittler das Haus in Bangkok betraten, saß der Administrator an einem Rechner, der unverschlüsselt und entsperrt lief und in dem Verwaltungskonto angemeldet war. Auf dem Gerät lagen die Zugangsdaten und eine Aufstellung seiner Vermögenswerte. Auch dieser Zeitpunkt war nicht zufällig gewählt: Die Plattform war kurz zuvor absichtlich gestört worden, damit er sich einloggen musste.

Die technische Antwort darauf heißt Kill Cord

Genau für diese Lücke gibt es eine erstaunlich einfache Lösung: eine magnetische Reißleine zwischen Körper und Rechner. Wird der Laptop weggezogen oder springt der Nutzer auf, trennt sich die Verbindung, und das Gerät sperrt sich oder fährt sofort herunter. Aus dem entsperrten Zustand wird binnen einer Sekunde wieder ein verschlüsselter Datenträger.

BusKill als Laptop-Kill-Cord beschreibt genau dieses Prinzip und was es leistet. Für die Fälle oben ist der Bezug unmittelbar: Ein Kill Cord hätte in einem vergleichbaren Szenario die Chance erhöht, dass ein Gerät bei einer plötzlichen Trennung automatisch gesperrt oder heruntergefahren wird.

Und der Nutzen ist nicht auf Ermittlungssituationen beschränkt. Kriminelle wollen sich auf ganz ähnlichem Weg Zugriff auf ein entsperrtes Notebook verschaffen – im Zug, in der Hotellobby, im Coworking-Space, in der eigenen Wohnung. Wer einen Passwortmanager, ein Mailkonto oder eine Wallet-Oberfläche offen hat, verliert in diesem Moment nicht ein Gerät, sondern seine Zugangsdaten. Ein Kill Cord kann den Zugriff auf ein noch entsperrtes Gerät erschweren, weil er die Sperre an eine körperliche Bewegung koppelt statt an eine Zeitspanne.

Die günstige Vorstufe kostet nichts: die automatische Bildschirmsperre auf eine sehr kurze Zeit stellen, den Datenträger verschlüsseln und sich angewöhnen, das Gerät bei jedem Aufstehen manuell zu sperren. Der Kill Cord ist die Absicherung für den Fall, in dem für diese Handgriffe keine Zeit bleibt.

Fehler 12: Andere Menschen im Bild und im Text

Bisher ging es um Spuren, die du selbst hinterlässt. Der nächste EncroChat-Fehler ist heimtückischer, weil deine Anonymität hier über andere Personen zerbricht.

Ein Händler mit dem Handle „Ownraptor“ verschickte ein Foto seines Vaters – aufgenommen mit einem Pokal aus einem großen Fußballwettbewerb. Der Vater ist eine öffentlich bekannte Person. Damit war das Bild kein anonymes Familienfoto mehr, sondern ein eindeutiger Anhaltspunkt. Die Ermittler setzten die Hinweise aus seinen Nachrichten zusammen und kamen so auf den Sohn.

Ein zweiter Fall aus derselben Ermittlung: Der Kopf einer Bande nannte in seinen Nachrichten Namen von Angehörigen, dazu gehörende Adressen und die Namen seiner Fahrer. Als die Beamten vor der Tür standen, fragte er der Behördenmitteilung zufolge nur, woher sie gewusst hätten, dass er dort sei. Die Antwort stand in seinen eigenen Nachrichten.

Und der bereits erwähnte Nutzer „Centralhuman“ lieferte eine Wegbeschreibung zur Wohnung eines Angehörigen mit.

Übertragen auf den Alltag und auf deine eigene Privatsphäre heißt das: Keine Bilder von Angehörigen in einer Rolle, die getrennt bleiben soll. Keine Namen, keine Verwandtschaftsverhältnisse, keine Wegbeschreibungen, keine Hinweise auf Berufe oder Arbeitgeber von Menschen aus deinem Umfeld. Und umgekehrt lohnt der Blick auf die eigene Seite: Wer dich markiert, wer dich in Gruppenbildern zeigt, wer deine Adresse in einen Verteiler schreibt, entscheidet mit über deine Sichtbarkeit.

Fehler 13: Das Fahrzeug und der Register-Abgleich

Dieser EncroChat-Fall ist der beste Beleg dafür, wie amtliche Datenbestände eine beiläufige Angabe in eine Identität verwandeln – ein Datenschutzproblem, gegen das keine Verschlüsselung hilft.

Derselbe Nutzer „Ownraptor“ erwähnte in seinen Nachrichten, dass er einen schwarzen Kompaktwagen einer bestimmten Marke fahre, und dass sein Vater die Versicherung dafür abgeschlossen habe. Eine Abfrage der Versicherungsunterlagen zeigte, dass der Vater genau ein solches Fahrzeug für seinen Sohn versichert hatte. Damit war die Zuordnung fertig – aus zwei Sätzen Smalltalk und einem Registerabgleich.

Ein Kurier derselben Gruppe wurde in den Nachrichten schlicht über sein Fahrzeug beschrieben, einen kleinen blauen Wagen einer bestimmten Marke. Und beim Bandenkopf fanden sich auf beschlagnahmten Geräten zusätzlich Nachrichten, in denen er andere Personen bat, Verkehrsverstöße von ihm auf sich zu nehmen – ein zweiter Sachverhalt, aufgedeckt durch dasselbe Material.

Und dieses Datenschutzproblem reicht über Fahrzeuge hinaus. Je nach Register und Zugangsberechtigung können öffentlich oder eingeschränkt zugängliche Daten einen Abgleich ermöglichen. Handelsregister und Vereinsregister sind dabei anders zu behandeln als etwa Grundbuchdaten oder nicht allgemein zugängliche Mitglieds- und Kundendaten. Eine Angabe, die sich mit anderen Datenbeständen abgleichen lässt, kann zu einem zusätzlichen Zuordnungsmerkmal werden.

Fehler 14: Der Kontaktkreis als Kennung – Metadaten statt Namen

Der letzte EncroChat-Fehler ist der, gegen den man am wenigsten tun kann – und deshalb der wichtigste zum Verstehen, wenn du deine Privatsphäre planen willst.

Ein verurteilter Händler hatte nach Angaben der Ermittler 41 verschiedene Kennungen in seinem Adressbuch gespeichert. Jede einzelne davon war für sich anonym. Zusammen ergaben sie ein Beziehungsnetz, und Beziehungsnetze sind erstaunlich einzigartig. Die Ermittler bauten aus den Verbindungsdaten der Plattform eine Übersichtskarte der Verbindungen zwischen den Gruppen. Wer in einem solchen Netz sitzt, wird nicht durch seinen eigenen Fehler auffällig, sondern durch die Fehler der Menschen um ihn herum.

Genau deshalb reicht es nicht, selbst vorsichtig zu sein. Mehrere identifizierte gemeinsame Kontakte können den möglichen Personenkreis erheblich verkleinern. Zusätzliche Kontextinformationen können eine Zuordnung weiter verdichten. Sobald einer von ihnen dich beim Vornamen nennt oder ein gemeinsames Treffen erwähnt, ist sie eins.

Im Alltag ist das derselbe Mechanismus, mit dem soziale Netzwerke Menschen vorschlagen, die man kennen könnte: über gemeinsame Kontakte. Ein Zweitkonto, das denselben Freundeskreis abbildet, ist deshalb kein Zweitkonto, sondern eine Kopie mit anderem Namen.

Alle EncroChat-Muster auf einen Blick

Die folgende Übersicht fasst zusammen, welche Beobachtung in den berichteten EncroChat-Verfahren zur Zuordnung führte, was daraus folgte und wie sich derselbe Mechanismus im Alltag vermeiden lässt.

← Tabelle seitlich scrollen →

Eigene Zusammenstellung alarm.de auf Grundlage öffentlich berichteter Verfahren und behördlicher Darstellungen. Die dritte Spalte ist die Übertragung auf den Alltag, keine Angabe der Ermittler.

Nicht nur EncroChat: Phantom Secure, Sky ECC, ANOM und EXFILES

EncroChat war weder der erste noch der letzte Anbieter, der mit unangreifbarer Privatsphäre geworben hat. Vier weitere Fälle zeigen dieselbe Lehre aus vier verschiedenen Richtungen. Die Systeme unterschieden sich technisch erheblich. Gemeinsam ist ihnen, dass die Ermittler nicht allein auf die Stärke des verwendeten Verschlüsselungsverfahrens angewiesen waren, sondern Infrastruktur, Endgeräte, Betreiber oder andere Angriffspunkte eine Rolle spielten.

Phantom Secure: der Anbieter war die Schwachstelle

Phantom Secure aus Kanada baute seit den 2000er-Jahren umgebaute BlackBerry- und Android-Geräte. Kamera, Mikrofon, GPS und Internetbrowser waren entfernt, die Nachrichten liefen über eigene Server in Ländern mit strengen Datenschutzgesetzen, und die Geräte ließen sich aus der Ferne löschen. Beworben wurde das als höchstmögliche Anonymität.

Zu Fall gebracht hat den Anbieter kein technischer Angriff, sondern ein Gespräch. Der Geschäftsführer traf sich 2017 in Las Vegas mit angeblichen Geschäftspartnern. Tatsächlich waren es verdeckte Ermittler, die das Gespräch aufzeichneten. In dieser Aufnahme sagte er, die Telefone seien für den Drogenhandel gemacht, und dass die Firma ein beschlagnahmtes Gerät auf Zuruf löschen könne. Damit war aus einem Hersteller ein Tatbeteiligter geworden. Er bekannte sich 2018 schuldig, wurde zu neun Jahren verurteilt und musste 80 Millionen Dollar herausgeben.

Sky ECC: derselbe Einzelpunkt, dieselbe Folge

Sky Global verkaufte Sicherheitssoftware für iPhone-, Pixel-, BlackBerry- und Nokia-Geräte. Kamera, Mikrofon und Ortung waren abgeschaltet, die Anwendung versteckte sich hinter einem Taschenrechner-Symbol, und das Unternehmen garantierte, gespeicherte Nachrichten auf Zuruf aus der Ferne zu löschen, falls ein Gerät beschlagnahmt wird.

Belgische, niederländische und französische Ermittler kamen über die Server an die Kommunikation. Die Server standen in Frankreich. Allein in Deutschland führte das zu mehreren tausend Ermittlungsverfahren. Der Geschäftsführer und ein Vertriebspartner wurden in den USA angeklagt; die Firma hatte nach eigener Darstellung nach dem Ende von Phantom Secure bewusst eine Politik des Nichtfragens eingeführt, um sich von den Geschäften ihrer Kunden zu distanzieren.

Wie der Zugriff auf Sky ECC technisch ablief

Für diesen Fall gibt es etwas, das es sonst kaum gibt: eine gerichtliche Feststellung des technischen Ablaufs. Das Oberlandesgericht Wien hat ihn in einem Beschluss vom 11. März 2025 auf Grundlage der Akten beschrieben, und er ist für das Thema dieses Beitrags aufschlussreicher als jede Vermutung.

Zunächst wurde im Rechenzentrum in Frankreich auf zwei von Sky ECC genutzten Servern ein Mitschnitt eingerichtet, der den Datenverkehr zwischen diesen Servern überwachte – zu diesem Zeitpunkt weiterhin verschlüsselt. Bei einer Durchsuchung im selben Rechenzentrum wurden anschließend Kopien der Arbeitsspeicher der Server erstellt. Daraus wurde ein Verschlüsselungszertifikat gewonnen.

Mit diesem Zertifikat entwickelten französische, belgische und niederländische Behörden eine Entschlüsselungsmethode. Ein zwischengeschalteter Server empfing den gesamten verschlüsselten Datenverkehr und schickte an das jeweilige Empfängertelefon eine für den Nutzer unsichtbare Push-Nachricht. Ihr einziger Zweck war, das Gerät zu einer Reaktion zu bewegen – und damit zur Freigabe genau der Verschlüsselungselemente, die zum Entschlüsseln nötig waren. Ab dem 18. Dezember 2020 konnte die Kommunikation gespeichert und gelesen werden; im März 2021 wurden die Server zusätzlich sichergestellt.

Für dich bedeutet das etwas Unbequemes. In diesem Fall gab es keinen Nutzerfehler, den man vermeiden könnte. Kein Foto, kein Nickname, kein Zeitmuster. Nutzer, deren Kommunikation von der Maßnahme erfasst wurde, konnten unabhängig von eigenem Verhalten betroffen sein. Europol und Eurojust bezifferten die weltweite Sky-ECC-Nutzerzahl auf rund 170.000; ab Mitte Februar 2021 konnten die Behörden den Informationsfluss von ungefähr 70.000 Nutzern überwachen. Genau deshalb gehört die Frage, wie viele zentrale Punkte ein Dienst hat, zur Bewertung dazu, und nicht erst die Frage nach der Verschlüsselung.

Bemerkenswert für dieses Thema ist die Reaktion des Firmengründers: Seine Technik sei für Privatsphäre gedacht gewesen, nicht für Kriminalität. Datenschützer wiesen zu Recht darauf hin, dass eine derart breit angelegte Maßnahme grundsätzlich auch Kommunikation von Nutzern erfassen kann, gegen die sich kein individueller Anfangsverdacht richtet.

ANOM: die Plattform gehörte von Anfang an den Behörden

Der dritte Fall ist ein anderer Sachverhalt und darf mit den beiden vorigen nicht in einen Topf geworfen werden. Nach dem Ende von Phantom Secure entstand eine Lücke im Markt. Ein früherer Beteiligter arbeitete mit den Ermittlungsbehörden zusammen und stellte eine neue Anwendung namens ANOM bereit. Sie wurde nicht gehackt – sie war von der ersten Minute an unter Kontrolle.

Technisch lief es nach der FBI-Akte so: Ein Master-Key wurde in das bestehende Verschlüsselungssystem eingebaut und unbemerkt an jede Nachricht angehängt. Für Geräte außerhalb der USA wurde eine verschlüsselte Blindkopie der Nachricht an einen Server in einem Drittland geleitet, dort verarbeitet und schließlich für die Ermittler zugänglich gemacht. Die Geräte waren gehärtete Android-Telefone mit zwei Zugangscodes: Ein Code öffnete ein normal aussehendes Telefon, ein zweiter, versteckt hinter einem harmlosen Symbol, den verschlüsselten Dienst. Verbreitet wurden über 12.000 Geräte in mehr als 100 Ländern. Im Juni 2021 folgten über 800 Festnahmen in 16 Ländern.

EXFILES: der Angriff auf das beschlagnahmte Gerät

Der vierte Fall ist kein Einzelfall, sondern eine Struktur. Zwischen 2020 und 2023 lief mit EXFILES ein von der Europäischen Union gefördertes Forschungsprojekt mit einem Volumen von rund sieben Millionen Euro. Beteiligt waren Strafverfolgungsbehörden, Firmen und Forschungseinrichtungen aus acht Ländern, darunter das Bundeskriminalamt und die französische Gendarmerie. Ziel war, Daten aus modernen verschlüsselten Smartphones herauszuholen.

Die Beteiligten berichten, dass dafür Hardware- und Softwarewissen zusammenkommen muss: Ein Analyst bearbeitet zunächst den Chip, um anschließend per Software an die entschlüsselten Nutzerdaten zu gelangen. Mehrere hundert Geräte wurden im Projektverlauf geöffnet. Ein bekanntes Beispiel ist das Telefon aus dem Mordfall an einem niederländischen Journalisten, dessen Entschlüsselung zu weiteren Festnahmen führte.

Für dich ist daran vor allem die Denkweise wichtig: Die Sicherheit eines verschlüsselten Smartphones hängt nicht allein an der Stärke des Verschlüsselungsverfahrens. Moderne Forensik kombiniert Hardware- und Softwareangriffe und versucht, Schlüssel oder bereits entschlüsselte Daten an anderen Stellen des Systems abzugreifen. Ob und wie schnell das gelingt, hängt vom konkreten Gerät, vom Betriebssystem, vom Sicherheitschip und vom Aktualisierungsstand ab. Ein langes Passwort und ein vollständig ausgeschaltetes statt nur gesperrtes Gerät verbessern die Ausgangslage auf dieser Ebene spürbar – eine Garantie sind sie nicht.

Was das für den Chat mit Betrügern bedeutet

Hier wird das Thema Privatsphäre für die allermeisten Leser praktisch. Wer auf einen Anlagebetrug, eine Liebesmasche, einen falschen Käufer oder einen angeblichen Support hereinfällt, sitzt in genau der Konstellation, die diesen Beitrag trägt: Die Verschlüsselung funktioniert einwandfrei – und der Empfänger ist der Angreifer.

Was Betrüger im Verlauf eines Chats an Privatsphäre einsammeln

• Bilder. Ausweis, Kontoauszug, Depot-Screenshot, Selfie mit Ausweis. Nach dem Versand befindet sich eine Kopie außerhalb deiner Kontrolle. Solche Daten können gespeichert, weitergegeben oder in späteren Betrugsversuchen erneut verwendet werden.
• Vermögensangaben. Sie entscheiden darüber, wie viel Aufwand der Täter in dich investiert – und ob aus einem Online-Betrug ein physisches Risiko wird.
• Erreichbarkeitsmuster. Wann du antwortest, verrät Arbeitszeiten, Zeitzone und Lebensrhythmus. Das steuert, wann der Druck aufgebaut wird.
• Emotionale Anker. Trauerfall, Trennung, Jobverlust, Krankheit. Diese Angaben werden nicht vergessen, sondern später gezielt eingesetzt.
• Die Zweitmasche. Nach einem erfolgreichen Betrug können Betroffene erneut mit sogenannten Recovery- oder Rückholmaschen angesprochen werden. Häufig steckt derselbe Kreis dahinter.

Die Regeln, die sich aus den EncroChat-Fällen ableiten

• Keine Bilder, auf denen deine Hand, dein Gesicht, deine Wohnung oder dein Fahrzeug zu sehen ist – auch nicht als Nachweis, dass du „echt“ bist.
• Keine Sprachnachrichten. Stimme, Dialekt und Hintergrundgeräusche sind biometrische und geografische Hinweise zugleich. Und mit einer Stimmprobe lässt sich inzwischen mehr anfangen als früher: wie KI-Deepfakes ein echtes Gesicht auf Betrugsmaschen setzen, zeigt, wohin das führt.
• Keine Screenshots ohne Kontrolle der Statusleiste. Uhrzeit, Netzbetreiber, WLAN-Name und eingeblendete Benachrichtigungen mit Klarnamen sind Teil des Bildes. Wie riskant die eigene Fotogalerie ohnehin ist, zeigt die Malware SparkKitty, die Fotogalerien nach Seed Phrase und Zugangsdaten durchsucht.
• Keine beiläufigen Kombinationsangaben. Beruf plus Stadtgröße plus Fahrzeug plus Verein ist ein Steckbrief.
• Kein zweiter Kanal aus derselben Umgebung. Wenn du für den Kontakt ein Zweitkonto anlegst, es aber vom selben Gerät im selben WLAN zur selben Uhrzeit benutzt, hast du nichts getrennt.
• Keine Rufnummer aus dem echten Leben. Eine Rufnummer kann eine besonders starke dauerhafte Verknüpfung zwischen Konten, Kontakten und Wiederherstellungswegen darstellen. Dazu gehören auch SIM-Swapping-Angriffe, bei denen Kriminelle über die Handynummer Krypto-Konten leerräumen.

Wenn bereits Daten abgeflossen sind, ist die Reihenfolge wichtig: erst die Schäden begrenzen, dann aufräumen. Was tun, wenn deine Daten im Netz gelandet sind, beschreibt die Schritte in der richtigen Abfolge.

Was das Infostealer-Leak mit 24 Milliarden Zugangsdaten für dich bedeutet, erklärt außerdem, warum alte Zugangsdaten Jahre später noch benutzt werden. Ein Datensatz verliert nicht an Wert, nur weil er alt ist – er wandert weiter.

Wie Betrüger im Forum und im Chat deine Identität herausholen

Zahlreiche EncroChat-Nutzer lieferten selbst Merkmale, die später zu ihrer Identifizierung beitrugen, obwohl niemand sie danach gefragt hat. In einem Betrugs-Chat sitzt dagegen jemand am anderen Ende, der genau das systematisch betreibt. Er hat Zeit, er hat Übung, und er arbeitet nach einem Ablauf. Wer diesen Ablauf einmal gesehen hat, erkennt ihn wieder.

Der Ablauf, mit dem deine Anonymität abgebaut wird

1. Der Vertrauensvorschuss. Er erzählt zuerst etwas Persönliches – die Trennung, der neue Job, das kranke Elternteil. Das ist keine Offenheit, sondern ein Werkzeug: Menschen erwidern Offenheit fast reflexhaft. Persönliche Angaben des Gegenübers können erfunden oder gezielt gewählt sein, während eigene Antworten echte Informationen preisgeben können.
2. Der plausible Grund. Niemand fragt einfach nach dem Namen. Er wird gebraucht – für die Rechnung, für die Verifizierung, für den Versand, für die Rückerstattung, damit man sieht, dass du kein Bot bist. Der Grund ist das eigentliche Handwerkszeug, nicht die Frage.
3. Die kleine Bitte, die wächst. Erst der Vorname, dann die Stadt, dann der Beruf, dann ein Foto, dann der Ausweis. Jeder Schritt ist nur ein kleines Stück größer als der vorige. Genau deshalb fällt kein einzelner Schritt auf.
4. Der Vermögenstest. Beiläufige Fragen wie „wie viel willst du denn einsetzen“, „hältst du schon länger“, „bist du gut durch den letzten Absturz gekommen“. Die Antwort entscheidet, wie viel Aufwand in dich investiert wird – und ob aus einem Online-Betrug ein Risiko in der echten Welt wird.
5. Der Ortstest. Fragen, die harmlos klingen und Ort oder Zeitzone verraten: „bist du zufällig in der Nähe?“, „wie ist das Wetter bei dir?“, „wann hast du Feierabend?“, „arbeitest du noch?“. Ein Wetterhinweis grenzt eine Region ein, ein Feierabend eine Zeitzone.
6. Der Kanalwechsel. Vom öffentlichen Forum in den privaten Chat, von dort zu einer Sprachnachricht, dann zum Videoanruf. Jeder Wechsel liefert einen neuen Datentyp: Stimme, Gesicht, Hintergrund, Uhrzeit.
7. Der Link oder das Bild. Ein Link, den du anklickst, überträgt unter anderem deine IP-Adresse an den Server; daraus lässt sich häufig ein ungefährer Standort ableiten. Ein in eine Nachricht eingebettetes Bild kann dasselbe tun, sobald es geladen wird.
8. Der Druck. Frist, Kränkung, Chance, Angst. Unter Druck werden Angaben gemacht, die man in Ruhe nie machen würde. Der Druck ist deshalb kein Nebeneffekt, sondern der Zweck.

Social Engineering bei Krypto: warum deine Hardware-Wallet allein dich nicht schützt beschreibt genau diesen Mechanismus aus der anderen Richtung. Das Gerät kann noch so gut sein – überredet wird der Mensch davor.

Warum ausgerechnet Foren und Telegram-Gruppen so ergiebig sind

Weil in Foren und in Telegram-Gruppen drei Dinge zusammenkommen: Menschen mit erkennbarem Interesse an Geld, ein Gefühl von Gemeinschaft und keinerlei Identitätsprüfung. Ein Profil mit vielen Beiträgen, freundlichem Ton und ein paar Bewertungen kostet nichts und lässt sich in Wochen aufbauen.

Kursmanipulation in Krypto-Signalgruppen und wie du Pump and Dump erkennst, zeigt, wie stark solche Gruppen gesteuert werden. Die Manipulation des Kurses ist dabei nur die eine Hälfte; die andere ist das Einsammeln von Informationen über die Teilnehmer.

Wie ein Schwarzmarkt auf Telegram zu einem der größten der Geschichte wurde, macht die Dimension deutlich, in der dort inzwischen gehandelt wird – einschließlich Daten über Personen.

Die Gegenregeln für deine Privatsphäre im Chat

• Sag nie mehr, als der Vorgang braucht. Eine Versandbestellung kann eine Lieferadresse erfordern, keine Lebensgeschichte. Ein Verkauf braucht ein Konto, keinen Arbeitgeber.
• Beantworte keine Frage, nur weil sie freundlich gestellt wurde. Freundlichkeit ist die billigste Zutat im ganzen Betrug.
• Erwidere keine Offenheit. Wenn jemand ungefragt Privates erzählt, ist das ein Warnzeichen, kein Vertrauensbeweis.
• Klick keine Links aus einem Chat mit Fremden. Weder Verkürzungsdienste noch angebliche Bilder noch Einladungen zu Plattformen.
• Keine Sprachnachricht, kein Videoanruf. Beides liefert Merkmale, die du nicht zurückholen kannst.
• Prüfe den Anbieter, nicht die Person. Anlagebetrug erkennen: Finanzanbieter und Warnlisten in Minuten prüfen ist dafür der schnellste Weg – eine Erlaubnis lässt sich nachschlagen, ein Charakter nicht.
• Bei Kaufgeschäften auf die Plattform achten. Fake-Shops erkennen und sicher online einkaufen, beschreibt die Merkmale, an denen unseriöse Angebote scheitern, bevor du Daten herausgibst.

Vierzehn Wege, auf denen deine Privatsphäre ohne EncroChat zerbricht

EncroChat ist ein besonders anschaulicher Fall, an dem sich dieses Prinzip zeigen lässt. Die folgenden Wege haben mit verschlüsselten Telefonen nichts zu tun und betreffen praktisch jeden, der einen Messenger, ein Zweitkonto oder eine Telegram-Gruppe nutzt. Für den Datenschutz im Alltag sind sie deshalb wichtiger als der EncroChat-Fall selbst.

1. Der Zahlungsweg. Erzeugt je nach Verfahren starke Identitäts- und Transaktionsspuren – und im Betrugs-Chat ist es der Täter, der davon profitiert.
2. Die Lieferadresse. Sie entsteht bei jeder Bestellung, jeder Rücksendung und jeder Abholung aus einer Kleinanzeige. Sie liegt typischerweise beim Händler und beim Versanddienstleister; je nach Zahlungs- und Bestellverfahren können auch Zahlungsdienstleister oder weitere Beteiligte personenbezogene Daten erhalten.
3. Die E-Mail-Adresse als Generalschlüssel. Ein typischer Datenschutzfehler. Dieselbe Adresse bei zwanzig Diensten bedeutet: Ein einziges Datenleck verbindet zwanzig Konten miteinander. Zusätzlich verraten viele Anmeldeseiten beim Zurücksetzen des Passworts Teilangaben, etwa die letzten Ziffern einer Rufnummer.
4. Der Link, den du anklickst. Beim Abruf einer Webseite oder einer extern geladenen Ressource wird unter anderem die IP-Adresse an den jeweiligen Server übertragen; daraus lässt sich häufig ein ungefährer Standort ableiten. Weitere Browserinformationen können über HTTP-Header, Skripte oder Fingerprinting erfasst werden. Eingebettete externe Inhalte können bereits beim Laden eine Anfrage an einen fremden Server auslösen.
5. Das Profilbild. Eine Rückwärtssuche kann dasselbe oder ein ähnliches Bild über mehrere Konten hinweg finden. Auch bearbeitete Varianten können je nach Dienst erkannt werden; garantiert ist das nicht.
6. Der Kontowechsel, den du selbst ankündigst. Ein niederländisches Gericht hat 2023 eine Kette über drei Konten und zwei verschiedene Kryptodienste rekonstruiert – allein deshalb, weil der Nutzer seinen Kontakten jedes Mal ankündigte, welche Kennung ab jetzt seine sei. Einmal schrieb er sogar dazu, die Polizei lese live mit, und schickte am nächsten Tag die Kontaktdaten seines neuen Kontos. Ein Neuanfang, den du beim alten Kontaktkreis anmeldest, ist keiner.
7. Das Profilbild bei einem gewöhnlichen Messenger. In demselben Verfahren führte die Rufnummer, die der Nutzer über alle drei Kryptokonten verschickt hatte, zu seinem Konto bei einem ganz normalen Messenger. Dessen Profilbild zeigte das Logo eines Vereins, dem er nachweislich angehörte. Ein Foto von sich im Vereins-T-Shirt kam dazu, ein Zeuge erkannte ihn darauf. Drei abgeschottete Konten, aufgelöst über ein Profilbild bei einem Dienst, den jeder benutzt.
8. Die Telefonnummer. Bei Telegram ist die Telefonnummer eine zentrale Kontokennung. Ob andere Nutzer ein Konto über eine bekannte Nummer finden oder die Nummer sehen können, hängt unter anderem von den Privatsphäre-Einstellungen und vorhandenen Kontakten ab.
9. Mitgliederlisten von Gruppen. In vielen Telegram-Gruppen und Foren ist sichtbar, wer dabei ist. Wer in drei speziellen Gruppen gleichzeitig auftaucht, gehört einer sehr kleinen Menge an – dasselbe Schnittmengen-Prinzip wie im Restaurant-Fall weiter oben.
10. Zeitstempel als Metadaten. Wann du schreibst, ergibt Zeitzone, Arbeitsrhythmus und Wochenende. Über Wochen ist das ein Profil, das keine Angabe von dir gebraucht hat.
11. Register und andere Datenbestände. Handelsregister, Vereinsregister, Grundbuch, Domaininhaber. Bei geschäftsmäßigen digitalen Diensten können zudem gesetzliche Anbieterkennzeichnungs- und Anschriftspflichten bestehen; für rein private Angebote gilt das nicht pauschal.
12. Datenhändler und Personensuchdienste. Sie kaufen, kombinieren und verkaufen Datensätze aus Gewinnspielen, Bestellungen, Abonnements und Apps. Aus einzelnen Fragmenten wird ein Profil, ohne dass du je eine Anfrage bemerkst.
13. Lecks bei Diensten, denen du deine Daten gegeben hast. Hier trifft dich kein eigener Fehler. Die laufend gepflegte Liste der Krypto-Datenlecks und KYC-Leaks zeigt, wie oft ausgerechnet Ausweisdaten und Anschriften betroffen sind.
14. Die Blockchain selbst. Ein oft unterschätzter Datenschutzfehler bei Krypto: Eine Wallet-Adresse in einem Profil, unter einem Beitrag oder als Spendenhinweis kann Transaktionen und den auf dieser Adresse sichtbaren Bestand mit dieser Identität verbinden. Daraus lässt sich jedoch nicht automatisch das gesamte Krypto-Vermögen einer Person bestimmen.
15. Sprach- und Videoanrufe. Stimme, Dialekt, Hintergrundgeräusche, sichtbarer Raum, Tageslicht. Ein Sprach- oder Videoanruf kann zusätzliche Identifikationsmerkmale liefern, die in reinem Text nicht vorkommen – etwa Stimme, Hintergrundgeräusche, sichtbare Umgebung oder Lichtverhältnisse.
16. Das eigene kompromittierte Gerät. Der unangenehmste Fall, weil dagegen kein Verhalten hilft. Ein Stalkerware-Leck, bei dem fast 90.000 Screenshots vom Handy eines Prominenten offen im Netz standen, zeigt, was eine solche Überwachungs-App sammelt – und dass die Daten anschließend selbst wieder abfließen.

Wenn es dich bereits erwischt hat: Identitätsdiebstahl – Kredit oder Konto im fremden Namen und was jetzt zu tun ist beschreibt die Schritte, wenn jemand deine Daten für eigene Geschäfte verwendet.

Was das für Social Media und dein Zweitkonto bedeutet

Die Silk-Road- und AlphaBay-Fälle sind im Kern keine Kriminalgeschichten, sondern eine Lektion über Kennungen und Pseudonymität. Beide Betreiber sind an derselben Sache gescheitert: an einem Namen, den sie schon vorher woanders benutzt hatten.

Dieses Muster kostet im Alltag ständig Privatsphäre. Der Nutzername aus dem Schulforum steht heute noch am Spieleprofil. Die Kennung vom ersten Mailkonto trägt Vorname und Geburtsjahr. Das Zweitprofil bekommt eine Variation desselben Wortes, weil einem nichts anderes einfällt. Und das Profilbild wird recycelt, weil es gut getroffen ist – womit eine einfache Rückwärtssuche nach dem Bild beide Konten verbindet.

Was für die Privatsphäre tatsächlich hilft

• Jede Rolle bekommt eine eigene Kennung. Zufällig erzeugt, nirgends wiederverwendet, nirgends abgewandelt. Eine Abwandlung ist keine Trennung.
• Jede Rolle bekommt eine eigene Adresse. Alias-Adressen sind dafür gemacht: Sie trennen die Konten, ohne dass du mehrere Postfächer verwalten musst.
• Kein Bild in zwei Rollen. Auch kein zugeschnittenes, auch kein gespiegeltes.
• Auf den Schreibstil achten. Wiederkehrende Tippfehler, Lieblingswörter, Emoji-Gewohnheiten und Satzzeichen sind ein eigener Wiedererkennungswert.
• Zeitmuster mitdenken. Wiederkehrende Aktivitätszeiten können zwei Konten als Korrelationsmerkmal miteinander verbinden.
• Alte Beiträge kontrollieren. Nicht der neue Beitrag verrät dich, sondern der zwölf Jahre alte, in dem du unter derselben Kennung deinen Klarnamen genannt hast.

Wie Doxer über gefälschte Polizei-Anfragen Tech-Konzerne zur Herausgabe deiner Daten bringen, zeigt, dass die Plattformen selbst zur Auskunftsquelle werden können – ohne dass du etwas falsch gemacht hast.

Polizei-Smartglasses mit Gesichtserkennung auf Streife, steht für die andere Richtung: Auswertung im öffentlichen Raum, an der dein Verhalten nichts ändert. Ein Grund mehr, dort sparsam zu sein, wo du tatsächlich steuern kannst.

Was das für Krypto-Besitzer bedeutet

Für Menschen mit nennenswerten Beständen ist Privatsphäre keine akademische Frage, sondern ein direktes körperliches Risiko. Denn die Kette ist kurz: Ein Hinweis auf Vermögen plus ein Hinweis auf den Wohnort ergibt ein Ziel.

Der Zusammenhang ist dokumentiert, und er ist so wichtig, dass er weiter unten einen eigenen Abschnitt bekommt. Kurz gesagt: Ein erheblicher Teil der ausgewerteten Überfälle geht auf verhaltensbezogene Einfallstore zurück – über Bestände gesprochen, Portfolio gezeigt, Routinen offengelegt, sich auf ein Treffen eingelassen. Genau die Kategorien, die in diesem Beitrag technisch beschrieben sind, nur mit härteren Folgen.

Dazu kommt der Weg über geleakte Daten. Wie geleakte Daten Krypto-Besitzer zur Zielscheibe machen, beschreibt, dass Adresslisten aus Datenlecks als Auswahlgrundlage für die Täter dienen. Der Betroffene hat dabei selbst gar nichts preisgegeben – ein Dienstleister hat es für ihn getan.

Die banalste Lücke von allen ist dabei die Lieferadresse. Sie ist ein Klarnamen-Datensatz mit Produktbezug, und sie liegt bei mehreren Beteiligten – typischerweise beim Hersteller und beim Versanddienstleister, je nach Zahlungsverfahren auch bei weiteren Stellen.

Wer das Thema systematisch angehen will, findet die Bausteine dafür in unserem Sicherheitssystem für die Krypto-Selbstverwahrung – von der Schlüsselerzeugung bis zum Notfallplan. Es ist die Grundlage, auf der die Verhaltensregeln aus diesem Beitrag überhaupt erst wirken; der Link dazu steht im Abschnitt zur Wrench Attack weiter unten.

Diskretion für vermögende Krypto-Reisende behandelt den Sonderfall unterwegs, in dem alle hier beschriebenen Fehler gleichzeitig auftreten können: fremdes Netz, fremde Umgebung, neue Kontakte, Fotos an unbekannten Orten.

Wie anonym Bitcoin wirklich ist, erklärt schließlich die Grundlagen zur Nachverfolgbarkeit auf der Blockchain. Auch dort gilt dasselbe Prinzip: Nicht die Technik verrät dich, sondern die Verknüpfung zu einer realen Handlung.

Der Umweg, der die Lieferadresse gar nicht erst entstehen lässt

Es gibt bei Krypto ein Datenschutzproblem, das nichts mit Wallet-Adressen zu tun hat: die eigene Postanschrift. Wer ein Gerät bestellt, hinterlässt Name und Anschrift typischerweise beim Hersteller und beim Versanddienstleister; je nach Zahlungsverfahren können weitere Beteiligte personenbezogene Daten erhalten. Bei einem großen Hardware-Wallet-Anbieter sind genau solche Kundendaten einmal abgeflossen und kursierten anschließend im Netz. Die Folge waren Erpressungsschreiben und Bedrohungen an Menschen, deren einziger Fehler darin bestand, ein Sicherheitsprodukt gekauft zu haben.

Ein ausgedientes Smartphone, das dauerhaft offline bleibt, ist deshalb eine ernsthafte Alternative. Es wird nie wieder mit einem Netz verbunden, trägt keine SIM-Karte, kein Konto und keine Cloud-Sicherung, und dient ausschließlich der Schlüsselverwaltung. Transaktionen werden über QR-Codes zwischen dem Offline-Gerät und einem zweiten, verbundenen Gerät hin- und hergereicht. Damit entsteht keine Bestellung, keine Lieferadresse und kein Kundendatensatz, der später irgendwo abfließen kann.

Wie eine Air-Gapped Wallet mit maximaler Trennung vom Internet funktioniert, beschreibt das Verfahren im Detail. Der Preis dafür ist Bequemlichkeit: Ein Altgerät bekommt keine Sicherheitsaktualisierungen mehr, weshalb die konsequente Offline-Haltung nicht optional ist, sondern die ganze Schutzwirkung trägt. Wer diesen Weg nicht gehen will, sollte zumindest nicht an die eigene Wohnanschrift liefern lassen.

Von der Anonymität zum Überfall: die Wrench Attack

Bis hierhin ging es um Daten und Metadaten. Jetzt geht es um den Punkt, an dem verlorene Anonymität zu einer Person mit einer Waffe vor der Tür wird. Das ist keine Zuspitzung, sondern die dokumentierte Folge derselben Kette.

Von der verlorenen Anonymität zum Ziel: die Kette hat drei Glieder

Ein Angreifer braucht für einen Überfall auf einen Krypto-Besitzer nicht viel. Er braucht die Antwort auf drei Fragen. Hinweise auf Vermögen, Wohnort und Routinen können über Chats, öffentliche Beiträge, Datenlecks, Dritte oder Beobachtung zusammenkommen.

Jedes Glied für sich ist harmlos. Zusammen ergeben sie aus verlorener Anonymität ein Ziel mit Adresse und Zeitfenster. Der Angreifer muss dafür nichts hacken, keine Wallet knacken und keine Seed Phrase erraten. Er muss nur zuhören.

Was die ausgewerteten Wrench-Fälle zeigen

Die Auswertung von über 350 Krypto-Raubüberfällen mit ihren Einfallstoren und vermeidbaren Fehlern zeigt, dass ein erheblicher Teil der Fälle auf verhaltensbezogene Einfallstore zurückgeht: über Bestände gesprochen, das Portfolio gezeigt, Fremden vertraut, sich auf ein Treffen eingelassen, Routinen und Wege offengelegt. Das sind exakt die Kategorien aus diesem Beitrag – nur mit Folgen, die kein Passwortwechsel repariert.

Warum Kriminelle Krypto-Halter inzwischen zu Hause aufsuchen und was tatsächlich davor schützt, beschreibt die Verlagerung vom Online-Angriff zum Hausbesuch. Sie ist die logische Folge davon, dass technische Angriffe auf gut gesicherte Selbstverwahrung teuer geworden sind und der Umweg über den Menschen billig geblieben ist.

Was die jüngsten Anklagen nach den Krypto-Wrench-Angriffen in Frankreich für deine Sicherheit bedeuten, zeigt dieselbe Entwicklung in einem Land, in dem sich die Fälle besonders gehäuft haben – bis hin zu Angriffen auf Angehörige statt auf die Besitzer selbst.

Erpressung und die 5-Dollar-Wrench-Attack: wie man Krypto dagegen schützt erklärt das dahinterliegende Denkmodell: Wer den Menschen unter Druck setzt, muss die Kryptografie gar nicht angreifen.

Die drei Schleusen, die du im Chat und in der Telegram-Gruppe schließen kannst

1. Keine Bestandshinweise. Niemals, gegenüber niemandem. Kein Betrag, kein Screenshot, kein Prozentsatz, kein „das war eine gute Woche“, kein Einstiegsjahr. Auch nicht im Freundeskreis, auch nicht in einer geschlossenen Gruppe, auch nicht anonym. Die Zahl ist der Grund, warum jemand anfängt, dich zu suchen.
2. Keine Ortshinweise. Keine Stadt, kein Stadtteil, kein Fenster im Bild, kein Wetterbericht, kein Verein, kein Stammlokal, keine Wegbeschreibung. Und keine Lieferadresse aus dem echten Leben für Dinge, die mit Krypto zu tun haben.
3. Keine Verknüpfung von beidem in derselben Rolle. Selbst wenn beides einzeln irgendwo steht: Solange es nicht dasselbe Konto ist, muss jemand die Verbindung erst herstellen. Genau diese Arbeit nimmt man ihm ab, wenn man beides unter einem Namen sagt.

Wenn Adresse oder Bestände schon draußen sind

Dann ist die Reihenfolge für deine Privatsphäre klar: erst die Sichtbarkeit senken, dann die Angreifbarkeit. Sichtbarkeit senken heißt alte Beiträge durchgehen, Wallet-Adressen aus öffentlichen Profilen entfernen, Bestandshinweise löschen und die betroffene Kennung aufgeben statt umzubenennen.

Angreifbarkeit senken heißt, dass ein erfolgreicher Zugriff auf dich möglichst wenig einbringt. Das vollständige Sicherheitssystem für die Krypto-Selbstverwahrung beschreibt die Bausteine dafür: Aufteilung der Bestände, Mehrfachsignatur, , getrennte Aufbewahrung der Sicherungen. Wer unter Druck nichts Vollständiges herausgeben kann, ist ein schlechteres Ziel.

Und die dritte Ebene ist die häusliche. Die unsichtbare Zielscheibe: warum die größte Schwachstelle deiner Hardware-Wallet vor der Haustür liegt behandelt genau das – von der Paketzustellung bis zur Frage, wer an deinem Klingelschild ablesen kann, dass du dort wohnst.

Am Rand gehört auch die Erpressung ohne echtes Wissen dazu. Erpressungs-Mails mit Bitcoin-Forderung und warum du nicht zahlen solltest, beschreibt die Massenvariante, bei der die Täter gar nichts über dich wissen, aber auf ein schlechtes Gewissen setzen. Der Umgang damit ist ein anderer als bei einer gezielten Drohung – und es hilft, den Unterschied zu kennen.

Die Kurz-Checkliste für den Alltag

Aus allen Fällen dieses Beitrags lassen sich zehn Punkte ableiten, die im Alltag tatsächlich etwas bewirken. Sie kosten kein Geld und wenig Zeit.

1. Keine persönlichen Angaben preisgeben, die der Vorgang nicht braucht.
2. Bilder vor dem Senden am Rand absuchen: Hand, Spiegelung, Kennzeichen, Klingelschild, Aussicht, Statusleiste im Bildschirmfoto.
3. Nutzernamen nicht mehrfach verwenden und nicht aus dem eigenen Leben ableiten.
4. Rufnummer und Profilfreigaben prüfen – wer kann dich über deine Nummer finden?
5. Keine Bestandsangaben bei Krypto, gegenüber niemandem.
6. Zwei-Faktor-Anmeldung über eine Authenticator-App statt über SMS-Codes.
7. Passwortmanager benutzen, für jede Anmeldung eine eigene Kombination.
8. Aktualisierungen einspielen und die automatische Gerätesperre kurz stellen.
9. Das Gegenüber prüfen, nicht die Sympathie: Anbieter nachschlagen, Erlaubnis kontrollieren.
10. Keine Links und keine Anhänge aus Chats mit Fremden öffnen.

So sieht dein Alltag mit sauberer Trennung aus

Die OPSEC-Liste oben liest sich nach Aufwand. In der Praxis fühlt sich gelebte digitale Privatsphäre nach ein paar Wochen wie gar nichts mehr an – weil sie aus Gewohnheiten besteht, nicht aus Arbeit. So sieht das konkret aus.

Du fotografierst anders. Du legst Dinge hin, statt sie zu halten. Du schaust vor dem Senden einmal über den Bildrand. Das dauert zwei Sekunden und passiert irgendwann automatisch – und damit ist ein Fehler, der in mehreren dokumentierten Zuordnungen eine Rolle spielte, für dich erledigt.

Du antwortest anders. Wenn dich jemand nach Beruf, Wohnort oder Anlagesumme fragt, spürst du zuerst den Reflex zu antworten – und dann die Frage dahinter: Wozu braucht der das? Oft ist für den eigentlichen Vorgang deutlich weniger persönliche Information nötig, als zunächst erfragt wird. Du gibst eine unverbindliche Antwort und merkst, dass das Gespräch trotzdem weitergeht. Genau an dieser Stelle endet der Ablauf, mit dem Betrüger Identitäten herausholen.

Deine Rollen haben eigene Namen. Der Passwortmanager erzeugt sie, du musst dir nichts merken. Jede Anmeldung bekommt eine eigene Adresse. Einzigartige Passwörter und Alias-Adressen können verhindern, dass dieselben Zugangsdaten unmittelbar mehrere Konten verbinden oder gefährden. Ein Datenleck kann trotzdem weitere personenbezogene Informationen enthalten. Das ist der Moment, in dem der Aufwand sich zurückzahlt – und du merkst ihn nur daran, dass nichts passiert.

Über Geld sprichst du gar nicht. Keine Beträge, keine Bildschirmfotos, keine Einstiegsjahre – nicht im Forum, nicht in der Gruppe, nicht im Freundeskreis. Das kostet dich nichts außer einem kurzen Moment Eitelkeit und reduziert die öffentlich verfügbaren Hinweise, anhand derer du als potenzielles Ziel ausgewählt werden könntest.

Und du wirst ruhiger. Das ist der unterschätzte Teil. Wer weiß, dass er die drei entscheidenden Angaben nicht macht, muss nicht bei jeder Nachricht neu abwägen. Datenschutz im Alltag ist weniger anstrengend als der Dauerzustand, in dem man sich fragt, ob man gerade zu viel gesagt hat.

Fazit: Privatsphäre scheitert am Verhalten

EncroChat ist deshalb eine so lehrreiche Fallstudie über digitale Privatsphäre, weil dort erheblicher technischer Aufwand betrieben wurde. Die Geräte waren gehärtet, der Verschlüsselungsalgorithmus wurde nach heutigem öffentlichem Stand nicht kryptanalytisch gebrochen, die EncroChat-Nutzernamen waren erfunden. Gescheitert sind die Menschen an einem Käsefoto, an einem Bier im Urlaub, an zwei Telefonen in derselben Hosentasche, an einem Kosenamen für das eigene Kind, an einem Restaurant und einem Golfclub.

Daraus folgt für dich ein einziger Satz, und er trägt den ganzen Beitrag: Korrekt implementierte Verschlüsselung kann Nachrichteninhalte gegen bestimmte Zugriffe schützen. Ob eine Person hinter einer Kennung identifiziert werden kann, hängt zusätzlich von Metadaten, Endgeräten, Infrastruktur, eigenen Angaben und weiteren verfügbaren Informationen ab. Wer nur die erste Frage löst, hat kein Sicherheitsproblem gelöst, sondern nur ein Gefühl erzeugt.

Die gute Nachricht ist, dass viele sinnvolle Datenschutzgewohnheiten kostenlos oder mit geringem Aufwand umsetzbar sind; welche Maßnahmen wirksam sind, hängt vom jeweiligen Risiko ab. Kein Abonnement schützt dich davor, deine eigene Hand zu fotografieren. Keine Software verhindert, dass du deinem Gegenüber die Stadt nennst. Umgekehrt gilt aber auch: Diese Maßnahmen wirken sofort und für jeden, unabhängig von Budget und Vorwissen. Anonymität beginnt nicht beim Kauf eines Geräts, sondern bei der nächsten Nachricht, die du schreibst.

Und für alle, die Werte in Kryptowährungen halten, ist es keine Stilfrage. Die drei Angaben, die einen Überfall möglich machen – dass du etwas hast, wo du wohnst, wann du allein bist –, können aus eigenen Angaben, öffentlichen Quellen, Datenlecks, dem persönlichen Umfeld oder Beobachtungen stammen. Genau deshalb ist Privatsphäre hier ein besonders wirksamer und günstiger Baustein des Personenschutzes.

Glossar: die wichtigsten Begriffe

Häufige Fragen zu EncroChat, Privatsphäre und OPSEC

Was war EncroChat eigentlich?

EncroChat war ein Anbieter verschlüsselter Mobiltelefone mit dem Versprechen vollständiger Privatsphäre. Verkauft wurden umgebaute Android-Geräte mit verschlüsseltem Nachrichtendienst, Notiz-Funktion und einem Notfall-Code, der den Inhalt des Geräts unwiderruflich löschte. Die Geräte waren teuer und nutzten eine eigene geschlossene Kommunikationsinfrastruktur. Französische Ermittler verschafften sich 2020 Zugriff auf die Serverinfrastruktur und die verbundenen Geräte und lasen den Nachrichtenverkehr über rund zweieinhalb Monate mit. Der Betreiber schaltete EncroChat im Juni 2020 ab.

Wurde die Verschlüsselung von EncroChat geknackt?

Nach dem heute öffentlich bekannten technischen Stand wurde nicht einfach der zugrunde liegende Verschlüsselungsalgorithmus kryptanalytisch gebrochen – und das ist der wichtigste Punkt des ganzen Falls für deinen eigenen Datenschutz. Der Zugriff erfolgte über die Infrastruktur von EncroChat und über kompromittierte Endgeräte, also an den Rändern des Systems statt an seiner Rechenaufgabe. Wer Zugriff auf das Gerät hat, sieht die Nachricht so, wie der Nutzer sie sieht – entschlüsselt. Genau deshalb schützt Ende-zu-Ende-Verschlüsselung den Transportweg, aber weder das Gerät noch das Verhalten – und damit auch nicht die Anonymität.

Wie wurden die EncroChat-Nutzer hinter den Pseudonymen identifiziert?

Über eine Kombination aus Metadaten und Inhalten. Die EncroChat-Geräte hinterließen Funkzellen- und WLAN-Spuren, dazu kamen Gerätekennungen. Hinzu kamen zahlreiche Informationen, die Nutzer selbst in Bildern, Nachrichten und Profilmerkmalen preisgaben: Fotos mit sichtbaren Händen, Wohnungseinrichtungen, Autos und Kennzeichen, Selfies, Spitznamen aus dem echten Leben, Angaben zu Familie, Beruf, Fahrzeug und Freizeit. Das Bundeskriminalamt hat beschrieben, dass die Identifizierung der Personen hinter den EncroChat-Nutzernamen ein wesentlicher Teil der Auswertung der EncroChat-Daten war. Die Pseudonymität hielt der Prüfung also nicht stand.

Was bedeutet OPSEC?

OPSEC steht für Operational Security, auf Deutsch etwa Verhaltenssicherheit, und ist die dritte Ebene deiner Privatsphäre neben Technik und Informationssicherheit. Gemeint ist nicht die Technik, sondern das eigene Handeln: Welche Gewohnheiten, Orte, Zeiten, Kontakte und Kleinigkeiten verraten mich, obwohl die Technik einwandfrei arbeitet? Ein sicheres Gerät und ein sicherer Messenger sind Werkzeuge. OPSEC entscheidet, ob sie etwas nützen. Die EncroChat-Verfahren sind eine ungewöhnlich umfangreich dokumentierte Fallstudie dafür, wie Verhalten technische Schutzmaßnahmen unterlaufen kann.

Warum ist ein zweites Gerät oft wirkungslos?

Weil ein zweites Gerät nicht automatisch eine getrennte Identität schafft. Wiederkehrende gemeinsame Orts-, Zeit-, Konto- oder Netzwerkmerkmale können zusätzliche Korrelationssignale erzeugen. Werden beide Geräte gemeinsam getragen, buchen sie sich zur selben Zeit in dieselben Funkzellen ein und legen dieselbe Strecke zurück. Ein wiederkehrender Gleichlauf kann ein starkes Zuordnungsmerkmal bilden. In dokumentierten EncroChat-Verfahren trugen solche Mobilfunk- und Bewegungsdaten zur Identifizierung bei; für sich allein beweist ein Gleichlauf nicht in jedem Fall die Eigentümerschaft. Dasselbe gilt für ein zweites Konto, das nur aus derselben Wohnung, demselben WLAN und zur selben Tageszeit benutzt wird.

Kann man aus einem Foto wirklich Fingerabdrücke gewinnen?

Es ist in mehreren Verfahren gelungen und gerichtlich verwertet worden, unter anderem in einem EncroChat-Fall. Ein Bild muss dafür nicht in Studioqualität sein: In einem walisischen Verfahren reichte ein Teilbereich eines Fingers auf einem Messenger-Foto, um einen konkreten Verdächtigen zuzuordnen. Für einen Abgleich gegen eine Datenbank war das Material zu dünn, für den Vergleich mit einer bereits verdächtigen Person genügte es. Neben Fingerlinien werden auch Handform, Narben, Muttermale, Schmuck und Tätowierungen ausgewertet. Ein Foto transportiert deshalb oft mehr Identifikationsmerkmale, als der Absender im Blick hat.

Ich habe nichts zu verbergen – warum sollte mich das interessieren?

Weil dieselben Methoden zum Aufbrechen von Privatsphäre nicht nur Ermittler benutzen. Datenhändler, Stalker, Betrüger, Erpresser und neugierige Bekannte arbeiten mit denselben Bausteinen: Bild, Hintergrund, Nickname, Zeitmuster, Kontaktkreis. Behörden sind an gesetzliche Befugnisse, Verfahrensregeln und je nach Maßnahme richterliche oder andere unabhängige Kontrollen gebunden. Private Akteure verfügen nicht über dieselben hoheitlichen Befugnisse. Wer im Chat mit einem Betrüger sitzt – in einem Forum oder in einer Telegram-Gruppe –, liefert seine Bausteine an genau die Person, gegen die er sich schützen wollte. Datenschutz ist deshalb kein Anliegen von Kriminellen, sondern von Normalbürgern.

Welche Fehler treten beim Trennen von Identitäten immer wieder auf?

Die gleichzeitige Nutzung. Sie taucht in den dokumentierten EncroChat-Fällen wiederholt auf. Wiederkehrender Gleichlauf von Ort und Zeit kann ein starkes Korrelationsmerkmal sein: Zwei Identitäten lassen sich verbinden, wenn sie regelmäßig zur selben Zeit am selben Ort auftauchen. Ein weiterer wiederkehrender Fehler ist der wiederverwendete Name: Ein Pseudonym, das aus einem Spitznamen, einem Geburtsjahr, einem Haustier oder einem Verein gebaut ist, lässt sich rückwärts suchen. Der dritte ist das Bild – weil ein Bild immer mehr enthält, als der Absender darauf sieht. Alle drei Fehler kosten Anonymität, keiner davon hat mit Technik zu tun.

Warum können auch Metadaten zwei getrennte Geräte verbinden?

Weil Geräte während des Betriebs verschiedene Verbindungs- und Nutzungsdaten erzeugen. Je nach Betriebssystem, Einstellungen, Netzwerk und Dienst können unter anderem Mobilfunk-, WLAN- und Serververbindungen zusätzliche Metadaten erzeugen. Moderne Systeme besitzen zugleich Datenschutzmechanismen, die bestimmte WLAN- und Gerätekennungen reduzieren oder randomisieren. Wenn zwei Geräte über längere Zeit dieselben Orte zu denselben Zeiten aufweisen, kann daraus ein starkes Korrelationsmerkmal entstehen, das zusammen mit weiteren Beweisen zu einer Zuordnung beitragen kann. In einzelnen dokumentierten EncroChat-Fällen trugen Kennung, WLAN- und Mobilfunkdaten wesentlich zur Zuordnung bei, ohne dass dafür der Nachrichteninhalt das entscheidende Merkmal war.

Kann mich ein Foto verraten, auf dem ich gar nicht zu sehen bin?

Ja, und das ist einer der unterschätzten Wege. Ein Bild eines Angehörigen, eines Kollegen oder eines Fahrzeugs zeigt eine Person oder einen Gegenstand, die anderswo mit vollem Namen erfasst sind. In einem der EncroChat-Verfahren genügte das Foto eines öffentlich bekannten Familienmitglieds. Anonymität endet nicht bei dir, sondern bei der ersten identifizierbaren Person oder Sache in deinem Umfeld.

Was unterscheidet ANOM von EncroChat und Sky ECC?

EncroChat und Sky ECC waren echte kommerzielle Anbieter, deren Infrastruktur von Ermittlern angegriffen wurde. ANOM dagegen war von Anfang an eine von Strafverfolgungsbehörden betriebene Plattform – ein Honeypot. Jede Nachricht wurde dort als unsichtbare Kopie an einen Server im Ausland weitergeleitet. Das ist rechtlich und technisch ein anderer Sachverhalt und gehört nicht in denselben Topf. Für die Privatsphäre ist die Lehre trotzdem dieselbe: Ein Werkzeug, dessen Quelltext niemand prüfen kann und dessen Betreiber niemand kennt, ist selbst das Risiko.

Kann ein beschlagnahmtes Handy heute noch ausgelesen werden?

Je nach Gerät und Aktualisierungsstand ist das möglich. Im EU-Forschungsprojekt EXFILES arbeiteten zwischen 2020 und 2023 Behörden aus acht Ländern, darunter das Bundeskriminalamt, an Verfahren zum Auslesen verschlüsselter Smartphones; mehrere hundert Geräte wurden dabei geöffnet. Nötig ist eine Kombination aus Eingriffen an der Hardware und Software. Eine pauschale Aussage, ab wann ein Gerät sicher oder unsicher ist, lässt sich daraus nicht ableiten – die Möglichkeiten hängen vom Modell, vom Betriebssystem, vom Sicherheitschip und vom Patchstand ab. Ein langes Passwort statt einer vierstelligen PIN und ein vollständig ausgeschaltetes statt nur gesperrtes Gerät verbessern die Ausgangslage.

Hilft ein VPN gegen diese Fehler?

Ein VPN gehört zur technischen Ebene der Privatsphäre: Es verschlüsselt den Verkehr zwischen Gerät und VPN-Server und ersetzt gegenüber Zielseiten die öffentliche Ausgangs-IP-Adresse. Es verhindert keine Zuordnung über Inhalte, Geräte- oder Mobilfunkmetadaten. Gegen einen Fingerabdruck auf einem Foto, einen wiederverwendeten Nickname oder ein verräterisches Zeitmuster richtet es gar nichts aus. Es ist ein Werkzeug für die technische Ebene, und auf dieser Ebene ist es sinnvoll. Viele der in diesem Beitrag hervorgehobenen Zuordnungswege betreffen Informationen und Verhalten und werden durch ein VPN nicht verhindert.

Was hat digitale Anonymität mit einem Raubüberfall zu tun?

Sehr viel. Für einen Überfall auf einen Krypto-Besitzer braucht ein Täter drei Antworten: Lohnt es sich, wo wohnt die Person, und wann ist sie allein. Hinweise auf Vermögen, Wohnort und Routinen können über Chats, öffentliche Beiträge, Datenlecks, das persönliche Umfeld oder Beobachtungen zusammenkommen. Die Auswertung dokumentierter Wrench-Fälle zeigt, dass ein erheblicher Teil auf genau solche verhaltensbezogenen Einfallstore zurückgeht. Anonymität ist deshalb die erste und billigste Schutzschicht, lange vor jeder Technik – und Privatsphäre bei Krypto keine Geschmacksfrage.

Wie erkenne ich, dass jemand im Chat meine Identität herausholen will?

An mehreren Warnsignalen, die zusammen auffällig sein können. Erstens ungefragte persönliche Offenheit, damit du sie erwiderst. Zweitens hat jede Frage einen plausiblen Grund – für die Rechnung, für die Verifizierung, für den Versand. Drittens wachsen die Bitten in kleinen Schritten, vom Vornamen über die Stadt bis zum Ausweisfoto. Dazu kommen beiläufige Test-Fragen nach Wetter, Feierabend oder Anlagesumme. Mehrere solcher Warnsignale können zusammen auffällig sein; keines davon beweist für sich allein einen Betrugsversuch.

Was mache ich, wenn ich schon zu viel preisgegeben habe?

Rückwirkend lässt sich eine Information nicht zurückholen – das ist die härteste Lektion des Falls. Sinnvoll ist trotzdem, die Blutung zu stoppen: alte öffentliche Inhalte prüfen und gegebenenfalls löschen, Privatsphäre-Einstellungen kontrollieren, kompromittierte Zugangsdaten ändern, den weiteren Missbrauch beobachten und bei Identitätsmissbrauch die geeigneten Stellen informieren. Wichtiger als das Aufräumen ist, den nächsten Baustein nicht auch noch zu liefern. Privatsphäre wird ab jetzt aufgebaut, nicht rückwirkend repariert.

Quellen