WhatsApp-Konto vor Hackerangriffen schützen
Von Tobias Sankt · Aktualisiert September 2026 · rechtlich gegengelesen Dieser Ratgeber zeigt, wie Angreifer WhatsApp-Konten übernehmen — damit Sie es erkennen und blockieren können. Er ist keine Anleitung, wie fremde Konten gehackt werden. Der unbefugte Zugriff auf ein fremdes WhatsApp-Konto ist in Deutschland (§ 202a, § 202b StGB), Österreich (§ 118a StGB) und der Schweiz (Art. 143bis StGB) strafbar — unabhängig von familiärer, ehelicher oder Bekanntschafts-Beziehung. Bei wiederholtem Tracking kommt § 238 StGB (in CH seit 1.1.2026 Art. 181b StGB) hinzu. Wir helfen dabei nicht.
WhatsApp läuft weltweit auf über 3 Milliarden Geräten — und ist damit auch eines der attraktivsten Ziele für Konto-Übernahmen. Die Ende-zu-Ende-Verschlüsselung schützt Nachrichten auf dem Transportweg, verhindert aber keine Kontoübernahme, kein kompromittiertes Endgerät und keine Linked-Device-Zugriffe. Die meisten realen Angriffe setzen deshalb am Nutzer und am Gerät an: gestohlene SMS-Codes, gekaperte Rufnummern per SIM-Swap, kurzzeitiger physischer Zugriff auf ein entsperrtes Handy, per Social Engineering ausgelöste Geräte-Verknüpfungen, gefälschte WhatsApp-Klone. Dieser Ratgeber zeigt die sechs häufigsten Angriffs-Techniken, wie Sie eine laufende Übernahme erkennen und was Sie tun, wenn Ihr Konto schon kompromittiert ist.
In 30 Sekunden
Der wichtigste Einzelschutz gegen WhatsApp-Übernahme: die Verifizierung in zwei Schritten aktivieren. Einstellungen › Konto › Verifizierung in zwei Schritten. WhatsApp stellt seit 25. August 2026 den bisherigen sechsstelligen PIN-Schutz auf ein vollwertiges Passwort um — wenn Ihr Konto die neue Option bereits anbietet, verwenden Sie ein einzigartiges Passwort. Damit scheitern die häufigsten Angriffs-Ketten (SIM-Swap, Code-Phishing) selbst dann, wenn der Angreifer den SMS-Code hat.
- Anzeichen für Übernahme: plötzliche Abmeldung, ungefragter SMS-Code, fremde verknüpfte Geräte, merkwürdige Nachrichten von Ihnen an Kontakte, geänderter Name/Status.
- Die 6 wichtigsten Angriffe: SIM-Swap · betrügerisches Geräte-Verknüpfen (QR-Code oder Einmalcode, per physischem Zugriff oder Social Engineering) · Code-Phishing per Chat · Call-Forwarding-Scam (Anrufweiterleitung aktivieren lassen) · Fake-WhatsApp-Mods (GB/YoWhatsApp) · Stalkerware auf dem Gerät.
- Sofortmassnahmen bei Verdacht: auf eigenem Handy neu registrieren (Angreifer fliegt raus), alle verknüpften Geräte abmelden, Verifizierung in zwei Schritten einrichten (Passwort — oder PIN, solange noch aktiv), Kontakte warnen.
- Alte Anleitungen wie MAC-Spoofing funktionieren heute nicht mehr — wer eine solche Anleitung liest, sollte die Quelle als veraltet einstufen.
Warnzeichen einordnen: Angriffsversuch vs. Übernahme wahrscheinlich
Nicht jedes Signal bedeutet, dass Ihr Konto schon übernommen ist. Ein ungefragter Registrierungscode zum Beispiel ist zunächst nur ein Login-Versuch — solange Sie den Code nicht weitergeben, scheitert er. Diese Trennung hilft, Sofortmassnahmen richtig zu dosieren:
Angriffsversuch — noch nicht erfolgreich
Wachsam sein, nichts weitergeben — aber noch kein Grund zu Recovery-Massnahmen. Prüfen Sie zusätzlich Einstellungen › Verknüpfte Geräte, um sicherzugehen, dass die Übernahme wirklich nicht erfolgt ist.
Ungefragter WhatsApp-Registrierungscode per SMS
AngriffsversuchEin sechsstelliger Code, den Sie nicht selbst angefordert haben, bedeutet: jemand versucht gerade, Ihre Nummer auf einem anderen Gerät zu registrieren. Das ist ein Login-Versuch, noch keine erfolgte Übernahme. Geben Sie den Code niemandem weiter — auch nicht an Personen, die scheinbar von Ihrer Familie oder Support kommen. Solange Sie den Code nicht weitergeben, scheitert der Versuch.
Ein Kontakt bittet Sie im Chat um „den Code, den er gerade bekommen hat"
AngriffsversuchKlassisches Muster: ein Freund/Familienmitglied schreibt „Ich habe versehentlich meinen Code an deine Nummer geschickt, kannst du ihn mir weiterleiten?". In Wahrheit ist meist sein Konto bereits übernommen, und der Angreifer versucht über ihn auch Ihres zu bekommen. Nichts weiterleiten, den Kontakt auf einem anderen Weg (Anruf, Signal, persönlich) prüfen.
Verdächtige QR-Code-Aufforderung („bitte scannen Sie kurz")
AngriffsversuchWer Sie bittet, einen QR-Code auf einem fremden Bildschirm mit Ihrer WhatsApp-App zu scannen, versucht in aller Regel eine WhatsApp-Web-Session auf seinem Rechner freizuschalten. Nach dem Scan kann diese Person Ihre Chats live mitlesen. Nie fremde QR-Codes scannen, für die Sie keinen expliziten Grund kennen.
Übernahme wahrscheinlich — Recovery-Flow starten
Wenn Sie eines dieser Signale sehen, sofort die Sofortmassnahmen abarbeiten — die neue Registrierung mit dem SMS-Code entfernt den Angreifer unmittelbar.
Sie werden plötzlich abgemeldet
ÜbernahmeWhatsApp läuft pro Telefonnummer nur auf einem primären Handy. Wenn Ihre aktive Session ohne Ihre Aktion beendet wird, hat es jemand — mit einem Code, den er auf anderem Weg bekommen hat — geschafft, das Konto auf sein Gerät umzuziehen. Sofort neu registrieren, um es zurückzuholen.
Verknüpftes Gerät, das Sie nicht kennen
ÜbernahmeWhatsApp › Einstellungen › Verknüpfte Geräte listet alle aktiven Web-, Desktop- und Zweit-Handy-Sessions. Jede fremde Session bedeutet, dass jemand Ihre Chats live mitlesen kann. Sofort abmelden.
Kontakte bekommen tatsächlich Nachrichten von Ihnen, die Sie nicht geschrieben haben
ÜbernahmeSie werden angeschrieben mit „Warum schreibst du mir X?" — und die Nachricht kam nachweislich von Ihrer Nummer. Das ist die klarste Bestätigung einer aktiven Übernahme. Angreifer nutzen es meist für Geld-Bitten oder Code-Weiterleitungs-Angriffe auf Ihre Kontakte.
Profilbild, Name oder Status wurden geändert
ÜbernahmeOhne dass Sie es waren. Angreifer ändern manchmal das Profilbild oder den Status, um Kontakte zu täuschen oder das Konto aussehen zu lassen wie ein anderer Nutzer.
Chats mit unbekannten Kontakten oder in unbekannten Gruppen
ÜbernahmeNeue Chats, die Sie nicht begonnen haben. Neue Gruppen, in die Sie nicht bewusst beigetreten sind. Beides sind Hinweise, dass ein anderer über Ihr Konto agiert.
Sofortmassnahmen bei kompromittiertem WhatsApp-Konto
In dieser Reihenfolge — Schritt 1 (Neuregistrierung auf Ihrem Handy) beendet die Übernahme unmittelbar, weil WhatsApp pro Nummer nur ein primäres Gerät zulässt.
Bereits vollständig übernommen? Die erneute Registrierung mit dem sechsstelligen SMS-Code ist der entscheidende Schritt. Nur sie entfernt einen aktiven Angreifer zuverlässig aus dem Konto — WhatsApp läuft pro Nummer immer nur an einem primären Gerät, die neue Registrierung wirft die alte Session raus. Passwort oder Verifizierung in zwei Schritten alleine schützen vor zukünftigen Übernahmen, entfernen aber nicht automatisch einen bereits aktiven Angreifer.
- 01
WhatsApp auf Ihrem eigenen Handy neu registrieren (zurückholen)
WhatsApp öffnen, mit Ihrer Nummer anmelden, den sechsstelligen SMS-Code eingeben. Damit fliegt der Angreifer sofort aus dem Konto — WhatsApp läuft pro Nummer nur an einem primären Gerät gleichzeitig. Falls eine Verifizierung in zwei Schritten (PIN oder — je nach Version — Passwort) gesetzt ist, die Sie nicht kennen (weil der Angreifer sie aktiviert hat): „Weiter" tippen und E-Mail-Reset nutzen. Wichtig zum Verständnis: Die eventuelle 7-Tage-Sperre bedeutet nicht, dass der Angreifer sieben Tage weiter Zugriff hat — er wird bereits mit der erfolgreichen Eingabe des SMS-Codes abgemeldet. Die Wartefrist bezieht sich nur darauf, wann Sie selbst das Konto wieder vollständig entsperren können, falls Sie den zweiten Faktor nicht kennen.
- 02
Alle verknüpften Geräte abmelden
Einstellungen › Verknüpfte Geräte › jedes einzelne Gerät abmelden. Wenn Sie den Rechner nicht selbst eingerichtet haben, wurde er von einem Angreifer verbunden — sofort weg damit.
- 03
Zweistufige Verifizierung einschalten (falls nicht schon geschehen)
Einstellungen › Konto › Verifizierung in zwei Schritten. WhatsApp stellt den bisherigen sechsstelligen PIN-Schutz seit August 2026 auf ein vollwertiges Passwort um. Wenn Ihr Konto die neue Option bereits anbietet, verwenden Sie ein einzigartiges Passwort; wo die 6-stellige PIN noch aktiv ist, wählen Sie sie einmalig — in beiden Fällen zusätzlich eine E-Mail-Adresse für Recovery hinterlegen. Dieser zweite Faktor wird bei jeder Neuregistrierung auf einem anderen Gerät verlangt; ohne ihn schafft ein Angreifer die Übernahme nicht mehr.
- 04
Kontakte warnen — bevor der Angreifer Betrug in Ihrem Namen macht
Kurz-Nachricht in wichtigen Chats und im Status: „Mein WhatsApp wurde kurz übernommen. Bitte keine Zahlungen und keine Codes an Nachrichten glauben, die zwischen [Zeitraum] von mir kamen. Ich bin zurück auf meinem Konto."
- 05
Passwörter der verknüpften Konten ändern
Die E-Mail-Adresse, die als WhatsApp-2FA-Recovery hinterlegt ist. Google-/Apple-Konto, wenn WhatsApp-Backup dort läuft. Wichtige Konten, deren 2FA-Codes per SMS an Ihre Nummer gehen und die möglicherweise während des Übernahme-Fensters missbraucht wurden.
- 06
Anzeige erstatten, wenn Betrug im eigenen Namen stattgefunden hat
Bei Geld-Anfragen an Freunde/Familie unter Ihrem Namen, Erpressungsversuchen oder Identitäts-Missbrauch: Anzeige bei der Polizei mit Screenshots des Chatverlaufs und der Zeitangaben. Straftatbestände in DE u. a. § 202a StGB (Ausspähen von Daten), § 263 StGB (Betrug); in AT § 118a StGB; in CH Art. 143bis StGB.
Wenn der Angreifer während der Übernahme Spam-Nachrichten verschickt oder ungewöhnlich viele Kontakte angeschrieben hat, kann WhatsApp das Konto automatisch einschränken oder ganz sperren. In diesem Fall funktioniert die reguläre Neuregistrierung mit dem SMS-Code allein nicht — die App zeigt stattdessen einen Sperrhinweis mit einem Überprüfungs- bzw. Einspruchsprozess direkt in der App an. Folgen Sie diesem in-App-Prozess, schildern Sie den Konto-Vorfall knapp (Zeitpunkt, dass es eine Übernahme war) und reichen Sie die verlangten Angaben ein — meist wird das Konto innerhalb weniger Werktage entsperrt. Wenn WhatsApp die Sperre bestätigt hat, greifen anschliessend die regulären Sofortmassnahmen oben (2FA/Passkey einrichten, Kontakte warnen).
Prävention: WhatsApp dauerhaft schützen (10-Minuten-Check)
Sieben Punkte, die 90 % aller Konto-Übernahmen verhindern. Einmal einrichten — dann sind Sie im Ernstfall geschützt.
- Zweistufige Verifizierung mit E-Mail-Recovery einrichten
Einstellungen › Konto › Verifizierung in zwei Schritten. WhatsApp stellt den bisherigen 6-stelligen PIN-Schutz seit August 2026 auf ein vollwertiges Passwort um — nutzen Sie die neue Option, sobald sie in Ihrem Konto sichtbar wird, und legen Sie ein einzigartiges Passwort fest. Solange die PIN noch aktiv ist, wählen Sie sie einmalig. In beiden Fällen zusätzlich eine E-Mail-Adresse für Recovery hinterlegen. Verhindert die häufigste Angriffs-Kette (SIM-Swap oder Code-Phishing führen ohne zweiten Faktor nicht zur Übernahme).
- Passkey einrichten (kryptografischer Login ohne SMS-Code)
Einstellungen › Konto › Passkeys. Ein Passkey ist ein gerätegebundener kryptografischer Schlüssel — die Anmeldung läuft über Fingerabdruck, Face ID oder die Gerätesperre, nicht mehr über SMS-Codes oder Passwörter. WhatsApp meldet inzwischen über eine Milliarde Passkey-Nutzer und erlaubt mehrere Passkeys pro Konto (praktisch, wenn Sie das Konto auf mehreren Geräten nutzen). Vorteil: reduziert die Abhängigkeit von SMS-Codes, macht SIM-Swap-Angriffe und Code-Phishing wirkungslos, weil der Angreifer den Schlüssel physisch auf einem freigegebenen Gerät bräuchte.
- Displaysperre + starke PIN oder Biometrie
Ohne Sperre reichen 30 Sekunden am entsperrten Gerät, um WhatsApp-Web-Sessions einzurichten. Mindestens 6-stellige PIN, besser Face ID / Fingerabdruck.
- Verknüpfte Geräte alle 2–4 Wochen prüfen
Einstellungen › Verknüpfte Geräte. Alles abmelden, was Sie nicht bewusst erkennen. Verknüpfte Geräte können auch funktionieren, während das Haupttelefon offline ist. WhatsApp trennt sie unter anderem, wenn das Haupttelefon länger als 14 Tage nicht verwendet wird; einzelne inaktive verknüpfte Geräte werden nach 30 Tagen automatisch entfernt. Bis dahin läuft eine unbemerkt gestartete Session unauffällig weiter — deshalb selbst regelmässig prüfen.
- WhatsApp und Betriebssystem aktuell halten
Sicherheits-Patches schliessen Lücken, über die frühere WhatsApp-Sicherheitsvorfälle (u. a. der Pegasus-Missbrauch 2019) den Zugriff ermöglichten. Automatische Updates aktiv lassen.
- Keine WhatsApp-Mods installieren
GB WhatsApp, YoWhatsApp, FMWhatsApp und Ähnliche sind keine offiziellen WhatsApp-Apps und werden von WhatsApp nicht geprüft oder unterstützt. Manipulierte Varianten können Schadsoftware enthalten; laut WhatsApp-Hilfe kann die Nutzung solcher Apps zu temporären oder dauerhaften Konto-Sperren führen.
- WhatsApp-Verifikations-Code niemals weitergeben
Nicht an angebliche Freunde („Ich habe deinen Code aus Versehen bekommen"), nicht an Support-Mitarbeiter, nicht in Formulare. WhatsApp selbst fragt nie danach.
Technischer Hintergrund: sechs Angriffs-Techniken im Detail
Für Leser, die tiefer verstehen wollen, wie WhatsApp-Konten in der Praxis angegriffen werden. Jede Technik mit kompakter Erklärung und konkreten Schutz-Massnahmen.
SIM-Swap / Nummer-Kaperung
Der Angreifer beschafft sich bei Ihrem Mobilfunkanbieter eine Ersatz-SIM auf Ihre Nummer — meist per Social Engineering am Kunden-Service, gefälschtem Ausweis oder aus einem Insider-Zugang. Sobald die Nummer auf seiner SIM aktiv ist, kann er WhatsApp auf einem neuen Gerät installieren, den SMS-Verifikationscode empfangen und Ihr Konto übernehmen.
- Verifizierung in zwei Schritten in WhatsApp aktivieren — Einstellungen › Konto › Verifizierung in zwei Schritten. WhatsApp hat am 25. August 2026 offiziell angekündigt, den bisherigen sechsstelligen PIN-Schutz auf ein vollwertiges Passwort umzustellen (länger, mit Buchstaben, Zahlen und Sonderzeichen). Wenn Ihr Konto die neue Option bereits anbietet, verwenden Sie ein einzigartiges Passwort; solange die 6-stellige PIN noch aktiv ist, wählen Sie sie einmalig und hinterlegen eine E-Mail für Recovery. Ohne diese Zwei-Schritte-Verifizierung scheitert die Konto-Registrierung selbst dann, wenn der Angreifer den SMS-Code hat — der wichtigste Einzelschutz gegen SIM-Swap.
- Bei Ihrem Mobilfunkanbieter Kundenkonto-PIN oder Portierungs-Sperre einrichten, sofern angeboten. Fragt der Kunden-Service telefonisch nur nach Adresse und Geburtsdatum, ist das Konto verwundbar.
- Verdächtige plötzliche Signal-Ausfälle prüfen — wenn Ihre SIM ohne Grund kein Netz mehr hat, kann das ein aktiver SIM-Swap sein. Sofort Provider anrufen (von anderem Gerät).
Betrügerisches Verknüpfen eines Geräts
WhatsApp erlaubt bis zu vier verknüpfte Geräte (Web, Desktop, Zweit-Handys). Die Verknüpfung läuft entweder per QR-Code-Scan oder — seit 2023/2024 — per Telefonnummer plus achtstelligem Einmalcode. Angreifer setzen an beiden Wegen an, in zwei typischen Szenarien:
(A) Physischer Zugriff auf ein entsperrtes Handy: Wer kurz Zugriff hat — Partner, Kollege, Reparaturwerkstatt — kann in unter 30 Sekunden ein Gerät auf seinem Rechner verknüpfen.
(B) Social-Engineering: Der Angreifer bringt Sie dazu, den Linking-Prozess selbst zu bestätigen — etwa mit einer Fake-Support-Seite, einer täuschend echten Anmelde-Aufforderung („Bitte scannen Sie kurz diesen QR-Code, um Ihre Web-Sitzung zu verifizieren"), einem manipulierten Screen-Share oder einer angeblichen Cross-Device-Login-Bestätigung, die per Telefonnummer und Einmalcode läuft. In beiden Fällen führt die Freigabe zu einer aktiven verknüpften Session auf dem Angreifer-Gerät.
Verknüpfte Geräte funktionieren auch, während das Haupttelefon offline ist; WhatsApp trennt sie unter anderem, wenn das Haupttelefon länger als 14 Tage nicht verwendet wird, und meldet einzelne verknüpfte Geräte nach 30 Tagen Inaktivität automatisch ab. Bis dahin läuft eine unbemerkt gestartete Session unauffällig weiter.
- Regelmässig „Verknüpfte Geräte" prüfen — Einstellungen › Verknüpfte Geräte. Jede Session, die Sie nicht selbst eingerichtet haben, sofort abmelden.
- Nie fremde QR-Codes scannen, für die Sie keinen expliziten eigenen Grund haben. WhatsApp selbst fordert keine QR-Scans zur „Sitzungs-Verifikation" — jede solche Aufforderung ist Social Engineering.
- Keine achtstelligen Verknüpfungs-Codes weitergeben — weder mündlich, per Chat, per E-Mail noch an angebliches Support-Personal. Der Code ist gleichwertig zum QR-Scan: wer ihn hat, verknüpft ein Gerät auf Ihr Konto.
- Handy nie unbeaufsichtigt entsperrt liegen lassen. Displaysperre mit PIN oder Biometrie zwingt einen Angreifer, das Gerät aktiv zu entsperren.
- Vor Reparaturen und Handy-Weitergabe: WhatsApp-Verknüpfte-Geräte-Liste vorher komplett leeren; nach Rückgabe erneut prüfen.
Phishing per Chat, SMS oder Anruf ("Geben Sie mir den Code")
Zwei aktuelle Muster:
(A) „Code aus Versehen an dich": Sie bekommen eine Nachricht: „Ich habe versehentlich meinen Code an deine Nummer geschickt, kannst du ihn mir bitte weiterleiten?" — kommt scheinbar von einem Freund oder Familienmitglied, dessen Konto vorher bereits übernommen wurde. Wer den Code weiterleitet, hat sein eigenes Konto verloren.
(B) Abstimmungs-/Gewinnspiel-Link: Eine bekannte Kontakt-Nachricht („Stimm bitte für meine Nichte in diesem Voting ab" / „Ich habe gewonnen — sieh mal") führt auf eine Fake-Seite, die anschliessend zu einer QR-/Verifikations-Aufforderung leitet. Diese Masse-Kampagne läuft aktuell (u. a. berichtete SWR3 am 4. August 2026 über eine Welle mit Fake-Abstimmungen und QR-Codes aus bereits gekaperten WhatsApp-Konten). Erkennungszeichen: Nachricht kommt zwar von einer bekannten Nummer, wirkt aber ungewohnt formuliert oder passt nicht zum bisherigen Verhalten des Kontakts.
- Hauptregel: den WhatsApp-Verifikations-Code niemals weitergeben — an niemanden, in keiner Situation. WhatsApp selbst fragt nie per Chat, Anruf oder Support danach.
- Wenn ein Kontakt Sie im Chat um den Code bittet, ist mit hoher Wahrscheinlichkeit sein Konto bereits kompromittiert. Rufen Sie ihn auf einem anderen Weg (Anruf, Signal, persönlich) an, bevor Sie etwas tun.
- SMS-Codes, die Sie ohne eigene Anmelde-Aktion erhalten, sind ein Angriffs-Signal — nichts eingeben, WhatsApp öffnen, verknüpfte Geräte prüfen.
Call-Forwarding-Scam (Anrufweiterleitung aktivieren lassen)
Ein neuerer Angriffs-Vektor: Der Angreifer bringt Sie per Social Engineering dazu, eine Anrufweiterleitung auf Ihrem Handy zu aktivieren — meist mit einem Vorwand wie „technische Wartung", „Netzoptimierung" oder einer angeblichen Support-Anfrage. Wird die Weiterleitung aktiv, landen anschliessend eingehende Anrufe (inkl. WhatsApp-Verifikationsanrufe) direkt beim Angreifer. Zusammen mit dem SMS-Code-Weg entsteht so eine vollständige Verifikations-Umgehung.
- Vorsicht vor Anweisungen, unbekannte Telefon- oder Weiterleitungscodes einzugeben. Wer Sie am Telefon oder per Chat auffordert, eine Ziffernfolge mit
*oder#zu wählen, versucht in aller Regel, eine Anrufweiterleitung oder einen Netzbetreiber-Kurzbefehl auszulösen — nicht folgen. - Weder Netzbetreiber-Support noch WhatsApp bitten Sie jemals, Weiterleitungs- oder Servicecodes selbst zu tippen. Auflegen, direkt beim eigenen Anbieter zurückrufen (Nummer von der offiziellen Website).
- Bestehende Anrufweiterleitungen prüfen: iOS unter Einstellungen › Telefon › Rufweiterleitung · Android unter Telefon-App › Einstellungen › Anrufe › Anrufweiterleitung. Alle nicht selbst gesetzten Ziele sofort deaktivieren.
Inoffizielle „WhatsApp Mods" (GB WhatsApp, YoWhatsApp, FMWhatsApp u. ä.)
Modifizierte WhatsApp-Versionen versprechen mehr Funktionen (mehr Emojis, versteckter Online-Status, Downloads von Status-Bildern). Sie sind aber keine offiziellen WhatsApp-Apps und werden von WhatsApp nicht geprüft oder unterstützt. Ihre Sicherheits- und Datenschutzverfahren lassen sich nicht überprüfen. Manipulierte Varianten können Schadsoftware enthalten, und die Nutzung solcher Apps kann laut WhatsApp-Hilfe zu temporären oder dauerhaften Konto-Sperren führen. Google Play blockiert sie; wer sie über Foren-APKs installiert, geht das Risiko einer Konto-Sperre und potentiell kompromittierten Geräte-Basis ein.
- Nur die offizielle WhatsApp-App aus dem Google Play Store, Apple App Store oder von whatsapp.com/download installieren. Keine APKs aus Foren, Telegram-Kanälen oder Download-Portalen.
- Auf Android „Unbekannte Apps installieren" deaktivieren — Einstellungen › Sicherheit › Unbekannte Apps installieren. Alle Apps auf „Nicht erlaubt" zurückstellen.
- WhatsApp aktualisiert sich automatisch — wer eine Version verwendet, die veraltet ist und Update-Fehler zeigt, sollte prüfen, ob überhaupt die offizielle App läuft.
Stalkerware / Monitoring-Apps auf dem Handy
Statt WhatsApp direkt zu hacken, installieren manche Angreifer eine Überwachungs-App auf dem Zielgerät. Sie liest den Bildschirm mit, protokolliert Tastatureingaben und schickt WhatsApp-Chat-Inhalte an einen fremden Server. Das ist keine WhatsApp-Sicherheitslücke — es ist eine kompromittierte Geräte-Basis.
- Regelmässig unter Einstellungen › Apps die installierte App-Liste durchgehen. Unbekannte Apps mit generischen Namen („System Service", „WiFi Update", „Sync Helper") sind Warnsignale.
- Auf Android zusätzlich: Einstellungen › Sicherheit › Geräteverwaltungs-Apps prüfen. Stalkerware braucht meist Geräteadmin-Rechte, um sich vor Deinstallation zu schützen — jede unbekannte App hier ist verdächtig.
- Auf iOS: Einstellungen › Allgemein › VPN und Geräteverwaltung / Konfigurationsprofile prüfen — ein unbekanntes Profil ist ein starkes Indiz. Ausführlicher Selbstschutz-Ratgeber: Handy orten ohne Zustimmung — 9 Anzeichen.
Was NICHT funktioniert — häufige Missverständnisse
Aktuelle Falsch-Annahmen zuerst, überholte Mythen am Ende:
- Mythos
„Ein QR-Code-Scan wird nur nötig, wenn WhatsApp mich verifizieren muss."
RealitätWhatsApp selbst fordert Sie nie auf, einen QR-Code auf einer Support-Seite, in einem Chat oder auf einem fremden Bildschirm zu scannen — das ist ein aktuelles Social-Engineering-Muster. Ein Scan verknüpft immer ein fremdes Gerät mit Ihrem Konto, die neue Session kann Ihre Chats live mitlesen. Ebenso gefährlich: achtstellige Verknüpfungs-Codes weiterzugeben, die WhatsApp seit 2023/2024 alternativ zum QR-Code für die Geräte-Verknüpfung nutzt.
- Mythos
„Wenn ich meine sechsstellige 2FA-PIN gesetzt habe, kann mir nichts mehr passieren."
RealitätDie 6-stellige PIN ist ein guter Schutz — aber kein absoluter. Gegen Social Engineering am Recovery-E-Mail-Konto oder gegen betrügerisches Geräte-Verknüpfen (siehe Angriff 2) hilft sie nicht. WhatsApp stellt den PIN-Schutz seit August 2026 offiziell auf ein vollwertiges Passwort um (länger, mit Sonderzeichen). Sobald Ihr Konto die neue Option anbietet, upgraden Sie auf ein einzigartiges Passwort. Zusätzlich: Passkey einrichten (Einstellungen › Konto › Passkeys) — das macht SIM-Swap und Code-Phishing praktisch wirkungslos, weil der Login über Fingerabdruck/Face ID des eigenen Geräts läuft.
- Mythos
„Websites können WhatsApp-Konten per Telefonnummer knacken."
RealitätNein. Alle Angebote dieser Art sind Fake, Phishing-Fallen oder Abo-Fallen — sie haben keinen Zugriff auf WhatsApp-Server und keine Möglichkeit, die Ende-zu-Ende-Verschlüsselung zu umgehen. Geben Sie dort keine Zahlungsdaten ein.
- Mythos
„GB WhatsApp, YoWhatsApp und FMWhatsApp sind offizielle Zusatz-Versionen."
RealitätNein. Das sind inoffizielle Apps von Drittanbietern, die WhatsApp nicht prüft oder unterstützt. Ihre Sicherheits- und Datenschutzverfahren lassen sich nicht überprüfen; manipulierte Varianten können Schadsoftware enthalten. Nach WhatsApp-Hilfe kann die Nutzung solcher Apps zu temporären oder dauerhaften Konto-Sperren führen.
- Mythos
„MAC-Adresse spoofen übernimmt das Konto." (überholt)
RealitätFunktioniert seit Jahren nicht mehr — WhatsApp bindet Konten nicht mehr per MAC-Adresse, die Registrierung läuft über SMS-Code plus Zwei-Schritte-Verifizierung. Wer den Trick heute in einer Anleitung liest, sollte die Quelle als veraltet einstufen.
Rechtslage in DACH: was heimliches WhatsApp-Hacken strafbar macht
Die unbefugte Übernahme oder das heimliche Mitlesen eines fremden WhatsApp-Kontos ist in allen drei DACH-Ländern strafbar. Kurzfassung:
- Deutschland: § 202a StGB (Ausspähen besonders gesicherter Daten), § 202b StGB (Abfangen von Daten), § 238 StGB (Nachstellung — bei wiederholtem Tracking) sowie DSGVO/BDSG. Zusätzlich § 263 StGB (Betrug), wenn nach Konto-Übernahme im Namen des Opfers Geld erschlichen wird.
- Österreich: § 118a StGB (widerrechtlicher Zugriff auf Computersystem), § 107a StGB (beharrliche Verfolgung), DSG.
- Schweiz: Art. 143bis StGB (unbefugtes Eindringen in Datenverarbeitungssystem), Art. 179novies StGB (unbefugtes Beschaffen von Personendaten) — sowie seit 1. Januar 2026 Art. 181b StGB (Nachstellung), der Cyberstalking und Stalking nach beendeten Beziehungen ausdrücklich unter Strafe stellt.
Welche Straftatbestände im Einzelfall erfüllt sind, hängt von der konkreten Methode und dem Verhalten ab. Ausführliche Darstellung mit Fällen und Sofortmassnahmen bei Verdacht: Handy orten ohne Zustimmung.
Häufige Fragen zum WhatsApp-Kontoschutz
Kann ich WhatsApp einer anderen Person heimlich hacken?
Nein. Der Zugriff auf ein fremdes WhatsApp-Konto ohne Zustimmung ist in Deutschland (§ 202a und § 202b StGB), Österreich (§ 118a StGB) und der Schweiz (Art. 143bis StGB) strafbar. Dazu kann § 238 StGB (Nachstellung/Stalking) hinzukommen, wenn wiederholt getrackt wird — in der Schweiz seit 1.1.2026 zusätzlich Art. 181b StGB. Diese Seite hilft nicht dabei, sondern zeigt, wie Sie Ihr eigenes Konto schützen und erkennen, ob es kompromittiert ist.
Woran erkenne ich, dass mein WhatsApp gehackt wurde?
Häufigste Anzeichen: (1) plötzliche Abmeldung mit ungefragtem SMS-Verifikations-Code, (2) fremde verknüpfte Geräte unter Einstellungen › Verknüpfte Geräte, (3) Kontakte fragen nach merkwürdigen Nachrichten von Ihnen, (4) Profilbild/Name/Status wurden geändert, (5) neue Chats mit unbekannten Kontakten. Details oben im Anzeichen-Abschnitt.
Was ist der wichtigste Einzelschutz gegen WhatsApp-Übernahme?
Die Verifizierung in zwei Schritten (Einstellungen › Konto › Verifizierung in zwei Schritten). Wichtig: WhatsApp stellt den bisherigen sechsstelligen PIN-Schutz seit August 2026 auf ein vollwertiges Passwort um — länger, mit Buchstaben, Zahlen und Sonderzeichen möglich. Wenn Ihr Konto die neue Option bereits anbietet, verwenden Sie ein einzigartiges Passwort; wo die PIN noch aktiv ist, wählen Sie sie einmalig. Zusätzlich E-Mail-Adresse für Recovery hinterlegen — sonst kann ein vergessener zweiter Faktor das eigene Konto blockieren. Ohne diesen zweiten Faktor kann ein Angreifer selbst nach SIM-Swap oder Code-Phishing das Konto nicht auf einem neuen Gerät aktivieren.
Funktioniert der MAC-Adresse-/Spoofing-Trick heute noch?
Nein. Der in vielen alten Anleitungen beschriebene MAC-Spoofing-Weg (Löschen von WhatsApp, MAC-Adresse fälschen, neu registrieren, Code abfangen) funktioniert seit Jahren nicht mehr zuverlässig — WhatsApp hat die Registrierungs- und Session-Logik mehrfach überarbeitet, Ende-zu-Ende-Verschlüsselung ist per Default aktiv, und die Angriffs-Kette bricht spätestens am zweiten Faktor (PIN oder — seit August 2026 in Umstellung — vollwertigem Passwort). Wer den Trick heute in einer Anleitung präsentiert bekommt, sollte die Quelle als veraltet einstufen.
Was ist mit WhatsApp Web und dem QR-Code — kann jemand mich damit hacken?
Nur wenn dieser jemand kurzzeitig Ihr entsperrtes Handy in der Hand hat und den QR-Code auf einem fremden Rechner scannt. Ohne physischen Zugriff auf Ihr Handy ist WhatsApp Web nicht angreifbar. Prüfen Sie regelmässig Einstellungen › Verknüpfte Geräte und melden Sie alles ab, was Sie nicht kennen.
Bringt eine „WhatsApp-Hacking-App" auf einer Website etwas?
Nein. Websites, die einen „Online-WhatsApp-Hack" versprechen, sind fast immer Fake, Phishing-Fallen oder Abo-Fallen — sie können kein fremdes WhatsApp-Konto knacken. Der einzige realistische Weg zur heimlichen Ortung/Überwachung ist Stalkerware auf dem Zielgerät (physischer Zugriff nötig, in DACH strafbar).
Darf ich das WhatsApp meines eigenen Kindes überwachen?
Bei Minderjährigen im Rahmen der elterlichen Sorge unter engen Voraussetzungen: das Kind sollte davon wissen (Vertrauensbasis), die Massnahme muss altersangemessen und verhältnismässig sein, mit steigendem Alter wächst das Persönlichkeitsrecht des Kindes. Empfehlung: transparente Alternativen wie Google Family Link oder Apple Familienfreigabe statt heimliche Monitoring-App. Details: Handy orten ohne Zustimmung.
Was tun, wenn mein WhatsApp bereits gehackt ist?
In dieser Reihenfolge: (1) auf Ihrem eigenen Handy neu registrieren (Angreifer fliegt sofort aus dem Konto), (2) alle verknüpften Geräte abmelden, (3) Verifizierung in zwei Schritten einrichten (Passwort — oder solange noch aktiv: PIN), (4) Kontakte per Status oder Massen-Nachricht warnen, (5) verknüpfte Konten (E-Mail, Google/Apple) prüfen, (6) bei Betrug im eigenen Namen Anzeige erstatten. Details im Sofortmassnahmen-Block.