Du bekommst eine WhatsApp-Nachricht von einem echten Freund, jemandem, den du seit Jahren kennst. Sie bittet dich, auf einen Link zu klicken und für sein Kind bei einem Tanzwettbewerb, seinen Hund bei einem Fotowettbewerb oder seine Schule bei einer Spendenaktion abzustimmen. Nichts daran schreit „Betrug" – es wird nicht nach deinem Bankpasswort gefragt, und die Nachricht kommt von einem Kontakt, dem du vertraust, in einem Chat, den es schon seit Jahren gibt.

Genau das ist der Punkt. Sicherheitsforscher von Malwarebytes dokumentierten dieses Muster Anfang August 2026: Die Nachricht kommt nicht von einer gefälschten Nummer. Sie kommt vom tatsächlichen, gekaperten WhatsApp-Konto deines Freundes. Der Angreifer gibt sich nicht nur als er aus – er befindet sich in seinem Konto, sendet als er selbst, an jeden in seiner Kontaktliste, dich eingeschlossen.

Wie das Konto ohne Passwort übernommen wird

WhatsApp erlaubt es, dass ein Konto gleichzeitig auf bis zu vier zusätzlichen Geräten eingeloggt bleibt – dein Handy plus WhatsApp Web im Browser, eine Desktop-App und so weiter – über eine Funktion namens verknüpfte Geräte. Ein neues Gerät zu verknüpfen bedeutet normalerweise, WhatsApp auf dem Handy zu öffnen, zu den Einstellungen zu gehen und einen QR-Code zu scannen, der auf dem neuen Gerät angezeigt wird. Kein Passwort nötig, denn dein Handy ist bereits eingeloggt und bürgt für die neue Sitzung.

Der Betrug kapert diesen Ablauf statt des Logins selbst. Das Opfer klickt auf einen Link – manchmal sogar auf der echten wa.me-Domain –, der es durch etwas führt, das wie eine „WhatsApp-Web-Einrichtung" aussieht, oder es dazu auffordert, einen Code in den eigenen Bildschirm für verknüpfte Geräte einzugeben. Diese Schritte zu befolgen bewirkt genau eine Sache: Sie bestätigen das Gerät des Angreifers als neue verknüpfte Sitzung im Konto des Opfers. Von diesem Moment an kann der Angreifer Nachrichten lesen und senden, als wäre er der Kontoinhaber – auf einem Gerät, das das Opfer nie zu Gesicht bekommt.

Deshalb löst das keinen der Alarme aus, auf die Menschen trainiert sind zu achten. Es gibt keine Passwortänderung, also auch keine E-Mail mit „Dein Passwort wurde geändert". Es gibt keinen fehlgeschlagenen Anmeldeversuch, also auch keine Sicherheitswarnung. Das Handy des Kontoinhabers funktioniert weiterhin völlig normal. Die einzige Spur ist ein zusätzlicher, unbekannter Eintrag, der still in der Liste der verknüpften Geräte sitzt – und fast niemand prüft diese Liste, wenn er nicht weiß, dass er danach schauen sollte.

Überprüfe jetzt sofort deine eigenen verknüpften Geräte

Mach das unabhängig davon, ob du eine dieser Nachrichten erhalten hast, denn es dauert keine zwei Minuten und kostet nichts:

  • Auf iPhone oder Android: WhatsApp öffnen → auf Einstellungen tippen (bei Android das Drei-Punkte-Menü) → Verknüpfte Geräte.
  • Überprüfe jeden Eintrag. Jeder zeigt einen Gerätetyp (Chrome, Windows, Mac, ein weiteres Handy) sowie den Zeitpunkt der letzten Aktivität an. Wenn du WhatsApp ausschließlich auf deinem eigenen Handy nutzt, sollte diese Liste leer sein. Wenn du WhatsApp Web auf einem privaten oder beruflichen Computer verwendest, solltest du jeden einzelnen Eintrag wiedererkennen.
  • Alles, was du nicht wiedererkennst – entferne es sofort. Tippe auf das Gerät und dann auf „Abmelden", oder nutze „Von allen Geräten abmelden", wenn du dir nicht sicher bist, welcher Eintrag das Problem ist. Das kappt den Zugriff des Angreifers sofort; dafür musst du weder dein Passwort noch deine Telefonnummer ändern.

Dann schließ die Tür hinter dir ab

Das Entfernen des betrügerischen Geräts stoppt den unmittelbaren Zugriff, hindert aber niemanden daran, auf demselben Weg ein neues Gerät zu verknüpfen. Zwei weitere Schritte sind wichtig:

  • Aktiviere die Zwei-Schritt-Verifizierung. Einstellungen → Account → Zwei-Schritt-Verifizierung → Aktivieren. Das fügt eine 6-stellige PIN hinzu, die für bestimmte sensible Aktionen erforderlich ist, und erschwert es jemandem, erneut die Kontrolle zu übernehmen, selbst wenn er dich noch einmal austrickst.
  • Gib niemals einen Code in deine eigenen WhatsApp-Einstellungen ein, nur weil eine Nachricht dich dazu auffordert. Das ist der eigentliche Mechanismus dieses Betrugs. Eine legitime Geräteverknüpfung beginnt immer damit, dass du selbst WhatsApp Web oder Desktop öffnest und mit der Kamera deines Handys einen QR-Code scannst – sie wird niemals dadurch ausgelöst, dass du einen Code eingibst, der in einem Chat, einer SMS oder einem Link ankam. Wenn eine Seite dich dazu auffordert, schließe sie.

Falls die Nachricht von einem Freund kam, nicht von dir

Klicke nicht auf den Link, und schicke kein Geld, falls sich das Gespräch zu einer entsprechenden Bitte entwickelt – das ist häufig der nächste Schritt, sobald der Angreifer Zugriff hat, denn eine Nachricht, die vom Konto eines echten Freundes um dringendes Geld bittet, wirkt weitaus überzeugender als dieselbe Nachricht von einem Fremden. Kontaktiere diesen Freund stattdessen über einen völlig anderen Kanal – ein Telefonanruf, eine SMS, eine E-Mail, irgendetwas, das nicht der WhatsApp-Chat selbst ist, denn dieser Chat ist möglicherweise gar nicht wirklich er. Erzähl ihm, was du erhalten hast, und schlage vor, dass er seine eigene Liste der verknüpften Geräte überprüft. Falls sich herausstellt, dass sein Konto kompromittiert wurde, sollte er auch seine anderen Kontakte auf demselben Weg warnen, denn die gesamte Strategie des Angreifers hängt davon ab, dass die Nachricht genauso vertrauenswürdig wirkt, wie sie es gerade jetzt tut.

All das erfordert weder Antivirensoftware noch einen Passwort-Manager noch irgendein Werkzeug jenseits von WhatsApps eigenem Einstellungsmenü. Es erfordert nur das Wissen, dass „verknüpfte Geräte" eine Liste ist, die es sich zu überprüfen lohnt – und dass eine Gefälligkeitsbitte von jemand Echtem kein Beweis dafür ist, dass die Bitte tatsächlich von ihm stammt.