Man sendet ein Foto des Personalausweises an seinen Buchhalter, einen Kontoauszug an seinen Partner, ein temporäres Passwort an einen Kollegen. All das wird oft ohne nachzudenken über WhatsApp verschickt. Die Ende-zu-Ende-Verschlüsselung, die bei jeder Öffnung eines Chats angezeigt wird, vermittelt den Eindruck, dass diese Austausche gesichert sind. Die Realität ist jedoch differenzierter, und einige blinde Flecken verdienen es, näher betrachtet zu werden.
Cloud-Backup: das Glied, das die Ende-zu-Ende-Verschlüsselung nicht abdeckt
Die Ende-zu-Ende-Verschlüsselung schützt die Nachrichten während ihres Transits. Konkret bedeutet das, dass weder WhatsApp noch Meta den Inhalt eines Gesprächs auf dem Weg lesen können. Das Problem liegt danach.
Wenn man das automatische Backup auf Google Drive oder iCloud aktiviert, verlässt der Verlauf der Gespräche den Bereich der Transitionsverschlüsselung. Standardmäßig genießen diese Kopien nicht dasselbe Schutzniveau. Sie werden auf den Servern von Google oder Apple gespeichert, die ihren eigenen Zugangsbedingungen unterliegen, auch im Falle einer gerichtlichen Anordnung.
WhatsApp bietet seit mehreren Monaten eine Ende-zu-Ende-verschlüsselte Backup-Option an, die durch ein Passwort oder einen 64-stelligen Schlüssel geschützt ist. Man kann sie in den Einstellungen der App aktivieren, unter dem Punkt Chats und dann Backup. Diejenigen, die die Sicherheit auf WhatsApp mit Bewise analysieren, erläutern diesen Mechanismus und seine konkreten Implikationen ausführlich.
Die Falle: wenn man dieses Passwort verliert, wird das Backup unrettbar. WhatsApp kann es nicht für Sie zurücksetzen. Der operative Rat ist also doppelt: Aktivieren Sie die Verschlüsselung des Backups und speichern Sie das Geheimnis in einem zuverlässigen Passwort-Manager, der im Falle eines Telefonwechsels zugänglich ist.
WhatsApp-Metadaten: was Meta selbst mit der Verschlüsselung sammelt
Oft konzentriert man sich auf den Inhalt der Nachrichten. Der Inhalt ist verschlüsselt, das stimmt. Was jedoch nicht verschlüsselt ist, sind die Metadaten: wer mit wem spricht, zu welcher Uhrzeit, von welchem Gerät, wie oft, in welcher Gruppe.
Diese Informationen reichen aus, um ein detailliertes Verhaltensprofil zu erstellen. Ein Arbeitgeber, der ausschließlich zwischen 12 und 14 Uhr mit einem Personalvermittlungsbüro kommuniziert, ein Patient, der regelmäßig einen Spezialisten kontaktiert: Die Metadaten erzählen eine Geschichte, die die Verschlüsselung nicht verdeckt.
Meta nutzt diese Metadaten, um sein Werbeökosystem zu speisen. Die Datenschutzrichtlinie von WhatsApp stellt klar, dass bestimmte Daten mit anderen Unternehmen der Gruppe (Facebook, Instagram) geteilt werden. Die DSGVO schränkt diese Praxis in Europa ein, beseitigt sie jedoch nicht vollständig.
Was die Metadaten offenbaren, ohne eine einzige Nachricht zu lesen
- Das Kontaktnetzwerk: die Liste der Nummern, mit denen man kommuniziert, die Häufigkeit und Dauer der Interaktionen, die Gruppen, denen man angehört
- Die Verbindungsgewohnheiten: Aktivitätszeiten, Zeit, die in der App verbracht wird, Gerätetyp und Betriebssystemversion
- Die indirekte Lokalisierung: die IP-Adresse zum Zeitpunkt der Verbindung ermöglicht eine Schätzung des geografischen Gebiets, selbst ohne die Standortfreigabe zu aktivieren
DSGVO-Strafe und Transparenz: was die europäische Regulierung verändert hat
Im Jahr 2021 verhängte die irische Datenschutzkommission eine Geldstrafe von 225 Millionen Euro gegen WhatsApp. Der Vorwurf bezog sich auf die Nichteinhaltung der Transparenzpflichten gemäß der DSGVO, nicht auf den Inhalt der Nachrichten selbst.
WhatsApp informierte die Nutzer nicht ausreichend darüber, wie ihre Daten verarbeitet und mit Meta geteilt wurden. Das Problem war der Mangel an Klarheit, nicht eine technische Schwachstelle.
Der Gerichtshof der Europäischen Union bestätigte im Februar 2026, dass die verbindlichen Entscheidungen des Europäischen Datenschutzausschusses direkt vor den europäischen Gerichten angefochten werden können. Das Verfahren von WhatsApp in der Sache war zu diesem Zeitpunkt noch im Gange. Dieser Rechtsstreit zeigt, dass der regulatorische Kampf nicht nur darüber führt, was WhatsApp mit Ihren Daten macht, sondern auch darüber, was die App Ihnen darüber mitteilt.
WhatsApp-Datenschutzeinstellungen: die Einstellungen, die jetzt überprüft werden sollten
Anstatt allgemeine Ratschläge aufzulisten, konzentrieren wir uns auf die Einstellungen, die einen echten Einfluss haben und die die meisten Nutzer standardmäßig belassen.
Zwei-Faktor-Authentifizierung
Zugänglich in den Einstellungen, dann Konto. Man legt eine sechsstellige PIN fest, die regelmäßig und bei jeder Registrierung der Nummer auf einem neuen Gerät angefordert wird. Das ist der effektivste Schutz gegen Kontodiebstahl, eine gängige Phishing-Technik, bei der ein Dritter versucht, Ihre Nummer auf seinem eigenen Telefon zu registrieren.
Sichtbarkeit des Profils und des Status
Standardmäßig sind das Profilbild, der Status und die Uhrzeit der letzten Verbindung für alle Kontakte sichtbar. Man kann jedes dieser Elemente in den Datenschutzeinstellungen auf “Meine Kontakte” oder “Niemand” einschränken. Das ist kein Gimmick: Die Uhrzeit der letzten Verbindung, kombiniert mit anderen Informationen, erleichtert Social Engineering.
Selbstlöschende Nachrichten
Man kann die automatische Löschung von Nachrichten nach 24 Stunden, 7 Tagen oder 90 Tagen aktivieren, Gespräch für Gespräch oder standardmäßig für alle neuen Chats. Für den Austausch sensibler Dokumente (Personalausweise, Bankdaten) begrenzt der selbstlöschende Modus das Risiko einer unbefugten Einsichtnahme in das Telefon.
- Aktivieren Sie das Ende-zu-Ende-verschlüsselte Backup und speichern Sie das Passwort in einem speziellen Manager
- Richten Sie die Zwei-Faktor-Authentifizierung mit einer sechsstelligen PIN ein
- Schränken Sie die Sichtbarkeit des Profilbilds, des Status und der Uhrzeit der letzten Verbindung ein
- Verwenden Sie selbstlöschende Nachrichten für den Versand sensibler Dokumente
WhatsApp bietet einen höheren Schutz des Inhalts der Nachrichten als viele gängige Messenger. Die konkrete Grenze liegt jedoch bei den Metadaten, den standardmäßig unverschlüsselten Cloud-Backups und dem Mangel an Transparenz beim Datenaustausch mit Meta. Die tatsächliche Sicherheit hängt ebenso von den aktivierten Einstellungen ab wie von der Verschlüsselung selbst.
