WhatsApp-Konten mit gefälschten Abstimmungen gekapert: was KMU tun sollten

«Hallo, stimm doch für die Tochter meines Freundes, sie heisst Sofia, es dauert keine Minute.» Eine solche Nachricht von einem Kontakt aus dem Adressbuch ist der Anfang eines Betrugs, den das Bundesamt für Cybersicherheit (BACS) im Wochenrückblick 43 vom 27. Oktober 2026 beschreibt. Allein im Oktober gingen beim BACS über 50 Meldungen zu so gestohlenen oder manipulierten WhatsApp-Konten ein, viele davon erfolgreich.

Die Methode ist nicht neu: Das BACS hatte sie bereits im Wochenrückblick 21 im Mai 2026 beschrieben. Der aktuelle Anstieg zeigt aber, dass sie funktioniert. Für KMU im Tessin, die WhatsApp oft mit Kundschaft, Lieferanten und Teams auf der Baustelle nutzen, ist das nicht nur eine private Angelegenheit.

So funktioniert der Betrug

Die Nachricht stammt immer von einem bekannten Kontakt, dessen Konto bereits kompromittiert ist. Der Link führt zu einer professionell gefälschten Website, die einen Schul- oder Tanzwettbewerb vortäuscht. Um Sicherheitsfilter zu umgehen, verwenden die Betrüger viele verschiedene, ständig wechselnde Domains. Für die angebliche Abstimmung gibt es zwei Varianten.

Der SMS-Code

Die Website verlangt die Handynummer und danach den per SMS erhaltenen Code. Tatsächlich ist das der offizielle sechsstellige Registrierungscode von WhatsApp. Wer ihn eingibt, erlaubt den Betrügern, das Konto auf einem anderen Telefon zu aktivieren.

Der QR-Code

Alternativ zeigt die Website einen QR-Code, der mit der Funktion «Verknüpfte Geräte» von WhatsApp gescannt werden soll. Das ist eine legitime Funktion, jene von WhatsApp Web: Der Scan verknüpft das Konto mit dem System der Kriminellen. Laut BACS merken Betroffene in manchen Fällen nicht einmal, dass ihr Konto kompromittiert ist.

Die Folgen: Kettenreaktion und Zugriff auf Daten

Mit der Kontrolle über das Konto können die Betrüger Chatverläufe, Gruppen, geteilte Fotos und vertrauliche Informationen lesen und dieselbe Nachricht an alle Kontakte des Opfers senden. Diese Kettenreaktion erklärt die aktuelle Verbreitung.

Für ein Unternehmen reichen die Folgen weiter als für eine Privatperson:

• Eine Nummer, die mit Kundschaft genutzt wird, wird zum glaubwürdigen Kanal für weitere Betrugsversuche, etwa Zahlungs- oder Datenanfragen im Namen des Unternehmens.
• Chats enthalten oft Personendaten von Kundschaft und Mitarbeitenden, Dokumente, Fotos von Arbeiten und Adressen.
• Wird ein Diensthandy geteilt oder ist es keiner bestimmten Person zugeordnet, kann die Übernahme lange unbemerkt bleiben.

Führt der Zugriff auf diese Chats voraussichtlich zu einem hohen Risiko für die betroffenen Personen, muss der Verantwortliche die Verletzung der Datensicherheit gemäss Datenschutzgesetz (DSG, Art. 24) so rasch als möglich dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) melden.

Was heute auf Firmenhandys einzustellen ist

Die Empfehlungen des BACS gelten für jedes Telefon mit WhatsApp oder WhatsApp Business, das beruflich genutzt wird:

• Zweistufige Überprüfung aktivieren mit einer eigenen PIN: Einstellungen > Konto > Zweistufige Überprüfung. Laut BACS macht diese einfache Massnahme eine Kontoübernahme um ein Vielfaches schwieriger. Das Vorgehen beschreibt auch der WhatsApp-Hilfebereich.
• Den sechsstelligen WhatsApp-Code nie weitergeben und nie auf Websites eintippen.
• «Verknüpfte Geräte» nur für eigene, vertrauenswürdige Geräte nutzen, etwa den Firmenlaptop, und keine QR-Codes unbekannter Websites scannen. Es lohnt sich, die Liste der verknüpften Geräte regelmässig zu prüfen.
• Bei Aufforderungen zu Abstimmungen oder Wettbewerben misstrauisch sein, auch bei bekannten Absendern, und über einen anderen Kanal nachfragen, etwa mit einem Anruf.

Organisatorisch sollte ein KMU zudem wissen, welche Geschäftsnummern WhatsApp nutzen, wer für welches Telefon zuständig ist, wo die PIN hinterlegt ist und wer Kundschaft und Mitarbeitende informiert, wenn ein Konto kompromittiert wird. Es sind dieselben organisatorischen Lücken, die die Studie «KMU Cybersicherheit 2026» aufzeigt. Für weitere Firmenzugänge gilt die Einstufung des BACS aus unserem Artikel zu den fünf Stufen der Authentifizierung.

Wenn das Konto bereits gekapert wurde

• Kontakte sofort über einen anderen Kanal warnen und bitten, nicht auf Links in angeblich von Ihnen stammenden Nachrichten zu klicken.
• QR-Variante: Wenn Sie noch Zugriff auf die App haben, unter Einstellungen > Verknüpfte Geräte alle unbekannten Einträge antippen und «Abmelden» wählen.
• SMS-Variante: Wenn Sie abgemeldet wurden, sich mit der eigenen Nummer neu registrieren; mit dem neuen sechsstelligen SMS-Code wird die Täterschaft ausgeloggt. Haben die Angreifer inzwischen eine eigene PIN für die zweistufige Überprüfung gesetzt, müssen Sie sieben Tage warten, bis Sie sich ohne diese PIN anmelden können; in dieser Zeit ist das Konto auch für sie gesperrt. WhatsApp beschreibt das Vorgehen auf der Seite zum Wiederherstellen eines gehackten Kontos.
• Prüfen, welche Daten von Kundschaft oder Mitarbeitenden in den Chats waren und ob eine Meldung an den EDÖB nötig ist.

Unser Ansatz

ElaraTeq Sagl entwickelt und betreibt Websites und Anwendungen für KMU und öffentliche Stellen im Tessin und hilft, Firmenzugänge zu ordnen: Inventar der Konten, Mehrfaktor-Authentifizierung, interne Regeln zu Daten und Tools, wie auch im Artikel zu KI im Berufsalltag beschrieben. Für eine Prüfung können Sie uns kontaktieren.

Quellen

• BACS, Woche 43: Betrüger kapern erneut WhatsApp-Konten mit gefälschten Abstimmungen, 27. Oktober 2026
• BACS, Wochenrückblick 21 zu WhatsApp-Konten, die mit gefälschten Wettbewerben gekapert werden, 26. Mai 2026
• Fedlex, Bundesgesetz über den Datenschutz (DSG), SR 235.1, Art. 24
• WhatsApp-Hilfebereich: Einstellungen der Verifizierung in zwei Schritten verwalten; Informationen zu verknüpften Geräten; Gehacktes Konto wiederherstellen