BSI warnt vor Ghost Pairing:
Neue Gefahr für WhatsApp-Nutzer

Eine Betrugsmasche mit dem Namen "Ghost Pairing" stellt der­zeit ein Sicherheitsrisiko für WhatsApp-Nutzer dar. Jetzt hat das Bun­des­amt für Sicherheit in der Informationstechnik (BSI) eine of­fi­zi­el­le Warnung veröffentlicht.

Gefährliche Lücke durch Social Engineering

Kriminelle missbrauchen dabei die offizielle Funktion "Verknüpfte Geräte", um unbemerkt einen dauerhaften Parallelzugriff auf fremde Konten zu erlangen. Wir hatten vor den Angriffen schon Ende 2025 gewarnt. Anders als bei klassischen Kontoübernahmen bleiben die rechtmäßigen Inhaber weiterhin angemeldet. Ziel ist es, ein fremdes Gerät heimlich als Zweitgerät zu autorisieren. Der Angriff beginnt meist mit Phishing-Nachrichten, die von scheinbar bekannten Kontakten oder angeblich im Namen von Plattformen wie Facebook versendet werden.

Unter Vorwänden wie Identitätsprüfungen, Gewinnspielen oder dem Hinweis auf angeblich gefundene Fotos werden die Opfer dann auf gefälschte Webseiten gelockt. Dort sollen sie ihre Telefonnummer eingeben. Dadurch wird im Hintergrund die WhatsApp-Funktion "Gerät über Telefonnummer verknüpfen" ausgelöst.


Auf der Phishing-Seite erscheint anschließend ein achtstelliger Code, den die Nutzer zur angeblichen Verifizierung in der App eingeben sollen. Mit dieser Eingabe wird das Gerät der Angreifer unwissentlich als legitimes Begleitgerät legitimiert.

Wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt, bleibt der Angriff oft lange unentdeckt. Da WhatsApp auf dem Smartphone der Betroffenen normal weiterläuft, fällt der zusätzliche Zugriff nicht auf. Die Angreifer können jedoch Chats mitlesen, Medien herunterladen und im Namen des Opfers Nachrichten versenden, um weitere Kontakte zu täuschen oder Daten abzugreifen.

Technische Details und Ursprung

Ghost Pairing nutzt eine Änderung in der WhatsApp-Architektur aus. Mit der Einführung der Multi-Device-Funktion können bis zu vier Begleitgeräte unabhängig vom Haupttelefon genutzt werden. Die dafür vergebenen Sitzungstokens bleiben bis zu 14 Tage aktiv, auch wenn das Hauptgerät offline ist. Die alternative Kopplung per Zahlencode wurde ursprünglich eingeführt, um Nutzern ohne funktionierende Smartphone-Kamera eine Anmeldung ohne QR-Code zu ermöglichen. Infografik Instant Messaging: Die beliebtesten Messenger der Deutschen

Schutzmaßnahmen und Erkennung

Da es sich nicht um eine klassische Software-Sicherheitslücke, sondern um Social Engineering handelt, lassen sich solche Angriffe nicht durch Updates verhindern. Nutzer sollten ihre aktiven Sitzungen regelmäßig kontrollieren.

Folgende Maßnahmen erhöhen die Sicherheit:

Experten empfehlen zudem, bei verdächtigen Nachrichten von bekannten Kontakten über einen anderen Kanal Rücksprache zu halten. Eine aktivierte Zwei-Faktor-Authentifizierung schützt zwar vor einer vollständigen Kontoübernahme, verhindert jedoch nicht zwingend das Hinzufügen eines verknüpften Geräts, wenn Nutzer die Autorisierung selbst vornehmen.

Habt ihr in eurem Umfeld solche Phishing-Versuche beobachtet? Prüft eure verknüpften Geräte und teilt eure Erfahrungen in den Kommentaren.

Download WhatsApp Desktop - Client für Windows
Siehe auch: