WhatsApp-Zwei-Faktor-Authentifizierung und Sicherheit des Business-Kontos

Eines Morgens schreiben Ihre Kunden: „Von dieser Nummer wird dringend Geld verlangt, stimmt das?“ Dann ist Ihr Konto womöglich übernommen worden. Wird die Geschäftsnummer gekapert, ist das Problem nicht nur die Nachrichten: Vertrauen der Kunden, Bestellchats, gespeicherte Gruppen und Ihr Ruf sind ebenso betroffen. Zum Glück lassen sich die häufigsten Angriffsmethoden meist durch Gewohnheiten der Nutzer verhindern. Dieser Artikel dient nicht dazu, Angreifern eine Anleitung zu geben, sondern Sie zu schützen: Er erklärt, wie Sie die Zwei-Faktor-Authentifizierung aktivieren, wie Sie Betrug mit Bestätigungscodes erkennen und in welcher Reihenfolge Sie handeln sollten, wenn das Konto übernommen wurde.

Was ist die Zwei-Faktor-Authentifizierung?

WhatsApp sendet Ihnen beim Registrieren Ihrer Nummer auf einem neuen Gerät einen sechsstelligen Code per SMS oder Anruf. Dieser Code allein genügt; wer ihn erfährt, kann das Konto auf sein eigenes Telefon übertragen. Die Zwei-Faktor-Authentifizierung setzt eine zweite Hürde: Bei der Registrierung wird zusätzlich eine sechsstellige PIN abgefragt, die Sie selbst festlegen. Erlangt ein Angreifer den SMS-Code, kann er sich ohne die PIN nicht in Ihr Konto einloggen.

Diese Funktion bietet Schutz, ist aber keine absolute Garantie. Wählen Sie eine leicht zu erratende PIN oder geben Sie sie weiter, hebt das den Schutz wieder auf.

So aktivieren Sie sie

1. Gehen Sie in WhatsApp den Weg Einstellungen > Konto > Zwei-Faktor-Authentifizierung. In der Business-App ist der Weg ähnlich.
2. Tippen Sie auf Aktivieren.
3. Legen Sie eine sechsstellige PIN fest. Wählen Sie kein Geburtsdatum, keine Endziffern Ihrer Telefonnummer und keine Reihen wie 123456.
4. Bestätigen Sie die PIN.
5. Fügen Sie eine E-Mail-Adresse zur Wiederherstellung hinzu. An diese Adresse erhalten Sie den Link zum Zurücksetzen, wenn Sie die PIN vergessen; sie muss also erreichbar sein.
6. Speichern Sie die Einstellung und bestätigen Sie die E-Mail-Adresse.

WhatsApp fragt von Zeit zu Zeit ab, ob Sie sich an Ihre PIN erinnern. Klicken Sie diese Hinweise nicht achtlos weg, sondern speichern Sie die PIN in einem Passwort-Manager. Haben Sie die PIN ohne Wiederherstellungs-E-Mail vergessen, kann das Zurücksetzen Ihres Kontos bis zu sieben Tage dauern.

Wie funktioniert Betrug mit Bestätigungscodes?

Der Betrüger versucht, Ihre Nummer auf einem neuen Telefon zu registrieren; WhatsApp schickt Ihnen daraufhin den Code per SMS. Anschließend erzählt er Ihnen eine Geschichte, damit Sie ihm den Code nennen. Um das zu erkennen, genügt es, die häufigsten Vorwände zu kennen.

Die Regel ist einfach: Teilen Sie den sechsstelligen Code von WhatsApp mit niemandem. Auch nicht mit jemandem, den Sie kennen. Rufen Sie die Person über einen anderen Kanal an und bestätigen Sie die Anfrage.

Der Code kam, obwohl Sie ihn nicht angefordert haben

Erhalten Sie eine SMS mit einem WhatsApp-Bestätigungscode, versucht jemand, Ihre Nummer zu registrieren. Geben Sie den Code nicht weiter. Ist die Zwei-Faktor-Authentifizierung aktiv, kommt der Angreifer ohne PIN nicht weiter. Mehrere Codes hintereinander sind eine Warnung; überprüfen Sie Ihre PIN.

Betrug über verknüpfte Geräte

Betrüger nutzen nicht nur den Code, sondern auch den Mechanismus der verknüpften Geräte. Sie bitten Sie, einen QR-Code zu scannen oder einen Kopplungscode einzugeben, den sie Ihnen geschickt haben, etwa unter dem Vorwand einer „Kampagnenseite“ oder einer „Zahlungsbestätigung“. Tun Sie das, wird Ihr Konto mit deren Gerät verbunden, und sie können Ihre Chats mitlesen.

• Scannen Sie QR-Codes nur für eine Verbindung, die Sie selbst gestartet haben: die Seite web.whatsapp.com, die Sie in Ihrem eigenen Browser geöffnet haben, oder Ihr eigenes Panel.
• Scannen Sie keinen QR-Code aus einem Bild, das Ihnen jemand geschickt hat.
• Vertrauen Sie niemandem, der Sie auffordert, einen „Kopplungscode“ in das Telefon einzugeben.
• Kontrollieren Sie regelmäßig die Liste Verknüpfte Geräte auf dem Telefon und entfernen Sie Sitzungen, die Sie nicht erkennen.

Die korrekte Verwendung des QR-Codes erklärt der Leitfaden zur QR-Code-Verknüpfung.

Zusätzliche Maßnahmen für das Geschäftskonto

• Bildschirmsperre des Telefons: Entsperren Sie mit Fingerabdruck, Gesicht oder PIN. Auf einem gemeinsam genutzten Geschäftstelefon sollten Sie WhatsApp zusätzlich mit einer App-Sperre schützen.
• SIM-Karte: Richten Sie bei Ihrem Mobilfunkanbieter eine zusätzliche Prüfung für Anfragen zur SIM-Kopie und Rufnummernmitnahme ein. Belassen Sie die PIN der Leitung nicht bei der Standardeinstellung.
• Mailbox: Einige Angriffe leiten den Bestätigungscode eines Anrufs auf die Mailbox um. Ändern Sie die PIN der Mailbox.
• Offizielle App: Installieren Sie WhatsApp nur aus den offiziellen Stores. Veränderte Versionen bergen sowohl das Risiko einer Einschränkung als auch eine Sicherheitslücke.
• Teamorganisation: Halten Sie schriftlich fest, wer das Konto nutzt. Entziehen Sie ausgeschiedenen Mitarbeitern den Zugang am selben Tag und ändern Sie bei Bedarf die PIN.
• Verdächtige Links: Klicken Sie nicht auf Links in Nachrichten wie „Ihr Konto wird geschlossen“.

Wenn Ihr Konto übernommen wurde

1. Bleiben Sie ruhig und verifizieren Sie Ihre Nummer auf Ihrem eigenen Telefon erneut. Installieren Sie WhatsApp, geben Sie Ihre Nummer ein und tragen Sie den eingehenden Code ein. Dadurch wird der Angreifer aus der Sitzung geworfen.
2. Wird die PIN der Zwei-Faktor-Authentifizierung abgefragt, geben Sie sie ein. Hat der Angreifer eine PIN gesetzt, folgen Sie den Wegen zum Zurücksetzen in der App; es kann eine Wartezeit von sieben Tagen nötig sein.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung sofort oder erneuern Sie die PIN.
4. Entfernen Sie unter Verknüpfte Geräte alle Sitzungen, die Sie nicht erkennen.
5. Informieren Sie Ihre Angehörigen und Kunden auf einem anderen Weg: „Mein Konto wurde unbefugt genutzt. Bitte ignorieren Sie Geldforderungen oder Verbindungsanfragen, die von mir kommen.“
6. Wenden Sie sich bei Bedarf an den WhatsApp-Support über die App oder die Support-Seite und bewahren Sie die Nachweise auf.
7. Ändern Sie auch die Passwörter der übrigen Konten auf Ihrem Telefon.

Niemand kann garantieren, dass diese Schritte das Konto in jedem Fall zurückholen; schnelles Handeln erhöht jedoch die Chancen.

Hinweise für Nutzer von WapFlow

Das Konto, das Sie mit WapFlow verbinden, erscheint als Sitzung in der Liste der verknüpften Geräte auf Ihrem Telefon. Achten Sie deshalb auf Folgendes:

• Verbinden Sie das Konto nur in Ihrem eigenen Panel und auf Ihre eigene Initiative. Senden Sie für die Verbindung niemandem einen QR-Code oder Kopplungscode.
• Wählen Sie für Ihr Panel-Konto ein starkes Passwort, das Sie nirgendwo sonst verwenden.
• Wenn Sie Teammitgliedern Zugang zum Panel geben, legen Sie fest, wer mit welchem Konto arbeitet. Für die Verwaltung mehrerer Konten lesen Sie den Artikel Verwaltung mehrerer Konten.
• Entfernen Sie eine Sitzung in der Liste der verknüpften Geräte, wenn Sie sie nicht erkennen.

Eine Einschränkung des Kontos wegen unerwünschter Nachrichten ist ein eigenes Thema; Gründe und Einspruchsschritte haben wir im Artikel Gründe für eine Kontoeinschränkung beschrieben.

Eine Regel für das Team in einem Satz

Sicherheitsschulungen brauchen keine langen Präsentationen. Wenn Sie Ihren Mitarbeitern eine einzige Regel beibringen, verhindern Sie einen großen Teil der Angriffe. Pinnen Sie sie im Team-Gruppenchat an:

Den sechsstelligen Code von WhatsApp, den QR-Code und den Kopplungscode geben wir an niemanden weiter. Wenn jemand danach fragt, wer auch immer es ist, informieren wir zuerst die Geschäftsleitung.

Prüfen Sie außerdem bei jedem neuen Mitarbeiter gemeinsam, ob die Zwei-Faktor-Authentifizierung aktiv ist, und bestätigen Sie beim Ausscheiden schriftlich, dass die Sitzungen auf dem Geschäftstelefon beendet wurden. In kleinen Betrieben erledigt der Inhaber diese Aufgaben meist selbst; wenn das Team wächst, verhindert eine verantwortliche Person, dass sich alle auf den anderen verlassen.

Informieren Sie außerdem Ihre Kunden. Ein Hinweis in Ihrer Nachricht oder Profilbeschreibung wie „Wir werden Sie niemals um einen Bestätigungscode oder Zahlungsdaten bitten“ hilft Ihren Kunden, Betrug zu erkennen, und bewahrt das Vertrauen bei gefälschten Nachrichten.

Sicherheits-Checkliste

Häufig gestellte Fragen

Ich habe meine Zwei-Faktor-PIN vergessen, was soll ich tun?

Haben Sie eine Wiederherstellungs-E-Mail hinterlegt, können Sie einen Link zum Zurücksetzen erhalten. Ohne E-Mail kann nach einer bestimmten Wartezeit die Registrierung ohne PIN erfolgen; diese Zeit legt WhatsApp fest.

Muss ich die PIN ändern?

Ändern Sie sie, wenn Sie vermuten, dass sie jemand anderes erfahren hat, oder wenn ein Mitarbeiter ausscheidet. Regelmäßiges Ändern ist nicht zwingend nötig.

Woran erkenne ich, dass jemand mein Konto mitliest?

Prüfen Sie, ob in der Liste der verknüpften Geräte eine Sitzung steht, die Sie nicht kennen, oder ob Ihre gesendeten Nachrichten ohne Ihr Zutun als „gelesen“ angezeigt werden.

Sind Business- und normales Konto getrennt geschützt?

Ja. Jede App ist an ihre eigene Nummer gebunden, und die Einstellung muss separat aktiviert werden. Nutzen Sie beide Apps, aktivieren Sie in beiden die PIN und wählen Sie nicht für beide dieselbe PIN.

Verhindert die Zwei-Faktor-Authentifizierung eine Kontoeinschränkung?

Nein. Sicherheitsschutz und die Einhaltung der Nutzungsbedingungen sind getrennte Themen.

Haben Sie die Sicherheit gestärkt, können Sie WapFlow nutzen, um die Kommunikation mit Kunden zu ordnen. Verbinden Sie Ihr Konto nur über Ihr eigenes Panel, dann verwalten Sie Kontakte, Kampagnen und automatische Antworten an einer Stelle.