WhatsApp gibt an, alle Unterhaltungen Ende-zu-Ende zu verschlüsseln. Dieser Schutz umfasst Textnachrichten, Sprachanrufe und den Austausch von Medien. Er basiert auf dem Signal-Protokoll, einem Open-Source-Protokoll, das regelmäßig von Sicherheitsforschern geprüft wird. Die Verschlüsselung deckt jedoch nicht alle Informationsebenen ab, die mit der Nutzung der App verbunden sind. Dadurch bleiben mehrere Grauzonen, die sich mit den Standardeinstellungen nicht beseitigen lassen.
WhatsApp-Backups in der Cloud: die Schwachstelle, die von der Verschlüsselung nicht geschützt wird
Die Ende-zu-Ende-Verschlüsselung gilt für Nachrichten, die zwischen zwei Geräten übertragen werden. Sobald ein Backup an iCloud oder Google Drive gesendet wird, fällt es nicht mehr unter diesen Schutz.
Standardmäßig sind Cloud-Backups nicht Ende-zu-Ende-verschlüsselt. Der Speicheranbieter kann sie weiterhin lesen. Außerdem können sie auf richterliche Anordnung oder bei einer Kompromittierung des Cloud-Kontos zugänglich werden.
WhatsApp bietet eine eigene Option zur Verschlüsselung dieser Backups. Am 30. Oktober 2025 kündigte Meta an, Passkeys (Fingerabdruck, Gesichtserkennung oder Bildschirmsperre) hinzuzufügen, um diesen Vorgang abzusichern. Die Einführung erfolgt schrittweise. Die Aktivierung muss weiterhin manuell vorgenommen werden: Öffnen Sie dazu Einstellungen, dann Chats, anschließend Chat-Backup und aktivieren Sie die Ende-zu-Ende-Verschlüsselung des Backups.
Ein oft übersehener Aspekt betrifft den Datenschutz bei WhatsApp über den bloßen Nachrichtenaustausch hinaus: Das Backup enthält eine vollständige Kopie des Chatverlaufs einschließlich Fotos und Dokumenten. Wer es nicht verschlüsselt, hinterlässt eine ungeschützte Kopie aller Unterhaltungen auf einem Server eines Drittanbieters.
WhatsApp-Metadaten: Was die Verschlüsselung nicht verbirgt
Der Inhalt der Nachrichten bleibt für Meta unlesbar. Metadaten hingegen werden erfasst und verarbeitet. Telefonnummern der Gesprächspartner, Zeitstempel der Unterhaltungen, Nutzungshäufigkeit, Profildaten und IP-Adresse bei Anrufen zeichnen ein detailliertes Nutzungsprofil.
Die europäische Initiative Klicksafe weist darauf hin, dass WhatsApp diese Metadaten im Rahmen seiner Nutzungsbedingungen verarbeitet. Die Verschlüsselung schützt den Inhalt, nicht den Kontext der Kommunikation. Schon die Information, wer mit wem, wann und von welchem ungefähren geografischen Standort aus kommuniziert, ermöglicht eine verwertbare Darstellung sozialer Beziehungen.
IP-Adresse bei Anrufen schützen
Bei Sprach- oder Videoanrufen werden die IP-Adressen der Teilnehmer standardmäßig ausgetauscht. Daraus lässt sich ein ungefährer Standort ableiten. WhatsApp ermöglicht es, Anrufe über die eigenen Server weiterzuleiten und so die IP-Adresse zu verbergen: Einstellungen, dann Datenschutz, anschließend Erweitert und dort „IP-Adresse bei Anrufen schützen“ aktivieren.
Diese Weiterleitung beeinträchtigt die Audioqualität geringfügig. Für normale Anrufe ist der Kompromiss vertretbar. Wichtig ist jedoch: Diese Option ist standardmäßig deaktiviert.
Erweiterter Chat-Datenschutz und seine Grenzen in der Praxis
Die von WhatsApp am 23. April 2025 angekündigte Funktion für erweiterten Chat-Datenschutz soll einem konkreten Risiko entgegenwirken: der unerwünschten Verbreitung von Gesprächsinhalten. Sie verhindert den Export eines Chats und den automatischen Download von Medien durch die Teilnehmer.
Die Option richtet sich an sensible Gruppen, etwa Selbsthilfegruppen oder geschlossene berufliche Kreise. Sie betrifft nicht die Verschlüsselung, sondern die Kontrolle darüber, wie Inhalte nach dem Empfang genutzt werden.
Ihre wichtigste technische Einschränkung: Nichts hindert einen Teilnehmer daran, den Bildschirm zu fotografieren oder eine Nachricht manuell abzuschreiben. Die Funktion erschwert die automatisierte Weitergabe, nicht die absichtliche Verbreitung. Aktivieren kann sie jeder Nutzer selbst oder der Gruppenadministrator.
Meta AI und der Zugriff auf WhatsApp-Unterhaltungen
Die Integration von Meta AI in WhatsApp wirft eine naheliegende Frage auf: Liest der Assistent private Unterhaltungen mit? Laut den Hilfeseiten und Nutzungsbedingungen von Meta greift der Assistent nur auf Nachrichten zu, die ein Nutzer direkt an ihn sendet oder in denen er ausdrücklich erwähnt wird.
Die Nutzung von Meta AI ist somit eine bewusste Handlung und von der herkömmlichen Nachrichtenfunktion getrennt. Unterhaltungen zwischen Nutzern werden Meta AI nicht ohne ausdrückliche Aktion übermittelt.
Bei Gruppenchats gilt eine Besonderheit: Erwähnt ein Teilnehmer Meta AI in einer Gruppe, erhält der Assistent Zugriff auf die betreffende Nachricht. Die anderen Gruppenmitglieder sollten sich dessen bewusst sein, auch wenn die Ende-zu-Ende-Verschlüsselung für den Austausch zwischen den Menschen in derselben Gruppe weiterhin gilt.
Einstellungen, die Sie überprüfen sollten, um die Datenweitergabe einzuschränken
Über die bereits genannten Punkte hinaus sollten Sie mehrere Einstellungen regelmäßig überprüfen:
- Die zweistufige Verifizierung ergänzt jede neue Anmeldung um eine sechsstellige PIN. Sie finden sie unter Einstellungen, dann Konto und anschließend Verifizierung in zwei Schritten. Ohne diese Funktion kann ein Angreifer, der die Verifizierungs-SMS abfängt, das Konto übernehmen.
- Die Sichtbarkeit von Profilbild, Status und Zeitpunkt der letzten Anmeldung lässt sich auf die eigenen Kontakte beschränken. Standardmäßig sind diese Informationen für alle WhatsApp-Nutzer sichtbar, was Unbekannten die Erstellung von Nutzerprofilen erleichtert.
- Über die Gruppen-Einstellungen lässt sich festlegen, wer eine Telefonnummer zu einer Gruppe hinzufügen darf. Öffnen Sie Einstellungen, dann Datenschutz und anschließend Gruppen. Wählen Sie „Meine Kontakte“ oder „Meine Kontakte außer“, um unerwünschte Einladungen zu vermeiden.
- Wenn Sie Ihrem Konto eine E-Mail-Adresse hinzufügen, erhalten Sie eine zusätzliche Möglichkeit zur Wiederherstellung des Zugriffs, die unabhängig von Ihrer Telefonnummer ist.
Europäische Regulierung und Datenaustausch mit Meta
Der Digital Markets Act (DMA) verpflichtet Meta zu Maßnahmen in den Bereichen Interoperabilität und Transparenz bei der Datenverarbeitung. Im Europäischen Wirtschaftsraum gilt für WhatsApp eine spezielle Datenschutzrichtlinie, die den Datenaustausch mit anderen Meta-Unternehmen regelt.
Der Austausch von Metadaten zwischen WhatsApp und Facebook oder Instagram zu Werbezwecken unterliegt in Europa seit dem Inkrafttreten der DSGVO und später des DMA Einschränkungen. Europäische Nutzer genießen einen stärkeren regulatorischen Schutz als Nutzer in anderen Regionen. Die Grenze zwischen Daten, die für den Betrieb des Dienstes erforderlich sind, und Daten, die kommerziell genutzt werden, ist jedoch weiterhin Gegenstand von Auseinandersetzungen zwischen Meta und den Aufsichtsbehörden.
Die WhatsApp-Datenschutzeinstellungen ersetzen nicht die nötige Aufmerksamkeit für das gesamte Ökosystem. Ein geschütztes WhatsApp-Konto, dessen Backups in einer unverschlüsselten Cloud gespeichert werden und das mit einem Meta-Konto ohne Einschränkungen beim Datenaustausch verknüpft ist, bietet nur lückenhaften Schutz. Entscheidend ist, dass die Einstellungen aller genutzten Dienste aufeinander abgestimmt sind.
