Verschlüsselt – und trotzdem mitgelesen?
Wie Messenger überwacht werden – und warum Alberichs Kurier-Verfahren Verschlüsselung und Kommunikation auf zwei Geräte verteilt.
Wie Messenger überwacht werden – und warum Alberichs Kurier-Verfahren Verschlüsselung und Kommunikation auf zwei Geräte verteilt.
Du schreibst eine private Nachricht. Dein Messenger verschlüsselt sie. Du gehst davon aus, daß nur der Empfänger sie lesen kann.
Doch was passiert, wenn jemand einen zusätzlichen Zugang zu deinem Messenger-Konto bekommt? Dann muß er die Verschlüsselung nicht unbedingt brechen. Er sitzt möglicherweise schon an einem ihrer Endpunkte.
Die entscheidende Frage lautet deshalb nicht nur: Wie wird meine Nachricht verschlüsselt?
Sondern auch: Auf welchem Gerät entsteht der Klartext – und wer kann dort mitlesen?
Genau dort setzt Alberichs Kurier-Verfahren an: Der Messenger bekommt eine bereits zusätzlich verschlüsselte Nachricht. Geschrieben und gelesen wird auf einem getrennten Offline-Gerät.
Der Messenger darf die Nachricht transportieren. Er muß sie nicht verstehen.
Zuerst erschienen als Artikel auf X.
Mitlesen geht auch ohne Trojaner
Am 2. September 2026 berichtete netzpolitik.org über eine Überwachungsmethode, die reguläre Messenger-Zugänge nutzt. Eine veröffentlichte Verfügung des Zollkriminalamts dokumentiert einen Modellversuch seit Ende 2023 und die Überführung in den dauerhaften Betrieb zum 1. August 2025.
Dabei geht es nicht zwingend um eingeschleuste Spähsoftware. Ein zusätzlicher Web- oder Gerätezugang kann Nachrichten zugänglich machen, obwohl deren Übertragung weiterhin verschlüsselt erfolgt.[1]
Das ist kein Beleg dafür, daß alle Chats überwacht werden. Es zeigt vielmehr: Verschlüsselte Übertragung und ein vertraulicher Endpunkt sind zwei verschiedene Dinge.
Auch die Vergangenheit kann betroffen sein. Signal dokumentiert beispielsweise die Möglichkeit, beim Koppeln eines Geräts vorhandene Nachrichten und Medien zu übertragen. Ein später entfernter Zugang macht bereits kopierte Inhalte nicht ungeschehen.[3]
Ohne Trojaner heißt nicht: ohne Quellen-TKÜ
Quellen-Telekommunikationsüberwachung soll Kommunikation dort erfassen, wo sie vor der Verschlüsselung oder nach der Entschlüsselung zugänglich ist. Der Begriff ist aber nicht auf einen bestimmten Trojaner beschränkt.
Der Bundesgerichtshof ordnete am 20. Januar 2026 die untersuchte heimliche Aufschaltung auf Telegram als Quellen-TKÜ ein. Im entschiedenen Fall durften nur seit der gerichtlichen Anordnung angefallene Inhalte erfaßt werden. Rechtswidrig erhobene ältere Nachrichten waren unter den konkreten Umständen nicht verwertbar.[2]
§ 100a StPO verlangt außerdem technische Begrenzungen des Zugriffs. Was eine Messenger-Software bequem synchronisieren kann, darf deshalb nicht automatisch auch behördlich erhoben werden. Die weitergehende Kritik des IT-Strafrechtlers Christian Rückert an der Verwendung regulärer Anbieter-Werkzeuge dokumentiert netzpolitik.org.[1][2]
Für unseren Alltag bleibt eine technische Frage: Muß das möglicherweise überwachte Kommunikationsgerät unseren Text überhaupt kennen?
Zwei Geräte. Zwei Aufgaben.
Normalerweise erledigt ein Smartphone alles: schreiben, verschlüsseln, senden, empfangen und lesen.
Beim Kurier-Verfahren werden diese Aufgaben getrennt.
Das Offline-Gerät ist dein Schreib- und Lesegerät. Hier liegen Schlüsseltafel und Klartext. Hier arbeitet Alberich im Modern-Modus. Der Schalter steht auf „Kurier aus“.
Das Online-Gerät ist dein Bote. Hier laufen Messenger und Alberichs Kurier-Brücke. Der Schalter steht auf „Kurier an“. Dieses Gerät bekommt für den vorgesehenen Ablauf weder die Tafel noch den Klartext.
Das gilt für beide Seiten: gewöhnlich zwei Geräte je Teilnehmer. Zwei Browserfenster auf demselben Rechner sind höchstens ein Funktionstest, keine physische Trennung.
Die Verbindung zwischen beiden ist optisch: Ein QR-Code überträgt die verschlüsselte Nachricht, keine gemeinsame Cloud und keine direkte Datenverbindung.[4]
Nicht „noch eine App auf demselben Handy“, sondern ein anderer Ort für das Geheimnis.
Welcher Zugriff ins Leere laufen kann
Ist nur der Messenger-Zugang betroffen, erhält der Mitleser bei diesem Ablauf die innere, zusätzlich verschlüsselte Nachricht. Der eigentliche Text müßte dann auf anderem Wege gewonnen werden.
Eine zusätzliche Verschlüsselungs-App auf demselben Handy kann gegen bloßes Mitlesen des Messenger-Kontos helfen. Bei Spähsoftware mit Zugriff auf das ganze Handy ist das jedoch keine verläßliche Trennung: Dort entstehen weiterhin Klartext und Schlüssel.
Beim Kurier-Verfahren wird der Klartext dagegen nicht auf dem Messenger-Gerät verarbeitet. Ein auf dieses Gerät begrenzter Klartextzugriff kann dadurch ins Leere laufen. Das setzt voraus, daß die Trennung eingehalten wird, Offline-Gerät und Schlüssel geschützt bleiben und die eingesetzte Kryptographie dem Angriff standhält.
Diese Schutzwirkung ist aus dem vorgesehenen Datenfluß abgeleitet. Sie ist kein praktischer Nachweis gegen eine bestimmte Überwachungssoftware und kein Beweis kryptographischer Sicherheit.
So gelingt der erste Kurier-Austausch
1. Das Offline-Gerät vorbereiten
Nimm ein ausschließlich dafür vorgesehenes, vertrauenswürdig eingerichtetes Gerät. Installiere Alberich aus der offiziellen Quelle beziehungsweise richte eine geeignete Offline-Web-Version ein, bevor du echte Geheimnisse eingibst.
Prüfe vor dem ersten echten Schlüssel, ob Alberich auch nach einem Neustart ohne Netz startet und ob Verschlüsselung, Entschlüsselung und QR-Scan funktionieren. Ein bloß offen gehaltener Browser-Tab genügt dafür nicht.
Für den Betrieb gilt: keine Mobilfunkverbindung, WLAN und Bluetooth aus, keine Cloud-Synchronisation und keine Datenverbindung zum Alltagsgerät. „Offline“ ist hier eine Arbeitsweise, kein kurzer Flugmodus zwischen zwei normalen Handy-Sitzungen.
2. Die gemeinsame Schlüsseltafel vereinbaren
Beide Gesprächspartner benötigen passende Einstellungen und dieselbe Schlüsseltafel. Bereitet das möglichst persönlich mit euren Offline-Geräten vor. Nutzt nur einen Übertragungsweg, den beide verwendeten Alberich-Versionen unterstützen, und vergleicht die angezeigte Tafelkennung – je nach Tafeltyp Tafelwort oder Fingerabdruck (Fingerprint).
Die Tafel gehört nicht in den Messenger. Auch nicht in eine zweite App auf demselben Online-Handy. Ein anderer Chat ist noch kein anderer Vertrauensbereich.
Wichtig: Tafel-QR und Kurier-QR sind nicht dasselbe. Der eine überträgt Schlüsselmaterial, der andere eine verschlüsselte Nachricht. Der Kurier-Modus ist kein Schlüsselverteiler.[4][5]
3. Offline schreiben und verschlüsseln
Auf dem Offline-Gerät: Modern, richtige Tafel, Kurier aus, Eingabe-Art Klartext.
Beginne mit einer unverfänglichen Testnachricht, etwa:
„Der Kuchen steht im Kühlschrank. Bitte bring zwei Teller mit.“
Für einen Funktionstest reicht das.
Prüfe die passende Schlüsseleinstellung und laß Alberich den Text verschlüsseln. Verwende dafür nicht den historischen Modus „Traditionell“.
4. Nur den Geheimtext auf das Online-Gerät bringen
Zeige die verschlüsselte Nachricht als Kurier-QR an. Scanne ihn auf dem Online-Gerät in Alberichs Kurier-Brücke mit „Kurier an“ → „QR scannen“ – nicht mit der Gerätekopplung des Messengers.
Die Kamera darf nur den Geheimtext-QR erfassen, nicht daneben sichtbaren Klartext oder eine Schlüsseltafel. Ein Klartextfoto mit dem Alltagsgerät würde die Trennung sofort aufheben.
Übernimm den daraus gewonnenen vollständigen Geheimtext in deinen Messenger. Keine Erklärung im Klartext hinzufügen, die das Geheimnis gleich wieder verrät.[4]
5. Beim Empfänger wieder offline lesen
Der Empfänger übernimmt den Geheimtext aus dem Messenger in die Kurier-Brücke seines Online-Geräts und läßt ihn als QR anzeigen.
Sein Offline-Gerät scannt diesen Code. Mit der passenden Tafel und Schlüsseleinstellung wird dort entschlüsselt. Erst dort wird die Nachricht wieder gelesen.
Auch die Antwort nimmt denselben Weg. Ein beiläufiges „Verstanden, es geht also um …“ im normalen Chat würde den geschützten Inhalt erneut offenlegen.
Wenn es nicht klappt
Prüft zuerst: gleicher Modern-Modus, passende Tafel und Schlüsselzeit, vollständiger Geheimtext? Zur Nachricht gehören auch Anfang und Prüfgruppe. Nicht einzelne Teile weglassen.
Beachtet außerdem die Kurier-Längenwarnung. Die Dokumentation nennt derzeit höchstens 955 Geheimtext-Buchstaben pro Kurier-QR – nicht 955 Zeichen des ursprünglichen Klartextes. Teile längere Klartexte vorher auf und verschlüssele jedes Teilstück als eigene Nachricht. Nicht einfach eine fertige verschlüsselte Nachricht auseinanderreißen.[4][5]
Was Kurier nicht verspricht
Kein unsichtbarer Messenger. Verbindungsdaten, Zeitpunkte und Kommunikationsbeziehungen verschwinden nicht automatisch. Der Kurier ersetzt keinen anonymen Transport.
Kein Schutz für ein bereits kompromittiertes Offline-Gerät. Wer dort Eingaben oder Bildschirm mitlesen kann, sitzt wieder an der Klartextquelle. Das gilt auch beim Empfänger. Heimlich mitfilmende Kameras, verlorene Schlüssel und weitergegebene Klartexte bleiben außerhalb des Schutzes der Trennung.
Die „Air-Gap“ allein ist kein Manipulationsschutz. Sie verhindert nicht, daß Nachrichten auf dem Transportweg blockiert, verzögert oder verändert werden. Ein QR-Import bleibt eine Verarbeitung fremder Daten; „offline“ allein beweist nicht, daß diese Verarbeitung fehlerfrei ist.
Kein kryptographischer Freibrief. Modern V3 ist ein experimentelles Rotorverfahren. Der Kurier ändert den Arbeitsablauf, nicht diese Bewertung.[6]
Daraus folgt: Alberich nicht als alleinige Absicherung gegen gezielte professionelle Ausspähung einplanen. Bei hoher persönlicher Gefährdung gehören fachkundige Beratung und breit untersuchte Standardkryptographie zum Schutzkonzept. Den verschlüsselten Messenger ersetzt Kurier nicht; er ergänzt dessen Transport um eine andere Aufgabenteilung.
Was du unabhängig von Alberich sofort tun kannst
Öffne in Signal die Einstellungen → Gekoppelte Geräte. Prüfe, ob du die Einträge kennst, und entferne unbekannte Verknüpfungen. Kontrolliere entsprechende Geräteübersichten auch bei deinen anderen Messengern.
Gib keine Bestätigungscodes oder PINs weiter. Kopple Geräte nur bewußt, nicht auf Zuruf eines vermeintlichen Supports. Halte dein Online-Gerät und den Messenger aktuell.[3]
Eine unauffällige Geräteliste ist allerdings kein Nachweis dafür, daß dein Smartphone frei von Spähsoftware ist: Die Liste beantwortet eine andere Frage.
Deine Daten. Deine Regeln.
Eine private Nachricht ist nicht deshalb verdächtig, weil sie privat bleiben soll.
Man muß nicht erst Journalist, Anwalt oder politischer Aktivist sein, um Vertraulichkeit zu verdienen. Man darf einfach ein Mensch sein, der selbst bestimmen möchte, wem er seine Gedanken anvertraut.
Artikel 10 des Grundgesetzes formuliert:
„Das Briefgeheimnis sowie das Post- und Fernmeldegeheimnis sind unverletzlich.“[7]
Das ist kein schrankenloser Ausschluß staatlicher Ermittlungen; Absatz 2 sieht gesetzliche Beschränkungen vor. Aber es ist ein klarer Ausgangspunkt: Vertraulichkeit ist ein geschütztes Gut, keine Gefälligkeit einer Plattform.
Wir sollten das gesprochene und das geschriebene Wort nicht erst dann verteidigen, wenn es bereits mitgehört oder mitgelesen wurde. Rechtsstaatliche Ermittlungen brauchen Grenzen und Kontrolle. Bürger brauchen die Möglichkeit, ihre Privatsphäre auch technisch zu gestalten.
Alberichs Beitrag dazu ist konkret: Du kannst Schreiben und Lesen vom Online-Transport trennen. Mit Kurier läßt sich dieser Ablauf praktisch umsetzen – mit offengelegten Grenzen statt eines Versprechens absoluter Sicherheit.
Probiere den Ablauf mit einer unverfänglichen Nachricht und einer eigenen Testtafel aus. Beide Richtungen. Beide Offline-Geräte.
Alberich Kurier: Der Klartext bleibt bei dir. Der Bote bekommt Geheimtext.
Quellen und Fußnoten
[1] Messenger-Überwachung und veröffentlichte Behördenunterlagen Andre Meister, netzpolitik.org: „Messenger-Überwachung: Immer mehr Polizei überwacht Messenger wie WhatsApp“, 2. September 2026. Einschließlich der veröffentlichten ZKA-Verfügung vom 20. Februar 2026 und des Auszugs aus Christian Rückerts Kommentierung.
[2] Rechtliche Einordnung und technische Grenzen BGH, Beschluß vom 20. Januar 2026, 3 StR 495/25, insbesondere Randnummern 8–15 und 18–22; Volltext bei HRRS. Ergänzend § 100a StPO, insbesondere Absatz 1 Sätze 2 und 3 sowie Absatz 5.
[3] Gekoppelte Geräte und Schutz des Messenger-Kontos Signal-Support: „Gekoppelte Geräte“ und „Wie du dich auf Signal schützen kannst“. Ergänzend Signal: „A Synchronized Start for Linked Devices“, 27. Januar 2025.
[4] Alberich Kurier: Funktionsweise und Bedienung Alberich-Handbuch, insbesondere „Kurier-Modus“ und „Sicherheit, Bedrohungsmodell & gute Praxis“; „Der Kurier-Modus — Offline rechnen, online nur Buchstabensalat“; aktuelle Web-Oberfläche.
[5] Schlüsselverwaltung, Offline-Betrieb und erster Austausch Alberich: „Das Codebook-System in Alberich“, „Offline-Sicherheit und Privatsphäre“ und „Tutorial — Erster Spruch im Modern-Modus“.
[6] Öffentlicher kryptographischer Bewertungsstand Alberich Modern V3 – Public Cryptanalysis Evidence & Review Snapshot, insbesondere README und ausgewiesener Bewertungsstatus. Projektinterne Evidenz, kein unabhängiges Sicherheitszertifikat. Siehe auch „Wie sicher ist Alberich Modern V3?“.
[7] Grundrecht auf Vertraulichkeit der Kommunikation Grundgesetz, Artikel 10, Absätze 1 und 2.