Aktuell

Wissen Sie, welche Apps auf Ihren Diensthandys laufen?

Gekaperte Warn-App, manipulierte Erweiterung, WhatsApp im Firmen-WLAN: Warum Sie wissen sollten, welche Apps auf Diensthandys laufen.

2. November 2026

Security
Kommunen
Microsoft 365

Am Sonntagabend warnte eine staatliche Notfall-App die Bevölkerung von Kyjiw vor radioaktiver Strahlung, vor einer chemischen Gefahr und vor Straßenkämpfen. Nichts davon stimmte: Angreifer hatten die App gekapert. Kurz darauf meldete Moskau einen ähnlichen Angriff auf die Warn-App des russischen Zivilschutzes. Der Fall ist weit weg – die Frage dahinter betrifft jedes Unternehmen und jede Kommune: Welche Apps laufen eigentlich auf Ihren Diensthandys, wer hat sie installiert, und welchen davon vertrauen Ihre Mitarbeiter blind?

Kernaussage

Diensthandys sind vollwertige IT-Geräte mit Zugang zu Mail, Kontakten, Kalender und oft dem Firmen-WLAN. Wer nicht weiß, welche Apps darauf laufen, kann weder Risiken bewerten noch im Ernstfall reagieren – und das ist bei den meisten Organisationen der Normalfall.

Drei Fälle aus einer einzigen Woche

Gekaperte Warn-App

Die ukrainische Warn-App Air Alert spielte am 1. November gegen 22:47 Uhr Ortszeit falsche Warnungen aus, unter anderem vor Strahlung und vor einer russischen Hyperschallrakete. Die App wurde vorübergehend abgeschaltet, die Nutzer sollten keine Links daraus öffnen. Eine App, der Menschen ohne Nachdenken vertrauen, wird so zum Sprachrohr der Angreifer.

Echte App, manipuliertes Update

Am 29. Oktober verteilte der Erweiterungs-Marktplatz des Code-Editors Cursor rund elf Stunden lang eine manipulierte Fassung der echten Erweiterung für Claude Code – unter der offiziellen Kennung, als normales Update. Bis zu 5.000 Nutzer waren betroffen, die Schadsoftware richtete eine dauerhafte SSH-Hintertür ein. Das Deinstallieren der Erweiterung allein entfernt sie nicht.

„SMS des Todes“

Eine unsichtbare SMS kann auf Android 12 bis 16 den Telefondienst abstürzen lassen, laufende Gespräche einschließlich Notrufen abbrechen und das Gerät in eine Neustartschleife zwingen (CVE-2026-58882). Google hat die Lücke im Oktober-Update für Android 14 bis 17 geschlossen – ältere Geräte bleiben offen.

Die drei Fälle haben eines gemeinsam: Gegen keinen davon hilft Vorsicht des einzelnen Nutzers. Wer eine vertraute App öffnet, ein reguläres Update bekommt oder eine SMS empfängt, die er nie sieht, hat nichts falsch gemacht. Schützen kann nur die Organisation – wenn sie weiß, welche Geräte, Apps und Versionen im Einsatz sind. Dass auch Entwickler- und Verwaltungswerkzeuge zur Lieferkette gehören, beschreiben wir in Die Lieferkette als Einfallstor.

WhatsApp: selbstverständlich genutzt, selten geklärt

Kaum eine App ist auf Diensthandys so verbreitet und so selten offiziell freigegeben wie WhatsApp. Fünf Punkte werden dabei regelmäßig übersehen:

Das Adressbuch geht an Meta. WhatsApp gleicht das komplette Telefonbuch mit seinen Servern ab – auch die Einträge von Personen, die WhatsApp gar nicht nutzen. Auf einem Diensthandy sind das Kunden, Bürger, Geschäftspartner und Kollegen, die dem nie zugestimmt haben. Datenschutzrechtlich ist das für Unternehmen und Behörden ein echtes Problem.
Verschlüsselt sind nur die Inhalte. Was geschrieben wird, sieht Meta nicht. Wer wann wie oft mit wem kommuniziert, schon. Diese Metadaten bilden Geschäftsbeziehungen und Kontakte zu Bürgern ab, ohne dass eine einzige Nachricht gelesen werden muss.
Sicherungen landen in der privaten Cloud. WhatsApp sichert Chats in Google Drive oder iCloud. Ende-zu-Ende-verschlüsselt sind diese Sicherungen nur, wenn man das ausdrücklich einschaltet. Auf einem Diensthandy heißt das: Dienstliche Chats liegen womöglich im privaten Cloud-Konto eines Mitarbeiters – außerhalb jeder Kontrolle der Organisation.
Zugriff auf das lokale Netzwerk. Auf dem iPhone fragt WhatsApp nach dem Zugriff auf das lokale Netzwerk. Apple weist ausdrücklich darauf hin, dass Apps mit diesem Zugriff Informationen über Geräte in der Umgebung sammeln und daraus ein Profil erstellen könnten. Ob und wie WhatsApp das nutzt, ist nicht öffentlich belegt – aber wer die Berechtigung erteilt, räumt diese Möglichkeit ein. Steht das Diensthandy im selben WLAN wie Drucker, Server und Arbeitsplätze, sieht die App all diese Geräte.
Verknüpfte Geräte lesen dauerhaft mit. Wer ein entsperrtes Handy wenige Sekunden in der Hand hat, kann per QR-Code einen fremden Rechner mit WhatsApp verknüpfen und ab dann alle Chats mitlesen. Umgekehrt laufen WhatsApp Web und die Desktop-App auf Firmenrechnern und Terminalservern an Mailarchiv und Aufbewahrungspflichten vorbei, und eine vergessene Sitzung auf einem gemeinsam genutzten Rechner steht dem Nächsten offen. Auf Terminalservern liegen die Daten zudem im Benutzerprofil und wandern mit in jede Sicherung.

Ein Verbot allein löst das selten, denn WhatsApp wird dann eben auf dem privaten Handy für Dienstliches genutzt. Besser ist eine klare Regel: ein freigegebener Messenger für dienstliche Kommunikation, und wo WhatsApp gebraucht wird, nur in einem vom Rest getrennten Bereich des Geräts ohne Zugriff auf die dienstlichen Kontakte. Für KI-Apps gilt dasselbe – mehr dazu in Geteilt heißt öffentlich.

Wenn Apple vor Spyware warnt

Aktuell

Seit dem 29. Oktober hat Apple Bundestagsabgeordnete und Regierungsmitglieder vor gezielten Angriffen mit sogenannter Söldner-Spyware auf ihre iPhones gewarnt; das BSI rät den Betroffenen, vorsorglich von einer Kompromittierung auszugehen. Solche Angriffe treffen gezielt einzelne Personen – Bürgermeister, Amtsleitungen und Mandatsträger sind aber genau solche Personen. Drei Regeln: Eine echte Warnung von Apple fordert nie dazu auf, Links anzuklicken, Apps oder Profile zu installieren oder Passwörter und Codes herauszugeben, und sie erscheint auch nach der Anmeldung auf account.apple.com – alles andere ist Phishing. Bei einer echten Warnung das Gerät nicht mehr dienstlich nutzen und Fachleute hinzuziehen, statt selbst aufzuräumen. Für besonders exponierte Personen gibt es den Blockierungsmodus. Und: Auf den grünen oder orangen Punkt für Kamera und Mikrofon ist kein Verlass – die Spyware Predator kann ihn auf einem kompromittierten iPhone unterdrücken.

Was Unternehmen und Kommunen jetzt tun sollten

Überblick verschaffen: Welche Diensthandys gibt es, welches Betriebssystem, welche Apps? Wer Microsoft 365 Business Premium nutzt, hat mit Intune das Werkzeug dafür meist schon lizenziert. Auf firmeneigenen Geräten zeigt es auch die installierten Apps.
Dienstliches und Privates trennen: Mit dem Arbeitsprofil unter Android oder verwalteten Apps unter iOS liegen dienstliche Mails, Kontakte und Dateien in einem eigenen Bereich, auf den private Apps keinen Zugriff haben. Chat-Sicherungen dienstlicher Messenger gehören nicht in private Clouds.
Messenger auf Firmenrechnern regeln: Ob WhatsApp Web und die Desktop-App auf Arbeitsplätzen und Terminalservern erlaubt sind, sollte eine bewusste Entscheidung sein – per Richtlinie umgesetzt, nicht dem Zufall überlassen.
Mobilgeräte ins eigene WLAN: Smartphones gehören in ein eigenes Netzsegment mit Client-Isolation, das nur ins Internet und zu den wirklich benötigten Diensten darf – nicht zu Servern, Druckern und Arbeitsplätzen.
Updates durchsetzen: Eine Mindestversion des Betriebssystems als Bedingung für den Zugriff auf Mail und Daten. Geräte, die keine Sicherheitsupdates mehr bekommen, wie Android 12 und 13, gehören ausgetauscht.
Verlust und Diebstahl vorbereiten: Gerät sperren und löschen lassen, Zugänge erneuern – und in Messengern die verknüpften Geräte prüfen. Über einen verknüpften Rechner läuft WhatsApp weiter, auch wenn das Handy längst gesperrt ist.
Werkzeuge der IT nicht vergessen: Auch Erweiterungen in Editoren, Browsern und Verwaltungswerkzeugen sind Software mit weitreichenden Rechten. Wer sie erfasst, kann bei einem Vorfall wie bei Cursor in Minuten prüfen, ob er betroffen ist.

Wer darf im Namen der Gemeinde warnen?

Für Kommunen

Der Fall der Warn-App zeigt, wie viel Vertrauen an den Zugängen hängt, über die eine Gemeinde selbst informiert: Webseite, Gemeinde-App, Social-Media-Konten und die Zugänge zu Warnsystemen. Sie gehören zu den am besten zu schützenden Konten überhaupt – mit phishing-resistenter MFA, wenigen berechtigten Personen und einem zweiten Augenpaar für dringende Meldungen. Und die Bevölkerung sollte nie nur über einen einzigen Kanal gewarnt werden.

Wie wir unterstützen

Überblick schaffen

Bestandsaufnahme Ihrer Diensthandys mit Intune: Geräte, Betriebssysteme, Apps und Update-Stand – meist mit den Lizenzen, die Sie bereits haben.

Netz trennen

Ein eigenes WLAN-Segment für Mobilgeräte mit Client-Isolation und klaren Regeln auf der Firewall.

Regeln umsetzen

Arbeitsprofile, freigegebene Apps, Messenger-Regelung und Mindestversionen – abgestimmt auf Ihre Abläufe und den Datenschutz.

Wissen Sie, was auf Ihren Diensthandys läuft?

Wir verschaffen Ihnen den Überblick und sorgen dafür, dass Diensthandys kein blinder Fleck bleiben.

Kontakt aufnehmen

Häufige Fragen

Ist WhatsApp auf Diensthandys verboten?+

Ein pauschales Verbot gibt es nicht. Problematisch ist vor allem der Abgleich des Adressbuchs, weil dabei Daten von Personen ohne deren Zustimmung weitergegeben werden. Wer WhatsApp dienstlich nutzt, sollte es vom dienstlichen Adressbuch trennen und die Nutzung datenschutzrechtlich prüfen lassen.

Sieht die Firma bei Intune alles auf meinem Handy?+

Auf firmeneigenen Geräten sieht die Verwaltung die installierten Apps. Auf privaten Geräten mit Arbeitsprofil sieht sie nur den dienstlichen Bereich – private Apps, Fotos und Nachrichten bleiben privat.

Brauchen Diensthandys einen Virenschutz?+

Nein. Aktuelle Sicherheitsupdates, eine verwaltete App-Auswahl und ein getrenntes Netz schützen deutlich besser als jede Virenschutz-App.

Quellen & weiterführende Links

Recherchestand: 2. November 2026.