Die Frage "Ist WhatsApp sicher?" vermischt zwei verschiedene Fragen. Die eine betrifft den Transport: Kann jemand in der Mitte mitlesen? Die andere betrifft Governance: Wer hält den Inhalt rechtmäßig, sobald er ankommt, und was passiert dort damit. Die erste hat eine relativ klare Antwort aus WhatsApps eigener Dokumentation. Die zweite hängt vollständig davon ab, wie ein Unternehmen sich aufgestellt hat.
Was Verschlüsselung in privaten Chats abdeckt
Private WhatsApp-Nachrichten und -Anrufe sind zwischen den beteiligten Geräten Ende-zu-Ende verschlüsselt. WhatsApps Sicherheits-Whitepaper beschreibt das als Kommunikation, die verschlüsselt bleibt von einem Gerät des Absenders bis zu einem Gerät des Empfängers, ohne dass ein Dritter – einschließlich WhatsApp – Zugriff auf den Inhalt hat.
Inhaltsverschlüsselung ist nicht das ganze Datenschutzmodell
Verschlüsselung macht einen Dienst nicht metadatenfrei. WhatsApps Datenschutzrichtlinie nennt, was der Dienst verarbeitet: Mobilnummer und Profilname, Kontaktupload-Daten, Nutzungs- und Log-Informationen, Geräte- und Verbindungsinformationen, aus der IP-Adresse abgeleiteter Standort und Authentifizierungsdaten. Profilfotos, "Info"-Texte sowie Gruppen- und Community-Namen werden nicht wie persönlicher Nachrichteninhalt behandelt.
Backups verdienen besondere Erwähnung, weil sie eine zweite Kopie des Verlaufs außerhalb des Chats erzeugen. WhatsApp bietet Ende-zu-Ende-verschlüsselte Backups an, aber der Schutz hängt davon ab, dass die Funktion aktiviert und mit Passkey, Passwort oder Verschlüsselungsschlüssel gesichert ist.
Der Endpunkt ist die Schwachstelle
Transportverschlüsselung schützt eine Nachricht zwischen Geräten, aber nichts an den Geräten selbst. Ein entsperrtes Telefon, ein geteilter Rechner mit offener Websitzung, ein nicht entferntes verknüpftes Gerät oder ein kompromittiertes Handset hebeln den Schutz aus – nicht durch gebrochene Kryptografie, sondern durch Lesen dort, wo rechtmäßig entschlüsselt wird. Social-Engineering-Angriffe, die Verschlüsselung nie berühren, gehören ebenso zum realistischen Risikomodell.
Business-Chats nehmen einen anderen Datenweg
Wenn ein Kunde ein Unternehmen anschreibt, erhält das Unternehmen den Inhalt. WhatsApps Datenschutzrichtlinie stellt klar, dass Geteiltes für Personen im Unternehmen sichtbar sein kann und Unternehmen Drittanbieter – möglicherweise einschließlich Meta – zur Verwaltung dieser Kommunikation einsetzen können. Je nach Aufbau kann der Inhalt in einem Contact-Center, einem CRM, einer Analytics-Pipeline oder beim Speicher eines Dienstleisters landen. Das ist kein Verschlüsselungsversagen, sondern das erwartete Verhalten einer Konversation mit einer Organisation statt einer Person.
Verschlüsselung ersetzt keine Governance
Transportschutz sagt nichts über Consent, Zugriffskontrolle, Exporte, Aufbewahrung, Löschung oder erlaubte Anfragen von Mitarbeitenden. Drei Bereiche verursachen die meisten vermeidbaren Probleme: sensible Inhalte, die im Chat abgefragt und dann in Transkripten gespeichert bleiben; Authentifizierungsinhalte, die in kurzlebigen Einzweck-Nachrichten bleiben und nie wiederholt oder notiert werden sollten; und Links/Medien, wo markeneigene Domains und konsistente Absenderidentität Kunden helfen, echte Nachrichten von Nachahmung zu unterscheiden.
Flowstates kann Messaging-Kanäle und -Routen betreiben und die verwaltete Zustellschicht bereitstellen; kein Anbieter, auch nicht wir, macht ein Business-Messaging-Programm rechtlich konform. Anforderungen unterscheiden sich je Jurisdiktion und ändern sich – sie müssen mit eigenen Beratern gegen aktuelle Primärquellen geprüft werden.
Prüfliste für Unternehmen
- Datenflusskarte: jeder Weg, den Kundeninhalt vom Chat in Agent-Tools, CRM, Speicher, Analytics und Exporte nimmt.
- Prozessoren und Anbieter: wer in der Kette steht, was sie halten, zu welchen Bedingungen.
- Rollen und Rechte: wer lesen, exportieren, redigieren und löschen darf, nach Bedarf statt Bequemlichkeit.
- Zugriffsprotokollierung auf Verlauf und Exporte, mit tatsächlicher Überprüfung.
- Aufbewahrung: wie lange Transkripte, Medien und Fallnotizen in jedem System verbleiben, mit durchgängiger Löschung.
- Export und Speicherung: wo Transkripte landen, ob sie im Ruhezustand verschlüsselt sind, wer sie abrufen kann.
- Consent und Hinweise: was Kunden wann mitgeteilt wurde und wo das dokumentiert ist.
- Opt-out-Handling über alle Kanäle und Tools hinweg, nicht nur den, auf dem die Anfrage einging.
- Regeln für sensible Inhalte: was Agents nie erfragen oder wiederholen dürfen.
- Konto- und Nummernsicherheit: Zwei-Faktor-Verifizierung, Prüfung verknüpfter Geräte, Kontrolle über Nummer und Wiederherstellung.
- Incident Response: wer benachrichtigt wird, was gesichert wird, wie betroffene Kunden informiert werden.
- Exit und Portabilität: wie Daten und Verlauf bei Anbieterwechsel abgerufen werden können.