Messenger-Apps im Unternehmen: WhatsApp & Co. als Sicherheitsrisiko

Gerade wurde bekannt, dass sich unter Android über eine Lücke in WhatsApp-Videoanrufen Fotos vom Gerät auslesen lassen, ohne dass das Smartphone entsperrt werden muss. Für Privatnutzer ist das ärgerlich – für Unternehmen, in denen WhatsApp, Signal oder Telegram längst zum inoffiziellen Kommunikationskanal mit Kunden und Kollegen geworden sind, ist es ein handfestes Sicherheits- und Datenschutzproblem. Denn auf denselben Geräten liegen oft Auftragsdaten, Kundenlisten und interne Absprachen.

Warum Messenger-Apps im Geschäftsalltag zum Risiko werden

Messenger-Apps sind praktisch: schnell, direkt, jeder kennt sie. Genau deshalb haben sie sich in vielen KMU unkontrolliert etabliert – oft ohne bewusste Entscheidung der Geschäftsführung. Der Vertriebler schreibt dem Kunden auf WhatsApp, die Projektgruppe koordiniert sich über eine Telegram-Gruppe, der Kundendienst schickt Fotos per Messenger hin und her. Diese Nutzung fällt klassischerweise unter Schatten-IT: Sie entsteht am Firmenhandy vorbei an offiziellen Freigaben und wird von der IT-Abteilung selten erfasst.

Das Problem dabei ist zweigeteilt:

• Technische Angriffsfläche: Messenger-Apps sind komplexe Software mit Millionen Zeilen Code, die Medien, Kontakte, Standortdaten und mehr verarbeitet. Schwachstellen wie die aktuelle WhatsApp-Lücke zeigen, dass selbst etablierte Apps mit großen Sicherheitsteams regelmäßig kritische Fehler enthalten.
• Datenschutz-Dimension: Wer über WhatsApp Kundendaten, Namen, Telefonnummern oder Auftragsdetails austauscht, verarbeitet personenbezogene Daten – meist ohne die dafür nötige Rechtsgrundlage, ohne Auftragsverarbeitungsvertrag mit dem Anbieter und ohne Kontrolle darüber, wohin diese Daten tatsächlich fließen.

Das Kontaktdaten-Problem

Ein oft übersehener Punkt: WhatsApp gleicht beim Setup automatisch das komplette Adressbuch des Smartphones mit den eigenen Servern ab. Ist auf einem Firmenhandy oder Privatgerät mit dienstlicher Nutzung das komplette Kundenadressbuch gespeichert, werden diese Kontaktdaten – Namen und Telefonnummern von Kunden, die davon nichts wissen – an einen US-Anbieter übermittelt. Das ist datenschutzrechtlich hochproblematisch und in den meisten Fällen ohne Einwilligung der Betroffenen unzulässig.

Was aktuelle Schwachstellen für Unternehmen bedeuten

Die jüngste WhatsApp-Lücke unter Android nutzt eine Schwäche im Zusammenspiel von Videoanruf-Funktion und Berechtigungsverwaltung aus, um auf gespeicherte Fotos zuzugreifen – teils sogar bei gesperrtem Bildschirm. Für ein Firmenhandy mit Kundenfotos, gescannten Dokumenten oder Screenshots interner Chats ist das ein direkter Weg zu sensiblen Geschäftsdaten, ganz ohne Phishing oder aktives Zutun des Nutzers.

Solche Lücken werden zwar meist zügig gepatcht, doch das setzt voraus, dass Firmenhandys überhaupt zeitnah aktualisiert werden. Genau wie beim Browser-Patch-Management gilt: Ohne zentrale Geräteverwaltung wissen IT-Verantwortliche oft nicht, welche App-Version auf welchem Diensthandy tatsächlich läuft.

Praxisteil: Messenger im Unternehmen sicher regeln

1. Ist-Zustand erfassen

Bevor Regeln aufgestellt werden, muss klar sein, was tatsächlich passiert: Welche Messenger nutzen Mitarbeiter dienstlich, wofür, und auf welchen Geräten? Eine kurze, ehrliche Bestandsaufnahme im Team deckt meist mehr Schatten-IT auf, als erwartet.

2. Klare Richtlinie festlegen

Eine einfache, verständliche Richtlinie hilft mehr als ein langes Verbot: Was darf über Messenger kommuniziert werden (etwa kurze Terminabsprachen), was nicht (Kundendaten, Vertragsdetails, Dokumente mit personenbezogenen Daten). Diese Richtlinie sollte schriftlich festgehalten und im Team erklärt werden.

3. Datenschutzfreundliche Alternative bereitstellen

Wer Mitarbeitern keine praktikable Alternative bietet, bekommt WhatsApp im Betrieb nicht wieder los. Business-Messenger mit Auftragsverarbeitungsvertrag, eigene Kollaborationstools oder ein Messenger mit Ende-zu-Ende-Verschlüsselung und europäischem Serverstandort schließen die Lücke, ohne die Arbeitsfähigkeit einzuschränken.

4. Mobile Device Management einführen

Für Diensthandys sorgt eine zentrale Geräteverwaltung dafür, dass installierte Apps aktuell gehalten werden, private und dienstliche Daten getrennt sind (Container-Lösungen) und im Verlustfall eine Fernlöschung möglich ist. Das reduziert die Angriffsfläche unabhängig davon, welcher Messenger im Einzelfall genutzt wird.

5. Kontaktabgleich deaktivieren oder unterbinden

Auf Diensthandys mit Kundenkontakten sollte der automatische Kontaktabgleich von Messenger-Apps technisch unterbunden oder das Adressbuch strikt auf notwendige Kontakte begrenzt werden, um die unkontrollierte Übermittlung von Kundendaten zu verhindern.

Sie suchen Unterstützung in Dresden?

Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, Schatten-IT wie unkontrollierte Messenger-Nutzung aufzudecken und durch sichere, DSGVO-konforme Alternativen zu ersetzen – inklusive Mobile Device Management für Diensthandys. Sprechen Sie uns an, wenn Sie nicht genau wissen, welche Kommunikationswege in Ihrem Unternehmen tatsächlich genutzt werden.

FAQ

Ist die private Nutzung von WhatsApp auf Diensthandys grundsätzlich verboten? Nicht grundsätzlich, aber die dienstliche Nutzung für den Austausch personenbezogener Kundendaten ist ohne entsprechende vertragliche und technische Absicherung in der Regel nicht DSGVO-konform.

Warum ist der Kontaktabgleich von WhatsApp problematisch? Weil dabei das komplette Adressbuch des Geräts inklusive Kundenkontakten an die Server des Anbieters übertragen wird – meist ohne dass die betroffenen Kunden davon wissen oder eingewilligt haben.

Gibt es sichere Alternativen zu WhatsApp für Unternehmen? Ja, verschiedene Business-Messenger und Kollaborationstools bieten Ende-zu-Ende-Verschlüsselung, europäischen Serverstandort und die Möglichkeit, einen Auftragsverarbeitungsvertrag abzuschließen.

Reicht ein Verbot von Messenger-Apps aus, um das Risiko zu beseitigen? Ein reines Verbot ohne praktikable Alternative führt in der Praxis meist dazu, dass Mitarbeiter die Apps weiter privat und unkontrolliert nutzen. Eine funktionierende Alternative ist entscheidend für die Akzeptanz.

Wie schützt Mobile Device Management vor Lücken wie der aktuellen WhatsApp-Schwachstelle? MDM sorgt dafür, dass Apps auf Diensthandys zeitnah aktualisiert werden, sobald ein Sicherheitspatch verfügbar ist, und ermöglicht im Ernstfall eine Fernlöschung oder Trennung von dienstlichen und privaten Daten.