Tchap gehackt: Angreifer kapern Konto im Behörden-Messenger Frankreichs
KI-generiert mit ChatGPT
Frankreichs Behörden untersuchen einen Sicherheitsvorfall bei Tchap, dem verschlüsselten Messenger der französischen Verwaltung. Angreifer erlangten über ein kompromittiertes Nutzerkonto Zugriff auf die Plattform. Die Cybersicherheitsbehörde ANSSI entdeckte den Vorfall am 7. Juni 2026, die Digitalbehörde DINUM sperrte das betroffene Konto umgehend.
Das Symbol digitaler Souveränität hat einen Kratzer
Tchap basiert auf dem offenen Matrix-Protokoll und ist seit 2019 die staatliche Alternative zu WhatsApp, Telegram und Slack. DINUM und ANSSI entwickelten den Dienst, damit die Behördenkommunikation nicht über ausländische Server läuft. Genau dieser Anspruch macht den Vorfall politisch heikel, auch wenn die Infrastruktur selbst offenbar standhielt.
Nach Regierungsangaben blieb der Vorfall ohne größere Folgen. Der Angreifer konnte demnach lediglich öffentliche Chaträume einsehen, die ohnehin jedem Tchap-Nutzer offenstehen. Private Unterhaltungen sind Ende-zu-Ende-verschlüsselt und blieben laut DINUM geschützt. Trotz des begrenzten Schadens informierte die Behörde die Datenschutzaufsicht CNIL, da personenbezogene Daten betroffen sein könnten. Zusätzlich erinnerte die DINUM alle Nutzer per Rundschreiben daran, dass öffentliche Chaträume unverschlüsselt und für jeden einsehbar sind. Vertrauliche Inhalte gehören laut den Nutzungsbedingungen ausschließlich in private Chats.
AnzeigeDer mutmaßliche Angreifer nennt ganz andere Zahlen
In einem einschlägigen Forum beansprucht eine Person die Tat für sich und stellt den Vorfall deutlich größer dar. Die Person spricht von Zugriff auf mehr als 73.000 Konten, rund 643.000 Nachrichten und etwa 13,5 GB Mediendateien. Der erste Zugriff soll per Social Engineering über ein Konto aus dem Bildungsbereich erfolgt sein. Unabhängig bestätigt ist davon bislang nichts, das betonen mehrere Sicherheitsmedien ausdrücklich. Die DINUM wertet derzeit Ereignisprotokolle aus, um den tatsächlichen Umfang des Zugriffs zu klären. Erst danach lässt sich seriös beurteilen, welche der genannten Zahlen einer Prüfung standhalten.
Konto-Übernahmen knacken keine Verschlüsselung
Der Fall zeigt erneut, dass Account-Hijacking die Kryptografie gar nicht brechen muss. Wer ein legitimes Konto kontrolliert, sieht schlicht alles, was dieses Konto auch sieht. Ein ähnliches Muster nutzten Angreifer zuletzt beim Support-Bot der Meta-KI, um Instagram-Konten zu übernehmen. Staatliche IT bleibt dabei ein attraktives Ziel, wie zuvor schon das Datenleck bei der EU-Kommission gezeigt hat. Ob Tchap mit einem blauen Auge davonkommt, entscheiden nun die Logs.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
