Threema-DDoS-Angriff: Wenn der sichere Messenger ausfällt

Ein Threema-DDoS-Angriff hat den Schweizer Messenger vergangene Woche zeitweise lahmgelegt. Der Anbieter hat den Vorfall am 14. August selbst aufgearbeitet – und die Analyse ist lesenswert, weil sie eine Lücke im Sicherheitsdenken vieler Nutzer offenlegt: Verschlüsselung schützt Inhalte, aber nicht die Erreichbarkeit.

Was beim Threema-DDoS-Angriff passiert ist

Laut dem Bericht von Threema war der Dienst am Dienstag, 11. August, zwischen 19:30 und 23:30 Uhr MESZ nicht erreichbar. Am Mittwochvormittag ging das Ganze weiter, dieses Mal mit kurzen, wiederkehrenden Aussetzern. Ab 12:23 Uhr lief wieder alles normal.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Angegriffen wurden nach Angaben des Unternehmens sowohl Threema selbst als auch der Colocation-Partner Nine. Ob Threema das eigentliche Ziel war oder ob sich der Angriff auf mehrere Ziele richtete, ist laut Threema (Stand 14. August) nicht abschließend klar. Erschwerend kam hinzu, dass die Angreifer ihre Muster laufend änderten – der Anbieter beschreibt es als Katz-und-Maus-Spiel, bei dem beide Seiten permanent nachjustieren.

Zwei Details verdienen Aufmerksamkeit. Erstens: Die Statusseite, über die sich Nutzer normalerweise informieren, ließ sich wegen eines vom Angriff unabhängigen technischen Problems nicht aktualisieren und wurde deshalb vorübergehend vom Netz genommen. Ausgerechnet der Kanal, der bei einem Ausfall Orientierung geben soll, stand also zeitgleich nicht zur Verfügung – hier allerdings aus einem anderen Grund als der Angriff. Informiert wurde stattdessen über die Social-Media-Kanäle; Geschäftskunden von Threema Work bekamen am Mittwochvormittag eine E-Mail. Zweitens: Wer Threema OnPrem auf eigener Infrastruktur betreibt, war von der Angriffswelle gar nicht betroffen.

Ein DDoS-Angriff bricht keine Verschlüsselung

Das sollte man klar aussprechen, weil in solchen Fällen regelmäßig Halbwissen kursiert: Ein DDoS-Angriff zielt auf die Verfügbarkeit, nicht auf die Sicherheit. Über den Angriff selbst erlangt niemand Zugriff auf Systeme oder Daten, es wird nichts entschlüsselt. Angreifer werfen schlicht mehr Anfragen auf die Infrastruktur, als diese verarbeiten oder filtern kann. Threema formuliert es in seinem Bericht genauso.

Wichtig ist dabei die Einschränkung „über den Angriff selbst”. Denn DDoS wird durchaus auch als Ablenkungsmanöver eingesetzt, während parallel an anderer Stelle eingebrochen wird. Für diesen Vorfall gibt es dafür allerdings keinerlei Hinweise – und wer Gegenteiliges behauptet, spekuliert.

Interessant ist, woher der Traffic für solche Angriffe kommt. Häufig sind es gekaperte Alltagsgeräte: Router, Kameras, Set-Top-Boxen. Erst vergangene Woche haben wir über das Router-Botnetz Evooo1Bot berichtet, das genau solche Geräte einsammelt und die DDoS-Funktionen seines Mirai-Vorbilds mitbringt. Ein Zusammenhang mit dem Angriff auf Threema ist nicht bekannt – zur Herkunft des Traffics hat sich das Unternehmen nicht geäußert.

Was das für dich bedeutet

Aus CISO-Sicht ist das ein Musterbeispiel für ein Schutzziel, das im Alltag gern untergeht. Vertraulichkeit und Integrität lassen sich weitgehend einkaufen – Ende-zu-Ende-Verschlüsselung, Signaturen, Zero-Knowledge-Architektur. Verfügbarkeit kann man nicht allein einkaufen, man muss sie zusätzlich organisieren. Und sie hängt an Dingen, die im Datenschutz-Prospekt nicht vorkommen: an einem Rechenzentrumspartner, an vorgelagerten Filtern, an einem Informationskanal, der auch dann noch funktioniert, wenn der Hauptdienst steht.

Für kleine Betriebe ist die eigentliche Lehre deshalb weniger technisch als organisatorisch. Wer seine interne Kommunikation vollständig auf einen einzigen Messenger stützt, hat einen Single Point of Failure gebaut – völlig unabhängig davon, wie gut dessen Kryptografie ist. Vier Stunden ohne Chat sind für die meisten verkraftbar. Vier Stunden ohne die Möglichkeit, den Bereitschaftsdienst zu erreichen, sind es nicht. Genau dafür gibt es Business Continuity Management, und genau deshalb ist ein zweiter, technisch unabhängiger Kommunikationsweg keine Paranoia, sondern Hausaufgabe.

Fair bleiben sollte man trotzdem: Threema hat den Vorfall zügig und in verständlicher Sprache dokumentiert, den Ablauf mit Uhrzeiten offengelegt, die Frage nach dem eigentlichen Ziel offengelassen und die Konsequenzen mitgeliefert. Der zusätzliche, vorgelagerte DDoS-Schutz ist laut Update vom 14. August bereits aktiv; die erweiterte Statusseite mit Vorfallshistorie und RSS-Feed ist für die Folgetage angekündigt. Das ist mehr Transparenz, als man von vielen größeren Anbietern bekommt.

Das solltest du jetzt tun

• Zweiten Kanal festlegen: Halte für dein Team schriftlich fest, worüber kommuniziert wird, wenn der Hauptmessenger ausfällt – Telefon, SMS oder ein zweiter Dienst. Ein Plan, den niemand kennt, ist keiner.
• Statusquelle unabhängig wählen: Abonniere Statusmeldungen über einen Kanal, der nicht auf derselben Infrastruktur liegt wie der Dienst. Im aktuellen Fall war das Social Media – ein RSS-Feed oder ein Mastodon-Konto leistet dasselbe.
• Erst prüfen, dann eskalieren: Ein Ausfall ist zunächst ein Ausfall. Voreilige Meldungen im Team („wir wurden gehackt”) richten oft mehr Schaden an als die Störung selbst.
• Eigene Geräte prüfen: Router-Firmware aktuell halten, unnötige Portfreigaben entfernen, Standardpasswörter ändern. Das verhindert, dass dein Anschluss beim nächsten Angriff mitschießt.

Wer beim letzten Punkt unsicher ist, findet in unserem Ratgeber zu WLAN-Routern und Mesh-Systemen 2026 die wichtigsten Kriterien – vor allem, wie lange ein Hersteller Sicherheitsupdates liefert. Genau daran entscheidet sich, ob ein Gerät in zwei Jahren noch schützt oder Teil eines Botnetzes ist.

Quellen

• Threema: DDoS-Angriffe auf Threema (14.08.2026, inkl. Update)
• heise online: Störungen bei Threema – DDoS-Angriffe sorgen für Ausfälle (12.08.2026)
• BleepingComputer: Large-scale DDoS attacks disrupted Threema (16.08.2026)
• Threema: Systemstatus