In Behörden und Organisationen mit kritischer Infrastruktur geben Sicherheitsverantwortliche an, großes Vertrauen in die Sicherheit ihrer Nachrichten- und Kommunikationssysteme zu haben. Die Herausforderung besteht darin, dass dieses Vertrauen oft auf Annahmen oder Zusicherungen der Anbieter beruht und nicht auf den Fähigkeiten und der Architektur, die im heutigen Bedrohungsumfeld erforderlich sind.

Heute hat BlackBerry den Bericht „The State of Secure Communications 2026“ veröffentlicht, eine Umfrage unter 700 Entscheidungsträgern im Bereich Sicherheit aus Regierungsbehörden und kritischen Infrastrukturen in den Vereinigten Staaten, Großbritannien, Kanada und Singapur. Die Ergebnisse zeigen ein deutliches Spannungsfeld auf: Organisationen mit missionskritischen Aufgaben stützen sich auf Messaging-Tools, die auf Benutzerfreundlichkeit ausgelegt sind und nicht auf die betrieblichen Anforderungen, Souveränitätsaspekte und Sicherheitsbedrohungen sicherer Umgebungen.

Die „App“ im Raum: WhatsApp, Signal und die Illusion von Sicherheit

Beginnen wir mit einer Zahl, die jedem Sicherheitsverantwortlichen zu denken geben sollte: 83 Prozent der Befragten geben an, dass WhatsApp innerhalb ihrer Unternehmen für vertrauliche Gespräche genutzt wird.

Das ist kein Randphänomen. Es ist gang und gäbe. Und dies geschieht zu einer Zeit, in der Geheimdienste in den Vereinigten Staaten, im Vereinigten Königreich und in Europa neue Warnungen vor staatlich unterstützten Spionagekampagnen herausgeben, die gezielt auf WhatsApp- und Signal-Konten von Amtsträgern und Journalisten abzielen.

Die Bedrohungslage hat sich ausgeweitet – Angriffe zielen zunehmend nicht nur auf Netzwerke ab, sondern auch auf die Konten, Geräte und Anwendungen, die in den täglichen Betriebsablauf eingebunden sind

Verschlüsselt ist nicht gleich sicher: Vertrauen, das auf blinden Flecken beruht

88 Prozent der Sicherheitsverantwortlichen zeigen sich zuversichtlich hinsichtlich der Sicherheit ihrer derzeitigen Messaging-Apps – doch diese Zuversicht beruht oft auf veralteten Annahmen darüber, wovor Verschlüsselung eigentlich schützen soll.

Der Bericht deckt erhebliche Wissenslücken hinsichtlich des Verständnisses und der praktischen Umsetzung von Verschlüsselungsfunktionen durch Sicherheitsverantwortliche auf.

• 52 Prozent glauben fälschlicherweise, dass Verschlüsselung Metadaten schützt, darunter Standortdaten, IP-Adressen und Kommunikationsmuster

• 47 Prozent glauben fälschlicherweise, dass dies Angriffe durch Identitätsdiebstahl, Deepfakes oder Spoofing verhindert

• 41 Prozent gehen davon aus, dass die Kommunikation auch dann noch sicher ist, wenn ein Gerät bereits kompromittiert wurde

Die End-to-End-Verschlüsselung (E2EE) schützt den Inhalt von Nachrichten während der Übertragung. Sie schützt jedoch keine Metadaten. Sie überprüft nicht, wer sich am anderen Ende einer Unterhaltung befindet. Und sie kann die Kommunikation nicht schützen, sobald ein Gerät kompromittiert wurde – ein Szenario, das zunehmend sowohl von kriminellen als auch von staatlich unterstützten Akteuren ausgenutzt wird.

Im Laufe der Zeit ist die Bezeichnung „verschlüsselt“ zum Synonym für „sicher“ geworden, wodurch wichtige architektonische und betriebliche Einschränkungen verschleiert werden.

Das Souveränitätsparadoxon: Kontrolle wollen, Abhängigkeit wählen

Die Ergebnisse lassen einen tieferen strukturellen Widerspruch erkennen. 55 Prozent der Befragten geben an, dass staatliche Kontrolle für ihre Kommunikationssysteme Priorität hat, wozu die Speicherung von Daten im Inland, eine inländische Infrastruktur sowie eine geringere Abhängigkeit von ausländischer Rechtshoheit gehören.

Dennoch nutzen 98 Prozent dieser Organisationen Messaging-Plattformen für Endverbraucher, die auf einer Infrastruktur in ausländischem Besitz betrieben werden. Ihre Server und Rechenzentren befinden sich im Ausland und unterliegen ausländischen Gesetzen. Dies ist keine Compliance-Lücke, die durch eine Aktualisierung der Richtlinien geschlossen werden kann. Es handelt sich um eine architektonische Unmöglichkeit.

Das Risiko geht über den bloßen Datenzugriff hinaus. Im Ausland gehostete Plattformen können aufgrund außenpolitischer Entscheidungen des Gastlandes gedrosselt, gesperrt oder abgeschaltet werden, ohne dass im Inland Rechtsmittel eingelegt werden können. In einer geopolitischen Krise – also genau dann, wenn sichere Kommunikation am wichtigsten ist – können die Verfügbarkeit und die Kontinuität dieser Dienste beeinträchtigt werden.

Unterdessen befürchten 52 Prozent der Befragten, dass Telekommunikationsnetze überwacht oder gestört werden könnten – ein Risiko, das bereits durch Kampagnen wie Salt Typhoon zuletzt durch „UNC3886“ in Singapur deutlich wurde. Dochdie Angriffsfläche vergrößert sich rasant. Angreifer verlassen sich nicht mehr ausschließlich auf den Netzwerkzugang, sondern zielen zunehmend auf die umgebenden Ebenen ab: Konten, Geräte und die Apps, die Menschen täglich nutzen.

Die Kluft zwischen Selbstvertrauen und Kompetenz

Diese Schwachstellen werden besonders gefährlich, wenn Unternehmen unter Druck stehen. 90 Prozent geben an, dass sie von ihrer Fähigkeit überzeugt sind, einen größeren Vorfall zu bewältigen, doch nur 49 Prozent geben an, über eine einheitliche Plattform zur Koordinierung der Krisenreaktion zu verfügen.

Wenn Krisen auftreten, greifen die meisten auf Gruppenchats, E-Mail-Verläufe und Telefonketten zurück: vertraute Instrumente, die nie für die Echtzeit-Führung und -Steuerung oder für eine sichere behördenübergreifende Koordination konzipiert wurden.

Die „Gut-genug“-Falle

Insgesamt deuten diese Ergebnisse darauf hin, dass viele Unternehmen eher auf Annahmen als auf kontinuierlich überprüften Fähigkeiten basieren. 96 Prozent der Sicherheitsverantwortlichen befürworten die Vorschrift, für die sensible Kommunikation verifizierte, sichere Geräte zu verwenden, doch 41 Prozent sind gleichzeitig der Ansicht, dass ihre derzeitige Verschlüsselung diesen Schutz bereits bietet

Sie wollen eine souveräne Infrastruktur, nutzen aber Plattformen, die dies nicht gewährleisten können. Sie sind von ihrer Krisenbereitschaft überzeugt, verfügen jedoch nicht über die entsprechenden Systeme, um diese zu untermauern.

Es geht nicht nur um die Verschlüsselung, sondern um die Architektur. Verbraucherplattformen erzeugen und speichern Metadaten, unterliegen ausländischen Datenschutzgesetzen und verfügen nicht über die Aufsicht, die Prüfpfade und die Identitätsprüfung, die für Hochsicherheitsumgebungen erforderlich sind

Das Problem liegt nicht in den Sicherheitstechnologien selbst. Das Problem liegt in der Diskrepanz zwischen dem, was Sicherheitswerkzeuge tatsächlich leisten, und dem, was Sicherheitsverantwortliche glauben, dass sie leisten.

Drei Fragen, die sich jeder Sicherheitsverantwortliche heute stellen sollte

1. Welchen konkreten Bedrohungen dienen unsere derzeitigen Kommunikationsmittel entgegen, und welche erfordern gesonderte Sicherheitsmaßnahmen? Gehen Sie nicht davon aus, dass „verschlüsselt“ gleichbedeutend mit „sicher“ ist.

2. Entspricht unsere Infrastruktur unseren Anforderungen an die Souveränität? Wenn Ihre Politik eine Kontrolle im Inland vorschreibt, Ihre Plattformen jedoch auf ausländischen Servern laufen, handelt es sich um eine architektonische und nicht um eine verfahrenstechnische Lücke.

3. Wenn morgen eine Krise eintritt, verfügen wir dann über ein einheitliches System für eine koordinierte Reaktion?Oder verlassen wir uns auf Gruppenchats und E-Mail-Verläufe?

Diese Herausforderungen weisen auf einen umfassenderen Bedarf hin: Kommunikationssysteme, die für Umgebungen mit hohen Risiken konzipiert sind und über verifizierte Identitäten, kontrollierte Metadaten, Nachvollziehbarkeit sowie klare rechtliche Zuständigkeiten verfügen.

Speziell für den Einsatz unter Hochdruck entwickelt

^BlackBerry® Secure Communications wurde entwickelt, um diese Anforderungen zu erfüllen, und bietet sichere Kommunikation und Krisenmanagement auf behördlichem Niveau mit verifizierter Identität, starker Verschlüsselung und einer konfigurierbaren, souveränen Infrastruktur.

Der Stand der sicheren Kommunikation 2026 ist jetzt verfügbar. Lesen Sie den vollständigen Bericht, um die Kommunikationsrisiken Ihres Unternehmens zu bewerten und zu verstehen, welche Vorteile eine von Grund auf sichere Kommunikation bietet.