Illustration mit KI erzeugt
DDoS-Angriffe legen Threema stundenlang lahm
Threema war Ziel von DDoS-Angriffen. Der Schweizer Messenger erlitt einen vierstündigen Ausfall und weitere Störungen. Alle Details zu Angriff und Gegenmaßnahmen.
Von künstlicher Intelligenz erzeugter Text, ohne menschliche Überprüfung veröffentlicht. KI-Transparenz
Threema, der kostenpflichtige Schweizer Messenger mit Fokus auf Datenschutz, war Ziel einer Reihe von DDoS-Angriffen. Dadurch kam es zu einem vollständigen Ausfall von etwa vier Stunden sowie zu weiteren sporadischen Störungen.
Die Meldung wurde am 16. August 2026 veröffentlicht. Nutzer hatten bereits am Dienstagabend erste Probleme gemeldet. Zunächst führte Threema die Störung auf ein Netzwerkproblem bei seinem Colocation-Anbieter zurück, bestätigte später jedoch, dass ein Distributed-Denial-of-Service-Angriff beteiligt war.
Vier Stunden Ausfall und weitere Störungen
Der Dienst war am Dienstag von 19:30 bis 23:30 Uhr MESZ nicht verfügbar. Die Wiederherstellung verlief jedoch zunächst nicht stabil: Am Mittwochmorgen meldeten mehrere Nutzer weiterhin Unterbrechungen und Schwierigkeiten beim Zugriff.
Die Meldungen kamen aus mehreren Ländern, auch nachdem die offizielle Statusseite die Rückkehr zum Normalbetrieb angezeigt hatte. Der reguläre Betrieb war um 12:23 Uhr MESZ wiederhergestellt.
Die Dauer und die geografische Verteilung der Probleme zeigen, dass die Verfügbarkeit der Plattform erheblich beeinträchtigt war. Weder das gesamte Volumen des schädlichen Datenverkehrs noch die Zahl der betroffenen Nutzer wurde bekannt gegeben.
Der Angriff betraf auch Nine, den Colocation-Partner von Threema. Es konnte nicht geklärt werden, ob Threema das primäre Ziel oder eines von mehreren Zielen einer umfassenderen Operation gegen die Infrastruktur des Anbieters war.
Ein adaptiver und schwer zu filternder DDoS-Angriff
Ein DDoS-Angriff (Distributed Denial of Service) zielt darauf ab, Systeme mit Anfragen und Datenverkehr aus zahlreichen Quellen zu überlasten.
Nach der verfügbaren Rekonstruktion änderten die Angreifer wiederholt:
- die Herkunft des Datenverkehrs;
- die eingesetzten Methoden;
- die Muster der Anfragen;
- die allgemeinen Angriffsmuster.
Diese Variabilität macht das einfache Blockieren einer einzelnen IP-Adresse oder Quelle wenig wirksam. Die Verteidiger müssen die Filter stattdessen fortlaufend neu konfigurieren und schädlichen Datenverkehr von legitimen Nutzerverbindungen unterscheiden.
Threema beschrieb die Aktivität als lang anhaltend und von kontinuierlichen Veränderungen geprägt. Die Kombination aus Dauer, geografischer Reichweite und wechselnden Angriffsmustern erschwerte die Abwehrmaßnahmen.
Der Vorfall betrifft die Verfügbarkeit des Dienstes. Ein Zusammenhang mit einer konkreten Software-Schwachstelle wurde nicht hergestellt, CVE-IDs wurden nicht genannt und es wurden keine Indicators of Compromise veröffentlicht.
Wer von den Folgen betroffen war
Nutzer der regulären Threema-Apps hatten während des Ausfalls und in den darauffolgenden Stunden Probleme beim Zugriff und bei der Aufrechterhaltung ihrer Kommunikation.
Auch Unternehmenskunden von Threema Work waren betroffen. Das Unternehmen informierte sie am Mittwochmorgen per E-Mail; Account Manager stellten auf Anfrage zusätzliche Informationen bereit.
Anders verhält es sich bei Threema On-Prem. Organisationen, die diese Variante einsetzen, waren von dem Angriff nicht betroffen, da ihre Installationen auf eigener Infrastruktur betrieben werden und nicht von der betroffenen Colocation-Umgebung abhängen.
Die infrastrukturelle Trennung begrenzte somit die Auswirkungen für Unternehmen, die eine stärkere operative Isolation benötigen. Sie beseitigt nicht jedes mögliche Risiko im Zusammenhang mit der Konnektivität einzelner Organisationen, verhindert jedoch die Abhängigkeit von der zentralen, in den Vorfall einbezogenen Infrastruktur.
Die Statusseite erschwerte die Überprüfung
Während des Vorfalls konnte die Statusseite zunächst aufgrund eines technischen Problems unabhängig vom DDoS-Angriff nicht aktualisiert werden. Der Dienst wurde daher vorübergehend deaktiviert.
Der Ausfall dieses Kommunikationskanals erschwerte es Nutzern und Administratoren, den tatsächlichen Verlauf des Notfalls zu überprüfen. Das erklärt, warum auch nach der formellen Wiederherstellung der Plattform widersprüchliche Meldungen eingingen.
Threema nutzte soziale Medien, um fortlaufende Updates zu verbreiten. Für Kunden von Threema Work war hingegen die E-Mail der wichtigste Kommunikationskanal, ergänzt durch den direkten Kontakt mit den Account Managern.
Von Threema eingeführte Gegenmaßnahmen
Am 14. August schaltete Threema einen spezialisierten DDoS-Schutz vor seiner Infrastruktur vor. Das System soll schädlichen Datenverkehr filtern, bevor er die Unternehmenssysteme erreicht, und dadurch die Belastung sowie die direkte Exposition der Produktionsumgebung reduzieren.
Die Maßnahme kann künftige Angriffe nicht vollständig verhindern. Sie verlagert jedoch einen Teil der Erkennungs- und Absorptionskapazität außerhalb der zentralen Infrastruktur. Das ist besonders relevant, wenn Angriffe ihre Herkunft und Eigenschaften schnell verändern.
Das Unternehmen plant außerdem, die Statusseite um folgende Funktionen zu erweitern:
- eine Übersicht der Vorfallshistorie;
- einen RSS-Feed;
- einen unabhängigen Kanal für Dienst-Updates;
- eine Abonnementmöglichkeit für Nutzer und Administratoren von Threema Work.
Für Organisationen, die keine Abhängigkeit von gemeinsam genutzter Infrastruktur akzeptieren können, bleibt Threema On-Prem verfügbar. Diese Variante war von der beschriebenen Störung nicht betroffen.
Was über die Operation nicht bekannt ist
Die Angriffe wurden keiner bestimmten Gruppe zugeschrieben, und es wurde kein Motiv genannt. Unklar ist auch, ob Threema, Nine oder beide Infrastrukturen direkt das Ziel waren.
Es gibt keine öffentlichen Informationen über einen möglichen unbefugten Zugriff auf Daten oder kompromittierte Systeme. Die verfügbaren Hinweise beschreiben einen Verfügbarkeitsvorfall und keine durch eine Software-Schwachstelle verursachte Sicherheitsverletzung.
Aus demselben Grund handelt es sich nicht um einen Fall, der dem KEV-Katalog der CISA zuzuordnen wäre: Es wurde weder eine ausgenutzte Schwachstelle noch eine entsprechende Kennung gemeldet. Die unmittelbaren Maßnahmen für Nutzer bestehen daher darin, offizielle Dienst-Updates zu prüfen, die von Threema genannten alternativen Kommunikationskanäle zu nutzen und für Organisationen mit strengeren Anforderungen eine On-Prem-Architektur zu prüfen.
Quellen
Dieser Artikel ist eine eigenständige Aufbereitung auf Basis der folgenden Quellen.