Auch Prien und Hubertz: Der Datenschutz-Doppelstandard wird breiter

Drei Tage nach der Spiegel-Exklusivmeldung zur Bundestagspräsidentin sind zwei weitere Namen öffentlich. Bildungsministerin Karin Prien (CDU) und Bauministerin Verena Hubertz (SPD) gelten dem Spiegel-Bericht vom 24. April 2026 nach als ebenfalls von der Signal-Phishing-Kampagne Betroffene.¹ Das verschiebt die Datenlage gegenüber unserem Beitrag vom 24. April morgens.² Drei zentrale Punkte werden jetzt belastbarer, ein vierter dünner — und der Doppelstandard, der schon im 22.-April-Paket sichtbar war, wird heute eindeutig.

Was heute neu ist

#

Karin Prien (Bildungsministerin, BMBFSFJ) und Verena Hubertz (Bauministerin, BMWSB) sind laut Spiegel-Bericht vom 24. April Opfer der seit Monaten laufenden Phishing-Kampagne gegen Signal-Konten. Das berichten Tagesspiegel, Berliner Zeitung, t-online und ZDFheute übereinstimmend mit Verweis auf den Spiegel als Primärquelle.³ Mit Prien und Hubertz sind erstmals amtierende Kabinettsmitglieder öffentlich als mutmaßliche Opfer benannt. Klöckner ist Bundestagspräsidentin — das zweithöchste Staatsamt, aber kein Regierungsamt.

Was die Presse zur Methode im Fall Prien und Hubertz schreibt: nichts. Die Berichte sagen, die Konten seien “kompromittiert” worden. Sie sagen nicht, ob das über das in Korrektivs Loringhoven-Recherche dokumentierte PIN-Phishing geschah, über das Linked-Device-QR-Code-Pairing oder einen anderen Vektor. Die Bild-Schlagzeilen, die in Sekundärmedien und auf YouTube zirkulieren — “Ministerinnen gaben PIN heraus” — sind durch keine der zitierten Primärquellen gedeckt. Der Spiegel-Bericht sagt das so nicht. Das BfV hat öffentlich keine Methodik-Zuordnung pro Account vorgenommen. Wir kommen darauf zurück.

Stance-Update gegenüber dem 22.-April-Artikel

#

Der 22.-April-Artikel argumentiert, die spezifische Klöckner-Attribution sei dünn, weil sie als Einzelfall ohne unabhängige Zweitquelle stehe und der Spiegel-Bericht sich auf anonyme Sicherheitskreise und ein vertrauliches BfV-Memo stütze.²

Mit Prien und Hubertz verschiebt sich das. Drei Punkte werden belastbarer:

1. Das Muster ist breiter, nicht punktuell. Drei Spitzenämter, zwei Parteien, beide Geschlechter-Stereotypen aufgehoben — die Kampagne trifft Funktion, nicht Couleur. Das passt zu der seit Februar 2025 dokumentierten GTIG/Mandiant-Lage von russisch-aligned Akteuren gegen Signal-Nutzer in Politik, Militär, Diplomatie, Journalismus.⁴
2. Die OpSec-Skandalebene wird zur Hauptachse. Wenn drei verschiedene Bundes-Spitzenämter über mehrere Wochen aufeinanderfolgend kompromittierbar waren, ist das kein Einzelversagen einer ehemaligen Weinkönigin. Das ist eine flächige Praxis: Consumer-Signal auf Consumer-Devices als Standard-Tooling für sicherheitsrelevante politische Kommunikation. Diese Praxis ist in BSI- und BfDI-Vorgaben seit Jahren als ausgeschlossen markiert.⁵
3. Die “Story-Inflation”-Lesart wird schwächer. Im 22.-April-Artikel haben wir die Möglichkeit eingeräumt, dass die Klöckner-Schlagzeile am Tag des VDS-Kabinettsbeschlusses ein redaktionell gewählter Zeitpunkt sein könnte — eine Wirklichkeits-Verstärkung im Sinne der Gesetzgebungs-Pipeline. Mit Prien und Hubertz heute öffentlich ist die Substanz hinter der Schlagzeile breiter. Das relativiert den Inszenierungsverdacht — es widerlegt ihn nicht. Beide Ebenen können gleichzeitig wahr sein: ein realer flächiger Vorfall und ein redaktionell-politisch genutztes Timing.

Was sich nicht verschiebt: Für keinen einzelnen Fall liegen öffentliche forensische Indikatoren vor, die den jeweiligen Account mit der Korrektiv- und GTIG-dokumentierten Infrastruktur verknüpfen. Drei “kompromittierte Konten” laut anonymen Spiegel-Quellen sind keine drei IoC-Listen. Die epistemische Disziplin bleibt geboten — die Empörungs-Skala wird grösser, das Beweis-Niveau bleibt dasselbe.

Was Correctiv tatsächlich gefunden hat — und was nicht

#

Auf YouTube und in Sekundärkanälen läuft die Erzählung, “Correctiv” habe widerlegt, dass die Angriffe aus Russland kommen. Diese Verkürzung verschluckt die eigentliche Correctiv-Recherche. Sie ist deutlich präziser — und für unsere Frage hier wichtiger als die Verkürzung.

Correctiv hat am 24. März 2026 den Phishing-Angriff auf den früheren BND-Vizepräsidenten Arndt Freytag von Loringhoven technisch aufgearbeitet.⁶ Das Ergebnis:

• Der eingesetzte Phishing-Toolkit-Name: „Defisher". In russischsprachigen Hacker-Foren ab 2024 für 690 US-Dollar beworben.
• Der Hosting-Provider der Phishing-Infrastruktur: Aeza (russisches AS).
• 29 weitere mutmaßliche Phishing-Domains beim selben Hoster, Teile davon mit Ukraine- und Moldau-Bezug.
• Die Methode: Eine Nachricht im Signal-Chat, die einen „Signal-Support" imitiert, fordert eine angebliche Verifizierung. Wer den genannten Code und/oder die persönliche Signal-PIN zurücksendet, übergibt damit das Account.
• Die Attributionseinordnung: Die Indizien führen nach Russland — aber Correctiv schreibt explizit, der Anbieter wirke „eher wie ein junger Freelancer in Moskau als wie ein staatlicher Hacker".

Das ist die wichtige Differenzierung, die in der Nachfolge-Berichterstattung verloren geht. Correctiv attribuiert nicht „kein Russland", sondern „Russland-nahe Infrastruktur, ökonomisches Geschäftsmodell, kein nachgewiesener staatlicher Auftrag". Spiegel, AFP und Tagesspiegel framen die Klöckner-Sache dagegen als „wahrscheinlich russische Nachrichtendienste" mit Verweis auf BfV-Einschätzung.¹ Beide Lesarten können gleichzeitig wahr sein — ein in russischen Foren vertriebenes Toolkit kann sowohl von Freelancern als auch von Diensten genutzt werden. Aber der Unterschied zwischen „GRU-Operation" und „Söldner-Toolkit, das von wem auch immer eingekauft wird" ist sicherheitspolitisch nicht klein. Die deutsche Fachpresse hat ihn nicht ausgearbeitet. Wir tun es.

Die PIN-Eingabe als unbelegte Inferenz

#

Die populäre Verkürzung „Klöckner gab ihren PIN preis" — und die Plural-Variante „Ministerinnen gaben PIN heraus" — ist über die öffentlich verfügbaren Quellen nicht gedeckt. Der Reihe nach:

• Der Spiegel-Bericht vom 22. April benennt das Account als „kompromittiert", stützt sich auf anonyme Sicherheitskreise und das vertrauliche 20-seitige BfV-Memo. Eine wörtliche Aussage, dass Klöckner ihren PIN auf eine Fake-Support-Nachricht eingegeben habe, ist in der dortigen Berichterstattung nicht enthalten.¹
• netzpolitik.org titelt am 23. April „Signal-Phishing gegen Julia Klöckner erfolgreich"⁷ — „erfolgreich" beschreibt das Ergebnis aus Angreifer-Sicht, ohne die Methode pro Account zu spezifizieren.
• Die Klöckner-Sprecherin hat gegenüber AFP weder bestätigt noch dementiert.⁸ Klöckner selbst hat sich öffentlich nicht zur Methode geäußert.
• Die Correctiv-Methodik (Defisher, PIN-Phishing) ist im Loringhoven-Fall dokumentiert — nicht im Klöckner-Fall.

Das heißt: Die Behauptung, Klöckner habe einen PIN preisgegeben, ist eine plausible Inferenz aus der bekannten Methodik — nicht eine quellengestützte Tatsache. Ob im Klöckner-Fall die PIN-Variante oder die alternative QR-Code-Linked-Device-Variante zum Erfolg führte, ist öffentlich nicht entschieden. Bei Prien und Hubertz ist die Methode öffentlich überhaupt nicht benannt.

Das macht keine der drei Politikerinnen kompetenter im Umgang mit ihrem Smartphone. Es macht aber den Klickbait — „Ministerinnen gaben PIN heraus" plus Foto-Montage zweier Politikerinnen — zu einem Narrativ, das die Quellenlage überdehnt. Wer es zitiert, zitiert nicht den Spiegel und nicht Correctiv, sondern die Verkürzung der Verkürzung.

Der Doppelstandard

#

Am 22. April 2026 beschloss das Bundeskabinett den dritten deutschen Anlauf zu einer anlasslosen Vorratsdatenspeicherung von IP-Adressen über drei Monate. Zugriff bekommen ausweislich des Entwurfs nicht nur Strafverfolgungsbehörden, sondern auch Verfassungsschutz, Zoll und Steuerbehörden.⁹ Begründung: Bedrohungslage. Belegmaterial: u. a. der wenige Stunden später bekannt gewordene Klöckner-Vorfall — und damit das Bedrohungsbild, das den Druck zur VDS-Wiedereinführung trägt.

Am selben Tag, im selben Lagebild, in derselben Regierungs-Fraktion: Drei Spitzenämter haben offenbar ihre sicherheitsrelevante Kommunikation nicht auf einem behördlich abgeschotteten Endgerät geführt, sondern auf Consumer-Signal — derselben App, deren grundsätzliche Eignung für Behörden vom Bundesdatenschutzbeauftragten seit Jahren angemahnt wird. Die Position des BfDI ist seit der Pandemie-Zeit klar: Standard-Messenger fehlen zentralem Management, granularer Rechtevergabe, revisionssicherer Archivierung und Kontrolle über Speicherorte und Datenflüsse.⁵ Die EU-Kommission empfahl ihren Mitarbeitern Signal als „besonders sicher". Genau diese Empfehlung wurde jetzt zum Einfallstor — nicht weil die Verschlüsselung gebrochen wurde, sondern weil das operative Behördenumfeld um die App herum fehlt: keine Hardware-Token, kein dienstliches Krypto-Phone, keine Pflicht-Audits.

Die Asymmetrie ist explizit:

• Bürgerseite, 22. April beschlossen: Ihre IP-Adresse wird ohne Verdachtsmoment für drei Monate vorgehalten. Zugriff durch Behörden, deren Personalstand und Befugnisse ausgeweitet werden. Eine richterliche Schranke, die das BVerfG vor dem zweiten gekippten Anlauf eingebaut hatte, fällt im neuen Entwurf wieder schmaler aus.
• Politikseite, am selben Tag öffentlich geworden: Drei Spitzenpolitikerinnen (eine Bundestagspräsidentin, zwei Ministerinnen) kommunizieren über Consumer-Signal auf Consumer-Devices ohne dokumentierte Hardware-Sicherung. Dem Spiegel-Bericht zufolge war auch das Smartphone des Bundeskanzlers der BfV eine Untersuchung wert — das Endgerät, auf dem Friedrich Merz im selben CDU-Präsidiumschat aktiv war.

Das ist kein „beide haben Pech mit ihrer IT". Das ist ein Verteilungsprinzip: Datensparsamkeit für die Mächtigen, Vorratsspeicherung für die Bürger. Wer sich nicht selbst absichern kann, will an die Daten der anderen.

Drei Selbstwiderlegungen

#

Die drei Namen sind in der Datenschutz- und Befugnis-Debatte nicht beliebige Politikerinnen. Jede vertritt öffentlich Positionen, die der eigene Phishing-Vorfall direkt entwertet — nicht atmosphärisch, sondern fachlich.

Hubertz: Verfassungsschutz für Hauskäufer

#

Bauministerin Verena Hubertz (SPD) hat am 19. April 2026 — drei Tage vor dem VDS-Kabinettsbeschluss — Pläne präsentiert, im Rahmen einer Baurechts-Modernisierung den Kommunen die Möglichkeit zu geben, vor Immobilienkäufen routinemäßige Verfassungsschutz-Anfragen zur „verfassungsrechtlichen Bedenklichkeit" potenzieller Käufer einzuholen.¹⁰ Damit könnten Grundstücksgeschäfte aufgrund politischer Auffassungen erschwert oder blockiert werden.

Der Staatsrechtler Volker Boehme-Neßler nannte das Vorhaben einen „massiven Angriff auf den Rechtsstaat" und kritisierte den Missbrauch eines technischen Rechtsgebiets — Baurecht — zur Bekämpfung politischer Gegner.¹⁰ Der Begriff „Gesinnungsprüfung" wurde durch Cicero und Berliner Zeitung in die Debatte gebracht. Das Vorhaben hat innerhalb der Großen Koalition Spannungen mit der CDU ausgelöst.

Eine Bauministerin, die per Verfassungsschutz-Routine die Eigentumsbiografien anderer Bürger filtern lassen will, hat ihr eigenes Signal-Konto an ein in russischen Foren für 690 US-Dollar verkauftes Phishing-Toolkit verloren. Das ist keine staatliche Hochleistungs-Operation, das ist Stufe 1. Die Asymmetrie ist nicht abstrakt — sie steht in zwei Pressemitteilungen derselben Woche, eine zu ihrem Gesetzentwurf, eine zu ihrem Account.

Prien: Digitalpakt 2.0

#

Bundesbildungsministerin Karin Prien (CDU) verantwortet den Digitalpakt 2.0 — fünf Milliarden Euro über fünf Jahre, je zur Hälfte vom Bund und den Ländern, für „IT-Administration, pädagogische Konzepte, Lehrkräfte-Fortbildung und nachhaltige Digitalisierung an Schulen".¹¹ Prien selbst beschreibt den Pakt öffentlich als „entscheidenden Schritt in die Zukunft unserer Schulen".

Tagesspiegel Background dokumentiert parallel, dass Prien gegen die Empfehlungen der von ihr eingesetzten Social-Media-Kommission entscheidet — statt medienpädagogische Angebote auszubauen, kürzt sie deren Laufzeit.¹²

Eine Bildungsministerin, deren eigene Operative gegenüber einer Standard-Phishing-Methode bei der ersten Konfrontation kollabiert, verteilt fünf Milliarden Euro für Schul-Digitalisierung — und das Argument ihres Ressorts gegenüber Lehrkräften, Eltern und Schülern in Vorträgen lautet: „Medienkompetenz, kritisches Hinterfragen, Schutz vor Phishing und Social Engineering". Die Hausaufgabe ist gestellt, die Eigenleistung der Behördenspitze fehlt aktenkundig. Jeder Lehrer, der diese Tatsache im Klassenzimmer erwähnt, hat den Phishing-Stoff anschaulicher als jedes Curriculum. Vorbehalt, der bleibt: Ob im Prien-Fall der PIN-Vektor oder die Linked-Device-Variante zum Erfolg führte, ist öffentlich nicht spezifiziert. Beides ist im Curriculum.

Klöckner: Gotthardt, NIUS und das Vorbild-Problem

#

Klöckner ist als Bundestagspräsidentin schon vor dem Phishing-Vorfall in der Kritik gestanden — eine Kritik, die mit dem Hack nichts zu tun hat, aber sein Echo verstärkt. Die Lobbyplattform LobbyControl und Table.Briefings haben recherchiert, dass Klöckner als CDU-Schatzmeisterin 2022/2023 mit Frank Gotthardt — Eigentümer der Software-Firma CompuGroup Medical und Hauptfinanzier des Online-Portals NIUS — die Gründung einer „CDU-App-GmbH" plante, einer parteieigenen Software-Tochter für Mitgliederpartizipation, Kampagnenarbeit und Kommunikationsinfrastruktur.¹³ Friedrich Merz war an einer Auftaktbesprechung beteiligt. Der Vertragsschluss kam letztlich nicht zustande.

Parallel dokumentiert: Gotthardt und Ehefrau spendeten in einer jüngeren Bundestagswahlrunde gemeinsam etwa 400.000 Euro an FDP und CDU. Klöckner trat in mehreren Jahren beim Sommerfest der CDU Rheinland-Pfalz auf dem Firmengelände der CompuGroup auf. Auf Kritik an dieser Nähe reagierte Klöckner öffentlich mit dem Vergleich, NIUS und taz seien sich „in Methode und Tonalität nicht so unähnlich". Diese Gleichsetzung — eines vom Bundesverfassungsschutz nicht beobachteten linken Wochenblatts mit einem rechtsalternativen Portal mit dokumentierter politisch-rhetorischer Stoßrichtung gegen Migration, ÖRR und Klimaforschung — hat im August 2025 Rücktrittsrufe an die Bundestagspräsidentin ausgelöst.

Das ist die Vorgeschichte, die den heutigen Phishing-Hinweis rahmt. Eine Bundestagspräsidentin, die mit dem Eigentümer eines rechtsalternativen Portals eine parteieigene Software-GmbH plant, die NIUS und taz öffentlich gleichsetzt und parallel die operative Kommunikation mit dem Bundeskanzler über Consumer-Signal auf Consumer-Devices führt — das sind zwei separate Türen zu CDU-internen Strukturen, die in den letzten zwei Jahren gleichzeitig offen standen. Eine wurde durch Vertragsverhandlungen begehbar, die andere durch ein 690-USD-Toolkit. Welche der beiden Türen mehr abgegriffen hat, ist eine empirische Frage, die heute niemand stellt.

Was sich nicht ändert

#

Die Vorratsdatenspeicherung vom 22. April ist beschlossen. Die BND-Gesetz-Novelle steht in der Pipeline, das Cybersicherheitsstärkungsgesetz mit „Active Cyber Defense"-Befugnissen ebenfalls, die nationale Chatkontrolle ist nach dem Scheitern der EU-Variante als nationale Umsetzung angekündigt.¹⁴ Drei kompromittierte Konten in der Spitze des Staatsapparats später gibt es keine öffentlich angekündigte parlamentarische Überprüfung der Bundestags- und Kabinetts-OpSec, keine Mitteilung über verbindliche Hardware-Token im CDU-Präsidium oder im SPD-Fraktionsvorstand, keine dienstlich abgeschotteten Krypto-Phones, die in den nächsten 30 Tagen ausgerollt werden.

Was rollt: die Befugnis-Pipeline, die ihr eigenes Bedrohungs-Argument am Vormittag des 22. April serviert bekommen hat und seither täglich nachgereicht. Der Doppelstandard ist nicht subtil. Er ist Tagespolitik.

Schluss

#

Die Datenlage hat sich seit dem 22. April verschoben — drei Konten, zwei Ministerinnen, eine Bundestagspräsidentin, ein zur Untersuchung herangezogenes Smartphone des Bundeskanzlers. Die Mechanik dahinter hat sich nicht verschoben: Ein Sicherheitsversagen auf Spitzenebene wird zum Anlass genommen, das Sicherheits-Management der Bürger zu verschärfen. Der Apparat, der seine eigenen Endgeräte nicht absichert, bekommt erweiterten Zugriff auf die Endgeräte der anderen.

Wer der Vorratsdatenspeicherung zustimmen will, schuldet eine Antwort auf eine Frage, die im Bundestag nicht gestellt wird: Welche operativen Konsequenzen ziehen Bundestagspräsidium und Bundeskabinett aus dem eigenen OpSec-Versagen, bevor die VDS-Vorlage in die Beratung geht? Hardware-Token-Pflicht im CDU-Präsidium und im SPD-Fraktionsvorstand? Verbindliche dienstliche Krypto-Phones für sicherheitsrelevante Kommunikation? Auditpflicht? Personelle Konsequenzen für Verantwortliche, deren Account während des laufenden BfV-Ermittlungsverfahrens kompromittiert wurde?

Solange keine dieser Fragen beantwortet ist, widerlegt sich jedes Befugnis-Argument dieses Apparats selbst. Der Spiegel hat den Befund geliefert. Der Tagesspiegel hat ihn repliziert. Wir benennen die Konsequenz: Die Forderung nach erweiterten Datenzugriffen gegen Bürger wird in derselben Woche von Personen vertreten, deren eigenes Account-Management bei einer öffentlich beworbenen 690-USD-Phishing-Methode kollabiert. Das ist nicht „auch eine Tragödie". Das ist eine Disqualifikation aus dem Sachzusammenhang heraus.

Ob daraus Rücktritte folgen, ist eine politische Entscheidung, nicht eine atmosphärische. Sie liegt nicht beim Apparat, der die Befugnisse will, sondern bei den Wählern, den Fraktionen und den Aufsichtsgremien, die wissen, welches Konto wann wie kompromittiert wurde — Wissen, das das BfV-Memo enthält und das im Bundestag und im Parlamentarischen Kontrollgremium liegen sollte, bevor abgestimmt wird. Die Klickbait-Variante „Ministerinnen gaben PIN heraus" überdehnt die Quellen. Aber die nüchterne Variante — drei kompromittierte Konten, dieselben Tage, dieselben Beschlüsse, derselbe Apparat, der jetzt die Vorratsdaten der Bürger verlangt — reicht vollständig.

Quellen

#