22. April 2026: Eine Schlagzeile, drei Gesetze. Was im Klöckner-Hack-Paket wirklich kam

Was am 22. April 2026 wirklich passierte

#

Am Mittwoch, 22. April 2026, lief in Deutschland und Brüssel parallel eine ungewöhnlich dichte Reihe sicherheits- und überwachungspolitischer Ereignisse durch:

1. Bundeskabinett, Vormittag: Beschluss eines neuen Gesetzentwurfs zur anlasslosen Speicherung von IP-Adressen über drei Monate — der dritte deutsche Anlauf, nachdem das Bundesverfassungsgericht und der Europäische Gerichtshof zwei vorherige Fassungen kassiert hatten. Die Neufassung erweitert den Zugriffskreis ausdrücklich über die Strafverfolgung hinaus auf Verfassungsschutz, Zoll und Steuerbehörden. Federführung: Justizministerin Stefanie Hubig (SPD) und Innenminister Alexander Dobrindt (CSU).¹

2. BMVg, gleicher Tag: Verteidigungsminister Boris Pistorius (SPD) legt die „Strategie zur Landes- und Bündnisverteidigung" vor — die erste formelle Militärstrategie der Bundesrepublik. Sie definiert Russland als „Hauptbedrohung" und sieht einen Bundeswehr-Aufwuchs auf 460.000 Personen vor.²

3. EU-Rat, gleicher Tag: Formelle Annahme des 20. Russland-Sanktionspakets (Energie, Militär-Industrie-Komplex, Krypto, weitere Finanzinstitute) plus 90-Mrd.-€-Ukraine-Kredit und Vorbereitung zur Eröffnung des Beitrittscluster 1 „Fundamentals".³

4. Spiegel-Exklusiv, gleicher Tag: Das Signal-Konto von Bundestagspräsidentin Julia Klöckner (CDU) sei via Phishing-Kampagne kompromittiert worden. Der CDU-Präsidiumschat mit Bundeskanzler Friedrich Merz sei betroffen. BfV: „Alarmstimmung". Attribution: „Russland".⁴

Vier Ereignisse, ein Tag, ein Narrativ. Die ersten drei sind politische Weichenstellungen mit Jahres-Konsequenzen. Die vierte ist eine Schlagzeile, die rhetorisch genau das Bedrohungsbild liefert, vor dessen Hintergrund die ersten drei wenig erklärungsbedürftig erscheinen.

Das ist keine Verschwörung. Das ist Timing — und Timing ist in der Politik kein Zufall, das ist Handwerk.

Zwei Beine, eines hält, eines wackelt

#

Die Klöckner-Story steht auf zwei getrennten Ebenen, die in der Berichterstattung als eine erscheinen:

Ebene 1 — die Kampagne ist real. Russland-nahe Akteure führen seit mindestens 2025 eine Phishing-Kampagne gegen Signal-Nutzer durch. Google Threat Intelligence Group (GTIG, ehemals Mandiant) veröffentlichte am 19. Februar 2025 den Report „Signals of Trouble: Multiple Russia-Aligned Threat Actors Actively Targeting Signal Messenger" mit konkreten technischen Details, Indikatoren und Cluster-Zuordnungen (UNC5792, UNC4221, APT44/Sandworm).⁵ Die Methode ist kein Bruch der Signal-Verschlüsselung. Sie missbraucht das legitime „Linked Device"-Feature: Das Opfer scannt einen QR-Code oder gibt eine Verifizierungs-PIN auf Aufforderung eines vermeintlichen „Signal-Supports" preis — und der Angreifer hat ein zweites verbundenes Gerät, das alle eingehenden Nachrichten mitliest. Zero-Day, CVE, Protokoll-Lücke: nichts davon. Es ist Social Engineering gegen ein dokumentiertes Feature.

Ebene 2 — die spezifische Klöckner-Attribution ist dünn. Der Spiegel-Bericht stützt sich auf anonyme „Sicherheitskreise" und die 20-seitige BfV-Warnung vom 17. April 2026.⁶ Der öffentlich zugängliche Teil dieser Warnung benennt jedoch keinen Akteur konkret, sondern spricht von „wahrscheinlich staatlich gesteuertem Cyberakteur".⁷ Die Zuordnung zu APT28/Fancy Bear/GRU-Einheit 26165 erfolgt im Spiegel-Text und in der Folgepresse rhetorisch — durch Verweis auf den Bundestag-Hack 2015, den SPD-Hack 2023, den DFS-Hack 2024 — nicht durch veröffentlichte forensische Indikatoren, die Klöckners konkreten Fall mit der GTIG-Infrastruktur verknüpfen würden. Die 20 Seiten BfV-Material sind nicht öffentlich. Niemand außerhalb des Spiegels hat sie gesehen.

Die globale Kampagne ist belegt; ob Klöckner konkret betroffen ist, ist öffentlich nicht belegt — es gibt kein forensisches Artefakt, keine IoC-Verknüpfung zu ihrem Account, keine unabhängige Zweitquelle neben dem Spiegel-Bericht. Die CDU-Sprecherin bestätigte gegenüber dem Spiegel lediglich eine „betroffene Chatgruppe" — das ist etwas anderes als „der Account der Präsidentin wurde kompromittiert". Das ist der Punkt, an dem ehrliche Berichterstattung anhalten und nachfragen würde.

Die deutsche Tech-Presse hat nicht nachgefragt

#

Wir haben am 23. und 24. April 2026 systematisch geprüft, welche deutschen Fachmedien zur Klöckner-Story eigene Recherche geleistet haben. Das Ergebnis ist ernüchternd:

Vierzehn Monate nach dem Google-Mandiant-Report, der die exakte Linked-Device-Phishing-Methodik mit Indikatoren und Cluster-Zuordnungen offengelegt hatte, verweist kein einziges deutsches Fachmedium in seiner Klöckner-Berichterstattung auf diesen Report. Niemand fragt: Stimmt die BfV-Attribution mit den GTIG-Clustern überein, oder läuft eine andere Operation? Niemand fragt: Warum dauerte es vom Google-Hinweis bis zur ersten BSI-/BfV-Warnung in Deutschland zwölf Monate, und bis zum Klöckner-Fall vierzehn? Niemand fragt: Warum benutzt eine Bundestagspräsidentin überhaupt einen Consumer-Signal-Account auf einem Consumer-Device für die Kommunikation mit dem Bundeskanzler im CDU-Präsidiumschat?

Stattdessen läuft Wire-Journalismus: Spiegel hat exklusiv. AFP macht daraus einen Ticker. Tagesspiegel, ZDFheute, heise, Berliner Zeitung übernehmen mit minimaler Umformulierung. Eine 20-seitige BfV-Analyse, die vermutlich genau jene Fragen beantworten könnte, bleibt unter Verschluss — der Inhalt fließt selektiv in eine Zeitung mit klar erkennbarer geheimdienstlicher Zuliefer-Beziehung.

Das Muster ist nicht neu. Beim SPD-Hack 2023 war Spiegel das Outlet. Beim DFS-Flugsicherungs-Vorfall 2024 war Spiegel das Outlet. Bei der Bundeswehr-Taurus-WebEx-Abhöraffäre 2024 war es technisch der Spiegel-Verbund — wobei dort das Material aus russischer Quelle kam und Spiegel die Verifikation lieferte. Ein deutsches Geheimdienst-Leak zu einem hochrangigen Cybervorfall geht in den vergangenen Jahren faktisch immer über denselben Kanal. Das ist keine Anklage gegen einzelne Redakteure; das ist eine strukturelle Beobachtung über Distributions-Architektur.

Und das Muster beschränkt sich nicht auf Cybervorfälle. Am 19. März 2026 veröffentlichte derselbe Verlag die Titelgeschichte „Du hast mich virtuell vergewaltigt" über Collien Ulmen-Fernandes und ihren Ex-Mann Christian Ulmen — am selben Tag, an dem Ulmens Anwalt Christian Schertz sein presserechtliches Informationsschreiben verschickte.⁸ Innerhalb von 72 Stunden folgten politische Forderungen nach schärferen Digitale-Gewalt-Gesetzen, eine vorgefertigte Campact-Kampagne, Tagesthemen-Auftritte und eine angekündigte Demo. Der 2013er Kontext der Ulmen-Sendung „Who wants to f*ck my girlfriend", die der Spiegel damals selbst als Kulturphänomen eingeordnet hatte, fehlte in der Titelgeschichte 2026 vollständig.⁹ Die Selbst-Korrektur des Opfers — „Mir ging es vor der Anzeige besser" — lieferte dann einen Monat später die Süddeutsche Zeitung in einem Interview, nicht der Verlag, der die Titelgeschichte gebracht hatte.¹⁰ Bis dahin war die Gesetzgebungs-Agenda längst gesetzt.

Ein Verlag, dessen Sorgfalts-Standard sich zuletzt so zeigte — abgestimmter Titel-Zeitpunkt, ausgeblendeter Vorgeschichte-Kontext, ausgelagerte Selbstkorrektur — ist derselbe Verlag, auf dessen anonyme Sicherheitskreise-Zitate wir nun eine Vorratsdatenspeicherungs-Debatte gründen sollen. Das muss keiner böswillig behaupten; das steht in den Archiven.

Das historische Echo: 2015

#

Es gibt einen sauber dokumentierten Präzedenzfall für die Kombination „Bundestags-Hack-Schlagzeile plus Vorratsdatenspeicherungs-Beschluss":

Mai 2015: Hack des Bundestags-Netzwerks. Attribution APT28/GRU, später durch BKA-Haftbefehl gegen Dmitriy Badin (Mai 2020) untermauert. Die Attribution wurde nicht revidiert.

27. Mai 2015: Drei Wochen nach Bekanntwerden des Hacks beschließt das Kabinett die neue Vorratsdatenspeicherung. Die Digitale Gesellschaft nannte das Vorgehen damals „Überrumpelungstaktik".¹¹

16. Oktober 2015: Bundestag verabschiedet das VDS-Gesetz, das später vom EuGH gekippt wurde.

Drei Wochen 2015. Auf den Tag gleich 2026. Das ist eine Beschleunigung des Musters, kein Bruch.

Wichtig: Dieses Muster ist nicht universal. Im Taurus-Abhörfall 2024 — auch ein Russland-Cyber-Ereignis mit hoher Resonanz — folgte ihm kein unmittelbarer Überwachungsgesetz-Push.¹² Die Debatte konzentrierte sich auf Waffenexport (Taurus-Lieferung) und Dienstvergehen. Korrelation zwischen Russland-Schlagzeile und Vorratsdatenspeicherung-Push ist also nicht automatisch — aber sie tritt jetzt zum zweiten Mal auf, und beim zweiten Mal ist das Timing nicht mehr „in den Wochen danach", sondern „am selben Vormittag". Das ist eine Tatsache, die ein Reporter notieren darf, ohne sich Verschwörungs-Vorwürfe einzuhandeln.

Was sonst noch in der Pipeline liegt

#

Die VDS am 22. April war kein Solitär. Sie steht in einer Pipeline, die ein klares Lagebild ergibt:

• BND-Gesetz-Novelle (Referentenentwurf 12. Januar 2026): Massen-Inhaltsanalyse internationaler Telekommunikation, sechs Monate Speicherung, aktive Hacking-Befugnisse einschließlich heimlicher Wohnungseinbrüche zum Aufspielen von Staatstrojanern, Ausweitung des DE-CIX-Zugriffs.¹³

• Cybersicherheitsstärkungsgesetz (BMI-Entwurf 25. Februar 2026): Offensive „Active Cyber Defense"-Befugnisse für BKA/BSI/Bundespolizei, einschließlich Abschalten, Umleiten, Löschen fremder Systeme; DNS-Umleitungsanordnung an Registrare.¹⁴

• Chatkontrolle national: Nach dem Scheitern der EU-Chatkontrolle im März 2026 hat Bundeskanzler Merz im Anschluss eine nationale Umsetzung angekündigt.

• Bundespolizei-Staatstrojaner-Gesetzentwurf: Anhörung im laufenden Quartal.

Ein Paket. Vier Bausteine zur Ausweitung staatlicher Befugnisse im digitalen Raum. Eine Schlagzeile zur Demonstration der Bedrohungslage. Ein Tag.

Die echte Story, die niemand schreibt

#

Die Klöckner-Story enthält tatsächlich einen handfesten Skandal — er liegt nur nicht dort, wo das Spiegel-Framing ihn verortet. Der eigentliche Skandal ist das operationelle Sicherheitsversagen auf höchster staatlicher Ebene:

• Eine Bundestagspräsidentin führt sicherheitsrelevante Kommunikation auf einem Consumer-Messenger (Signal, US-betrieben, kein vom BSI freigegebenes Behörden-System).
• Die Kommunikation läuft offenbar auf einem Consumer-Device, nicht auf einem dienstlich abgeschotteten Telefon mit Hardware-Sicherung.
• Es kommen offenbar keine Hardware-Token (FIDO2-Schlüssel, YubiKey o. ä.) zum Einsatz, die Phishing-PINs strukturell wertlos machen würden.
• Der CDU-Präsidiumschat mit dem Bundeskanzler läuft im selben System.

Und dann der Halbsatz, der im Spiegel-Bericht als Entwarnung daherkommt und in Wahrheit der eigene Skandal ist: „Eine Untersuchung seines Smartphones habe anders als bei Bundestagspräsidentin Klöckner offenbar keine Auffälligkeiten ergeben." BfV-Mitarbeiter sind beim Bundeskanzler vorstellig geworden und haben sein Smartphone auf Signal-Kompromittierungen durchsucht. Das ist die unausgesprochene Bestätigung: Auch Friedrich Merz nutzt für die CDU-Präsidiums-Kommunikation Consumer-Signal auf einem Consumer-Device. Wäre er auf einem dienstlich abgeschotteten BSI-Krypto-Phone mit einem Behörden-zugelassenen Messenger, wäre dieses Gerät gar nicht der naheliegende Untersuchungsgegenstand für eine Signal-Phishing-Untersuchung gewesen. Die Geschichte handelt also nicht nur von der Bundestagspräsidentin. Sie handelt vom Bundeskanzler, der dasselbe System für dieselbe Kommunikation benutzt — und dem die Untersuchung „dieses Mal" keine Auffälligkeiten lieferte. Dieses Mal. In der Berichterstattung taucht dieser Befund nicht als eigenständiger OpSec-Skandal auf, sondern als beruhigende Fußnote.

Diese Praxis ist über Jahre gewachsen. Die Mahnungen sind alt. BSI und BfV haben Leitfäden veröffentlicht — der jüngste am 17. April 2026, eine Woche vor dem Klöckner-Vorfall.¹⁵ Ihre Umsetzung in den höchsten politischen Gremien ist das, was forensisch geprüft und parlamentarisch nachgefragt gehört. Stattdessen kommt: „Russland war’s, wir brauchen mehr Befugnisse."

Das ist die strukturelle Verschiebung, die in dieser Story steckt: Ein Versagen staatlicher OpSec-Praxis wird in einen Anlass für staatliche OpSec-Befugnisse-Ausweitung umgedichtet. Wer das Gerät nicht absichern konnte, soll nun zusätzlich über Bürger-IPs verfügen dürfen. Wer das Phishing nicht verhinderte, soll zusätzlich heimlich in Wohnungen einbrechen dürfen, um Staatstrojaner aufzuspielen. Die kausale Verbindung ist zerredet, das Framing legt sie aber nahe.

Was nicht stimmt — und im Netz trotzdem zirkuliert

#

Ein Hinweis für Leser, die diese Story weiter recherchieren wollen: Während wir die Faktenbasis prüften, sind uns mehrfach halluzinierte Details untergekommen, die in seriösen Quellen nicht existieren und auf KI-generierte Content-Farm-Texte zurückgehen:

• Eine angebliche „CVE-2026-27491" als „Signal WebSocket Zero-Day" — diese CVE existiert real, betrifft aber Discourse, nicht Signal.¹⁶ Die Verknüpfung mit Signal ist eine Erfindung der Site archyde.com.
• Eine angebliche Forensik-Analyse durch den Chaos Computer Club im Klöckner-Fall — der CCC hat dazu nichts veröffentlicht.
• Ein angebliches Statement von Meredith Whittaker (Signal Foundation) zu einem „sandboxed Rust-based UI framework" — nicht auffindbar.
• Ein angeblicher Signal-Desktop-Patch 6.40.0 als Reaktion — nicht auffindbar.

Diese Phantome zirkulieren. Wer sie zitiert, zitiert Halluzination.

Schluss: Wer gewinnt, wer verliert

#

Die globale Phishing-Kampagne ist belegt — durch den Google-GTIG-Report vom Februar 2025, mit Indikatoren und Cluster-Zuordnungen. Ob Klöckners Signal-Account konkret kompromittiert wurde, ist bis heute nicht unabhängig bestätigt. Es ist die Behauptung eines Verlags, der sich auf anonyme Sicherheitskreise und ein vertrauliches BfV-Memo stützt, das nur er gesehen hat. Die CDU-Sprecherin bestätigte nach Spiegel-Anfrage eine „betroffene Chatgruppe mit Präsidiumsmitgliedern" — nicht Klöckners Account, nicht den Umfang, nicht den Zeitraum, nicht einmal, ob die Präsidentin selbst in dieser Chatgruppe aktiv war. Keine öffentlichen IoCs, keine Forensik, keine unabhängige Zweitquelle. Nichts davon macht die Inszenierung harmloser, die aus dieser unbelegten Behauptung am Kabinettstag geformt wurde.

Am 22. April 2026 hat ein Verlag mit belegbarer Zuliefer-Beziehung zu deutschen Geheimdiensten eine Schlagzeile geliefert, die punktgenau zum Kabinettsbeschluss einer Gesetzgebung passte, die das Bundesverfassungsgericht und der EuGH zwei Mal kassiert hatten. Niemand außerhalb des Spiegels hat die 20 Seiten BfV-Material gesehen. Niemand hat die Attribution unabhängig geprüft. Niemand in der deutschen Fachpresse hat den seit 14 Monaten offenen Google-Report auch nur erwähnt. Die Frage ist nicht, ob das Zufall ist — die Frage ist, warum diese Struktur seit 2015 mit derselben Kaskade funktioniert und sie niemand beim Namen nennt.

Gewinner: BfV, BND, BKA, BSI — erweiterte Befugnisse, größere Budgets, mehr Zugriff. Das Bundesinnenministerium, das einen Gesetzgebungs-Rückenwind bekommt, den es anders nie gehabt hätte. Der Spiegel-Verlag — als Primär-Distributor staatlicher Lagebilder gegen anonyme Quellenzusage, ohne Pflicht zur Verifikation. Die sicherheitspolitische Neuausrichtung, die ihre rhetorische Deckung punktgenau am Tag ihrer Präsentation bekommt.

Verlierer: Jeder Inhaber einer deutschen IP-Adresse, dessen Verbindungsdaten in den nächsten Jahren ohne konkreten Verdacht drei Monate lang vorgehalten werden sollen. Jeder, dessen Wohnung vom BND künftig heimlich betreten werden darf, um einen Staatstrojaner aufzuspielen. Jeder Journalist, der Quellen über DE-CIX kontaktiert. Jede digitale Kommunikationsbeziehung, die unter die nationale Chatkontrolle fällt, sobald sie durchgedrückt wird.

Und die Bundestagspräsidentin — von deren konkretem Kompromittierungshergang wir nichts Belastbares wissen, die aber laut Spiegel-Darstellung auf eine Phishing-PIN reingefallen sein soll — behält ihre Consumer-Signal-Installation auf dem Consumer-Device. Kein Hardware-Token, keine Security-Audit-Pflicht im CDU-Präsidium, kein Parlamentsbericht zur Bundestags-OpSec. Das vermutete Versagen wird nicht adressiert. Die Befugnisse schon.

Das ist nicht Brot und Spiele. Das ist eine Arbeitsteilung. Ein Verlag liefert den Schauplatz. Eine Koalition liefert die Gesetze. Ein Apparat bekommt die Werkzeuge. Jeder Schritt ist einzeln nachvollziehbar und einzeln bestreitbar. Die Summe der Schritte nennt niemand beim Namen.

Wir tun es.

Quellen

#