Tchap-Sicherheitsleck: Französischer Staatsmessenger gehackt

Französische Behörden bestätigen Sicherheitsvorfall beim Staatsmessenger Tchap. Hacker erlangten Zugriff über Social Engineering.

Die französische Regierung hat einen Sicherheitsvorfall bei Tchap, ihrem verschlüsselten Messaging-Dienst für Staatsbedienstete, eingeräumt. Die zuständige Digitaldirektion DINUM bestätigte den Vorfall am gestrigen Dienstag, nachdem Ermittler ein kompromittiertes Nutzerkonto entdeckt hatten.

Angriff durch Social Engineering – nicht durch technische Schwachstelle

Die nationale Cybersicherheitsbehörde ANSSI registrierte erste verdächtige Aktivitäten auf der Plattform bereits am 7. Juni. Nach offiziellen Angaben gelang der Eindringlingen der Zugang nicht durch eine technische Lücke in der verschlüsselten Infrastruktur, sondern durch ein gekapertes Konto – erbeutet mittels Social Engineering.

Anzeige: Der Tchap-Vorfall zeigt: Social Engineering bleibt die größte Sicherheitslücke – selbst bei Ende-zu-Ende-verschlüsselten Messengern. Unser Report liefert die Checkliste zur Abwehr und einen Leitfaden für sichere öffentliche Räume. Jetzt kostenlosen Sicherheits-Report anfordern

DINUM sperrte das betroffene Konto umgehend und leitete interne Ermittlungen ein. Auch die französische Datenschutzbehörde CNIL wurde formell über den Vorfall informiert.

Hacker behauptet massiven Datendiebstahl – Behörden widersprechen

Ein Angreifer, der unter dem Pseudonym Misère auftritt, hat die Verantwortung für den Einbruch übernommen. Seine Darstellung geht weit über das hinaus, was die Regierung bislang eingeräumt hat. Der Hacker behauptet, auf 73.000 Konten und rund 643.000 Nachrichten zugegriffen zu haben. Zudem sollen 13,5 Gigabyte Daten abgeflossen sein – darunter 60.000 Dateien, LDAP-Zugangsdaten und 90 als „Diffusion Restreinte" eingestufte Dokumente aus dem Zeitraum Juni 2023 bis Juni 2026.

DINUM stellt die Dimension dieser Behauptungen infrage. Der unbefugte Zugriff habe sich demnach auf öffentliche Räume beschränkt. Diese werden üblicherweise für nicht-sensitive Kommunikation genutzt und sind nicht durch die Ende-zu-Ende-Verschlüsselung geschützt, die für private Regierungsgespräche verwendet wird. Die Behörden betonen, dass die Angaben des Angreifers zur Datenmenge bislang unbestätigt sind.

Anzeige: Hacker kapern Konten – nicht die Verschlüsselung. Der Angriff auf Tchap nutzte Social Engineering, um 73.000 Konten zu kompromittieren. Erfahren Sie, wie Sie mit Zero-Trust-Prinzipien die Kontrolle über kompromittierte Nutzerkonten behalten. Zero-Trust-Whitepaper jetzt sichern

Tchap: 300.000 Nutzer und wachsende Bedeutung

Der Messenger wurde 2019 als sichere, Matrix-basierte Alternative zu kommerziellen Diensten wie WhatsApp oder Signal eingeführt. Zielgruppe sind französische Beamte und Parlamentsmitglieder. Tchap verzeichnet aktuell über 300.000 monatlich aktive Nutzer und wurde mehr als 500.000 Mal heruntergeladen.

Die Regierung versichert, dass die Kerninfrastruktur für sichere Kommunikation nicht beeinträchtigt sei. Der Vorfall zeigt jedoch einmal mehr, wie anfällig selbst hochsichere Systeme für Angriffe auf den Faktor Mensch bleiben. Ermittler prüfen derzeit, ob sensible Zugangsdaten oder Meeting-Links während der Zeit des unbefugten Zugriffs kompromittiert wurden.