Duitse douane leest versleutelde chats mee via een extra gekoppeld toestel

Of: hoeveel uiteinden een end-to-end-versleuteling heeft

Over versleuteling bestaat een hardnekkig idee: dat een overheid die moet kraken om mee te lezen. Dat lukt bij WhatsApp en Signal in de praktijk niet, en de Duitse douane hoeft het ook niet. Ze doet iets eenvoudigers. Ze wordt een van de uiteinden.

WhatsApp en Signal meelezen zonder hack: wat het douanedocument zegt

Wat netzpolitik.org publiceerde

Op 2 september 2026 publiceerde de Duitse nieuwssite netzpolitik.org een intern document van het Zollkriminalamt, de recherchedienst van de Duitse douane. Het heet „Verfügung zur dauerhaften Einführung der Messengerüberwachung (MÜ) im Zoll”, dateert van 20 februari 2026 en is gerubriceerd als „alleen voor dienstgebruik”, het laagste Duitse geheimhoudingsniveau.

Wat erin staat:

• de douane testte sinds eind 2023 een methode om berichten op messengers als WhatsApp, Telegram en Signal mee te lezen;
• de test heeft volgens het document „aanzienlijke onderzoekssuccessen” opgeleverd, en sinds 1 augustus 2025 staat de methode voorgoed ter beschikking van de recherche-eenheden van de douane, vooral in onderzoeken naar georganiseerde misdaad;
• het Zollkriminalamt werkt daarvoor met de technische hulp van andere federale diensten, en verzoeken van andere politiediensten om hulp moeten eerst langs het Zollkriminalamt.

De douane omschrijft het zelf als een manier om berichten op te nemen „zonder het IT-systeem met bewakingssoftware te moeten infiltreren”. Geen spionagesoftware op de gsm van de verdachte dus, en geen gekraakte versleuteling. Op vragen van netzpolitik.org antwoordde de douane dat de informatie gerubriceerd is en niet gepubliceerd kan worden.

Een brievenbus erbij

Om te begrijpen hoe het werkt, helpt het om aan de post te denken. Je brieven worden verzegeld bezorgd, en niemand onderweg kan ze openen: niet de postbode, niet het sorteercentrum, niet de post zelf. Dat is end-to-end-versleuteling. Het zegel gaat pas open in je eigen brievenbus.

Nu heb je ook een appartement aan zee, en je vraagt de post om elke brief op beide adressen te bezorgen. Wie je schrijft, verzegelt voortaan voor elke brievenbus op jouw lijst een apart exemplaar. Dat is WhatsApp Web, of Signal op je laptop: een gekoppeld toestel. De afzender controleert niet wie er op die lijst staat. Dat is jouw zaak.

De douane laat er een brievenbus bij zetten, in een van haar eigen kantoren. Alle zegels blijven intact. Ze gaan alleen op drie plaatsen open in plaats van twee. Wie je schrijft, merkt er meestal niets van: zijn app verzegelt gewoon een exemplaar meer.

Dat extra toestel ontvangt elk nieuw bericht in leesbare vorm. En vaak krijgt het er de geschiedenis bij: volgens netzpolitik.org sturen de meeste webversies van messengers bij het koppelen het volledige archief van de berichten mee. Bij Signal gaat het volgens de Duitse veiligheidsdiensten om de berichten van de laatste 45 dagen. Het toestel kan ook berichten versturen, in naam van de eigenaar van het account.

Het moeilijke deel

Een toestel koppelen vraagt een bevestiging van het account zelf. Het document zegt niet hoe de douane die krijgt. Christian Rückert, hoogleraar IT-strafrecht aan de universiteit van Bayreuth, beschrijft in zijn juridisch commentaar twee wegen, en netzpolitik.org voegt er een derde aan toe:

1. Een onderschepte code. Sommige diensten sturen de bevestigingscode onversleuteld, bijvoorbeeld per sms. Die vangt de recherche op met een gewone telefoontap. Zo verschafte het Bundeskriminalamt zich volgens netzpolitik.org in tientallen zaken toegang tot Telegram-accounts.¹ Bij WhatsApp en Signal volstaat een sms-code niet om ongemerkt een toestel te koppelen.
2. De gsm zelf. Moet de bevestiging op de gsm gebeuren, bijvoorbeeld door een QR-code te scannen, dan hebben de speurders het toestel van de verdachte nodig, ontgrendeld. Een paar tikken volstaan.²
3. Phishing. Aanvallers kunnen de code ook ontfutselen met een vals bericht, of iemand een QR-code laten scannen die hun eigen toestel koppelt.

De techniek is dus eenvoudig, en het werk zit in de bevestiging. Het document is daar eerlijk over: de inzetten zijn „uiterst arbeidsintensief”, en het Zollkriminalamt zal moeten kiezen welke het uitvoert. Het vraagt ook een „uiterst gevoelige behandeling” en noemt de bescherming van de methode „de hoogste prioriteit”. De methode staat in de instellingen van WhatsApp, onder „Gekoppelde apparaten”.

Twee weken

Op 6 februari 2026 verstuurden het Bundesamt für Verfassungsschutz en het BSI, de Duitse binnenlandse inlichtingendienst en de federale dienst voor informatiebeveiliging, een gezamenlijke waarschuwing. Een „waarschijnlijk door een staat aangestuurde” groep viel hooggeplaatste politici, militairen, diplomaten en onderzoeksjournalisten aan via Signal. Een van de twee methodes: mensen ertoe brengen een QR-code te scannen die een vreemd toestel aan hun account koppelt. De aanvallers lezen dan alles mee, krijgen de berichten van de laatste 45 dagen en kunnen in naam van het slachtoffer berichten sturen. Het slachtoffer „merkt meestal niet meteen” dat iemand meeleest.³

Het advies van de twee diensten: scan alleen een QR-code als je zelf een toestel koppelt, en controleer regelmatig je lijst met gekoppelde apparaten.

Het document dat dezelfde techniek voorgoed invoert bij de douane, dateert van 20 februari 2026. Veertien dagen later.

Dit is geen dubbele moraal. Een speurder met een rechterlijk bevel is geen buitenlandse inlichtingendienst, en hij mag dingen die zij niet mag. Het is wel een nuttige vaststelling: er bestaat geen versie van deze techniek die alleen werkt voor wie een bevel heeft. Een gekoppeld toestel is een gekoppeld toestel.

Wat de rechter ervan vindt

Voor de rechtsgrond steunt de douane op een beslissing van een onderzoeksrechter bij het Bundesgerichtshof uit juli 2020. Volgens die beslissing valt een extra gekoppeld toestel onder de gewone telefoontap, dezelfde regeling als wanneer een operator een lijn aftapt.

Op 20 januari 2026 zag het Bundesgerichtshof dat anders, in een zaak over dopinghandel voor de rechtbank van Aurich, in Nedersaksen. In de nacht van 30 maart 2022 had de politie, via een medewerker van het Bundeskriminalamt, heimelijk toegang genomen tot het Telegram-account van de verdachte. Die merkte het binnen enkele uren en maakte er een einde aan, maar tegen dan waren de chats vanaf eind november 2021 al gekopieerd.

Het hof oordeelde:

• een heimelijke koppeling is geen gewone tap, maar een „Quellen-Telekommunikationsüberwachung”: bewaking aan de bron, de zwaardere vorm die het Duitse recht vooral voor spionagesoftware op een gsm voorzag;
• daarbij mogen speurders alleen berichten bewaken die verstuurd zijn nadat de rechter de maatregel heeft bevolen;
• oudere berichten vallen onder de nog zwaardere „Online-Durchsuchung”, waarover een speciale kamer van de rechtbank moet beslissen;
• de oudere chats in deze zaak mochten niet als bewijs gebruikt worden, en twee van de negen feiten moeten opnieuw beoordeeld worden.

Het douanedocument dateert van een maand na die uitspraak, en steunt volgens netzpolitik.org nog op de oude rechtsopvatting. Rückert gaat verder dan het hof. Omdat de apps bij het koppelen automatisch oude berichten doorsturen, is dit voor hem geen bewaking aan de bron, maar een bijzondere vorm van Online-Durchsuchung. Hij noemt de praktijk „äußerst problematisch”, uiterst problematisch: speurders moeten volgens hem technisch garanderen, en niet alleen in het bevel van de rechter, dat ze geen berichten kunnen versturen en geen gegevens kunnen wijzigen. Het Bundesgerichtshof verwijst in zijn uitspraak overigens zelf naar zijn commentaar.

Kmo-Kristof: Wij gebruiken Signal voor de klanten. End-to-end versleuteld, dus niemand leest mee.

Security-Sofie: Niemand onderweg. Aan de uiteinden is het een ander verhaal.

Kmo-Kristof: Aan de uiteinden zit ik.

Security-Sofie: Jij, je laptop, je tablet, en alles wat in je lijst met gekoppelde apparaten staat. Wanneer heb je die voor het laatst bekeken?

Kmo-Kristof: Als daar een speurder tussen stond, zou ik dat toch zien?

Security-Sofie: Je ziet de naam die het toestel zichzelf geeft. „Douane” staat er zelden bij.

Wat het betekent voor je zaak

Het document gaat over Duitsland, en de kans dat de Duitse douane in je berichten geïnteresseerd is, is klein. Maar de techniek is dezelfde als die van de oplichters en de spionnen waarvoor de Duitse diensten in februari waarschuwden. Daarom loont het om je account op dezelfde manier te beschermen.

• Bekijk je gekoppelde apparaten. In WhatsApp en Signal staat de lijst in de instellingen onder „Gekoppelde apparaten”, in Telegram onder „Apparaten”. Herken je een toestel niet, verwijder het dan meteen. Denk ook aan de WhatsApp Web die nog openstaat op de pc van een ex-medewerker of op de computer aan het onthaal.
• Zet de extra pincode of het extra wachtwoord aan. WhatsApp en Telegram noemen het tweestapsverificatie, Signal registratievergrendeling. Dat houdt tegen dat iemand met een onderschepte sms-code je account overneemt of op een nieuw toestel inlogt. Tegen iemand die je ontgrendelde gsm in handen heeft, helpt het niet.
• Scan alleen een QR-code in je messenger als je zelf een toestel koppelt. Een QR-code die iemand je doorstuurt, met een dringend verhaal over een beveiligingsprobleem, is nooit een goed idee.
• Geef je ontgrendelde gsm niet zomaar uit handen, ook niet even aan een technicus of een collega. Een paar tikken volstaan.

Een vreemd toestel in je lijst kan een speurder zijn. Het is veel vaker een oplichter. In beide gevallen wil je het weten.

Hoeveel uiteinden

End-to-end-versleuteling doet wat ze belooft: niemand tussen de uiteinden leest mee. Ze zegt alleen niets over hoeveel uiteinden er zijn. Dat aantal staat in een lijst in je instellingen. De methode die de douane met „de hoogste prioriteit” beschermt, werkt zolang je die lijst niet opent.