Das Wichtigste in Kürze
- Threema war zwischen dem 11. und 14. August mehrfach gestört — Auslöser waren massive DDoS-Angriffe.
- Betroffen war fast alles: Nachrichten, Medien, Anrufe, Threema Safe, Threema Work und die Website.
- Am schlimmsten traf es Dienstagabend: von 19:30 bis 23:30 Uhr war der Messenger komplett weg.
- Threema hat inzwischen einen vorgelagerten DDoS-Filter aktiv geschaltet — die Ende-zu-Ende-Verschlüsselung war nie betroffen.
Wer letzte Woche eine Threema-Nachricht abschicken wollte und nur den drehenden Kreis sah, hat sich vermutlich erst mal über sein WLAN geärgert. War aber nicht das WLAN. Der Schweizer Messenger stand unter Dauerbeschuss — und war am Dienstagabend über vier Stunden komplett tot.
Was genau passiert ist
Am Dienstag, 11. August, gegen 18:00 Uhr UTC begann eine massive DDoS-Attacke auf die Threema-Infrastruktur. DDoS heißt „Distributed Denial of Service“ — vereinfacht: Tausende gekaperte Rechner feuern gleichzeitig so viele Anfragen auf einen Server, dass für echte Nutzer nichts mehr durchkommt. Kein Einbruch, kein Datenklau. Einfach eine Mauer aus Müll-Traffic.
Am Mittwoch legten die Angreifer nochmal nach. Threema selbst spricht in seinem Blog von Störungen, die praktisch alle Komponenten erwischt haben:
- normaler Nachrichtenversand
- Medien- und Dateiversand
- Sprach- und Videoanrufe
- Threema Safe (das verschlüsselte Backup)
- die Business-Produkte Threema Work, Broadcast und Gateway
- und sogar die normale Website
Die Ausfallzeiten im Überblick
Am härtesten war Dienstagabend: Von 19:30 bis 23:30 Uhr CEST ging schlicht gar nichts mehr. Am Mittwochmorgen gab es weitere kürzere Aussetzer, bevor der Dienst um 12:23 Uhr UTC wieder normal lief.
Für einen Messenger, den viele Firmen und Behörden im DACH-Raum als sichere WhatsApp-Alternative einsetzen, sind vier Stunden Totalausfall eine Ansage.
Deine Nachrichten waren NICHT in Gefahr
Das ist der wichtigste Punkt, und er geht in der Aufregung gerne unter: Ein DDoS-Angriff liest nichts mit. Er macht einen Dienst unerreichbar — mehr nicht. Threemas Ende-zu-Ende-Verschlüsselung war zu keinem Zeitpunkt betroffen, und es gibt keine Hinweise darauf, dass jemand in die Systeme eingedrungen ist.
Der Unterschied ist wichtig: Verfügbarkeit ist etwas anderes als Vertraulichkeit. Ein Angreifer, der dich am Senden hindert, hat trotzdem keine einzige deiner Nachrichten gelesen.
Was Threema jetzt geändert hat
Der Anbieter hat einen spezialisierten DDoS-Schutz in Betrieb genommen, der den Angriffsverkehr vorgelagert filtert — also bereits bevor er überhaupt die eigenen Server erreicht. Dieser Filter ging laut Threema am Freitagabend in der Produktivumgebung live.
Das ist der übliche Weg: Man kauft sich Filterkapazität bei einem Dienstleister ein, der ganz andere Bandbreiten wegstecken kann als die eigene Infrastruktur. Der Nachteil, den Privacy-Fans an so einer Lösung stören dürfte: Ein weiterer Dritter sitzt im Datenpfad. Bei Ende-zu-Ende-verschlüsselten Inhalten ist das technisch unkritisch — Metadaten sind ein anderes Thema.
Was du daraus für dein eigenes Setup mitnimmst
Wenn du selbst etwas hostest — Nextcloud, Vaultwarden, einen Matrix-Server, irgendeinen Dienst hinter deiner Fritzbox — dann ist die Threema-Story eine kostenlose Lehrstunde:
1. Verschlüsselung schützt dich nicht vor Ausfall. Zwei völlig verschiedene Baustellen. Wer nur an Verschlüsselung denkt, hat die halbe Miete.
2. Deine Heim-Leitung ist kein DDoS-Schutz. Threema hat professionelle Infrastruktur und ging trotzdem in die Knie. Ein Anschluss zu Hause ist bei ernsthaftem Beschuss chancenlos — deshalb hängen viele Selfhoster ihre Dienste hinter einen Reverse-Proxy-Dienst oder ein VPN-Tunnel-Setup, statt Ports direkt aufzumachen.
3. Ein zweiter Kanal rettet den Tag. Wenn dein einziger Kommunikationsweg ausfällt, kannst du nicht mal mehr sagen, dass er ausgefallen ist. Ein zweiter Messenger auf dem Handy kostet nichts.
4. Statusseiten vorher kennen, nicht während des Ausfalls suchen. Threema informiert über den eigenen Blog und Social Media. Wer die Adresse im Ernstfall erst googeln muss, verliert Zeit.
Wer steckt dahinter?
Ehrliche Antwort: Das ist öffentlich nicht bekannt. Threema hat weder Angreifer benannt noch eine Motivation genannt, und es hat sich unseres Wissens niemand glaubhaft dazu bekannt. Spekulationen über Auftraggeber oder politische Hintergründe gibt es reichlich — belastbar ist keine davon. Wir lassen das deshalb offen, statt eine hübsche Geschichte zu erfinden.
Häufige Fragen
Waren meine Threema-Nachrichten während des Angriffs unsicher?
Nein. Ein DDoS-Angriff überlastet Server, er bricht nicht in sie ein. Die Ende-zu-Ende-Verschlüsselung war zu keinem Zeitpunkt betroffen, und es gibt keine Hinweise auf einen Einbruch in die Systeme.
Sind Nachrichten verloren gegangen, die ich während des Ausfalls verschickt habe?
In aller Regel nicht. Threema-Clients halten nicht zustellbare Nachrichten lokal vor und senden sie erneut, sobald der Server wieder erreichbar ist. Sicherheitshalber solltest du bei wichtigen Nachrichten trotzdem die Häkchen prüfen.
Kann so ein Angriff wieder passieren?
Grundsätzlich ja — DDoS-Angriffe kann man nie vollständig ausschließen. Der neu aktivierte vorgelagerte Filter macht es Angreifern aber deutlich schwerer, weil der Müll-Traffic gar nicht erst bei Threemas eigenen Servern ankommt.
War auch Threema Work betroffen?
Ja. Threema Work, Broadcast und Gateway waren ebenfalls gestört — für Firmen und Behörden, die Threema als Dienstkommunikation nutzen, war das entsprechend spürbar.
Was bedeutet ein vorgelagerter DDoS-Filter konkret?
Der Datenverkehr läuft zuerst durch die Netze eines spezialisierten Anbieters, der Angriffsmuster erkennt und wegfiltert. Nur der saubere Rest erreicht die Threema-Server. Diese Dienstleister haben um Größenordnungen mehr Bandbreite als ein einzelner Betreiber.