משטרת גרמניה וזרועות האכיפה מרחיבות את הניטור של אפליקציות מסרים מיידיים ללא צורך בסוס טרויאני

תחקיר עמוק חושף מסמך מסווג של ה-Zollkriminalamt (מטה הבולשת של המכס הגרמני) מגלה כי רשויות האכיפה בגרמניה עושות שימוש גובר והולך בטכניקת "שיקוף חשבונות" (Account-Cloning) כדי לנטר תכתובות באפליקציות מוצפנות כגון WhatsApp, Signal, Telegram ו-Threema.

השיטה מתבצעת ללא צורך בהתקנת רוגלות או "סוס טרויאני ממשלתי" (Staatstrojaner).

טכניקת ההשתלטות: מיידוי קודי אימות ועד צימוד מכשירים

רשויות החקירה משתמשות במספר שיטות כדי לבצע שיקוף חשבונות:

• יירוט קודי אימות ב-SMS: חלק מאפליקציות המסרים שולחות קודי אימות בהודעות SMS בלתי מוצפנות. חוקרי ה-BKA (משרד הפלילים הפדרלי) יילכדו קודים אלו באמצעות האזנות סתר רגילות לקווי טלפון, או בשליחת בקשה לחברת מפעילת הסלולר של קו הטלפון. שיטה זו שימשה, בין היתר, לחדירה לחשבונות Telegram של ארגון הטרור הניאו-נאצי "Oldschool Society" ולמעקב אחר סוחר סמים בסקסוניה התחתונה.
• צימוד מכשירים (Web/Desktop Clients): ניצול התכונה המובנית של האפליקציות לחיבור דפדפנים או אפליקציות שולחן עבודה באמצעות סריקת קוד QR.
• העתקת ארכיון הודעות: בעת חיבור מכשיר חדש, כלי האפליקציה מעבירים באופן אוטומטי את היסטוריית השיחות של המשתמש (למשל, עד 45 ימים אחורה ב-Signal). בנסיבות אלו, אפילו אם החשוד מזהה את החיבור הזר ומנתק אותו כפי שמומלץ על ידי גופי הסייבר והבטיחות (BSI), החוקרים כבר מחזיקים בהעתק מלא של הארכיון.

הכשלים המשפטיים והחלטת בית המשפט העליון (BGH)

השימוש בכלים האזרחיים של אפליקציות המסרים על ידי המשטרה מעורר ביקורת משפטית נוקבת מצד מומחים, ובראשם פרופ' דר' כריסטיאן רוקרט (מאוניברסיטת בייראות'):

• פסילת הסיווג כ"האזנת סתר רגילה": בעבר ניסו רשויות החוק לסווג את הפעולה כהאזנת סתר קלאסית (Telekommunikationsüberwachung). אולם, בהחלטה תקדימית מ-20 בינואר 2026, קבע בית המשפט הפדרלי העליון (BGH) כי התחברות סודית לחשבון ללא מעורבות הספק או המשתמש מהווה "האזנת סתר במקור" (Quellen-TKÜ) ולא האזנה רגילה.
• איסור על העברת הודעות עבר: החוק המסדיר האזנת סתר במקור (Quellen-TKÜ) מתיר איסוף תקשורת עכשווית בלבד ואינו מתיר איסוף נתוני עבר שנוצרו לפני מתן הצו השיפוטי. מכיוון שהכלים המובנים של האפליקציות מעבירים את כל ארכיון ההודעות, הכלים הללו אינם חוקיים לשימוש במסגרת זו.
• סיכון לשינוי נתונים וזיוף זהות: החוק מחייב להבטיח טכנית שלא יבוצעו שינויים במערכת היעד. כלי ה-Web של האפליקציות מאפשרים לשלוח הודעות בשם המשתמש ולצפות ברשימת אנשי הקשר. פרופ' רוקרט קובע כי הפעילות חורגת מגדר הדין ומהווה למעשה "חיפוש מקוון" (Online-Durchsuchung) הדורש תוכנות ייעודיות של המשטרה ולא כלים של הספקיות.
• התעלמות הרשויות מהפסיקה: המסמך המסווג של ה-ZKA מציג כי חודש לאחר החלטת ה-BGH (ב-20 בפברואר 2026), המשיך המכס להסתמך על פרשנות משפטית ישנה ומבוטלת.

אימוץ הנוהל והסודיות הממשלתית

מסמך הנחיות פנימי של ה-ZKA מפרט את הפיכת השיטה לכלי עבודה קבוע:

• מפיילוט לנוהל קבוע: לאחר פיילוט שנערך מסוף 2023, המכס הפך את הניטור (MÜ) לכלי מבצעי קבוע החל מ-1 באוגוסט 2025 תחת מחלקה DVIII.C.212.
• עיקרון "הצורך לדעת בלבד": ה-ZKA וה-BKA מפעילים מדיניות סודיות הדוקה. בתשובות לשאלתות עיתונאים ושאילתות פרלמנטריות של חבר הפרלמנט מרסל אמריך (מפליגת הירוקים), סירבו משרדי הפנים והמשפטים לספק נתונים על היקף השימוש בשיטה.
• טענת עילת ביטחון המדינה: משרדי הממשלה תירצו את הנימוק וחוסר השקיפות ב"מאמץ בלתי סביר" או בטענה כי חשיפת היקף השימוש תפגע ב"שלום המדינה" ותחשוף יכולות טקטיות בפני גורמים פליליים.

דרכי גילוי והתגוננות

הרשויות והגופים להגנת הפרטיות מדגישים כי משתמשים יכולים לזהות ולנתק חיבורים אלו באופן עצמאי:

• בדיקת מכשירים מקושרים: מומלץ לבדוק באופן תקופתי את רשימת המכשירים המחוברים (Linked Devices) בהגדרות האפליקציה ב-WhatsApp, Signal או Telegram.
• הסרת מכשירים לא מוכרים: הסרת מכשיר חשוד מתוך האפליקציה במכשיר הנייד מנתקת באופן מיידי את הגישה של המכשיר המקביל.

היעדר השקיפות והשימוש בכלים טכנולוגיים אזרחיים המפרים את המגבלות המשפטיות מעוררים דאגה נרחבת בקרב משפטנים ופעילים למען זכויות אזרח בגרמניה.