Wer für ein fremdes Kind bei einer Tanzkurs-Abstimmung stimmen will, gibt dabei sein WhatsApp-Konto aus der Hand. Vor genau dieser Masche warnen die Polizei Köln und die Landespolizei Schleswig-Holstein am 17. September 2026 – die Kölner Kriminalpolizei bearbeitet nach eigenen Angaben bereits mehrere aktuelle Fälle.
Das Muster trägt den Namen „Ghost Pairing", zu Deutsch etwa „Geister-Kopplung": Der Nutzer glaubt, an einer harmlosen Online-Abstimmung teilzunehmen, und verknüpft in Wahrheit sein eigenes WhatsApp-Konto mit dem Smartphone der Täter. Die Warnung der Polizei Köln vor „Ghost Pairing" ist auf den 17. September 2026 datiert.
Am selben Tag teilte die Landespolizei Schleswig-Holstein mit, dass ihr Landeskriminalamt die Fallzahlen im Land nicht genau beziffern kann. Wie der NDR-Bericht über die Warnung der Landespolizei zeigt, rechnen die Ermittler mit einer hohen Dunkelziffer und teils erheblichen finanziellen Schäden.
Der Köder: ein Tanzkurs für ein Kind
Die Nachricht klingt harmlos: „Hallo, könntest du bitte für Eliska abstimmen? Sie ist die Tochter meiner Freunde, der erste Preis ist ein kostenloser Tanzkurs, und das ist sehr wichtig für sie!" Genau diesen Wortlaut zitiert die Polizei Köln und bezeichnet ihn ausdrücklich als realen Fall.
Das Perfide daran: Die Bitte stammt nicht von einem Unbekannten, sondern aus einem bereits übernommenen Konto von Freunden, Arbeitskollegen, Verwandten oder Bekannten – samt echtem Chatverlauf. Die Kriminellen geben sich laut Polizei „als Tochter, Sohn, Freundin oder Bekannter" aus. Der vertraute Name ist damit kein Echtheitsbeweis.
Das Grundmuster ist nicht neu. Die Betrugs-Fachstelle Mimikama dokumentiert seit dem 12. September 2026 mehrere Varianten, in denen nur Name, Geschichte und Internetadresse wechseln: Zuerst ging es um die angebliche Abstimmung einer Ballettakademie in Prag für „Eliška„, dann um die Fake-Seite superdancer.eu.cc mit einem angeblichen Stipendium für „Sophia“. Weitere Namen der Kampagne: Emma, Mia, Klara.
Ein Code genügt für die Kontoübernahme
Der Ablauf folgt immer demselben Drehbuch:
- Vertrauensaufbau: Die Täter schreiben aus einem übernommenen Konto, oft mitten im laufenden Chat.
- Fake-Abstimmung: Der Link führt auf eine professionell gestaltete Seite, ein auffällig knapper Stimmenstand drängt zur schnellen Stimmabgabe.
- Datenabfrage: Statt abzustimmen, soll der Nutzer seine WhatsApp-Telefonnummer eingeben; alternativ wird ein QR-Code angeboten.
- Geräteverknüpfung: Die Seite zeigt einen Code und fordert auf, ihn in WhatsApp unter „Verknüpfte Geräte" einzugeben.
- Kontomissbrauch: Der Täter liest mit, löscht Nachrichten und schreibt im Namen des Opfers dessen Kontakte an.
- Folgetaten: Aus angeblichen Notlagen wie einer Arztbehandlung oder einem defekten Handy werden Überweisungslinks verschickt.
„Wer glaubt, er nehme nur an einer vermeintlich harmlosen Abstimmung teil, der verknüpft in Wahrheit sein eigenes Whatsapp-Konto mit dem Smartphone des Täters„, formuliert die Polizei Köln. Der Kern des Problems ist die Unsichtbarkeit: WhatsApp funktioniert auf dem Handy des Opfers normal weiter – „Das macht den Betrug so schwer erkennbar.“
Warum die Zwei-Schritt-Verifizierung nicht schützt
Viele Nutzer verlassen sich auf die Zwei-Schritt-Verifizierung. Sie sichert aber nur die Neu-Registrierung der eigenen Rufnummer auf einem fremden Handy ab – nicht die Geräteverknüpfung, die das Opfer selbst bestätigt. Mimikama und netzwelt weisen darum darauf hin, dass die Täter WhatsApp nicht hacken: Sie lassen sich die Freigabe von den Opfern autorisieren.
Die Gegenmaßnahme ist eine Kontrolle, die jeder in Sekunden erledigen kann: WhatsApp öffnen, Profil, dann „Verknüpfte Geräte". Taucht dort ein unbekanntes Gerät auf, sofort abmelden. Wer den Link geöffnet oder einen QR-Code gescannt hat und geschädigt wurde, soll Anzeige erstatten. Die Warnung der Kölner Polizei griffen unter anderem die F.A.Z. und t-online auf.
Niedrige Fallzahl, hohe Dunkelziffer
In Schleswig-Holstein fällt die Bilanz bislang klein aus. Nach Angaben des Schleswig-Holsteinischen Zeitungsverlags vom 16. September 2026 meldete das Landeskriminalamt dort bis dahin nur Fälle „im niedrigen zweistelligen Bereich". In einem dieser Fälle erbeuteten die Betrüger 700 Euro.
Matthias Arends, Sprecher der Polizei in Kiel, und Carola Jeschke vom LKA Schleswig-Holstein erklären die Zahlen. Nach Arends' Darstellung wird der infiltrierte Account genutzt, um Zugriff auf weitere Nutzerkonten zu gewinnen; der Link müsse zudem nicht zwingend in WhatsApp angeklickt worden sein, er könne auch einen anderen Ursprung haben.
„Wir gehen aber von einer hohen Dunkelziffer weiterer Taten aus, da vermutlich die wenigsten Menschen die Accountübernahme anzeigen oder überhaupt bemerken.“
Jeschke verweist damit auf ein Dunkelfeld, das die gemeldeten Fallzahlen klein erscheinen lässt. Arends nennt einen zweiten Grund: Manche Geschädigte, die tatsächlich gezahlt haben, stellen den Betrug erst mit zeitlichem Verzug fest und erstatten erst dann Anzeige. Hilfe bündelt die ZAC Schleswig-Holstein, die Zentrale Ansprechstelle Cybercrime der Landespolizei.
Was Nutzer jetzt tun können
Die Empfehlungen von Polizei und Faktencheckern sind eindeutig: keine Telefonnummer und keinen Kopplungscode für eine angebliche Abstimmung herausgeben. Wer eine solche Bitte erhält, sollte den Absender über einen anderen Kanal erreichen – ein Anruf klärt mehr als der Chatverlauf.
- Niemals Telefonnummer oder Code für eine Abstimmung eingeben oder weiterleiten.
- Bitten um Stimmen nur nach telefonischer Rückfrage beim Absender ernst nehmen.
- Unter „Verknüpfte Geräte" prüfen und unbekannte Geräte sofort abmelden.
- Verdächtige Nachrichten löschen und die eigenen Kontakte warnen.
- Im Schadensfall Anzeige bei der Polizei erstatten.
Ob die Zahl der Fälle in Schleswig-Holstein steigt, kann das LKA nicht sagen. Mimikama beschreibt das Grundmuster als industriell wiederholbar: Wer einmal infiltriert ist, verteilt die nächste Abstimmungsbitte an die eigenen Kontakte – und öffnet damit neue Türen. Offen bleibt, wie viele Nutzer künftig jede Stimmenbitte erst per Anruf prüfen.