WhatsApp Business Ende-zu-Ende-Verschlüsselung: Wer liest mit?

Ist WhatsApp Business Ende-zu-Ende-verschlüsselt? Die WhatsApp Business Ende-zu-Ende-Verschlüsselung hängt davon ab, wer die Unternehmensseite des Chats betreibt: ein Telefon mit der WhatsApp Business App oder Metas Cloud API samt der daran angeschlossenen Software. Dieser Leitfaden erklärt den Unterschied zwischen Ende-zu-Ende-Verschlüsselung, Transportverschlüsselung und Verschlüsselung im Ruhezustand, vergleicht WhatsApp, Instagram, Messenger, Telegram und Viber mit Stand September 2026 und zeigt, wie Sie die Sicherheitsversprechen eines Anbieters prüfen.

Kernaussagen

• Bei der Ende-zu-Ende-Verschlüsselung (E2EE) geht es darum, wer die Schlüssel hält, nicht darum, wo die Daten liegen: Nur die Endpunkte der Konversation können die Nachricht entschlüsseln.
• Die WhatsApp Business API (Cloud API) ist nach WhatsApps eigener Definition nicht Ende-zu-Ende-verschlüsselt, weil Meta den Endpunkt des Unternehmens betreibt und eingehende Nachrichten entschlüsselt, bevor es sie weiterleitet.
• Instagram hat E2EE für DMs am 8. Mai 2026 eingestellt, und Messenger-Chats mit Unternehmen unterstützen keine E2EE.
• Telegram-Chats sind standardmäßig nicht Ende-zu-Ende-verschlüsselt, nur die optionalen geheimen Chats sind es. Viber nimmt Chatbots und Business-Konten von seiner standardmäßigen E2EE aus.
• Eine KI-Plattform für automatische Antworten muss die Nachrichten lesen, die sie beantwortet, und kann über sie deshalb konstruktionsbedingt kein Zero-Knowledge bieten. Beurteilen Sie Anbieter nach der Verschlüsselung von Zugangsdaten, nach Zugriffskontrolle, Aufbewahrung und Löschung.

Ende-zu-Ende-Verschlüsselung vs. Verschlüsselung im Ruhezustand vs. Transportverschlüsselung: wer hält die Schlüssel?

• Transportverschlüsselung schützt Daten auf dem Weg zwischen zwei Systemen, etwa einem Telefon und einem Server, meist mit TLS. Jeder Server, der sie empfängt, kann sie entschlüsseln.
• Verschlüsselung im Ruhezustand schützt Daten, die auf Festplatten, in Datenbanken oder in Backups gespeichert sind. Die Schlüssel hält in der Regel der Dienst, der sie speichert, und er kann jederzeit entschlüsseln, wenn seine Software es braucht.
• Ende-zu-Ende-Verschlüsselung bedeutet, dass nur die Endpunkte der Konversation die Schlüssel halten. Server dazwischen leiten Geheimtext weiter, den sie nicht lesen können.

Transportverschlüsselung plus Verschlüsselung im Ruhezustand ist nicht dasselbe wie E2EE. Diese Kombination erlaubt dem Anbieter meist weiterhin, den Inhalt zu lesen, weil er in den üblichen Setups die Schlüssel kontrolliert. Der eigentliche E2EE-Test lautet: Kann jemand außer den Endpunkten die Nachricht entschlüsseln?

WhatsApp Business Ende-zu-Ende-Verschlüsselung: App vs. Cloud API

Die WhatsApp Business App ist Ende-zu-Ende-verschlüsselt, wenn das Unternehmen sie auf eigenen Geräten betreibt, ohne verknüpfte Cloud API und ohne Anbieter. Die WhatsApp Business API (Cloud API) ist es nach WhatsApps eigener Definition nicht.

WhatsApps Whitepaper zur Verschlüsselung (aktualisiert im Februar 2026) hält fest, dass Nachrichten zwischen WhatsApp-Nutzern, auch Nutzern der WhatsApp Business App, das Signal-Protokoll verwenden und als Ende-zu-Ende-verschlüsselt gelten, weil jeder Endpunkt ein Gerät ist, das seine Nutzerin oder sein Nutzer kontrolliert.

Jeder WhatsApp-Chat nutzt dasselbe Signal-Protokoll. Was über das E2EE-Etikett entscheidet, ist, wer den Endpunkt des Unternehmens betreibt. Die Cloud API wird seit 2021 von Meta gehostet, und WhatsApp betrachtet diese Chats nicht als Ende-zu-Ende-verschlüsselt, weil die Nachrichten nicht direkt an einen Endpunkt zugestellt werden, den das Unternehmen kontrolliert.

Metas Dokumentation zum Datenschutz der Cloud API beschreibt den Ablauf:

1. Die App der Kundin oder des Kunden und die Cloud API, die im Auftrag des Unternehmens agiert, handeln Signal-Schlüssel aus.
2. Die Cloud API entschlüsselt eingehende Nachrichten und leitet sie an das Unternehmen weiter.
3. Für Antworten verschlüsselt die Cloud API die Nachricht mit Signal, bevor sie sie an die Kundin oder den Kunden zustellt.
4. Meta wird als Auftragsverarbeiter für das Unternehmen tätig, speichert Cloud-API-Nachrichten im Ruhezustand verschlüsselt und bewahrt sie höchstens 30 Tage auf.

Die Übersichtsdokumentation der Cloud API hält fest, dass Webhooks über HTTPS mit TLS-Schutz zugestellt werden.

Die WhatsApp Cloud API nutzt also weiterhin Signal-Verschlüsselung auf dem Transportweg und verschlüsselt Nachrichten im Ruhezustand, sie ist schlicht nicht Ende-zu-Ende, weil Metas Server den Klartext im Auftrag des Unternehmens verarbeiten. Zu den Unterschieden im Funktionsumfang siehe unseren Vergleich WhatsApp Cloud API vs. Business App.

WhatsApp Business Ende-zu-Ende-Verschlüsselung mit Anbieter, Companion-Verknüpfung oder KI-Posteingang

Ein Chat mit einem Konto der WhatsApp Business App ist nicht immer E2EE. Laut Whitepaper verliert er diesen Status, wenn:

• das Unternehmen die Cloud API als Companion mit seiner WhatsApp Business App verknüpft, was seit 2024 möglich ist. Diese Eins-zu-eins-Chats werden zur Verarbeitung mit Meta geteilt.
• ein Anbieter die WhatsApp Business API des Unternehmens betreibt. Dieser Anbieter hat Zugriff auf die privaten Schlüssel des Unternehmens, selbst wenn der Anbieter Meta ist, deshalb behandelt WhatsApp diese Chats nicht als Ende-zu-Ende-verschlüsselt.

WhatsApp zeigt der Kundin oder dem Kunden eine Systemnachricht im Chat, wenn sich der Status ändert. Die On-Premises API, deren selbst gehostete Endpunkte als Ende-zu-Ende-verschlüsselt galten, gibt es nicht mehr: Ihr letzter Client, v2.63, lief am 23. Oktober 2025 aus, und Meta verweist Unternehmen nun auf die Cloud API.

In der Praxis heißt das: Wenn Sie WhatsApp in großem Umfang über eine API, einen Business Solution Provider oder einen KI-Posteingang für WhatsApp beantworten, sind Ihre Chats keine, die WhatsApp als Ende-zu-Ende-verschlüsselt einstuft.

Was passiert, wenn ein KI-Chatbot oder ein CRM Ihre WhatsApp-Nachrichten liest

Kann ein KI-Chatbot Ende-zu-Ende-verschlüsselte Nachrichten lesen? Nur, wenn er an einem Endpunkt sitzt, der den entschlüsselten Text erhält. Mit der Cloud API sieht der Weg so aus:

1. Das Telefon der Kundin oder des Kunden verschlüsselt die Nachricht mit Signal.
2. Metas Cloud API entschlüsselt sie für das Unternehmen.
3. Ein Webhook stellt sie über TLS an die Plattform des Unternehmens zu: ein CRM, einen Helpdesk oder einen KI-Posteingang.
4. Die Plattform speichert die Konversation und übergibt den Text an ein KI-Modell, das eine Antwort entwirft oder versendet.

In Schritt 4 ist die Nachricht innerhalb der Systeme des Anbieters lesbar, gleich welche Verschlüsselung im Ruhezustand dieser Anbieter einsetzt. Zwei Dinge stimmen gleichzeitig: Der Chat ist auf dem Transportweg verschlüsselt, und Ihr CRM kann ihn lesen.

Instagram-DMs nach dem 8. Mai 2026: keine Ende-zu-Ende-Verschlüsselung

Sind Instagram-DMs 2026 noch Ende-zu-Ende-verschlüsselt? Nein. Laut Instagram-Hilfebereich hat Instagram die Unterstützung für E2EE-Nachrichten am 8. Mai 2026 eingestellt. Die Funktion war immer optional, wurde je Chat eingeschaltet und war nie die Voreinstellung. Meta verwies Nutzerinnen und Nutzer, die E2EE wollen, auf WhatsApp.

Wenn Sie KI-Antworten auf Instagram einsetzen, behandeln Sie diese DMs als nicht Ende-zu-Ende-verschlüsselt.

Facebook Messenger: private Chats vs. Chats mit Unternehmen

Meta begann am 6. Dezember 2023, E2EE als Standard für private Eins-zu-eins-Chats und -Anrufe im Messenger auszurollen. Der Messenger-Hilfebereich listet Produkte auf, die E2EE derzeit nicht unterstützen, darunter Chats mit Unternehmen, Konten mit Business-Messaging-Tools und Marketplace-Chats.

Die Ende-zu-Ende-Verschlüsselung im Messenger deckt den Chat einer Kundin oder eines Kunden mit einer Facebook-Seite, die einen Posteingang oder einen Chatbot nutzt, also nicht ab.

Telegram: Cloud-Chats, geheime Chats und Bots

Ist Telegram standardmäßig Ende-zu-Ende-verschlüsselt? Nein. Die Telegram-FAQ beschreibt zwei Chat-Typen:

• Cloud-Chats, die Voreinstellung, nutzen Client-Server-Verschlüsselung und liegen verschlüsselt auf Telegrams Servern, damit sie über Geräte hinweg synchronisieren.
• Geheime Chats in Telegram nutzen Ende-zu-Ende-Verschlüsselung. Sie sind Eins-zu-eins, an bestimmte Geräte gebunden, synchronisieren nicht und sind nicht die Voreinstellung.

Bots arbeiten in Cloud-Chats. Die offizielle Bot API führt als Chat-Typen private, group, supergroup und channel auf, einen Typ für geheime Chats gibt es nicht. Seit dem Start von Telegram Business im März 2024 können Unternehmen Bots verbinden, die in ihrem Namen antworten, diese Bot-Konversationen sind aber keine geheimen Chats.

Private Viber-Chats vs. Viber-Business-Konten

Vibers Datenschutzerklärung nennt Ende-zu-Ende-Verschlüsselung für Eins-zu-eins-Anrufe und -Nachrichten, Gruppennachrichten, privates Teilen von Medien und verknüpfte Geräte, und Viber gibt an, dass sie standardmäßig aktiv ist. Die Ausnahme, auf die es für Unternehmen ankommt, steht in Vibers Bedingungen für öffentliche Inhalte: Inhalte in Communities, Kanälen, Chatbots und Business-Konten sind nicht Ende-zu-Ende-verschlüsselt, und Viber speichert sie.

Verschlüsselung nach Kanal: Vergleichstabelle (September 2026)

Kanal	Private Chats standardmäßig E2EE	Unternehmens- oder Bot-Chats E2EE	Wer Unternehmensnachrichten verarbeiten kann	Quelle
WhatsApp Business App (ohne API, ohne Anbieter)	Ja (Signal)	Ja	Die eigenen Geräte des Unternehmens	WhatsApp-Whitepaper
WhatsApp Cloud API oder anbieterbetriebene API	Ja (Signal)	Nein	Meta als Auftragsverarbeiter, das Unternehmen, verbundene Plattformen	WhatsApp-Whitepaper, Meta-Doku
Instagram-DMs	Nein (optionale E2EE endete am 8. Mai 2026)	Nein	Meta, das Unternehmen, verbundene Tools	Instagram-Hilfebereich
Facebook Messenger	Standard-Rollout seit Dez. 2023 (private Eins-zu-eins-Chats)	Nein	Meta, das Unternehmen, verbundene Tools	Messenger-Hilfebereich
Telegram	Nein (geheime Chats sind optional)	Nein (Bot-Chats sind Cloud-Chats)	Telegram-Server, Bot-Betreiber	Telegram-FAQ, Bot API
Viber	Ja	Nein (Chatbots, Business-Konten)	Viber, Administratoren des Unternehmens	Vibers Datenschutzerklärung und Bedingungen

Warum KI-Plattformen für automatische Antworten kein Zero-Knowledge bieten können

Zero-Knowledge-Verschlüsselung bedeutet, dass ein Anbieter Ihre Daten speichert, ohne je die Schlüssel zum Entschlüsseln zu halten, und den Inhalt deshalb nicht lesen kann.

Ein KI-Produkt für automatische Antworten arbeitet konstruktionsbedingt andersherum. Um „Liefern Sie morgen nach Erbil?“ zu beantworten, muss das Modell die Frage im Klartext lesen, Ihre Wissensdatenbank prüfen und eine Antwort schreiben. Die Logik ist eindeutig: Ein System, das Nachrichten liest, um sie zu beantworten, kann sie immer lesen.

Ein Anbieter, der mit einem „Zero-Knowledge-KI-Posteingang“ oder einem „Ende-zu-Ende-verschlüsselten KI-Chatbot“ wirbt, strapaziert entweder die Begriffe oder setzt gar keine KI auf Ihre Nachrichten an. Nützlich sind die Fragen danach, wie sich begrenzen lässt, wer und was an die lesbaren Daten gelangt.

Wie Sie Verschlüsselungsversprechen von Anbietern prüfen

Warnzeichen:

• „Ende-zu-Ende-verschlüsselt“ für einen KI-Chatbot oder einen Posteingang auf Basis der WhatsApp Cloud API.
• „Alle Daten verschlüsselt“ ohne Liste, was verschlüsselt ist und wer die Schlüssel hält.
• „Militärniveau“ oder „Bankenstandard“ ohne Angabe von Verfahren, Umfang oder Schlüsselverwaltung.
• Zertifizierungs-Badges ohne Zertifikat oder Prüfbericht, den Sie anfordern können.

Fragen, die Sie stellen sollten:

1. Welche Felder werden auf Anwendungsebene verschlüsselt, und mit welchem Verfahren?
2. Sind Kanal-Access-Tokens und Schlüssel von KI-Anbietern verschlüsselt, und wo liegt der Schlüssel?
3. Werden Nachrichteninhalte auf Anwendungsebene verschlüsselt, oder nur Zugangsdaten und ausgewählte Felder?
4. Welche Mitarbeitenden des Anbieters können Kundenkonversationen einsehen, und wird dieser Zugriff protokolliert?
5. Wie lange werden Nachrichten aufbewahrt, und was entfernt eine Kontolöschung tatsächlich?
6. Welche KI-Anbieter erhalten Nachrichtentext, und zu welchen Bedingungen für die Datennutzung?

Was Raabt heute verschlüsselt und absichert

Raabt ist eine KI-Plattform für automatische Antworten, deshalb gilt dieselbe Logik auch für uns: Unsere KI liest Nachrichtentext, um eine Antwort zu schreiben. Das heißt, Raabt ist nicht Ende-zu-Ende-verschlüsselt, und nach der obigen Definition kann das kein KI-Posteingang sein. Das ist heute vorhanden:

• Feldbasierte Verschlüsselung: Zugangsdaten, Tokens und ausgewählte Kontaktdaten (Telefon, E-Mail, Adresse) werden mit AES-256-GCM verschlüsselt, mit einem über HKDF-SHA256 abgeleiteten Schlüssel. Das umfasst die Access Tokens verbundener Kanäle für Facebook, Instagram, WhatsApp und Telegram sowie die API-Schlüssel von KI-Anbietern. Die Anwendung startet nicht ohne einen Schlüssel mit mindestens 32 Zeichen.
• Passwörter und Codes: Passwörter werden mit Argon2id gehasht, Secrets von Partner-API-Schlüsseln werden ausschließlich als SHA-256-Hashes gespeichert, und Einmalcodes werden ausschließlich als HMAC-SHA256-Hashes gespeichert.
• Anmeldung: Anmeldungen mit E-Mail und Passwort verlangen einen Einmalcode an Ihre E-Mail-Adresse, bevor eine Sitzung ausgestellt wird.
• Teamzugriff: vier Rollen (Owner, Admin, Agent, Viewer) mit Berechtigungen je Bereich, und Unternehmens-Endpunkte prüfen zuerst, ob der Aufrufer aktives Mitglied dieses Unternehmens ist.
• Webhooks und Medien: Meta-Webhooks werden abgewiesen, wenn ihre X-Hub-Signature-256-Signatur ungültig ist, Telegram-Webhooks verlangen ein Secret Token, und Anhänge werden nur über ablaufende, HMAC-signierte URLs ausgeliefert.
• Löschung: Raabt unterstützt Metas Callback zur Datenlöschung, mit Statuslink auf der Seite zur Datenlöschung. Die Kontolöschung verlangt Ihr Passwort plus einen per E-Mail zugesandten Code, das Konto wird sofort deaktiviert und seine E-Mail-Adresse anonymisiert.

Häufige Fragen

Ist die WhatsApp Business API Ende-zu-Ende-verschlüsselt?

Nein. WhatsApps Whitepaper hält fest, dass Chats mit Unternehmen, die die Cloud API nutzen, nicht als Ende-zu-Ende-verschlüsselt gelten, weil Meta den Endpunkt hostet. Die Nachrichten erreichen Meta weiterhin mit Signal-Verschlüsselung, und Meta entschlüsselt sie und leitet sie über TLS an das Unternehmen weiter.

Liest Meta bei WhatsApp-Business-Nachrichten mit?

Bei der Cloud API ja: Metas Server entschlüsseln Nachrichten als Auftragsverarbeiter des Unternehmens, speichern sie im Ruhezustand verschlüsselt und bewahren sie bis zu 30 Tage auf. Bei der WhatsApp Business App ohne Cloud-API-Verknüpfung und ohne Anbieter nein: Diese Chats sind zwischen den Geräten Ende-zu-Ende-verschlüsselt.

Kann ein KI-Chatbot Ende-zu-Ende-verschlüsselte Nachrichten lesen?

Nur, wenn er die entschlüsselte Nachricht an einem Endpunkt erhält. Bei der WhatsApp Cloud API, bei Instagram, bei Messenger-Chats mit Unternehmen, bei Telegram-Bots und bei Viber-Chatbots ist die Unternehmensseite nicht Ende-zu-Ende-verschlüsselt, die KI arbeitet also mit lesbarem Text.

Was ist der Unterschied zwischen Ende-zu-Ende-Verschlüsselung und Verschlüsselung im Ruhezustand?

Die Verschlüsselung im Ruhezustand schützt gespeicherte Daten, und die Schlüssel hält in der Regel der Dienst, der sie speichert. Die Ende-zu-Ende-Verschlüsselung belässt die Schlüssel nur auf den Endpunkten der Konversation, sodass der weiterleitende Anbieter die Nachricht nicht lesen kann.

Sind Telegram-Chats wirklich verschlüsselt?

Standardmäßig nicht Ende-zu-Ende. Die voreingestellten Cloud-Chats nutzen Client-Server-Verschlüsselung und liegen verschlüsselt auf Telegrams Servern. Nur geheime Chats, die Eins-zu-eins sind und bewusst gestartet werden müssen, sind Ende-zu-Ende-verschlüsselt, und Bot-Konversationen sind keine geheimen Chats.

Sind Instagram-DMs 2026 noch Ende-zu-Ende-verschlüsselt?

Nein. Instagram hat die Unterstützung für Ende-zu-Ende-verschlüsselte Nachrichten am 8. Mai 2026 eingestellt, und sie war nie die Voreinstellung, behandeln Sie DMs mit Business-Konten also als nicht Ende-zu-Ende-verschlüsselt.

Bereit, Antworten zu automatisieren, während Kanal-Tokens mit AES-256-GCM verschlüsselt sind? Kostenlos starten.