¿Cómo lee la policía alemana tus chats de WhatsApp, Signal y Telegram?

La policía alemana dispone de una técnica para leer mensajes de WhatsApp, Signal y Telegram sin romper su cifrado de extremo a extremo. No ha aparecido una llave maestra, ni un algoritmo secreto capaz de descifrar conversaciones sobre la marcha. El método es bastante menos cinematográfico y, precisamente por eso, más incómodo: los investigadores consiguen que un dispositivo bajo su control quede registrado como un dispositivo vinculado a la cuenta que pretenden vigilar.

A partir de ahí, el propio servicio de mensajería entrega al nuevo dispositivo los mensajes que le corresponden como terminal autorizado. El cifrado sigue funcionando; simplemente hay otro extremo dentro de la conversación. Para conseguir ese acceso, las autoridades pueden aprovechar un teléfono que tienen físicamente en sus manos, códigos de verificación, mensajes SMS interceptados o técnicas de phishing. El hallazgo ha reabierto en Alemania una discusión incómoda: hasta dónde puede llegar una investigación policial cuando utiliza herramientas normales de WhatsApp, Signal o Telegram para lograr algo que, en la práctica, se parece mucho a intervenir un teléfono.

El truco no rompe el cifrado: añade otro dispositivo

La diferencia técnica es importante. Cuando dos personas utilizan una aplicación con cifrado de extremo a extremo, el contenido viaja protegido entre los dispositivos autorizados de esas cuentas. Un tercero que intercepte el tráfico debería encontrarse con datos ilegibles. Esa es, simplificando bastante, la muralla.

La vigilancia documentada en Alemania no derriba esa muralla. Entra por una puerta prevista por las propias aplicaciones: la posibilidad de utilizar una misma cuenta desde un ordenador, una tableta u otro terminal. WhatsApp Web es el ejemplo más familiar. Signal permite vincular dispositivos y Telegram ofrece sesiones en diferentes equipos. Son funciones pensadas para que el usuario continúe una conversación desde distintas pantallas, pero también crean un punto delicado: si alguien consigue autorizar un terminal adicional, ese terminal pasa a recibir información de la cuenta como un dispositivo legítimo.

Las autoridades alemanas llevan años explorando esta vía. Documentación interna conocida en 2026 señala que la Oficina de Investigación Criminal de Aduanas alemana probó esta denominada vigilancia de mensajería desde finales de 2023. El sistema habría dado resultados relevantes en investigaciones sobre delincuencia grave y organizada y, desde agosto de 2025, quedó incorporado de manera permanente a sus herramientas operativas.

No estamos, por tanto, ante una demostración de que WhatsApp o Signal hayan perdido su cifrado. Es otra cosa: una demostración de que una comunicación puede estar magníficamente cifrada y seguir siendo vulnerable si alguien consigue entrar en uno de sus extremos. La caja fuerte continúa cerrada; el problema es que alguien ha logrado una copia de la llave de la habitación donde se abre.

El caso de unos testigos mostró hasta dónde podía llegar

Uno de los episodios más llamativos ocurrió en enero de 2020. Un matrimonio acudió a declarar como testigo en una investigación relacionada con su hija. Ambos entregaron voluntariamente durante un breve periodo sus teléfonos para que los agentes pudieran examinar y fotografiar determinados mensajes de WhatsApp.

La autorización, sin embargo, tenía un alcance bastante concreto. Mientras disponían de los móviles, los investigadores activaron de manera encubierta WhatsApp Web y vincularon las cuentas con un ordenador utilizado por la Oficina Federal de Investigación Criminal, el BKA.

El salto era considerable. Fotografiar unos mensajes existentes es una actuación puntual; dejar conectado un segundo dispositivo permite, potencialmente, seguir recibiendo mensajes posteriores, consultar conversaciones sincronizadas y acceder a otros elementos asociados a la cuenta. El matrimonio, además, era testigo, no sospechoso.

Ahí aparece la grieta jurídica que ocupa buena parte del debate alemán. No se discute solamente si la policía puede intervenir determinadas comunicaciones con autorización judicial. También importa qué tecnología utiliza, qué información obtiene realmente esa tecnología y si el sistema puede recoger más datos de los autorizados.

La particularidad de las sesiones vinculadas es que no necesitan mantener físicamente el teléfono principal en manos de los investigadores. Una vez autorizado el equipo adicional, la sesión puede seguir activa mientras el usuario continúa utilizando su móvil con aparente normalidad.

Eso convierte unos segundos de acceso al terminal en algo potencialmente mucho más duradero. También explica por qué esta técnica resulta atractiva frente a soluciones más agresivas, como instalar un troyano estatal o explotar una vulnerabilidad del sistema operativo.

El inconveniente es evidente: las funciones de WhatsApp, Telegram o Signal fueron diseñadas para usuarios corrientes, no para ajustarse milimétricamente a una orden judicial. Una aplicación puede sincronizar automáticamente un historial de conversaciones, contactos u otros datos aunque la autorización policial abarque solamente determinadas comunicaciones.

Telegram llevó el problema hasta el máximo tribunal penal

El debate dejó de ser exclusivamente teórico con un procedimiento relacionado con un vendedor ilegal de sustancias dopantes en Baja Sajonia. En marzo de 2022, la policía consiguió conectarse de manera encubierta a la cuenta de Telegram utilizada por el investigado. El hombre detectó la sesión y logró interrumpirla unas horas después, pero los agentes ya habían obtenido parte del archivo de mensajes.

El asunto terminó ante el Tribunal Federal de Justicia alemán, el Bundesgerichtshof. Su resolución, dictada el 20 de enero de 2026, marcó una frontera importante.

El tribunal consideró que conectarse clandestinamente a una cuenta de Telegram creando otro acceso, sin la participación del usuario ni del proveedor del servicio, constituye una forma de vigilancia de telecomunicaciones en origen. En términos sencillos: jurídicamente no vale decir que se ha utilizado una función corriente de Telegram y que, por tanto, no se ha intervenido realmente el sistema.

La consecuencia es decisiva. Con una autorización para este tipo de vigilancia pueden obtenerse las comunicaciones comprendidas por la medida desde el momento permitido judicialmente, pero no convertir esa autorización en una pala con la que excavar indiscriminadamente todo el historial anterior.

Los mensajes antiguos tienen una protección diferente

En el procedimiento examinado por el tribunal se habían utilizado también mensajes enviados antes de la autorización judicial, algunos de varios meses atrás. El BGH concluyó que esa obtención retroactiva no quedaba cubierta por la intervención autorizada.

Acceder a contenidos históricos puede requerir una figura jurídica distinta, la llamada búsqueda en línea, sometida en Alemania a requisitos más estrictos y reservada a determinados delitos especialmente graves.

La diferencia no es un capricho jurídico. Una cosa es observar una comunicación a partir del momento en que un juez autoriza la vigilancia; otra, bastante más invasiva, es abrir de golpe el archivo digital del pasado de una persona. Fotos familiares, discusiones privadas, contactos, confidencias. Todo mezclado con aquello que realmente interesa a una investigación.

WhatsApp, Signal y Telegram comparten un punto vulnerable

Aunque los sistemas técnicos de las tres aplicaciones no son idénticos, comparten un elemento relevante: permiten utilizar una cuenta desde dispositivos adicionales. Para registrar uno nuevo es necesario algún procedimiento de autenticación. Ahí está el cuello de botella.

En determinados escenarios, un investigador puede tener acceso legítimo o material al teléfono. En otros casos puede intentar obtener un código de verificación o aprovechar mecanismos de comunicación que no tienen la misma protección que el contenido cifrado de una conversación. También se han documentado campañas de phishing dirigidas contra usuarios de aplicaciones de mensajería para conseguir precisamente la autorización de dispositivos adicionales.

Signal, una de las aplicaciones que más ha construido su reputación alrededor de la privacidad, no queda mágicamente fuera del problema. El cifrado puede ser excelente y la cuenta seguir expuesta si el usuario termina autorizando un terminal que no controla. Es una distinción elemental en seguridad informática, aunque a menudo desaparece en titulares demasiado rotundos: cifrar el trayecto no sirve para impedir que un dispositivo autorizado lea el mensaje cuando llega a destino.

Las propias aplicaciones permiten revisar qué equipos permanecen vinculados a una cuenta y cerrar sesiones desconocidas. Ese pequeño apartado de configuración, que suele dormir ignorado entre menús, se convierte así en una especie de lista de invitados a una casa digital: conviene saber quién tiene las llaves.

Hay también un límite importante. Vincular una cuenta de mensajería no equivale a controlar por completo el teléfono. El acceso descrito se concentra en la información que la aplicación entrega al dispositivo asociado. No proporciona por sí mismo una puerta general al micrófono, la cámara, los SMS, las fotografías almacenadas fuera del servicio o el resto de aplicaciones instaladas.

Precisamente por eso se diferencia de un programa espía instalado en el terminal. Un troyano puede aspirar a penetrar mucho más profundamente en el dispositivo. La vigilancia mediante cuentas vinculadas es más estrecha, pero también puede resultar mucho más sencilla porque utiliza funciones que ya existen y que millones de personas activan todos los días.

La gran pelea alemana está ahora en la legalidad

El punto más delicado ya no es descubrir si técnicamente puede hacerse. Puede hacerse y se ha hecho. La cuestión es bajo qué condiciones debería permitirse y qué límites deben imponerse cuando el propio funcionamiento de una aplicación amenaza con proporcionar más información de la que autoriza un juez.

La legislación procesal alemana contempla tanto la intervención de telecomunicaciones como formas más invasivas de acceso a sistemas informáticos. También impone límites técnicos: una medida autorizada para obtener unas comunicaciones determinadas no debería transformarse, por simple funcionamiento del software, en una recogida mucho más amplia.

Aquí chocan el diseño de las aplicaciones comerciales y las exigencias del derecho. Un cliente oficial de mensajería no sabe que un juez ha autorizado únicamente cierto periodo o cierto tipo de comunicación. Hace lo que fue programado para hacer: sincronizar datos, mostrar conversaciones, incorporar contactos y ofrecer funciones al dispositivo vinculado.

El profesor alemán de derecho penal e informática Christian Rückert ha cuestionado precisamente ese encaje. El problema no sería únicamente prometer que los investigadores no mirarán aquello que no pueden mirar. La normativa exige en determinados casos garantías técnicas que impidan recoger o alterar información fuera del ámbito autorizado.

El Tribunal Federal de Justicia ha reforzado esa lectura al rechazar que la conexión secreta a Telegram pueda utilizarse como una vía cómoda para obtener indiscriminadamente conversaciones anteriores. La resolución de enero de 2026 incluso provocó que parte de una condena tuviera que revisarse porque se habían utilizado mensajes obtenidos retroactivamente de manera indebida.

Y queda otro elemento poco tranquilizador: no se conoce públicamente la escala real de esta vigilancia. Las autoridades federales alemanas han evitado ofrecer cifras detalladas sobre su utilización y han alegado razones operativas y de seguridad para mantener en secreto información sobre sus capacidades técnicas.

El cifrado sigue intacto; la confianza absoluta, bastante menos

La noticia tiene una lectura menos espectacular que afirmar que Alemania ha conseguido romper WhatsApp o Signal, pero quizá sea más relevante. No hace falta derrotar matemáticamente un cifrado fuerte para leer una conversación cifrada. A veces basta con conseguir que el propio sistema reconozca al observador como un dispositivo legítimo.

Eso no convierte el cifrado de extremo a extremo en inútil. Sigue protegiendo las comunicaciones frente a la interceptación del tráfico, proveedores de red y numerosos ataques externos. Lo que recuerda este caso es algo bastante antiguo en informática: la seguridad completa rara vez depende de una sola cerradura.

La resolución judicial alemana introduce, al menos, una frontera. Una autorización para vigilar comunicaciones no equivale a permiso para vaciar todo el pasado digital de una persona, y utilizar una función incorporada por Telegram o WhatsApp no convierte automáticamente la vigilancia en jurídicamente inocua.

La tecnología, como tantas veces, llegó primero. Después aparecen los jueces intentando dibujar con regla los bordes de algo que el software nunca pensó respetar. Y en medio queda el teléfono, silencioso sobre la mesa, mostrando exactamente los mismos chats de siempre mientras quizá otro dispositivo también los está recibiendo.