RCS-Sicherheit: Ist RCS verschlüsselt und ist die Nutzung sicher?

Ist RCS sicher? Ja – und es ist ein großes Upgrade gegenüber der einfachen SMS, die es ersetzt. Ist RCS Ende-zu-Ende-verschlüsselt? Das hängt ganz davon ab, wer wem schreibt. Genau diese Unterscheidung ist das Herzstück der RCS-Sicherheit, und hier liegen die meisten Online-Erklärungen falsch.

So stellt es sich tatsächlich dar. Person-zu-Person-Chats in Google Messages sind seit Jahren Ende-zu-Ende-verschlüsselt, die plattformübergreifende Verschlüsselung zwischen iPhone und Android wurde im Mai 2026 als Beta-Version eingeführt, und Business-Nachrichten – die markenkonformen Textnachrichten, die Ihnen Ihre Bank oder Fluggesellschaft sendet – werden bei der Übertragung verschlüsselt, aber nicht Ende-zu-Ende. Drei Situationen, drei verschiedene Antworten.

Wenn Sie als Marketer oder Product Owner abwägen, Rich Communication Services (RCS) welches Kunden-Messaging Sie nutzen möchten, entscheidet diese Nuance darüber, was Sie über den Kanal senden können und was nicht. In diesem Leitfaden erläutern wir, was RCS-Sicherheit tatsächlich schützt, die drei Zustände der RCS-Verschlüsselung, wie RCS im Vergleich zu SMS abschneidet, was RCS for Business sichert und was nicht, und wie Profile verifizierter Absender Ihre Kunden vor Spoofing schützen.

RCS ist der Standard der GSM Association (GSMA) zur Modernisierung von SMS und MMS, der in den nativen Posteingang eines Telefons anstatt über eine separate App zugestellt wird. Google ist dessen größter Implementierer – Google Messages ist die Standard-RCS-App auf Android –, aber der Standard gehört der Mobilfunkbranche, nicht einem einzelnen Unternehmen. RCS erreicht nun rund 1,5 Milliarden Nutzer weltweit, davon 250 Millionen in den USA, wo jeden Tag mehr als eine Milliarde RCS-Nachrichten gesendet werden.

Sicherheit im Messaging lässt sich im Grunde auf drei Fragen reduzieren:

• Kann jemand die Nachricht während der Übertragung lesen? Hier kommen die Verschlüsselung bei der Übertragung und die Ende-zu-Ende-Verschlüsselung (E2EE) ins Spiel.
• Wissen Sie, dass die Nachricht wirklich von dem stammt, der sie zu sein vorgibt? Hierbei geht es um die Identität des Absenders – Verifizierung und Anti-Spoofing.
• Wird der Inhalt im Einklang mit den Vorschriften behandelt und gespeichert? Hierbei geht es um Compliance – DSGVO, Branchenzertifizierungen und die Richtlinie zur Datenverarbeitung.

SMS, die Technologie, auf der RCS aufbaut, wurde für all dies nie entwickelt: Sie wird unverschlüsselt übertragen, ihre Absender-IDs können leicht manipuliert werden und sie verfügt über kein verifiziertes Branding. RCS verbessert jeden dieser Punkte, während SMS als universelles Fallback darunter erhalten bleibt. Wie stark es den ersten Punkt – die Verschlüsselung – verbessert, ist der Teil, bei dem es sich lohnt, etwas genauer hinzusehen.

Auf die Frage „Ist RCS verschlüsselt?“ gibt es keine einfache Ja-oder-Nein-Antwort, da sich RCS je nach den Endgeräten auf beiden Seiten und der Art der Nachricht – ob privater Chat oder Business-Nachricht – unterschiedlich verhält. Hier sind die drei Zustände, Stand Juli 2026.

Der erste Zustand ist ein alter Hut: Person-zu-Person-RCS-Chats zwischen Google-Messages-Nutzern verwenden standardmäßig E2EE, was mit einem Schloss-Symbol auf der Senden-Schaltfläche und neben dem Zeitstempel gekennzeichnet ist.

Der zweite Zustand ist die große Änderung des Jahres 2026. Im März 2025 veröffentlichte die GSMA das RCS Universal Profile 3.0, die erste Version des Standards zur Definition der Ende-zu-Ende-Verschlüsselung basierend auf dem Protokoll Messaging Layer Security (MLS). Dadurch wurde RCS zum ersten großflächigen Messaging-Dienst mit Support für interoperable E2EE über Apps verschiedener Anbieter hinweg. Dann, im Mai 2026, begann Apple mit der Einführung von Ende-zu-Ende-verschlüsseltem RCS als Beta-Version für iPhone-Nutzer unter iOS 26.5 bei unterstützten Mobilfunkanbietern und Android-Nutzer in der neuesten Version von Google Messages. Die Verschlüsselung ist standardmäßig aktiviert und wird im Laufe der Zeit automatisch für neue und bestehende Konversationen eingeschaltet, sofern beide Personen einen Mobilfunkanbieter nutzen, der die neueste RCS-Version unterstützt. Verfechter digitaler Rechte nannten es einen echten Gewinn für den Datenschutz, da es die Lücke schließt, die SMS zwischen den beiden Plattformen offengelassen hat.

Der dritte Zustand ist derjenige, den Unternehmen verinnerlichen müssen, und wird in einem eigenen Abschnitt weiter unten behandelt.

Für privates Messaging: zunehmend ja. Zwischen zwei Personen ist RCS entweder bereits Ende-zu-Ende-verschlüsselt (Android zu Android) oder auf dem besten Weg dorthin (iPhone zu Android, in der Beta-Version). E2EE bedeutet, dass die Nachricht auf dem Gerät des Absenders verschlüsselt wird und nur auf dem Gerät des Empfängers wieder entschlüsselt werden kann – nicht vom Mobilfunkanbieter, nicht von Google und nicht von jemandem, der sie auf dem Weg dorthin abfängt.

Für alles andere ist RCS zumindest bei der Übertragung verschlüsselt. Google Messages verwendet Transport Layer Security (TLS) um Nachrichten zu schützen, während sie zwischen dem Gerät und den Google-Servern übertragen werden, selbst wenn keine vollständige E2EE zum Einsatz kommt. Das ist sicherer als SMS, das Inhalte im Klartext sendet, aber es ist nicht dasselbe wie E2EE: Die Verschlüsselung bei der Übertragung schützt die Nachricht auf der Leitung, nicht jedoch vor den Systemen, die sie verarbeiten. Metadaten – wer wem wann eine Nachricht schreibt – können für die Vermittler auf dem Übertragungsweg weiterhin sichtbar sein.

Die zutreffende Antwort in einem Satz lautet daher: RCS ist verschlüsselt; ob es Ende-zu-Ende-verschlüsselt ist, hängt von den beiden Enden ab und davon, ob ein Unternehmen beteiligt ist. Eine ausführlichere Erklärung des tatsächlichen Übertragungswegs einer Nachricht finden Sie in unserem Leitfaden zu wie RCS funktioniert.

Wenn Sie ein Messaging-Programm von SMS auf RCS umstellen, ist die Sicherheit einer der offensichtlichsten Gründe für diesen Schritt. Stellen Sie die beiden gegenüber:

• Verschlüsselung: SMS-Inhalte werden unverschlüsselt übertragen und können abgefangen werden. RCS ist mindestens bei der Übertragung verschlüsselt, und bei privaten Chats Ende-zu-Ende.
• Absenderidentität: Eine unbestätigte SMS-Absender-ID kann manipuliert oder imitiert werden. RCS for Business lässt nur verifizierte Marken markenkonforme Nachrichten senden, sodass Empfänger dem Namen und Logo, das sie sehen, vertrauen können.
• Widerstandsfähigkeit gegen Spam und Phishing: SMS ist ein beliebter Vektor für Smishing – Phishing per Textnachricht. RCS fügt eine zusätzliche Ebene der Verifizierung und die Spam-Erkennung von Google hinzu.
• Analysen: Bei SMS erhalten Sie eine Zustellbestätigung und kaum mehr. RCS bietet zusätzlich Lesebestätigungen und Engagement-Daten, die auch dabei helfen, verdächtige Aktivitäten zu markieren.

Das Ergebnis: Ein Kanal, der wie das Schreiben von Textnachrichten aussieht und sich auch so anfühlt, sich aber viel mehr wie ein modernes, sicheres App-Erlebnis verhält. Genau aus diesem Grund geben 59 % der Verbraucher an, dass sie RCS gegenüber SMS oder MMS für Verifizierungsnachrichten bevorzugen. Die vollständige Funktionsübersicht finden Sie unter RCS und SMS im Vergleich.

Das ist der Teil, den Anbieter gerne beschönigen, daher lohnt es sich, hier genau hinzusehen.

RCS for Business-Nachrichten sind bei der Übertragung verschlüsselt, nicht Ende-zu-Ende. Wenn eine verifizierte Marke eine RCS-Nachricht sendet, wird diese zwischen dem Agenten der Marke und der RCS for Business-Plattform verschlüsselt, auf Spam- und Malware-Compliance geprüft und anschließend auf dem Weg zum Empfänger bei der Übertragung erneut verschlüsselt. Da die Nachricht jedoch die Infrastruktur von Google und die Netzwerke der Mobilfunkanbieter durchläuft, können Google und Aggregatoren technisch auf den Inhalt zugreifen.. Die plattformübergreifende E2EE, die für private Chats eingeführt wird, erstreckt sich nicht auf Business Messaging zwischen Marke und Verbraucher.

Das macht RCS for Business nicht unsicher – es macht es vielmehr für einige Anwendungsfälle geeignet und für andere nicht. Was die Compliance betrifft, verfügt RCS for Business über starke Nachweise: ISO 27001, SOC 2, SOC 3, DSGVO und PSD2. Google erwartet, dass jede Marke und jeder Aggregator die lokalen Datenschutzgesetze einhält und eine Datenschutzerklärung veröffentlicht, die darlegt, wie Endnutzerdaten verwendet werden, sodass die DSGVO-Verantwortung letztendlich bei dem Unternehmen liegt, das die Nachrichten sendet.

„RCS for Business teilt sich dasselbe Sicherheits-Framework wie RCS, die Business-Lösung umfasst jedoch auch eine zusätzliche Schutzschicht, die sich auf die Verifizierung des Unternehmens konzentriert, was zum Aufbau von Vertrauen zwischen Unternehmen und Verbrauchern beiträgt.“

Miriam Liszewski RCS Commercial Product Managerin bei Sinch

Ein praktischer Ratschlag: RCS for Business eignet sich hervorragend für Marketing, Werbekampagnen, Bestell- und Zustellungsbenachrichtigungen, Terminerinnerungen und markenkonforme Nachrichten – also die große Mehrheit der Nachrichten, die von Marken gesendet werden. Es ist nicht der richtige Kanal für vertrauliche Daten. Wenn Ihr Anwendungsfall Informationen umfasst, die unter HIPAA, PCI-DSS oder ähnliche Vorschriften fallen, bewahren Sie die Daten hinter einer authentifizierten Anmeldung auf, anstatt sie im Textkörper einer Nachricht zu speichern. Sogar WhatsApp Business, dessen private Chats die Ende-zu-Ende-Verschlüsselung des Signal-Protokolls nutzen, verarbeitet Business-Nachrichten innerhalb der Systeme von Meta und Ihres Anbieters. Wir vergleichen die beiden Kanäle detailliert in RCS vs. WhatsApp.

Profi-Tipp: Passen Sie den Kanal an die Sensibilität der Daten an. Nutzen Sie RCS for Business für Engagement und Benachrichtigungen, und reservieren Sie Kanäle mit standardmäßiger E2EE für alles, was wirklich vertraulich ist.

Die Verschlüsselung schützt die Nachricht. Die Verifizierung schützt die Identität – und im Business Messaging findet bei der Identität der meiste Betrug statt.

Nur verifizierte Unternehmen können markenkonforme RCS-Nachrichten senden. Um sich zu verifizieren, reicht eine Marke Identifikations- und Unternehmensdaten ein, und der Antrag wird von einer Kombination aus Google, den Mobilfunkanbietern und regionalen Verifizierungsanbietern geprüft, bevor ein RCS-Profil genehmigt wird. Nach der Genehmigung erscheinen der Name der Marke, das Logo und ein verifiziertes Häkchen in jeder Nachricht – so kann ein Kunde eine echte Nachricht auf einen Blick von einem Spoofing-Versuch unterscheiden. Da ein böswilliger Akteur keine Nachrichten über ein markenkonformes, verifiziertes Profil senden kann, ohne diese Prüfung zu bestehen, ist der Kanal weitaus widerstandsfähiger gegen Spoofing und Smishing die SMS plagen.

Dies ist wichtig, da Vertrauen fragil ist. 53 % der Verbraucher geben an, legitime Markennachrichten erhalten zu haben, die ihnen verdächtig vorkamen, und fast 80 % sagen, dass visuelle Indikatoren wie ein Logo und ein Häkchen ihr Vertrauen in die Identität eines Absenders stärken. Auch beim Thema Spam hat Google stark nachgebessert: Auf dem Mobile World Congress erklärte sein RCS for Business-Team, wie Erkenntnisse aus den Spam-Schutz-Systemen von Gmail angewendet werden, um unerwünschte Nachrichten aus RCS fernzuhalten.

Die Verifizierung untermauert auch sichere Anwendungsfälle wie RCS-Einmalpasswörter (OTPs), bei denen das markenkonforme, verifizierte Profil Nutzer darin bestärkt, dass ein Anmeldecode wirklich von ihrer Bank und nicht von einem Betrüger stammt. Erfahren Sie mehr darüber, wie das Häkchen funktioniert, in unserem Leitfaden zu verifizierten RCS-Absendern.

Sicherheit hängt natürlich auch von der Einwilligung ab. Kunden stimmen RCS auf die gleiche Weise zu wie anderen Business-Nachrichten – oft über ein Kontrollkästchen in einem Formular – und die Regeln unterscheiden sich je nach Region, wobei in den USA strenge Opt-in Standards gelten. Wenn ein Kunde mit „STOP“ antwortet oder um Entfernung bittet, muss das Unternehmen das Messaging an ihn einstellen, und Google verlangt von den Absendern den Nachweis, dass eine Opt-in-Einwilligung eingeholt wurde und ein Opt-out verfügbar ist.

RCS-Sicherheit ist kein einfacher Schalter – es ist Verschlüsselung bei der Übertragung als Basis, Ende-zu-Ende-Verschlüsselung für private Chats, verifizierte Absenderidentität zum Stoppen von Spoofing und echte Compliance-Nachweise für Business Messaging. Richtig verstanden, ist es einer der triftigsten Gründe, SMS hinter sich zu lassen. Nachlässig verstanden führt es dazu, dass eine Marke letztendlich die falschen Daten über den falschen Kanal sendet.

Das sicherste RCS-Programm basiert auf dem richtigen Kanal für jede Nachricht. Sinch baut seit 2017 RCS aus und pflegt tiefgreifende Partnerschaften mit Google und Mobilfunkanbietern weltweit.

Sind Sie bereit, ein sicheres, verifiziertes RCS-Messaging einzuführen? Wenden Sie sich an unser Team und wir helfen Ihnen dabei, ein Programm zu entwerfen, das Ihren Compliance-Anforderungen entspricht. Oder, wenn Sie RCS parallel zu WhatsApp und SMS mit automatischem Fallback betreiben möchten, erkunden Sie die Sinch Conversation API und entwickeln Sie einmalig, um Kunden auf dem Kanal zu erreichen, auf dem sie empfangen können – Erlebnisse, denen Ihre Kunden vertrauen werden.

Autor/in: Megan Libby Megan ist Sr. Content Marketing Managerin bei Sinch und leitet Thought Leadership und Content-Initiativen rund um SMS/MMS, RCS und Omnichannel-Messaging-Themen.