Handy auf Spyware prüfen lassen – was eine forensische Untersuchung wirklich feststellen kann

Der Verdacht, dass das eigene Smartphone überwacht wird, kann sehr belastend sein. Betroffene berichten beispielsweise davon, dass andere Personen Dinge wissen, die sie eigentlich nicht wissen könnten, Nachrichten offenbar bekannt sind, Standorte nachvollzogen werden oder sich das Smartphone plötzlich ungewöhnlich verhält.

Die naheliegende Vermutung lautet dann häufig: Auf meinem Handy befindet sich Spyware.

Das ist möglich. Überwachungssoftware für Smartphones existiert tatsächlich und wird auch gegen Privatpersonen eingesetzt. Allerdings ist Spyware nur eine von mehreren Möglichkeiten, wie jemand Zugriff auf persönliche Informationen erhalten kann.

Eine seriöse Untersuchung sollte deshalb nicht mit der Annahme beginnen, dass sich zwangsläufig eine Spionage-App auf dem Gerät befindet. Entscheidend ist vielmehr die Frage:

Gibt es technische Hinweise darauf, dass das Smartphone oder damit verbundene Konten unbefugt überwacht oder verwendet wurden?

Genau dieser Frage geht eine forensische Smartphone-Untersuchung nach.

Was versteht man überhaupt unter Spyware?

Der Begriff „Spyware“ wird sehr unterschiedlich verwendet.

Im klassischen Sinn handelt es sich um Software, die Informationen von einem Gerät sammelt und an eine andere Person oder einen externen Server überträgt. Je nach Software können beispielsweise Standortdaten, Nachrichten, Kontakte, Anrufinformationen, Fotos oder andere Inhalte betroffen sein.

Eine besondere Form ist sogenannte Stalkerware. Dabei handelt es sich häufig um kommerziell erhältliche Überwachungssoftware, die beispielsweise von Partnern oder ehemaligen Partnern auf einem Smartphone installiert wird.

Solche Anwendungen versuchen teilweise, ihre eigene Existenz vor dem Gerätebesitzer zu verbergen. Sie können unter einem unauffälligen Namen erscheinen oder besondere Systemberechtigungen verwenden.

Daneben gibt es wesentlich aufwendigere Überwachungssysteme wie Pegasus und vergleichbare sogenannte Mercenary Spyware.

Diese Angriffsklasse unterscheidet sich jedoch deutlich von typischer Stalkerware. Solche hochentwickelten Angriffe werden mit erheblichem technischen und finanziellen Aufwand gegen einzelne ausgewählte Personen eingesetzt. Zu den bekannten Zielgruppen gehören beispielsweise Journalisten, Menschenrechtsaktivisten, Diplomaten und andere besonders exponierte Personen.

Wenn eine Privatperson vermutet, überwacht zu werden, bedeutet das daher nicht automatisch, dass hochentwickelte staatliche Spionagesoftware zum Einsatz gekommen ist.

Nicht jede Überwachung benötigt Spyware

Dieser Punkt ist besonders wichtig.

Ein Smartphone kann überwacht werden, obwohl sich darauf keinerlei klassische Spyware befindet.

Ein Beispiel ist ein kompromittiertes Google- oder Apple-Konto. Kennt eine andere Person die Zugangsdaten oder ist auf einem fremden Gerät weiterhin eine Sitzung angemeldet, können unter Umständen Informationen eingesehen werden, ohne dass auf dem Smartphone selbst eine Schadsoftware installiert wurde.

Ähnliches gilt für verknüpfte Geräte und Freigaben.

Denkbar sind beispielsweise ein noch angemeldeter Webzugang zu einem Kommunikationsdienst, eine Standortfreigabe, ein unbekanntes Gerät im Benutzerkonto, eine Fernwartungssoftware oder eine Konfiguration, die ursprünglich mit Zustimmung eingerichtet wurde und später vergessen wurde.

Bei einer sinnvollen Sicherheitsanalyse sollte deshalb nicht ausschließlich nach einer bestimmten Spyware-App gesucht werden.

Woran erkennt man Spyware auf dem Smartphone?

Eine eindeutige Antwort darauf gibt es leider nicht.

Im Internet werden häufig Symptome genannt wie ungewöhnlich hoher Akkuverbrauch, plötzlich hoher Datenverbrauch, ein warmes Smartphone, unbekannte Anwendungen, ungewöhnliche Benachrichtigungen, eine unerwartete Aktivierung von Mikrofon oder Kamera oder ein allgemein verändertes Verhalten des Gerätes.

Solche Auffälligkeiten können einen technischen Hintergrund haben. Sie sind für sich genommen aber kein Beweis für eine Überwachung.

Ein alter Akku kann beispielsweise ebenfalls zu ungewöhnlichem Energieverbrauch führen. Apps können nach einem Update Fehler verursachen. Cloud-Synchronisation kann große Datenmengen übertragen und ein Smartphone kann aufgrund gewöhnlicher Hintergrundprozesse warm werden.

Umgekehrt gilt allerdings genauso:

Ein Smartphone muss sich bei einer tatsächlichen Überwachung nicht auffällig verhalten.

Professionell entwickelte Überwachungssoftware versucht gerade, möglichst wenig Aufmerksamkeit zu erzeugen.

Eine belastbare Aussage lässt sich deshalb nicht allein anhand äußerer Symptome treffen.

Warum ein normaler Virenscan nicht ausreicht

Ein Virenscanner kann ein sinnvoller Bestandteil der Prüfung sein. Eine forensische Untersuchung ist jedoch etwas anderes.

Sicherheitssoftware sucht in erster Linie nach bekannten Schadprogrammen und verdächtigem Verhalten. Bei einer forensischen Analyse werden zusätzlich vorhandene System-, App- und Nutzungsartefakte ausgewertet.

Dabei geht es nicht nur um die Frage:

Ist eine bekannte Spyware installiert?

Ebenso wichtig sind Fragen wie:

Welche Anwendungen waren auf dem Gerät vorhanden?

Wann wurden sie installiert?

Welche besonderen Berechtigungen wurden vergeben?

Existieren verdächtige Konfigurationen, Profile, VPN-Verbindungen oder Fernzugriffsmöglichkeiten?

Gibt es technische Spuren, die zu bekannten Angriffsmustern passen?

Gibt es zeitliche Zusammenhänge zwischen einem geschilderten Vorfall und Veränderungen auf dem Smartphone?

Gerade diese Zusammenhänge können bei einer Untersuchung entscheidend sein.

Wie wir ein Smartphone auf mögliche Überwachung untersuchen

Die konkrete Vorgehensweise hängt vom Gerät, Betriebssystem, Softwarestand und der jeweiligen Fragestellung ab.

Android und iOS unterscheiden sich technisch deutlich voneinander. Auch zwischen verschiedenen Android-Herstellern und Betriebssystemversionen bestehen erhebliche Unterschiede darin, welche Daten ausgelesen und analysiert werden können.

Zu Beginn erfassen wir deshalb zunächst den konkreten Verdacht.

Dabei ist es hilfreich zu wissen, warum der Verdacht entstanden ist. Beispielsweise:

Seit wann besteht das Problem?

Gab es einen Zeitraum, in dem eine andere Person Zugriff auf das entsperrte Smartphone hatte?

Welche Informationen scheint die andere Person zu kennen?

Gab es ungewöhnliche Nachrichten, Anmeldungen oder Sicherheitsmeldungen?

Existiert ein bestimmter Zeitraum, der besonders relevant ist?

Diese Informationen helfen dabei, die technische Untersuchung gezielt durchzuführen.

Anschließend werden – soweit das jeweilige Smartphone dies zulässt – forensisch relevante Daten gesichert und ausgewertet.

Für die Analyse setzen wir professionelle Forensiksoftware ein und können je nach Fragestellung zusätzlich spezialisierte Werkzeuge zur Untersuchung bekannter Spyware-Indikatoren verwenden.

Dabei können unter anderem installierte Anwendungen, Systeminformationen, App-Artefakte, Browser- und Netzwerkhinweise, Berechtigungen, Profile und weitere sicherheitsrelevante Informationen untersucht werden.

Ein wichtiger Bestandteil ist außerdem die zeitliche Auswertung.

Wenn beispielsweise ein bestimmtes Datum bekannt ist, an dem erstmals verdächtige Vorgänge aufgefallen sind, können vorhandene Artefakte gezielt auf Veränderungen und Aktivitäten in diesem Zeitraum untersucht werden.

Was sind Indicators of Compromise?

Bei der Untersuchung moderner Spyware spielen sogenannte Indicators of Compromise – kurz IOC – eine wichtige Rolle.

Dabei handelt es sich um technische Merkmale, die im Zusammenhang mit bekannten Angriffen festgestellt wurden.

Das können beispielsweise bestimmte Domains, Dateien, Prozesse oder andere charakteristische Spuren sein.

Sicherheitsforscher und Organisationen veröffentlichen für verschiedene bekannte Spyware-Kampagnen solche Indikatoren. Forensische Werkzeuge können vorhandene Smartphone-Daten anschließend gegen diese Merkmale prüfen.

Das ist sehr hilfreich, hat aber eine entscheidende Grenze:

Es können nur Spuren erkannt werden, die im untersuchten Datenbestand vorhanden und mit bekannten oder anderweitig identifizierbaren Merkmalen in Verbindung gebracht werden können.

Ein fehlender Treffer beweist deshalb nicht, dass ein Gerät niemals kompromittiert war.

Kann man zweifelsfrei feststellen, dass ein Smartphone frei von Spyware ist?

Nein.

Eine solche Garantie wäre technisch unseriös.

Eine forensische Untersuchung kann Hinweise auf eine Kompromittierung finden. Sie kann bekannte Überwachungssoftware identifizieren, auffällige Konfigurationen feststellen oder technische Spuren sichtbar machen.

Sie kann aber nicht beweisen, dass auf einem Smartphone zu keinem Zeitpunkt irgendeine Form von Überwachung stattgefunden hat.

Dafür gibt es mehrere Gründe.

Daten können bereits gelöscht worden sein. Betriebssysteme speichern bestimmte Informationen nur begrenzte Zeit. Manche Daten sind aufgrund der Sicherheitsarchitektur des Smartphones nicht zugänglich. Neue oder individuell entwickelte Schadsoftware kann noch unbekannt sein. Auch bekannte Spyware wird kontinuierlich verändert, um vorhandene Erkennungsmethoden zu umgehen.

Deshalb formulieren wir ein negatives Untersuchungsergebnis nicht als:

„Auf diesem Smartphone befindet sich definitiv keine Spyware.“

Eine technisch korrekte Aussage lautet vielmehr:

„In den untersuchten Daten wurden keine Hinweise auf bekannte Überwachungssoftware oder eine erkennbare Kompromittierung festgestellt.“

Dieser Unterschied ist wichtig.

Was passiert, wenn etwas Verdächtiges gefunden wird?

Ein Fund muss zunächst bewertet werden.

Nicht jede ungewöhnliche App ist Spyware und nicht jede auffällige Netzwerkverbindung ist ein Angriff.

Gerade in der digitalen Forensik ist es wichtig, automatisierte Treffer nicht ungeprüft als Beweis zu übernehmen.

Werden verdächtige Artefakte festgestellt, betrachten wir deshalb den technischen Zusammenhang und prüfen, ob sich daraus eine nachvollziehbare Bewertung ableiten lässt.

Das Ergebnis kann beispielsweise sein, dass tatsächlich Hinweise auf Überwachungssoftware vorhanden sind.

Es kann aber auch eine sicherheitsrelevante Konfiguration gefunden werden, obwohl keine klassische Spyware installiert ist.

In anderen Fällen existieren Auffälligkeiten, deren Ursache sich technisch nicht eindeutig bestimmen lässt.

Und selbstverständlich gibt es Untersuchungen, bei denen keine Hinweise auf eine Überwachung gefunden werden.

Auch letzteres ist ein Untersuchungsergebnis.

Besonderheiten bei Android

Android bietet Anwendungen teilweise weitreichende Möglichkeiten, sofern ihnen entsprechende Berechtigungen eingeräumt wurden.

Für Überwachungssoftware können unter anderem Bedienungshilfen beziehungsweise Accessibility-Berechtigungen interessant sein. Auch Geräteadministratorfunktionen, VPN-Verbindungen, Fernzugriffsmöglichkeiten oder Apps aus unbekannten Installationsquellen können bei einer Untersuchung relevant sein.

Bei Android kann deshalb die Untersuchung installierter Apps, ihrer Herkunft und ihrer Berechtigungen besonders wichtig sein.

Besonderheiten beim iPhone

iPhones funktionieren technisch anders.

Die stark abgeschottete Architektur von iOS macht die Installation klassischer Überwachungssoftware schwieriger, schließt Überwachung aber nicht grundsätzlich aus.

Bei einer Untersuchung können beispielsweise Konfigurationsprofile, Geräteverwaltung, verdächtige Systemartefakte, vorhandene Backups und weitere verfügbare Informationen relevant sein.

Zusätzlich sollte geprüft werden, ob möglicherweise nicht das iPhone selbst, sondern der Apple Account beziehungsweise damit verbundene Dienste betroffen sind.

Wer von Apple eine Bedrohungsbenachrichtigung wegen eines möglichen gezielten Spyware-Angriffs erhalten hat, sollte uns dies bei der Anfrage unbedingt mitteilen. Ein solcher Fall unterscheidet sich erheblich von einem allgemeinen Verdacht auf Stalkerware oder unbefugten Zugriff.

Sollte man verdächtige Apps sofort löschen?

Nicht unbedingt.

Wenn der Verdacht besteht, dass das Smartphone innerhalb einer problematischen Partnerschaft oder durch eine andere bekannte Person überwacht wird, sollte vorsichtig vorgegangen werden.

Das Löschen einer Überwachungs-App oder eine auffällige Veränderung am Gerät kann von der Person bemerkt werden, die die Überwachung eingerichtet hat.

Besteht eine unmittelbare persönliche Gefährdung, sollte Hilfe möglichst über ein anderes, vertrauenswürdiges Gerät gesucht werden.

Auch aus forensischer Sicht kann vorschnelles Löschen problematisch sein.

Werden Apps entfernt, Einstellungen geändert, das Smartphone zurückgesetzt oder umfangreiche Bereinigungsprogramme ausgeführt, können genau die Spuren verschwinden, die anschließend untersucht werden sollen.

Wenn eine spätere technische Untersuchung oder Beweissicherung in Betracht kommt, sollte das Gerät deshalb möglichst wenig verändert werden.

Sollte das Smartphone vor der Untersuchung zurückgesetzt werden?

Nein.

Ein Zurücksetzen auf Werkseinstellungen kann zwar dabei helfen, vorhandene Schadsoftware zu beseitigen. Für eine anschließende forensische Untersuchung ist es jedoch häufig kontraproduktiv.

Durch den Reset können relevante Artefakte unwiederbringlich verloren gehen.

Wer wissen möchte, ob eine Überwachung stattgefunden hat, sollte das Smartphone daher möglichst im aktuellen Zustand untersuchen lassen.

Das gilt insbesondere dann, wenn das Ergebnis möglicherweise später dokumentiert oder rechtlich verwendet werden soll.

Was benötigt man für eine Untersuchung?

Im Normalfall sollte sich das Smartphone noch einschalten lassen und der Besitzer sollte den aktuellen Sperrcode beziehungsweise PIN kennen.

Moderne Smartphones sind stark verschlüsselt. Ohne Entsperrmöglichkeit kann der Zugriff auf forensisch relevante Daten erheblich eingeschränkt oder vollständig verhindert sein.

Außerdem sollte möglichst genau beschrieben werden, warum eine Überwachung vermutet wird.

Dabei müssen keine technischen Fachbegriffe verwendet werden.

Eine Aussage wie:

„Seit Anfang August kennt mein ehemaliger Partner meinen Aufenthaltsort, obwohl ich ihn darüber nicht informiere“

ist für eine Untersuchung oftmals hilfreicher als die allgemeine Angabe:

„Mein Akku ist schnell leer.“

Je konkreter ein Zeitraum oder ein Vorfall eingegrenzt werden kann, desto gezielter können vorhandene Daten geprüft werden.

Werden bei der Untersuchung persönliche Inhalte angesehen?

Eine Smartphone-Forensik kann zwangsläufig sehr persönliche Daten berühren.

Auf heutigen Smartphones befinden sich häufig private Kommunikation, Fotos, Kontakte, Standortinformationen und weitere sensible Inhalte.

Deshalb sollte eine Untersuchung immer auf die konkrete Fragestellung beschränkt werden.

Das Ziel einer Spyware- oder Sicherheitsanalyse ist nicht, private Inhalte eines Kunden ohne Grund zu durchsuchen. Relevant sind vielmehr die technischen Artefakte und Zusammenhänge, die zur Beantwortung der Untersuchungsfrage benötigt werden.

Wenn beispielsweise bestimmte Kommunikationsdaten oder Zeiträume für die Untersuchung relevant sind, kann eine gezielte Auswertung erforderlich sein. Der Umfang hängt deshalb immer vom jeweiligen Fall ab.

Erhält man nach der Untersuchung einen Bericht?

Nach einer forensischen Sicherheitsanalyse wird das Ergebnis nachvollziehbar dokumentiert.

Dabei sollte klar unterschieden werden zwischen festgestellten Tatsachen, technischen Auffälligkeiten und einer daraus abgeleiteten Einschätzung.

Ein möglicher Befund kann beispielsweise lauten, dass technische Hinweise auf eine bestimmte Überwachungssoftware festgestellt wurden.

Ebenso kann dokumentiert werden, dass eine ungewöhnliche Konfiguration oder ein fremder Zugriff festgestellt wurde, ohne dass daraus eine klassische Spyware-Infektion abgeleitet werden kann.

Wird nichts Verdächtiges gefunden, wird auch das transparent dokumentiert – einschließlich der technischen Grenzen der Untersuchung.

Gerade bei solchen Fällen ist ein seriöses Ergebnis häufig nicht einfach „Ja“ oder „Nein“.

Kann das Ergebnis vor Gericht verwendet werden?

Das hängt stark vom konkreten Fall, der Art der Sicherung, der Dokumentation und dem späteren Verwendungszweck ab.

Eine technische Sicherheitsanalyse und eine gerichtsfeste forensische Beweissicherung sind nicht automatisch dasselbe.

Wenn bereits vor der Untersuchung feststeht, dass die Ergebnisse in einem Straf- oder Zivilverfahren verwendet werden sollen, sollte uns dies deshalb unbedingt vor Beginn der Arbeiten mitgeteilt werden.

Dann kann geprüft werden, welche zusätzlichen Anforderungen an Sicherung, Dokumentation und Nachvollziehbarkeit berücksichtigt werden müssen.

Was kostet eine forensische Untersuchung eines Smartphones?

Eine häufige Frage lautet: Was kostet es, ein Handy auf Spyware untersuchen zu lassen?

Der Aufwand hängt vom Gerät, Betriebssystem, der verfügbaren Zugriffsmöglichkeit und der konkreten Fragestellung ab.

Für eine forensische Untersuchung eines entsperrbaren Smartphones auf Spyware, Stalkerware oder Hinweise auf unbefugte Zugriffe liegen die Kosten in typischen Fällen bei etwa 700 bis 1.000 EUR inklusive MwSt.

Vor Beginn der eigentlichen Untersuchung wird geprüft, welche technischen Möglichkeiten beim jeweiligen Gerät bestehen und welcher Untersuchungsumfang sinnvoll ist. Sie erhalten anschließend eine entsprechende Kosteninformation.

Bei besonders umfangreichen Untersuchungen, zusätzlichen Geräten, sehr großen Datenbeständen oder einer gerichtsfesten Beweissicherung kann der Aufwand höher sein.

Die Kosten entstehen für die forensische Untersuchung selbst. Ein Ergebnis, bei dem keine Spyware oder sonstige Auffälligkeit festgestellt wird, bedeutet daher nicht, dass die Untersuchung erfolglos war. Auch die Feststellung, dass sich in den untersuchten Daten keine entsprechenden technischen Hinweise finden, ist ein Untersuchungsergebnis.

Wann ist eine Untersuchung besonders sinnvoll?

Eine Untersuchung kann insbesondere dann sinnvoll sein, wenn konkrete und wiederholbare Auffälligkeiten bestehen.

Dazu gehört beispielsweise, dass eine andere Person Informationen kennt, zu denen sie eigentlich keinen Zugang haben sollte.

Auch unbekannte Anmeldungen, verdächtige Sicherheitsmeldungen, ungewöhnliche Apps oder Konfigurationen sowie der bekannte Zugriff einer anderen Person auf das entsperrte Gerät können einen nachvollziehbaren Anlass darstellen.

Andererseits sollte niemand aus einzelnen technischen Auffälligkeiten vorschnell schließen, dass er überwacht wird.

Ein hoher Akkuverbrauch oder ein langsames Smartphone sind alleine keine Beweise für Spyware.

Eine forensische Untersuchung soll deshalb weder einen Verdacht bestätigen noch widerlegen, bevor die Daten betrachtet wurden.

Ihr Zweck besteht darin, technische Fakten festzustellen.

Was Sie vor einer Untersuchung möglichst nicht tun sollten

Wenn Sie Ihr Smartphone untersuchen lassen möchten, sollten Sie es möglichst nicht auf Werkseinstellungen zurücksetzen.

Verdächtige Apps sollten nicht vorschnell gelöscht werden und es sollten möglichst keine umfangreichen Sicherheits- oder Bereinigungsprogramme ausgeführt werden.

Wenn Sie glauben, dass eine andere Person Zugriff auf Ihre Konten besitzt und gleichzeitig eine persönliche Gefährdung besteht, nehmen Sie Änderungen an Passwörtern oder Sicherheitseinstellungen nach Möglichkeit von einem anderen vertrauenswürdigen Gerät aus vor.

Besteht keine akute Gefahr und steht eine forensische Beweissicherung im Vordergrund, sollte zunächst geklärt werden, welche Änderungen vorgenommen werden können, ohne relevante Spuren zu zerstören.

Eine forensische Untersuchung liefert Fakten – keine vorgefertigte Antwort

Der Verdacht auf Überwachung ist ein sensibles Thema.

Es wäre genauso falsch, jeden Verdacht als unbegründet abzutun, wie bei jeder ungewöhnlichen Smartphone-Funktion sofort von Spyware auszugehen.

Stalkerware und andere Formen digitaler Überwachung existieren tatsächlich. Gleichzeitig gibt es zahlreiche technische und organisatorische Möglichkeiten, durch die Informationen in fremde Hände gelangen können, ohne dass sich klassische Spyware auf dem Smartphone befindet.

Eine seriöse forensische Untersuchung beginnt deshalb ergebnisoffen.

Sie sucht nicht nach einer Bestätigung für eine bereits feststehende Vermutung, sondern nach technischen Spuren, die sich nachvollziehbar bewerten lassen.

Und auch wenn keine entsprechenden Spuren gefunden werden, gehört zur Transparenz, klar zu sagen, was untersucht werden konnte – und wo die technischen Grenzen der Untersuchung liegen.

Smartphone auf Spyware oder unbefugte Zugriffe untersuchen lassen

Wenn Sie den Verdacht haben, dass Ihr Smartphone überwacht wird, können Sie das Gerät von uns technisch und forensisch untersuchen lassen.

Beschreiben Sie bei der Anmeldung bitte möglichst genau, warum der Verdacht entstanden ist. Besonders hilfreich sind konkrete Ereignisse, Zeiträume, ungewöhnliche Meldungen oder Situationen, in denen möglicherweise eine andere Person Zugriff auf das entsperrte Smartphone hatte.

Für typische Untersuchungen eines entsperrbaren Smartphones liegen die Kosten erfahrungsgemäß bei etwa 700 bis 1.000 EUR inklusive MwSt. Der genaue Aufwand hängt vom Gerät und der jeweiligen Fragestellung ab.

Zur Anmeldung:

https://www.datenrettung-austria.at/analyze.php

Bitte vermerken Sie im Bemerkungsfeld, dass Sie eine Untersuchung auf Spyware beziehungsweise unbefugte Überwachung wünschen.