Android ist das Gegenstück zum iPhone-Problem. Unter iOS ist die Sandbox so streng, dass keine App das System scannen kann – deshalb können Virenscanner fürs iPhone nicht leisten, was ihre Beschreibungen nahelegen. Unter Android dürfen Sie an mehreren der entscheidenden Stellen nachsehen, und die meisten davon sind ganz gewöhnliche Einstellungsbildschirme, die Sie sofort öffnen können.

Diese Offenheit ist auch der Grund, warum es unter Android mehr Stalkerware gibt. Wer Ihr Telefon fünf Minuten lang entsperren kann, kann eine App von außerhalb des Play Store installieren, ihr die nötigen Berechtigungen erteilen und ihr Symbol verstecken. Kein Exploit, kein Jailbreak, keine technischen Kenntnisse. Nur Ihr Code und ein paar Minuten allein mit Ihrem Gerät.

Dieser Ratgeber zeigt, was Sie selbst prüfen können, in der sinnvollen Reihenfolge – und danach das eine, was von einem Computer aus geschehen muss.

Bevor Sie anfangen: wenn Sie glauben zu wissen, wer Sie überwacht

Ist die Person, die Sie verdächtigen, Ihr Partner oder Ihre Partnerin, ein Ex, ein Familienmitglied oder Ihr Arbeitgeber, dann lesen Sie den Abschnitt zur Sicherheit gegen Ende dieses Artikels, bevor Sie auch nur eine Einstellung ändern. Manche Überwachungs-Apps benachrichtigen denjenigen, der sie installiert hat, wenn sie deaktiviert werden – und in einer kontrollierenden Beziehung kann diese Benachrichtigung die Lage verschlimmern. Nichts von dem, was folgt, ist so dringend, dass Sie diesen Schritt überspringen sollten.

Wie Stalkerware unter Android tatsächlich funktioniert

Fast jede kommerzielle Überwachungs-App für Android stützt sich auf dieselben drei Funktionen. Sie sind legitime Bestandteile des Systems, für echte Zwecke gebaut – und sie sind der Grund, warum diese Software nahezu alles beobachten kann, ohne irgendeine Schwachstelle auszunutzen.

Bedienungshilfen. Diese Berechtigung wurde entwickelt, damit Screenreader funktionieren. Sie erlaubt einer App, den Inhalt Ihres Bildschirms zu sehen und mitzuverfolgen, was Sie tippen. Genau diese Fähigkeit braucht ein Keylogger. Wenn Sie auf dieser Seite nur eine Sache prüfen, dann diese.

Benachrichtigungszugriff. Jede Benachrichtigung, die Ihr Telefon empfängt – einschließlich des vollständigen Texts von Nachrichten aus Apps, die die Überwachungssoftware sonst nicht lesen könnte –, läuft über diese Berechtigung.

Geräteadministrator. Gedacht für die Verwaltung von Firmenhandys, macht diese Berechtigung eine App schwerer deinstallierbar und lässt sie sich gegen das Entfernen wehren.

Eine Überwachungs-App mit diesen drei Berechtigungen versteckt sich nicht in irgendeinem dunklen Winkel des Betriebssystems. Sie steht in Ihren Einstellungen, mit Ihrer Erlaubnis daneben vermerkt – weil jemand diese Erlaubnis erteilt hat, während er Ihr Telefon in der Hand hielt.

Sieben Prüfungen, die Sie selbst durchführen können

Die Menübezeichnungen unterscheiden sich zwischen Samsung, Pixel, Xiaomi und anderen Herstellern. Wenn ein Pfad unten nicht zu Ihrem Telefon passt, öffnen Sie die Einstellungen und geben Sie die fett gedruckten Begriffe oben in das Suchfeld ein.

1. Play Protect ausführen – und prüfen, ob es ausgeschaltet wurde

Öffnen Sie den Play Store, tippen Sie auf Ihr Profilsymbol, dann auf Play Protect und anschließend auf „Scannen“. Bekannte Überwachungs-Apps werden dabei markiert.

Aufschlussreicher ist jedoch, ob Play Protect bereits deaktiviert war. Es ist standardmäßig eingeschaltet, warnt Sie, wenn Apps von außerhalb des Play Store installiert werden, und es abzuschalten ist eine bewusste Handlung. Finden Sie es ausgeschaltet vor, ohne es selbst ausgeschaltet zu haben, dann wollte jemand, dass eine Installation unbemerkt bleibt.

2. Die Liste der Bedienungshilfen durchsehen

Einstellungen, dann Bedienungshilfen, dann nach heruntergeladenen oder installierten Diensten suchen. Auf einem normalen Telefon ist diese Liste leer oder enthält Werkzeuge, die Sie selbst gewählt haben: einen Screenreader, eine Lupe, einen Passwortmanager, einen Launcher.

Alles, was hier steht und was Sie nicht installiert haben, bedarf einer Erklärung. Die Namen sind absichtlich langweilig gewählt, etwa „System Service“, „Device Health“, „Update Manager“, „Sync Services“ oder „Accessibility Helper“. Eine echte Systemkomponente erscheint nicht im Bereich der heruntergeladenen Dienste.

3. Den Benachrichtigungszugriff prüfen

Einstellungen, dann Benachrichtigungen, dann Geräte- und App-Benachrichtigungen oder „Spezieller App-Zugriff“, dann „Benachrichtigungszugriff“. Dieselbe Logik: Alles, was Sie nicht kennen und was die Berechtigung hat, jede Benachrichtigung auf Ihrem Telefon zu lesen, ist ein ernster Befund.

4. Geräteadministrator-Apps ansehen

Einstellungen, dann Sicherheit, dann Geräteadministrator-Apps. Bei den meisten privaten Telefonen ist diese Liste leer oder zeigt „Mein Gerät finden“. Ein Arbeitsprofil kann berechtigterweise das Verwaltungswerkzeug Ihres Arbeitgebers anzeigen. Eine unbekannte App mit Geräteadministrator-Rechten ist ein Warnsignal – und zugleich der Grund, warum ein früherer Deinstallationsversuch womöglich fehlgeschlagen ist.

5. Den speziellen App-Zugriff durchgehen

Einstellungen, dann Apps, dann Spezieller App-Zugriff. Lesenswert sind die Einträge „Über anderen Apps einblenden“, „Zugriff auf Nutzungsdaten“, „Unbekannte Apps installieren“ und „Zugriff auf alle Dateien“. Überwachungssoftware braucht meist mehrere davon. Vor allem der Zugriff auf Nutzungsdaten verrät, welche Apps sehen können, was Sie öffnen und wie lange.

6. Apps finden, die nicht auf dem Startbildschirm liegen

Eine App kann ihr Symbol verstecken, daher beweist das Durchblättern des Launchers nichts. Gehen Sie zu Einstellungen, dann Apps, dann Alle Apps anzeigen, und lassen Sie sich über das Menü die System-Apps anzeigen. Die Liste ist lang und fast alles darin ist legitim. Achten Sie deshalb auf zwei bestimmte Dinge:

Zwei Exemplare von etwas, das es nur einmal geben sollte – insbesondere ein Taschenrechner, ein Dateimanager, eine Notiz-App oder ein Systemwerkzeug. Ein Duplikat ist eine klassische Tarnung.
Jede App, deren Namen Sie sich nicht erklären können. Suchen Sie nach dem genauen Namen, bevor Sie in Panik geraten, denn fast alles in dieser Liste ist normal – und prüfen Sie dann die Berechtigungen.

Wenn Sie schon dabei sind: Öffnen Sie den Play Store, tippen Sie auf Ihr Profil, dann auf Apps und Gerät verwalten, dann auf „Verwalten“, und stellen Sie den Filter auf „Nicht vom Play Store installiert“. Software aus anderen Quellen ist nicht automatisch schädlich, aber auf einem Telefon, auf dem Sie nie etwas aus anderen Quellen installieren, braucht jeder Eintrag eine Begründung.

7. Akku- und Datenverbrauch mit Ihrer Nutzung vergleichen

Einstellungen, dann Akku, dann Akkunutzung; danach Einstellungen, dann Netzwerk und Internet, dann mobile Datennutzung. Sie suchen nach einer App, die Sie nie öffnen, die aber in einer der beiden Listen weit oben steht, oder nach Hintergrunddaten, die nicht zu Ihren Gewohnheiten passen.

Betrachten Sie das als das schwächste Signal, genau wie beim iPhone. Ein alternder Akku, ein Systemupdate oder eine Fotomediathek, die nach dem Urlaub synchronisiert, erzeugen genau dasselbe Muster. Es ist ein Grund, genauer hinzusehen, aber niemals ein Urteil.

Warum eine App auf dem Telefon die Aufgabe nicht zu Ende bringen kann

Alles oben Genannte lohnt sich, und es deckt viel echte Überwachung auf. Es hat aber drei Grenzen, über die kein auf dem Telefon installierter Scanner hinauskommt.

Apps können sich gegenseitig nach wie vor nicht lesen. Android ist offener als iOS, was die Auflistung installierter Software angeht, aber eine App kann die privaten Daten einer anderen nicht lesen. Ein Scanner kann Ihnen sagen, dass ein verdächtiges Paket existiert. Er kann es nicht öffnen und Ihnen zeigen, was gesammelt wurde.

Ausgefeilte Software versteckt sich vor genau den Bildschirmen, die Sie gerade geprüft haben. Alles, was Root-Zugriff erlangt hat, kann sich aus App-Listen entfernen, sich vor Play Protect verbergen und eine Deinstallation überstehen. Sobald ein Telefon gerootet ist, sind die Werkzeuge auf dem Telefon keine vertrauenswürdigen Zeugen mehr.

Sie bitten den Verdächtigen um sein eigenes Alibi. Ist das Gerät tiefgreifend kompromittiert, stammt jede Antwort, die es Ihnen gibt, von Software, die der Eindringling womöglich kontrolliert. Das ist das strukturelle Problem, und es besteht bei jedem Betriebssystem.

Was eine Analyse vom Computer aus hinzufügt

Schließen Sie das Telefon per USB an einen Computer an und aktivieren Sie den Entwicklerzugriff: Dann kann ein externes Werkzeug jedes installierte Paket auflisten, die Systemprotokolle lesen und alles mit bekannten Kompromittierungsindikatoren abgleichen – Paketnamen kommerzieller Stalkerware, Domains, die Überwachungssoftware kontaktiert, Kombinationen von Berechtigungen, die nur Überwachung braucht.

Entscheidend ist, wo die Analyse läuft. Der Computer bittet das Telefon nicht, sich selbst zu beurteilen. Er liest die Inhalte des Telefons aus und zieht seine eigenen Schlüsse – deshalb ist das die Methode der Forscherinnen und Forscher, die zu diesem Thema veröffentlichen. Das Security Lab von Amnesty International pflegt ein Open-Source-Werkzeug, das Mobile Verification Toolkit, das genau das für Android und iOS leistet.

Es ist allerdings auch ein Kommandozeilenprogramm, bei dem Sie Python-Pakete installieren, ein ADB-Backup ziehen und forensische Ausgaben interpretieren müssen. Die Methode ist solide und öffentlich; das Problem ist der Abstand zwischen einem besorgten Menschen und einer fertigen Analyse. Diesen Abstand zu überbrücken, ist der Zweck von Haris Shield – mit derselben externen Analyse und einem Bericht, der zum Lesen geschrieben ist, nicht zum Auswerten.

Wenn Sie etwas finden: noch nicht löschen

An dieser Stelle machen die meisten Ratgeber einen Fehler, und sie ist wichtiger als alles oben.

Ist die Person, die Sie überwacht, jemand aus Ihrem Umfeld, kann das Entfernen der App das Gefährlichste sein, was Sie tun. Viele Produkte alarmieren denjenigen, der sie installiert hat, sobald die Überwachung endet. In einer gewaltgeprägten oder kontrollierenden Beziehung verrät dieser Alarm der anderen Person, dass Sie die App gefunden haben – in einem Moment, auf den Sie nicht vorbereitet sind. Die Coalition Against Stalkerware, ein Zusammenschluss von Organisationen gegen häusliche Gewalt und Sicherheitsunternehmen, warnt ausdrücklich davor und nennt einen zweiten Grund: Wer die App löscht, löscht auch die Beweise, die man brauchen könnte, wenn man die Polizei einschaltet.

Eine sicherere Reihenfolge:

Ändern Sie vorerst nichts am Telefon und stellen Sie niemanden zur Rede.
Holen Sie sich zuerst Rat, über ein Gerät, auf das die andere Person nie Zugriff hatte. Eine Beratungsstelle gegen häusliche Gewalt kann Ihnen helfen, die Reihenfolge der Schritte zu planen.
Dokumentieren Sie, was Sie gefunden haben. Ein forensischer Bericht hat mehr Gewicht als ein Screenshot.
Ändern Sie Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung von einem anderen Gerät aus, beginnend mit Ihrem Google-Konto.
Entscheiden Sie erst zum Schluss über das Entfernen, wenn Unterstützung bereits da ist.

Kommt in Ihrem Umfeld niemand ernsthaft infrage und sieht es nach gewöhnlicher Kriminalität aus, ist die Abwägung einfacher: Android aktualisieren, das Gefundene entfernen, das Google-Passwort ändern, sich von unbekannten Sitzungen abmelden und einen Werksreset erwägen – ohne ein Backup wiederherzustellen, das das Problem erneut installieren könnte.

Das Telefon zu einem schwierigeren Ziel machen

Legen Sie einen Code fest, den niemand sonst kennt, und prüfen Sie, dass keine zusätzlichen Fingerabdrücke registriert wurden: Einstellungen, dann Sicherheit, dann Fingerabdruck. Physischer Zugriff ist der Ausgangspunkt fast aller dieser Fälle.
Lassen Sie Play Protect eingeschaltet und prüfen Sie gelegentlich, ob es noch aktiv ist.
Installieren Sie Updates zeitnah, sowohl Android-Updates als auch Google-Play-Systemupdates.
Rooten Sie das Telefon nicht, und lassen Sie es auch niemanden für Sie tun.
Überprüfen Sie die Geräte in Ihrem Google-Konto unter myaccount.google.com – wer Ihr Google-Passwort hat, braucht für die Überwachung überhaupt keine App auf dem Telefon.
Gehen Sie bewusst mit Familienfreigaben um. Gewöhnliche Standortfreigaben, einmal eingerichtet und dann vergessen, erklären einen großen Teil dessen, was Menschen als Verfolgung erleben.

Kurz gesagt

Sie können ein Android-Telefon wirklich selbst prüfen, und das sollten Sie auch: Play Protect, Bedienungshilfen, Benachrichtigungszugriff, Geräteadministrator-Apps, spezieller App-Zugriff, die vollständige App-Liste einschließlich versteckter Einträge sowie Muster beim Akku- und Datenverbrauch. Damit ist der Großteil kommerzieller Stalkerware abgedeckt, denn die meiste davon braucht Berechtigungen, die in diesen Bildschirmen auftauchen.

Nicht abgedeckt ist alles mit Root-Zugriff oder alles, was dem Telefon beigebracht hat, über sich selbst zu lügen. Dafür brauchen Sie eine Analyse von außerhalb des Geräts.

Und wenn Sie jemanden aus Ihrem Bekanntenkreis verdächtigen: Holen Sie sich Rat, bevor Sie eine Einstellung anrühren. Das Erkennen ist die leichtere Hälfte.

Quellen

Coalition Against Stalkerware, Informationen für Betroffene: stopstalkerware.org/information-for-survivors
Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re und github.com/mvt-project/mvt
Google, Play Protect: support.google.com/googleplay/answer/2812853
Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Weiterlesen: Spyware auf dem iPhone erkennen, Anzeichen für Stalkerware und was Sie nicht tun sollten, woran Sie erkennen, ob Ihr Telefon gehackt wurde, kostenlose Spyware-Prüfungen, die wirklich funktionieren und Spyware sicher entfernen.

Spyware auf Android erkennen: Was Sie wirklich prüfen können