Spyware auf dem iPhone erkennen – ohne eine App zu installieren

Wenn Sie das hier lesen, hat Sie vermutlich schon etwas beunruhigt. Ein Akku, der schon mittags leer ist. Ein Partner, der Dinge weiß, die Sie ihm nie erzählt haben. Ein Telefon, das sich über Nacht in der Tasche warm angefühlt hat. Sie haben nach einer App gesucht, die Ihr iPhone scannen und Ihnen die Wahrheit sagen kann, und im App Store Dutzende davon gefunden.

Was Ihnen niemand erklären will, der diese Apps verkauft: Auf einem iPhone können sie nicht tun, was Sie glauben, dass sie tun.

Warum Antiviren-Apps für das iPhone keine Spyware finden können

iOS sperrt jede App in eine Sandbox. Eine App sieht ihre eigenen Dateien und sonst nichts. Sie kann weder die Daten einer anderen App lesen noch die auf Ihrem Telefon laufenden Prozesse auflisten noch Systemdateien untersuchen. Diese Bauweise ist einer der Gründe, warum iPhones überhaupt so schwer zu infizieren sind, und sie ist wirklich gut für Sie.

Aber sie wirkt in beide Richtungen. Dieselbe Mauer, die eine schädliche App daran hindert, Ihre Banking-App auszulesen, hindert auch eine Sicherheits-App daran, die schädliche App zu finden. Einen vollständigen Systemscan gibt es unter iOS nicht, weil Apple ihn nicht zulässt. Jedes Produkt im App Store, das als Virenscanner fürs iPhone beworben wird, prüft bestenfalls Ihre WLAN-Einstellungen, warnt Sie vor gefährlichen Websites und teilt Ihnen mit, dass Ihr iOS veraltet ist.

Das wiegt gerade bei den Bedrohungen am schwersten, die Ihnen Sorgen machen. Söldner-Spyware wie Pegasus nutzt Schwachstellen tief im Betriebssystem aus, auf einer Ebene, die keine App in der Sandbox beobachten kann. Ein Werkzeug, das in der Sandbox läuft, sucht nach einem Einbrecher, während es selbst in einem Schrank eingeschlossen ist.

Wenn Sie also nicht vom Telefon aus scannen können – was können Sie tatsächlich tun?

Fünf Prüfungen, die Sie in zehn Minuten selbst durchführen können

Keine davon ist beweiskräftig. Alle lohnen sich, und mehrere haben schon echte Angriffe aufgedeckt.

1. Nach einer Bedrohungsmitteilung von Apple suchen

Apple hält Ausschau nach Spyware-Kampagnen staatlichen Niveaus und warnt Menschen, die nach Einschätzung des Unternehmens ins Visier genommen wurden. Seit 2021 hat Apple Nutzer in mehr als 150 Ländern benachrichtigt; allein eine Kampagne im April 2024 erreichte Menschen in 92 Ländern.

Melden Sie sich unter account.apple.com an und achten Sie auf einen Warnhinweis oben auf der Seite. Apple verschickt außerdem Benachrichtigungen per E-Mail und iMessage an die Adressen, die mit Ihrer Apple-ID verknüpft sind.

Ein entscheidender Vorbehalt: Weil diese Mitteilungen beängstigend und bekannt sind, werden sie von Betrügern gern als Tarnung benutzt. Eine echte Bedrohungsmitteilung von Apple fordert Sie niemals auf, einen Link anzuklicken, etwas zu installieren, eine Datei zu öffnen oder Ihr Passwort preiszugeben. Tut eine Nachricht etwas davon, stammt sie nicht von Apple. Prüfen Sie es, indem Sie sich selbst bei account.apple.com anmelden und die Adresse dabei von Hand eintippen.

2. Nach Konfigurationsprofilen suchen

Ein Konfigurationsprofil ist eine legitime iOS-Funktion, mit der ein Arbeitgeber oder eine Schule ein Gerät verwalten kann. Es ist aber auch einer der wenigen offiziell unterstützten Wege, eine dauerhafte Überwachung auf ein iPhone zu bringen, ohne eine Schwachstelle auszunutzen. Deshalb fordert kommerzielle Stalkerware manchmal dazu auf, ein solches Profil zu installieren, während jemand Ihr Telefon in der Hand hat.

Gehen Sie zu Einstellungen, dann Allgemein, dann „VPN und Geräteverwaltung“. Auf einem normalen privaten iPhone ist dieser Bildschirm leer oder enthält nur Profile, die Sie von Ihrem Arbeitgeber kennen. Alles, was Sie nicht kennen, verdient eine Erklärung, bevor Sie es entfernen.

3. Überprüfen, was Ihre Apps sehen dürfen

Gehen Sie zu Einstellungen, dann „Datenschutz & Sicherheit“, und gehen Sie Ortungsdienste, Mikrofon, Kamera, Fotos und Kontakte durch. Sie suchen hier nicht nach Spyware. Sie suchen nach gewöhnlichen Apps mit außergewöhnlichen Berechtigungen – denn die häufigste Form der Telefonüberwachung ist gar keine exotische Schadsoftware. Es ist eine Familienfreigabe-App, ein Foto-Backup-Dienst oder eine Notiz-App, die jemand installiert und still und leise mit seinem eigenen Konto verbunden hat.

Wenn Sie schon dabei sind: Öffnen Sie die Einstellungen, tippen Sie oben auf Ihren Namen und prüfen Sie die Liste der Geräte, die mit Ihrer Apple-ID angemeldet sind. Ein Gerät, das Sie nicht kennen, bedeutet, dass jemand Ihre iCloud-Backups lesen kann – und dazu gehören Ihre Nachrichten.

4. Nach Anzeichen eines Jailbreaks suchen

Die meiste dauerhafte iPhone-Spyware braucht ein gejailbreaktes Gerät. Wurde Ihr Telefon ohne Ihr Wissen gejailbreakt, finden Sie womöglich eine App namens Cydia, Sileo oder Zebra, die Sie nie installiert haben. Durchsuchen Sie Ihr Telefon nach diesen Namen. Ihr Vorhandensein beweist keine Spionage, aber es beweist, dass jemand die Schutzmechanismen von Apple auf Ihrem Gerät entfernt hat.

5. Akku- und Datenverbrauch mit Ihren Gewohnheiten vergleichen

Öffnen Sie Einstellungen, dann Batterie, und sehen Sie sich die letzten zehn Tage an. Danach Einstellungen, dann Mobilfunk, und gehen Sie die Werte pro App durch. Sie suchen nach etwas, das nicht dazu passt, wie Sie Ihr Telefon tatsächlich nutzen: eine App, die Sie nie öffnen, weit oben in der Batterieliste, oder Hintergrunddaten im Gigabyte-Bereich.

Betrachten Sie das als das schwächste der fünf Signale. Ein schwächelnder Akku, ein iOS-Update oder eine Fotomediathek, die nach dem Urlaub synchronisiert, erzeugen alle dasselbe Muster. Unerklärlicher Verbrauch ist ein Grund, genauer hinzusehen, aber kein Urteil.

Was diese Prüfungen Ihnen nicht sagen können

Alles oben Beschriebene geschieht innerhalb der Sandbox – und das heißt, dass alles davon von jeder ausgefeilten Software ausgehebelt werden kann. Zero-Click-Spyware hinterlässt kein Symbol, fordert keine Berechtigung an und verlangt von Ihnen kein einziges Tippen. Sie kann über eine Nachricht installiert werden, die Sie nie geöffnet haben, und manche Varianten überstehen nicht einmal einen Neustart, was es noch schwerer macht, sie auf frischer Tat zu ertappen.

Spuren gibt es durchaus. Sie liegen nur an Stellen, an denen iOS keine App nachsehen lässt: in Absturzprotokollen, in Datenbanken, die festhalten, welche Prozesse wann das Netzwerk genutzt haben, in einer kleinen Systemdatei, die das Herunterfahren protokolliert, und in den Metadaten eines verschlüsselten Backups. Um sie zu lesen, muss man die Sandbox verlassen, und dafür gibt es nur einen praktikablen Weg.

Wie eine Analyse vom Computer aus funktioniert

Verbinden Sie das iPhone per Kabel mit einem Computer, und das Telefon erstellt ein vollständiges Backup, dazu Diagnosedaten, die keine App auf dem Gerät lesen darf. Dieses Backup lässt sich dann mit bekannten Kompromittierungsindikatoren abgleichen: Domains, die Söldner-Spyware bekanntermaßen kontaktiert, Prozessnamen, die sie erzeugt, Spuren, die sie hinterlässt.

Das ist die Methode der Forscherinnen und Forscher, die diese Kampagnen tatsächlich aufdecken. Das Security Lab von Amnesty International veröffentlicht ein Open-Source-Werkzeug namens Mobile Verification Toolkit, das genau das tut, und es war die Grundlage der Recherchen des Pegasus-Projekts im Jahr 2021. Es ist kostenlos, genießt einen guten Ruf – und es ist ein Kommandozeilenprogramm, das voraussetzt, dass Sie sicher Python-Pakete installieren und forensische Ausgaben interpretieren können.

Genau da liegt ehrlicherweise der Haken. Die Methode ist solide und die Werkzeuge sind öffentlich, aber die Lücke zwischen einem besorgten Menschen und einer funktionierenden forensischen Analyse ist groß. Diese Lücke zu schließen, ist der Zweck von Haris Shield: eine Analyse vom Computer aus anhand derselben öffentlichen Indikatoren, mit einem Bericht, den Sie ohne Terminal lesen können. Die aktuelle Version analysiert kein vollständiges Backup. Sie liest über das Kabel Absturzprotokolle und installierte Profile aus, dazu eine sysdiagnose, wenn Sie eine importieren; die vollständige Liste finden Sie unter So funktioniert es.

Wenn Sie etwas finden: Lesen Sie das, bevor Sie es löschen

Das ist der wichtigste Abschnitt dieses Artikels, und genau ihn lassen die meisten Ratgeber aus.

Wenn Sie vermuten, dass die Person, die Sie überwacht, jemand aus Ihrem Leben ist – ein Partner, ein Ex, ein Familienmitglied, ein Arbeitgeber –, dann ist das Entfernen der Spyware nicht ohne Weiteres der erste Schritt. Viele Stalkerware-Produkte alarmieren denjenigen, der sie installiert hat, sobald sie deaktiviert werden. In einer kontrollierenden oder gewaltgeprägten Situation ist der Moment, in dem die Überwachung aufhört, der Moment, in dem die beobachtende Person weiß, dass Sie sie entdeckt haben. Diese Eskalation ist ein dokumentiertes Risiko, kein hypothetisches.

Die Coalition Against Stalkerware, ein Zusammenschluss von Organisationen gegen häusliche Gewalt und Sicherheitsunternehmen, sagt das unmissverständlich: Wer Stalkerware löscht, löscht auch die Beweise – und diese Beweise können wichtig sein, wenn Sie zur Polizei gehen.

Eine sicherere Reihenfolge:

1. Tun Sie vorerst nichts am Telefon. Stellen Sie niemanden zur Rede.
2. Holen Sie sich zuerst Rat, über ein Gerät, auf das die andere Person nie Zugriff hatte. Eine Beratungsstelle gegen häusliche Gewalt kann Ihnen helfen, die Abfolge zu planen.
3. Dokumentieren Sie, was Sie gefunden haben. Ein forensischer Bericht ist mehr wert als ein Screenshot.
4. Ändern Sie Passwörter und aktivieren Sie die Zwei-Faktor-Authentifizierung von einem anderen Gerät aus, nicht von dem Telefon, das Sie verdächtigen.
5. Entscheiden Sie erst dann über das Entfernen, am besten mit Unterstützung an Ihrer Seite.

Befinden Sie sich nicht in einer solchen Situation und sieht der Angriff nach gewöhnlicher Kriminalität oder einem unbekannten Angreifer aus, ist die Abwägung einfacher: iOS aktualisieren, das Gefundene entfernen, das Passwort Ihrer Apple-ID ändern und einen Werksreset erwägen, ohne das verdächtige Backup wiederherzustellen.

So machen Sie sich zu einem schwierigeren Ziel

• Aktivieren Sie den Blockierungsmodus, wenn Sie echten Grund zu der Annahme haben, ins Visier genommen zu werden. Sie finden ihn unter Einstellungen, „Datenschutz & Sicherheit“. Er deaktiviert die Arten von Nachrichtenanhängen und Webfunktionen, auf die diese Exploits angewiesen sind. Apple hat erklärt, dass dem Unternehmen kein erfolgreicher Angriff mit Söldner-Spyware auf ein Gerät mit aktiviertem Blockierungsmodus bekannt ist. Manches funktioniert dann nicht mehr – und genau das ist der Sinn.
• Installieren Sie iOS-Updates noch am Tag ihres Erscheinens. Die meisten dieser Kampagnen beruhen auf Schwachstellen, die Apple bereits geschlossen hat.
• Verwenden Sie einen Code, den niemand sonst kennt, und prüfen Sie, dass keine zusätzlichen Face-ID- oder Touch-ID-Einträge hinzugefügt wurden.
• Jailbreaken Sie das Gerät nicht, und lassen Sie es auch niemand anderen für Sie tun.
• Überprüfen Sie die Geräte Ihrer Apple-ID alle paar Monate.

Kurz gesagt

Sie können ein iPhone nicht vom iPhone aus auf Spyware scannen. Alles, was etwas anderes behauptet, ist durch eine Sandbox begrenzt, aus der es nicht herauskommt. Selbst prüfen können Sie, ob es Bedrohungsmitteilungen von Apple gibt, unerwartete Konfigurationsprofile, Apps mit zu vielen Berechtigungen, Spuren eines Jailbreaks und einen Verbrauch, der nicht zu Ihren Gewohnheiten passt. Darüber hinaus ist die einzige echte Antwort eine Analyse vom Computer aus.

Und wenn Sie etwas finden und jemand aus Ihrem Leben dahinterstecken könnte: Holen Sie sich Rat, bevor Sie irgendetwas anrühren. Der Scan ist der leichte Teil.

Quellen

• Apple, Informationen zu Bedrohungsmitteilungen von Apple und zum Schutz vor Söldner-Spyware: support.apple.com/en-us/102174
• Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
• Mobile Verification Toolkit: mvt.re
• Coalition Against Stalkerware, Informationen für Betroffene: stopstalkerware.org/information-for-survivors

Weiterlesen: Spyware auf Android erkennen, Anzeichen für Stalkerware und was Sie nicht tun sollten, ein iPhone auf Pegasus prüfen, kostenlose Spyware-Prüfungen, die wirklich funktionieren und Spyware sicher entfernen.