Spyware entfernen, ohne dass es die Person merkt, die sie installiert hat

Wer danach sucht, wie man Spyware entfernt, bekommt einhellig denselben Rat: App löschen, Passwörter ändern, auf Werkseinstellungen zurücksetzen. Das ist unkompliziert und für eine bestimmte Art von Angriff auch richtig.

Für die häufigste Art ist es der denkbar schlechteste erste Schritt.

Der Unterschied liegt darin, wer die Software installiert hat. Steckt ein unbekannter Krimineller dahinter, entfernen Sie sie noch heute. Ist es ein Partner, ein Ex, ein Familienmitglied oder ein Arbeitgeber – und das ist bei der Mehrheit der tatsächlichen Fälle so –, bewirkt das Löschen zwei Dinge, die Sie vielleicht nicht wollen. Es verrät der Person, dass Sie es herausgefunden haben, zu einem Zeitpunkt, den nicht Sie gewählt haben. Und es vernichtet die Beweise.

Klären Sie, in welcher Situation Sie sich befinden

Jemand aus Ihrem Leben könnte beteiligt sein, wenn diese Person physischen Zugang zum Telefon hatte, Ihren Code kennt, das Gerät eingerichtet hat oder das Konto bezahlt oder wenn sie Dinge wusste, die sie auf normalem Weg nicht wissen konnte. Lesen Sie dann bei der vorsichtigen Vorgehensweise weiter.

Wahrscheinlich ist es ein unbekannter Angreifer, wenn das Telefon über eine schädliche App kompromittiert wurde, die Sie selbst installiert haben, über einen Phishing-Link oder einen öffentlich verfügbaren Jailbreak, und niemand aus Ihrem Leben ernsthaft Zugang hatte. Springen Sie dann zum Abschnitt über das direkte Entfernen. Dort ist Schnelligkeit Ihr Verbündeter.

Wenn Sie unsicher sind, behandeln Sie es wie den ersten Fall. Der vorsichtige Weg kostet Sie ein paar Tage. Der schnelle Weg lässt sich, wenn er der falsche war, nicht rückgängig machen.

Die vorsichtige Vorgehensweise

1. Ändern Sie vorerst nichts

Nicht die App, nicht die Passwörter, nicht die Einstellungen. Stellen Sie niemanden zur Rede. Gehen Sie vorerst davon aus, dass sichtbar ist, was Sie auf dem Telefon tun – auch, dass Sie diesen Text lesen.

2. Holen Sie sich Rat, von einem anderen Gerät aus

Benutzen Sie ein Telefon oder einen Computer, auf den die andere Person nie Zugriff hatte. Das Telefon einer Freundin, einen Arbeitsrechner, einen Computer in der Bibliothek.

Organisationen gegen häusliche Gewalt haben jede Woche mit solchen Fällen zu tun und helfen Ihnen, die Abfolge der Schritte auf Ihre tatsächliche Situation abzustimmen. Die Coalition Against Stalkerware führt ein Verzeichnis; in den USA bietet das Safety-Net-Projekt des NNEDV und in Großbritannien Refuge jeweils Hilfe bei technologiegestütztem Missbrauch an. Diese Gespräche sind kostenlos und vertraulich.

3. Dokumentieren, bevor Sie löschen

Das ist der Schritt, der verschwindet, sobald Sie auf „Deinstallieren“ tippen – und derjenige, der zählt, falls jemals eine Anwältin, ein Polizeibeamter oder ein Familiengericht damit befasst wird.

Screenshots von Einstellungsbildschirmen sind besser als nichts. Ein forensischer Bericht aus einer externen Analyse ist deutlich besser: Er zeigt, was installiert war, welchen Zugriff es hatte und seit wann – in einer Form, die auch technische Laien lesen können. Das ist der Fall, in dem kostenpflichtige Werkzeuge ihre Berechtigung haben, und es lohnt sich, das vor dem Entfernen zu organisieren statt danach. Haris Shield erstellt genau diese Art von Bericht.

4. Sichern Sie Ihre Konten, von einem anderen Gerät aus, in dieser Reihenfolge

Der Zugriff auf Konten ist oft der eigentliche Kanal, und er übersteht das Löschen des Telefons.

1. Zuerst die E-Mail. Darüber lässt sich alles andere zurücksetzen. Ändern Sie das Passwort, aktivieren Sie die Zwei-Faktor-Authentifizierung und prüfen Sie die Wiederherstellungs-E-Mail-Adresse und -Telefonnummer. Gehört die Wiederherstellungsadresse der anderen Person, gibt sie ihr das Konto direkt zurück, ganz gleich, wie stark das neue Passwort ist.
2. Apple-ID oder Google-Konto. Dasselbe Vorgehen, dazu die Liste der angemeldeten Geräte durchsehen und alle entfernen, die Sie nicht kennen. Bedenken Sie, dass solche Entfernungen bemerkt werden können.
3. Messenger. Prüfen Sie verknüpfte Geräte: Bei WhatsApp, Signal und Telegram kann ein anderes Gerät unbegrenzt verbunden bleiben. Prüfen Sie außerdem, ob in Ihrem E-Mail-Konto still und leise eine Weiterleitungsregel eingerichtet wurde.
4. Banking und Onlineshopping – dort verrät eine gespeicherte Karte auch, wo Sie gewesen sind.

Erledigen Sie all das von einem Gerät aus, das die andere Person nie in der Hand hatte.

5. Planen Sie das Entfernen, improvisieren Sie es nicht

Entscheiden Sie bewusst und mit Unterstützung an Ihrer Seite zwischen drei Möglichkeiten:

• Das Telefon bereinigen – mit dem Risiko, dass die andere Person es bemerkt.
• Das Telefon ersetzen, neu eingerichtet, mit einer neuen Apple-ID oder einem neuen Google-Konto, ohne etwas wiederherzustellen.
• Es vorerst so lassen und für alles Vertrauliche ein zweites, privates Telefon nutzen. Manchmal ist das sicherste Telefon dasjenige, das weiterhin genauso aussieht wie bisher.

Über die dritte Möglichkeit schreibt niemand, und doch ist sie in manchen Situationen die richtige.

Direktes Entfernen, wenn niemand aus Ihrem Leben beteiligt ist

Unter Android

1. Entziehen Sie die Berechtigungen vor der Deinstallation. Zuerst den Geräteadministrator unter Einstellungen, Sicherheit, Geräteadministrator-Apps – eine App mit Geräteadministrator-Rechten kann sich weigern, deinstalliert zu werden, bis Sie diese Rechte entziehen. Danach die Bedienungshilfen, dann den Benachrichtigungszugriff.
2. Deinstallieren Sie die App unter Einstellungen, Apps.
3. Schalten Sie Play Protect wieder ein und führen Sie einen Scan durch.
4. Aktualisieren Sie Android und die Google-Play-Systemupdates.
5. Ändern Sie Ihr Google-Passwort und melden Sie unbekannte Geräte ab.

Auf dem iPhone

1. Entfernen Sie unbekannte Konfigurationsprofile unter Einstellungen, Allgemein, „VPN und Geräteverwaltung“.
2. Aktualisieren Sie iOS. Die meisten Angriffe auf iPhones beruhen auf Schwachstellen, die Apple bereits geschlossen hat; schon das allein beseitigt viele von ihnen.
3. Ändern Sie das Passwort Ihrer Apple-ID und sehen Sie die Geräteliste durch.
4. Wurde das Telefon gejailbreakt, entfernt ein iOS-Update den Jailbreak, und ein Werksreset ist die sicherere Lösung.
5. Erwägen Sie den Blockierungsmodus, wenn Sie echten Grund zu der Annahme haben, gezielt ins Visier genommen worden zu sein.

Die Backup-Falle

An dieser Stelle machen viele ihre eigene Arbeit wieder zunichte.

Ein Werksreset löscht das Telefon. Dann stellen Sie Ihr Backup wieder her, weil Sie sonst Ihre Fotos und Nachrichten verlieren – und wenn das Backup erstellt wurde, während das Telefon kompromittiert war, installieren Sie das Problem womöglich am ersten Tag Ihres sauberen Telefons gleich wieder.

So vermeiden Sie das:

• Richten Sie das Telefon als neues Gerät ein, nicht aus einem Backup, wenn Sie es irgendwie verschmerzen können.
• Müssen Sie wiederherstellen, verwenden Sie ein Backup von vor der Kompromittierung, sofern Sie es datieren können. Die forensische Analyse aus Schritt 3 verrät Ihnen, ungefähr wann sich etwas verändert hat.
• Stellen Sie Daten gezielt wieder her: Holen Sie Fotos und Kontakte aus dem Backup, statt Apps und Einstellungen pauschal wiederherzustellen.
• Prüfen Sie nach der Wiederherstellung erneut die Einstellungsbildschirme. Konfigurationsprofile und Berechtigungen können mit wiederhergestellten Einstellungen zurückkehren.

Und beachten Sie, was ein Werksreset nicht behebt: Gegen jemanden, der Ihr Kontopasswort kennt, bewirkt er nichts. Führt der Zugang über das Konto, bringt das Löschen des Telefons überhaupt nichts.

Hilft ein Werksreset immer?

Bei kommerzieller Stalkerware auf einem normalen Gerät: ja. Bei allem mit Root-Zugriff oder Jailbreak meistens ja, denn der Reset entfernt das veränderte System. Bei staatlicher Spyware in der Regel ja, was das dauerhafte Verbleiben betrifft – die meisten Söldner-Implantate überstehen keinen Reset, manche nicht einmal einen Neustart. Genau deshalb werden sie aber auch still und leise über denselben Weg wie zuvor neu installiert.

Darauf kommt es wirklich an. Das Entfernen beseitigt die Infektion. Es verschließt nicht den Weg hinein. War dieser Weg der physische Zugriff auf ein entsperrtes Telefon und besteht dieser Zugriff weiterhin, stehen Sie bald wieder an diesem Punkt.

Den Weg hinein verschließen

• Ein Code, den niemand sonst kennt. Prüfen Sie, dass keine zusätzlichen Fingerabdrücke oder Gesichter registriert wurden.
• Updates noch am Tag ihres Erscheinens, sowohl für das Betriebssystem als auch aus den App-Stores.
• Zwei-Faktor-Authentifizierung, beginnend mit der E-Mail.
• Kein Jailbreak und kein Rooten, weder durch Sie noch durch andere.
• Gerätelisten der Konten überprüfen, alle paar Monate.
• Freigabefunktionen überdenken. Eine Standortfreigabe, in glücklicheren Zeiten eingerichtet und dann vergessen, ist eine eigene Form der Überwachung.

Kurz gesagt

Wenn jemand, den Sie kennen, dahinterstecken könnte: zuerst Rat, dann Dokumentation, dann die Konten, ganz zum Schluss das Entfernen – und niemals eine Konfrontation, bevor Sie bereit sind.

Wenn es ein unbekannter Angreifer ist: unter Android vor der Deinstallation den Geräteadministrator entziehen, das Betriebssystem aktualisieren, Passwörter von einem anderen Gerät aus ändern und genau darauf achten, welches Backup Sie wiederherstellen.

So oder so: Das Entfernen beseitigt die Infektion, verschließt aber nicht die Tür. Wenn Sie nicht ändern, wie die Person hineingekommen ist, passiert dasselbe wieder.

Quellen

• Coalition Against Stalkerware, Informationen für Betroffene: stopstalkerware.org/information-for-survivors
• NNEDV Safety Net, Technologiesicherheit: techsafety.org
• Apple, Informationen zum Blockierungsmodus: support.apple.com/en-us/105120
• Google, Play Protect: support.google.com/googleplay/answer/2812853

Weiterlesen: Anzeichen für Stalkerware und was Sie nicht tun sollten, Spyware auf Android erkennen.