Wurde mein Handy gehackt? Die Anzeichen, die zählen – und die, die es nicht tun

Jede Liste mit Warnzeichen, die Sie zu diesem Thema finden, beginnt mit denselben vier Punkten: der Akku, die Wärme, die Daten, die Langsamkeit. Alle vier sind echte Symptome einer Überwachung des Telefons. Alle vier sehen aber auch genauso aus wie ein zwei Jahre alter Akku, ein Systemupdate oder eine Fotomediathek, die nach dem Urlaub synchronisiert.

Das ist ein Problem, denn es bedeutet, dass der im Internet am häufigsten wiederholte Rat nicht zwischen einem kompromittierten Telefon und einem ganz normal alternden unterscheiden kann. Wenn Sie hier sind, weil Sie etwas beunruhigt hat, hilft Ihnen der Rat, auf den Akku zu achten, nicht viel weiter.

Dieser Ratgeber teilt die Anzeichen daher in zwei Gruppen: diejenigen, die wirklich Gewicht haben, und diejenigen, mit denen fast alle anfangen und die Sie für sich allein genommen weitgehend vernachlässigen können.

Die Anzeichen, die wirklich Gewicht haben

Jedes davon lässt sich nur schwer wegerklären. Jedes einzelne verdient eine gründliche Prüfung.

Eine App mit Berechtigungen, die nur Überwachung braucht

Unter Android öffnen Sie die Einstellungen und prüfen drei Bildschirme: Bedienungshilfen (heruntergeladene Dienste), Benachrichtigungszugriff unter „Spezieller App-Zugriff“ und Geräteadministrator-Apps unter Sicherheit. Kommerzielle Überwachungssoftware braucht diese Berechtigungen, denn über sie liest sie Ihren Bildschirm, Ihre Benachrichtigungen und Ihre Tastatureingaben. Auf einem normalen privaten Telefon sind der erste und der dritte Bildschirm meist leer.

Auf dem iPhone ist das Gegenstück Einstellungen, Allgemein, VPN und Geräteverwaltung. Ein Konfigurationsprofil ist ein legitimes Werkzeug für Arbeitgeber und Schulen – und einer der wenigen offiziell unterstützten Wege, eine dauerhafte Überwachung auf ein iPhone zu bringen, ohne eine Schwachstelle auszunutzen. Auf einem privaten Telefon sollte dieser Bildschirm leer sein.

Die Namen in diesen Listen sind absichtlich langweilig: „System Service“, „Device Health“, „Update Manager“, „Sync Services“. Eine echte Systemkomponente erscheint nicht im Bereich der heruntergeladenen Dienste.

Ein Gerät in Ihrem Konto, das Sie nicht kennen

Prüfen Sie die Geräteliste Ihrer Apple-ID (Einstellungen, dann Ihr Name) oder Ihr Google-Konto unter myaccount.google.com. Wer in Ihrem Konto angemeldet ist, braucht überhaupt keine Software auf Ihrem Telefon. Diese Person kann Ihre Backups, Ihre Nachrichten und Ihren Standort von ihrem eigenen Gerät aus lesen.

Das ist der in allen Ratgebern am häufigsten übersehene Weg – und in der Praxis einer der verbreitetsten.

Play Protect ausgeschaltet, ohne dass Sie es ausgeschaltet haben

Unter Android: Play Store, Profilsymbol, Play Protect. Es ist standardmäßig eingeschaltet und warnt Sie vor Apps, die von außerhalb des Stores installiert werden. Es deaktiviert vorzufinden, ist kein Symptom, sondern der Beleg für eine Entscheidung, die jemand getroffen hat.

Eine Bedrohungsmitteilung von Apple

Apple warnt Nutzer, die nach Einschätzung des Unternehmens von Söldner-Spyware ins Visier genommen wurden. Melden Sie sich unter account.apple.com an und achten Sie auf einen Hinweis oben auf der Seite.

Ein wichtiger Vorbehalt: Weil diese Warnungen beängstigend und bekannt sind, werden sie von Betrügern gern als Tarnung benutzt. Eine echte Mitteilung von Apple fordert Sie niemals auf, einen Link anzuklicken, etwas zu installieren oder ein Passwort preiszugeben. Prüfen Sie es, indem Sie account.apple.com selbst eintippen.

Spuren von Jailbreak oder Root

Durchsuchen Sie das iPhone nach Cydia, Sileo oder Zebra oder das Android-Telefon nach einem Root-Manager. Ihr Vorhandensein beweist nicht, dass Sie überwacht werden – aber es beweist, dass jemand die Schutzmechanismen des Betriebssystems entfernt hat. Danach ist das Telefon kein verlässlicher Zeuge mehr, was es selbst betrifft.

Die andere Person weiß Dinge, die sie nicht wissen sollte

Nicht technisch, und oft das stärkste Signal überhaupt. Wenn jemand immer wieder Ihren Aufenthaltsort, Ihre Pläne oder den Inhalt eines privaten Gesprächs kennt und es dafür keinen normalen Weg gibt, ist das mehr wert als jede Akkuanzeige.

Die Anzeichen, mit denen alle anfangen – und was sie wert sind

Keines davon ist wertlos. Für sich allein sind aber alle viel weniger wert, als das Internet nahelegt, denn für jedes gibt es eine banale Erklärung, die wahrscheinlicher ist als Überwachung.

Der Akku entlädt sich schneller. Lithium-Ionen-Akkus verlieren mit jedem Ladezyklus an Kapazität. Nach etwa zwei Jahren ist ein spürbar schwächerer Akku das zu erwartende Ergebnis, kein Symptom. Bemerkenswert ist es nur, wenn sich das abrupt geändert hat, bei einem relativ neuen Telefon und ohne Update dazwischen.

Das Telefon wird im Ruhezustand warm. Hintergrundaktualisierung von Apps, Cloud-Backup, eine Indizierung nach einem Update. Moderne Telefone tun eine Menge, während Sie nicht hinsehen.

Höherer Datenverbrauch. Prüfen Sie, welche App es ist. Ist es Ihr Fotodienst oder eine Streaming-App, bei der die Einstellung „nur über WLAN“ abgeschaltet wurde, haben Sie Ihre Antwort. Überwachungssoftware lädt zwar Daten hoch, ist aber meist nicht der größte Posten in dieser Liste.

Das Telefon fühlt sich langsam an oder startet neu. Ein Betriebssystemupdate auf älterer Hardware führt zuverlässig dazu.

Überall Werbe-Pop-ups. Ein echtes Symptom – aber für Adware aus einer zwielichtigen App, nicht für gezielte Überwachung. Stalkerware ist darauf ausgelegt, unsichtbar zu bleiben; Ihnen Werbung zu zeigen, würde ihren Zweck vereiteln.

Seltsame SMS, die von Ihrem Telefon verschickt wurden. Meist entweder ein gefälschter Absender – dann ist mit Ihrem Telefon überhaupt nichts falsch – oder eine App für SMS-Betrug. Selten Überwachung.

Merkwürdige Geräusche bei Telefonaten. Das ist inzwischen fast vollständig ein Mythos, übrig geblieben aus der Zeit der analogen Telefonie. Die Qualität digitaler Anrufe schwankt aus hundert Gründen.

Die ehrliche Zusammenfassung: Wenn alles, was Sie haben, ein schwächerer Akku und ein warmes Telefon sind, ist die wahrscheinlichste Erklärung ein Telefon, das ein paar Jahre alt ist. Sehen Sie sich stattdessen die erste Liste an.

Was Sie in zehn Minuten selbst prüfen können

1. Die drei Berechtigungsbildschirme unter Android oder „VPN und Geräteverwaltung“ auf dem iPhone.
2. Die Geräteliste Ihres Kontos, sowohl bei Apple als auch bei Google.
3. Play Protect unter Android, einschließlich der Frage, ob es deaktiviert wurde.
4. Ihre vollständige App-Liste mit eingeblendeten System-Apps, auf der Suche nach Duplikaten gewöhnlicher Werkzeuge und nach Namen, die Sie nicht zuordnen können. Eine App kann ihr Symbol verstecken, daher beweist das Durchblättern des Startbildschirms nichts.
5. App-Berechtigungen für Standort, Mikrofon, Kamera und Fotos, auf der Suche nach gewöhnlichen Apps mit außergewöhnlichem Zugriff.
6. Akku und Datenverbrauch, gelesen als ergänzender Hinweis, nicht als Urteil.

Anleitungen für die einzelnen Plattformen: Spyware auf dem iPhone erkennen und Spyware auf Android erkennen.

Warum die Prüfungen oben nur begrenzt weiterhelfen

Alles, was Sie auf dem Telefon selbst tun können, stößt an eine strukturelle Grenze.

Auf dem iPhone sorgt die Sandbox dafür, dass keine App aus dem App Store das System scannen kann. Deshalb können Virenscanner fürs iPhone nicht leisten, was ihre Beschreibungen nahelegen: Sie prüfen Ihr WLAN und warnen Sie vor gefährlichen Websites. Unter Android sehen Sie mehr, aber auch dort kann eine App die privaten Daten einer anderen nicht lesen, und alles mit Root-Zugriff kann sich genau vor den oben genannten Bildschirmen verstecken.

Beiden liegt dasselbe Problem zugrunde: Ein kompromittiertes Telefon soll über sich selbst Auskunft geben – mit Software, die der Eindringling womöglich kontrolliert.

Darüber hinaus kommen Sie nur, wenn Sie das Telefon von außen analysieren. Verbinden Sie es per Kabel mit einem Computer, und das Gerät liefert ein Backup und Diagnosedaten, die keine App auf dem Gerät lesen darf: Absturzprotokolle, Aufzeichnungen darüber, welche Prozesse wann das Netzwerk genutzt haben, Spuren bekannter Spyware. Dieses Material lässt sich mit veröffentlichten Kompromittierungsindikatoren abgleichen.

So arbeiten die Forscherinnen und Forscher, die diese Kampagnen tatsächlich aufdecken. Das Security Lab von Amnesty International veröffentlicht das Open-Source-Werkzeug Mobile Verification Toolkit, das genau das tut, und es bildete die Grundlage der Recherchen des Pegasus-Projekts. Es ist kostenlos, genießt einen guten Ruf und ist ein Kommandozeilenprogramm, das voraussetzt, dass Sie mit Python und forensischen Ausgaben vertraut sind.

Diese Lücke zu schließen, ist der Grund, warum es Haris Shield gibt: eine Analyse vom Computer aus anhand derselben öffentlichen Indikatoren, mit einem Bericht, den Sie ohne Terminal lesen können. Die aktuelle Version liest das Telefon direkt über das Kabel aus, statt ein vollständiges Backup zu analysieren; unter So funktioniert es steht genau, was sie auf iPhone und Android ausliest.

Wenn Sie etwas finden, kommt es auf die Reihenfolge an

Das ist der wichtigste Abschnitt hier – und derjenige, den die meisten Ratgeber komplett auslassen.

Ist die Person, die Sie verdächtigen, Ihr Partner oder Ihre Partnerin, ein Ex, ein Familienmitglied oder ein Arbeitgeber, dann löschen Sie noch nichts. Viele Überwachungsprodukte alarmieren denjenigen, der sie installiert hat, sobald sie nicht mehr funktionieren. In einer kontrollierenden Situation verrät dieser Alarm der anderen Person, dass Sie die Software gefunden haben – zu einem Zeitpunkt, den diese Person bestimmt, nicht Sie. Die Coalition Against Stalkerware, ein Zusammenschluss von Organisationen gegen häusliche Gewalt und Sicherheitsunternehmen, warnt ausdrücklich davor und weist darauf hin, dass beim Löschen der Software auch Beweise verloren gehen, die Sie später vielleicht brauchen.

Eine sicherere Abfolge:

1. Ändern Sie nichts am Telefon und stellen Sie niemanden zur Rede.
2. Holen Sie sich zuerst Rat, über ein Gerät, auf das die andere Person nie Zugriff hatte.
3. Dokumentieren Sie, was Sie gefunden haben.
4. Sichern Sie Ihre Konten von einem anderen Gerät aus: zuerst die E-Mail, dann Apple oder Google, dann Messenger und Banking – und prüfen Sie bei jedem Konto die Wiederherstellungsadresse und die angemeldeten Geräte.
5. Entscheiden Sie erst zum Schluss über das Entfernen, wenn Unterstützung da ist.

Unser ausführlicher Ratgeber zu dieser Situation: Stalkerware: die Anzeichen und was Sie nicht tun sollten.

Kommt in Ihrem Umfeld niemand ernsthaft infrage, ist die Abwägung einfacher: Betriebssystem aktualisieren, das Gefundene entfernen, Passwörter von einem anderen Gerät aus ändern und einen Werksreset erwägen – ohne ein Backup wiederherzustellen, das das Problem erneut installieren könnte.

Das Risiko danach verringern

• Ein Code, den niemand sonst kennt, und keine zusätzlichen Fingerabdrücke oder Gesichter, die Sie nicht selbst hinzugefügt haben. Physischer Zugriff ist der Ausgangspunkt der meisten dieser Fälle.
• Updates noch am Tag ihres Erscheinens. Die meisten echten Angriffe beruhen auf Schwachstellen, die bereits geschlossen wurden.
• Zwei-Faktor-Authentifizierung, zuerst für die E-Mail, denn über die E-Mail lässt sich alles andere zurücksetzen.
• Kein Jailbreak und kein Rooten, und lassen Sie es auch niemanden für Sie tun.
• Überprüfen Sie die Geräte in Ihren Konten alle paar Monate.
• Überdenken Sie Familienfreigaben. Eine Standortfreigabe, einmal in glücklicheren Zeiten eingerichtet und dann vergessen, erklärt einen großen Teil dessen, was Menschen als Verfolgung erleben.

Kurz gesagt

Vergessen Sie die Checklisten zu Akku und Wärme. Handeln sollten Sie bei diesen Anzeichen: eine App mit Berechtigungen für Bedienungshilfen, Benachrichtigungen oder Geräteadministration, die Sie nicht erteilt haben; ein Konfigurationsprofil auf dem iPhone, das Sie sich nicht erklären können; ein unbekanntes Gerät in Ihrem Apple- oder Google-Konto; ausgeschaltetes Play Protect; eine Bedrohungsmitteilung von Apple; Spuren eines Jailbreaks; und jemand, der Dinge weiß, die er auf normalem Weg nicht wissen kann.

All das können Sie in etwa zehn Minuten selbst prüfen. Was Sie vom Telefon aus nicht können, ist, das Telefon selbst zu überprüfen. Und wenn Sie etwas finden und jemand aus Ihrem Leben dahinterstecken könnte: Holen Sie sich Rat, bevor Sie eine Einstellung anrühren.

Quellen

• Apple, Informationen zu Bedrohungsmitteilungen von Apple und zum Schutz vor Söldner-Spyware: support.apple.com/en-us/102174
• Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re
• Coalition Against Stalkerware, Informationen für Betroffene: stopstalkerware.org/information-for-survivors
• Google, Play Protect: support.google.com/googleplay/answer/2812853
• Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org
• National Domestic Violence Hotline (USA): 1-800-799-7233. Die Coalition Against Stalkerware listet Organisationen in anderen Ländern auf.

Weiterlesen: Spyware auf dem iPhone erkennen, Spyware auf Android erkennen, Anzeichen für Stalkerware und was Sie nicht tun sollten, Wird mein Handy geortet? und Anzeichen für ein abgehörtes Telefon.