Pegasus-Spyware prüfen: So finden Sie heraus, ob Ihr iPhone infiziert ist

Die meisten Artikel über Pegasus erklären, was es ist. Nur sehr wenige erklären, wie Sie herausfinden, ob es auf Ihrem Telefon ist. Dieser hier widmet sich der zweiten Frage – einschließlich der unbequemen Teile.

Beginnen wir mit einer ehrlichen Einordnung: Pegasus ist keine Bedrohung für die breite Masse. Es wird von der NSO Group an staatliche Kunden verkauft, jeder Einsatz ist teuer, und es richtet sich gegen bestimmte Personen, meist Journalistinnen und Journalisten, Menschenrechtsverteidiger, Anwältinnen, Oppositionspolitiker und Diplomaten. Wenn Sie sich Sorgen machen, weil Ihr Telefon langsam ist, lautet die mit überwältigender Wahrscheinlichkeit richtige Erklärung: Ihr Telefon ist langsam.

In absoluten Zahlen sind gezielt angegriffene Menschen aber nicht selten. Apple hat seit 2021 Bedrohungsmitteilungen an Nutzer in mehr als 150 Ländern verschickt, und eine einzige Benachrichtigungswelle im April 2024 erreichte Menschen in 92 Ländern. Wenn Ihre Arbeit Sie zu einem plausiblen Ziel macht, verdient die Frage eine echte Antwort statt einer Beruhigung.

Warum Sie Pegasus nicht erkennen, indem Sie Ihr Telefon ansehen

Pegasus ist eine Zero-Click-Spyware. Es gibt keinen verdächtigen Link, den Sie hätten meiden müssen, kein App-Symbol, das Ihnen auffallen könnte, keinen Berechtigungsdialog, den Sie bestätigt haben. Pegasus wurde über iMessage und andere Messenger ganz ohne Zutun der Betroffenen eingeschleust. Einmal eingenistet, kann es auf Nachrichten, E-Mails, Anrufe, Kamera, Mikrofon und Standort zugreifen.

Es ist außerdem bewusst unauffällig. Manche Varianten existieren nur im Arbeitsspeicher – ein Neustart entfernt sie also, und mit ihnen den Großteil der Spuren. Bei anderen wurde beobachtet, dass sie hinter sich Protokolldateien bereinigen.

Das heißt: Die üblichen Ratschläge – auf Akkuverbrauch achten, nach unbekannten Apps suchen, auf Pop-ups achten – sind hier nahezu nutzlos. Diese Symptome beschreiben Stalkerware für Privatkunden, eine andere Bedrohung mit einem anderen Budget. Bei Spyware staatlichen Niveaus sagt das Fehlen von Symptomen gar nichts aus.

Es gibt genau eine Art von Antwort, die funktioniert: die forensische Analyse der Telefondaten von außerhalb des Telefons.

Die drei Prüfungen, die sich lohnen – in dieser Reihenfolge

1. Prüfen, ob Apple Sie bereits gewarnt hat

Apple benachrichtigt Menschen, die nach Einschätzung des Unternehmens individuell ins Visier genommen wurden. Das ist die aussagekräftigste Prüfung, die es gibt, sie dauert zwei Minuten und ist kostenlos.

Melden Sie sich unter account.apple.com an und achten Sie auf einen Warnhinweis oben auf der Seite. Zusätzlich verschickt Apple eine E-Mail und eine iMessage an die Adressen, die mit Ihrer Apple-ID verknüpft sind.

Zwei Dinge sollten Sie dabei bedenken. Eine Mitteilung ist ein starkes Indiz dafür, dass Sie ins Visier genommen wurden – ihr Fehlen ist aber kein Beleg für das Gegenteil, denn die Erkennung von Apple kann nicht lückenlos sein. Und weil die Mitteilungen alarmierend sind und viel darüber berichtet wird, werden sie häufig gefälscht: Eine echte fordert Sie niemals auf, einen Link anzuklicken, Software zu installieren, einen Anhang zu öffnen oder ein Passwort anzugeben.

2. Die Aufzeichnungen des Telefons selbst untersuchen lassen

Spuren überdauern durchaus auf dem Gerät, an Stellen, die Apps nicht erreichen:

• Datenbanken, die festhalten, welche Prozesse wann das Netzwerk genutzt haben
• Absturzprotokolle von fehlgeschlagenen Exploit-Versuchen
• Eine Systemdatei, die das Herunterfahren protokolliert und Auffälligkeiten rund um eine Infektion bewahren kann
• Metadaten von Nachrichtenanhängen und Spuren im Cache

Das Security Lab von Amnesty International hat die Infektionskette von Pegasus aus genau solchem Material rekonstruiert und im Juli 2021 im Rahmen des Pegasus-Projekts sowohl die Methodik als auch die Werkzeuge veröffentlicht. Sein Open-Source-Werkzeug Mobile Verification Toolkit, meist MVT genannt, gleicht ein iPhone-Backup mit Kompromittierungsindikatoren ab: Domains, Prozessnamen und Dateispuren, die mit bekannten Kampagnen in Verbindung stehen.

Wenn Sie sich im Terminal wohlfühlen, ist MVT die Referenzimplementierung, und es ist kostenlos. Sie installieren es mit Python, erstellen ein verschlüsseltes Backup des iPhones, laden eine aktuelle Indikatordatei herunter und starten die Analyse. Das Ergebnis ist eine Reihe von JSON-Dateien, die Sie anschließend interpretieren müssen.

Wenn Ihnen bei diesem Satz flau im Magen wurde: Genau das ist die eigentliche Hürde. Die Methode ist öffentlich und solide; der praktische Abstand zwischen einer besorgten Journalistin und einer abgeschlossenen forensischen Analyse ist es, der die meisten aufhält. Haris Shield gibt es, um diesen Abstand zu überbrücken – mit einer Einschränkung, die Sie kennen sollten. Es gleicht Absturzprotokolle mit denselben öffentlichen Indikatoren ab und stellt das Ergebnis als Bericht dar statt als JSON. Die aktuelle Version analysiert kein verschlüsseltes Backup und liest daher für sich genommen weniger aus als ein vollständiger MVT-Durchlauf; wenn Sie eine sysdiagnose importieren, kommen die Datenbanken zur Netzwerknutzung und zur Prozessausführung hinzu. Haben Sie konkreten Grund zu der Annahme, ein Pegasus-Ziel zu sein, führen Sie MVT auf einem verschlüsselten Backup aus oder bitten Sie das Security Lab von Amnesty oder die Digital Security Helpline von Access Now um Hilfe.

3. Verstehen, was ein unauffälliges Ergebnis bedeutet

Eine unauffällige Analyse bedeutet, dass in den untersuchten Daten keine bekannten Indikatoren gefunden wurden. Sie bedeutet nicht, dass Ihr Telefon nie kompromittiert war. War eine Variante vorhanden, die nur im Arbeitsspeicher lebt, und wurde das Telefon seitdem neu gestartet, ist möglicherweise nichts mehr zu finden. Wurden gegen Sie Werkzeuge eingesetzt, für die noch kein Forscher Indikatoren veröffentlicht hat, gibt es nichts, womit sich abgleichen ließe.

Wer Ihnen verspricht, ein iPhone als sauber zertifizieren zu können, verspricht zu viel. Forensik findet Spuren; sie beweist keine Abwesenheit.

Was tun, wenn etwas gefunden wird

Starten Sie das Telefon nicht sofort neu und setzen Sie es nicht gleich zurück. Ihr erster Impuls wird sein, das Telefon zu löschen. Wenn der Befund aber verwertbar bleiben soll – für eine Anwältin, eine Redaktion, ein Gericht oder für Forscher, die die Kampagne verfolgen –, sind das Gerät und seine Daten Beweismittel, und ein Zurücksetzen vernichtet sie.

Gehen Sie davon aus, dass nicht nur das Telefon, sondern auch das Konto kompromittiert ist. Ändern Sie das Passwort Ihrer Apple-ID und alle wichtigen Passwörter von einem anderen Gerät aus, dem Sie vertrauen. Prüfen Sie, welche Geräte mit Ihrer Apple-ID angemeldet sind, und entfernen Sie die, die Sie nicht kennen.

Holen Sie sich fachkundige Hilfe. Mehrere Organisationen leisten diese Arbeit für gefährdete Menschen, oft kostenlos. Access Now betreibt eine Digital Security Helpline für die Zivilgesellschaft; das Security Lab von Amnesty untersucht Fälle, an denen Menschenrechtsverteidiger beteiligt sind. Hat Ihre Arbeit Sie in diese Lage gebracht, sind Sie genau die Zielgruppe dieser Angebote.

Denken Sie an die menschliche Seite. Wenn Sie Journalistin oder Journalist sind, könnten auch Quellen gefährdet sein, die mit Ihnen Kontakt hatten. Genau das ist häufig das eigentliche Ziel.

Das Risiko künftig verringern

• Der Blockierungsmodus ist die stärkste einzelne Schutzmaßnahme unter iOS. Er deaktiviert die meisten Arten von Nachrichtenanhängen, bestimmte Webtechnologien und einige Verbindungsfunktionen. Apple hat erklärt, dass dem Unternehmen kein erfolgreicher Angriff mit Söldner-Spyware auf ein Gerät mit eingeschaltetem Blockierungsmodus bekannt ist. Sie finden ihn unter Einstellungen, „Datenschutz & Sicherheit“. Das Telefon wird dadurch weniger bequem – das ist der Preis.
• Sofort aktualisieren. Diese Angriffsketten sind auf ungepatchte Schwachstellen angewiesen; jede Verzögerung ist die eigentliche Sicherheitslücke.
• Regelmäßig neu starten. Bei Varianten, die nur im Arbeitsspeicher leben, entfernt ein Neustart die Infektion. Er entfernt aber auch die Spuren – vermuten Sie eine aktive Kompromittierung, holen Sie sich daher Rat, bevor Sie neu starten.
• Die Angriffsfläche verkleinern. Weniger Messenger, weniger Konten, die für Fremde erreichbar sind.
• Trennen. Für wirklich riskante Arbeit begrenzt ein separates Gerät für vertrauliche Kontakte, wie viel Sie eine einzelne Kompromittierung kostet.

Häufige Fragen, kurz beantwortet

Gibt es eine App, die Pegasus erkennt? Nicht unter iOS. Apps laufen in einer Sandbox und können das System nicht untersuchen. Deshalb arbeitet jede glaubwürdige Erkennungsmethode von einem Computer aus mit einem Backup.

Würde ein Werksreset es entfernen? Wahrscheinlich – aber er entfernt auch die Beweise und behebt nicht, was Sie überhaupt zum Ziel gemacht hat. Er ist ein Schritt, keine Lösung.

Kann ich infiziert werden, ohne etwas anzuklicken? Ja. Genau das ist das bestimmende Merkmal dieser Kampagnen.

Sollte ich mir Sorgen machen? Wenn Sie Journalistin, Aktivist, Anwältin oder eine politische Person sind, insbesondere wenn Sie zu Themen arbeiten, die einer Regierung missfallen, ist die Frage berechtigt und es lohnt sich, sie gründlich zu klären. Wenn nicht, und wenn kein konkreter Anlass Sie zu dieser Suche gebracht hat, lautet die Antwort fast sicher nein – und gewöhnliche Stalkerware ist die weit wahrscheinlichere Sorge. Unser Ratgeber Spyware auf dem iPhone erkennen behandelt diesen Fall.

Quellen

• Amnesty International Security Lab, Forensic Methodology Report: How to Catch NSO Group's Pegasus: amnesty.org
• Mobile Verification Toolkit: mvt.re und github.com/mvt-project/mvt
• Apple, Informationen zu Bedrohungsmitteilungen von Apple und zum Schutz vor Söldner-Spyware: support.apple.com/en-us/102174
• Access Now Digital Security Helpline: accessnow.org/help

Weiterlesen: Spyware auf dem iPhone erkennen, Anzeichen für Stalkerware und was Sie nicht tun sollten und der Leitfaden zu MVT.