Stalkerware: Die Anzeichen – und was Sie nicht tun sollten, wenn Sie sie finden

Die meisten Artikel über die Überwachung von Telefonen handeln eigentlich von Regierungen. Dieser hier handelt vom weitaus häufigeren Fall: Überwachungssoftware, installiert von jemandem, der Ihren Code kennt.

Das technische Problem ist die leichtere Hälfte. Stalkerware ist nicht Pegasus. Sie braucht keinen Exploit, sie kann sich einer gründlichen Suche meist nicht entziehen, und sie hinterlässt Spuren in ganz gewöhnlichen Einstellungsbildschirmen. Sie zu finden, ist oft eine Sache von zehn Minuten.

Die schwierige Hälfte ist, was Sie danach tun – und die ehrliche Antwort lautet: Sie sofort zu löschen, kann die schlechteste aller Möglichkeiten sein. Genau hier liegen die meisten Ratgeber falsch, deshalb kommt dieser Punkt hier zuerst.

Lesen Sie das, bevor Sie Ihr Telefon durchsuchen

Hat die Person, die Sie verdächtigen, Zugang zu Ihrer Wohnung, Ihren Kindern, Ihren Finanzen oder Einfluss auf Ihre Sicherheit, ist die Reihenfolge wichtiger als der Scan.

Viele Überwachungsprodukte benachrichtigen denjenigen, der sie installiert hat, wenn sie nicht mehr funktionieren. Die App zu deaktivieren, ihr die Berechtigungen zu entziehen oder das Telefon auf Werkseinstellungen zurückzusetzen – all das kann dieses Signal auslösen. In einer kontrollierenden Beziehung ist der Moment, in dem Ihre Überwachung verstummt, der Moment, in dem die andere Person weiß, dass Sie sie entdeckt haben. Das ist ein dokumentiertes Eskalationsrisiko, kein hypothetisches. Nicht ohne Grund planen Organisationen gegen häusliche Gewalt genau darum herum.

Wer die App löscht, löscht auch die Beweise. Wenn Sie womöglich die Polizei, eine Anwältin oder ein Familiengericht einschalten, ist das, was sich jetzt auf dem Telefon befindet, mehr wert als ein sauberes Telefon.

Gehen Sie davon aus, dass alles sichtbar ist, was Sie auf diesem Telefon tun. Dazu gehört, dass Sie diese Seite lesen, nach Hilfe suchen und jede Nachricht, die Sie darüber schreiben. Wenn Sie recherchieren oder Rat einholen müssen, benutzen Sie ein Gerät, auf das die andere Person nie Zugriff hatte: das Telefon einer Freundin, einen Arbeitsrechner, einen Computer in der Bibliothek.

Trifft etwas davon auf Ihre Situation zu, ist der richtige erste Schritt kein Scan. Sondern ein Gespräch mit Menschen, die das beruflich machen – von einem Gerät aus, das nicht überwacht wird. Die Organisationen am Ende dieses Artikels gibt es genau dafür, und der Anruf ist kostenlos.

Was Stalkerware ist – und was nicht

Stalkerware, manchmal als Kindersicherung oder Mitarbeiterüberwachung verkauft, ist kommerzielle Software, die die Aktivitäten auf dem Telefon einer Person an eine andere Person meldet. Typische Fähigkeiten: Nachrichten aus allen Apps, Anruflisten, Standortverlauf, Fotos, Browserverlauf, Tastatureingaben und bei manchen Produkten Mikrofon und Kamera.

Zwei Dinge unterscheiden sie von der Söldner-Spyware, die Schlagzeilen macht.

Sie braucht Zugang, keinen Exploit. Jemand muss Ihr entsperrtes Telefon ein paar Minuten in der Hand halten oder das Passwort Ihrer Apple-ID oder Ihres Google-Kontos kennen. Das ist der ganze Angriff. Es bedeutet aber auch, dass die Liste der infrage kommenden Personen kurz ist – und Sie wissen vermutlich schon, wer darauf steht.

Sie läuft oft über dieselbe Handyrechnung wie Sie. Die Person, die Sie überwacht, kontrolliert womöglich das Konto, den Familientarif, den Cloud-Speicher oder das Gerät selbst. Das technische Problem steckt mitten in einer Beziehung, und deshalb ist die technische Lösung selten der erste Schritt.

Geht es Ihnen dagegen um eine Regierung oder einen Angreifer mit großen Mitteln, sieht das Problem anders aus; unser Ratgeber ein iPhone auf Pegasus prüfen behandelt diesen Fall.

Wie sie auf ein Telefon gelangt

• Physischer Zugriff. Mit Abstand der häufigste Weg. Unter Android genügen Minuten mit einem entsperrten Telefon. Auf dem iPhone bedeutet es meist, dass ein Konfigurationsprofil installiert oder eine Freigabefunktion eingeschaltet wird.
• Ihr Cloud-Konto. Dafür ist überhaupt keine App nötig. Wer das Passwort Ihrer Apple-ID oder Ihres Google-Kontos hat, kann Ihre Backups, Nachrichten, Fotos und Ihren Standort von seinem eigenen Gerät aus lesen. Das ist der am häufigsten übersehene Weg und der am schwersten zu bemerkende.
• Legitime Funktionen, die eingeschaltet geblieben sind. Standortfreigabe in der Familie, „Wo ist?“, Google Family Link, Bildschirmzeit-Berichte, geteilte Kalender. Einmal in glücklicheren Zeiten eingerichtet und nie wieder überprüft, sind sie die größte einzelne Ursache dafür, dass Menschen sich zu Recht verfolgt fühlen, obwohl nirgendwo Schadsoftware vorhanden ist.
• Ein geschenktes oder gemeinsam genutztes Gerät. Ein Telefon, das jemand anderes gekauft und eingerichtet hat, wird womöglich überwacht, seit Sie es bekommen haben.

Die Anzeichen – und wie viel jedes davon wert ist

Kein einzelnes Anzeichen beweist etwas. Mehrere zusammen, in einer Situation, in der jemand den nötigen Zugang hatte, sollten Sie ernst nehmen.

Anzeichen mit echtem Gewicht

• Eine App in Ihren Bedienungshilfen, im Benachrichtigungszugriff oder in der Liste der Geräteadministratoren, die Sie nicht installiert haben. Unter Android ist das nahezu eindeutig.
• Ein Konfigurationsprofil auf dem iPhone, das Sie sich nicht erklären können, unter Einstellungen, Allgemein, „VPN und Geräteverwaltung“.
• Ein Gerät, das mit Ihrer Apple-ID oder Ihrem Google-Konto angemeldet ist und nicht Ihnen gehört.
• Ausgeschaltetes Play Protect unter Android, obwohl Sie es nicht ausgeschaltet haben.
• Die andere Person weiß Dinge, die sie auf normalem Weg nicht wissen konnte – insbesondere Ihren Aufenthaltsort oder den Inhalt einer privaten Nachricht.

Anzeichen, die Beachtung verdienen, sich aber leicht anders erklären lassen

• Der Akku entlädt sich schneller als früher.
• Das Telefon fühlt sich im Ruhezustand warm an.
• Der Datenverbrauch ist höher als erwartet.
• Das Telefon ist langsam oder startet von selbst neu.

Mit diesen vier beginnen die meisten Artikel – und genau diese vier erzeugen auch ein alternder Akku, ein Systemupdate und ein Foto-Backup. Bauen Sie Ihre Schlussfolgerung nicht darauf auf.

Ein iPhone prüfen

Wegen der Sandbox von iOS kann keine App aus dem App Store das System scannen; die Prüfungen erfolgen daher von Hand:

1. Einstellungen, Allgemein, „VPN und Geräteverwaltung“. Auf einem privaten Telefon ist es normal, dass hier nichts steht.
2. Die Geräteliste Ihrer Apple-ID. Einstellungen, oben Ihr Name. Entfernen Sie alles Unbekannte – und denken Sie dabei an den Sicherheitshinweis oben.
3. Einstellungen, „Datenschutz & Sicherheit“, dann Ortungsdienste, und gesondert die Einträge Mikrofon, Kamera und Fotos. Achten Sie auf gewöhnliche Apps mit außergewöhnlichem Zugriff.
4. „Wo ist?“ und alle Familienfreigaben. Prüfen Sie, wer Sie sehen kann.
5. Suchen Sie nach Cydia, Sileo oder Zebra. Ihr Vorhandensein bedeutet, dass jemand die Schutzmechanismen von Apple auf dem Telefon entfernt hat.

Die vollständige Anleitung finden Sie unter Spyware auf dem iPhone erkennen.

Ein Android-Telefon prüfen

Android lässt Sie mehr sehen, und die drei entscheidenden Berechtigungen sind alle einsehbar:

1. Einstellungen, Bedienungshilfen, heruntergeladene Dienste. Hier sitzen Keylogger.
2. Benachrichtigungszugriff, unter „Spezieller App-Zugriff“.
3. Geräteadministrator-Apps, unter Sicherheit.
4. Die vollständige App-Liste mit eingeblendeten System-Apps, auf der Suche nach Duplikaten gewöhnlicher Werkzeuge und nach Namen, die Sie nicht zuordnen können.
5. Play Protect, einschließlich der Frage, ob es deaktiviert wurde.

Die ausführliche Version finden Sie unter Spyware auf Android erkennen.

Die fünf Fehler, die Sie vermeiden sollten

1. Sie sofort löschen, sobald Sie sie finden. Die häufigste und gefährlichste Reaktion, aus den zwei Gründen, die am Anfang dieses Artikels stehen.

2. Die Person zur Rede stellen. Damit ist jede Chance dahin, zu dokumentieren, was passiert ist, und in einer gewaltgeprägten Situation steigt das Risiko für Sie. Holen Sie sich zuerst Rat.

3. Sofort auf Werkseinstellungen zurücksetzen. Das vernichtet die Beweise, kann die andere Person alarmieren – und wenn Sie aus einem Backup wiederherstellen, das diese Person kontrolliert, installieren Sie die Überwachung womöglich am ersten Tag Ihres sauberen Telefons gleich wieder.

4. Passwörter auf dem verdächtigen Telefon ändern. Ist ein Keylogger auf dem Gerät, haben Sie das neue Passwort gerade übergeben. Benutzen Sie ein anderes Gerät.

5. Auf dem überwachten Telefon recherchieren. Suchanfragen, aufgerufene Seiten und Nachrichten sind genau das, was diese Software meldet. Diese Seite eingeschlossen.

Eine sicherere Reihenfolge

1. Holen Sie sich zuerst Rat, von einem Gerät aus, das die andere Person nie berührt hat. Kostenlos, vertraulich und von Menschen betreut, die täglich mit solchen Fällen zu tun haben.
2. Dokumentieren Sie, bevor Sie etwas ändern. Ein forensischer Bericht aus einer externen Analyse ist deutlich mehr wert als ein Foto eines Einstellungsbildschirms, und auch eine Anwältin oder ein Polizeibeamter ohne technisches Wissen kann ihn lesen.
3. Sichern Sie Ihre Konten von einem anderen Gerät aus, in dieser Reihenfolge: zuerst die E-Mail, weil sich darüber alles andere zurücksetzen lässt, dann Ihre Apple-ID oder Ihr Google-Konto, dann Messenger und Banking. Aktivieren Sie dabei jeweils die Zwei-Faktor-Authentifizierung und prüfen Sie bei jedem Konto die Liste der angemeldeten Geräte und die Wiederherstellungsadressen. Eine Wiederherstellungs-E-Mail-Adresse oder -Telefonnummer, die der anderen Person gehört, gibt ihr das Konto direkt zurück.
4. Planen Sie das Entfernen mit Unterstützung an Ihrer Seite und entscheiden Sie bewusst, ob das Telefon bereinigt, ersetzt oder vorerst genau so gelassen wird, wie es ist. Manchmal ist ein zweites, privates Telefon die sicherere Lösung, während das erste weiterhin normal aussieht.
5. Bereinigen Sie dann das Gerät, falls das noch die richtige Entscheidung ist: Betriebssystem aktualisieren, das Gefundene entfernen und zurücksetzen, ohne ein verdächtiges Backup wiederherzustellen.

Eine Erkennung, der Sie vertrauen können

Es gibt einen strukturellen Grund, ein Telefon von außen zu analysieren. Jeder Scanner, der auf dem Gerät läuft, bittet ein möglicherweise kompromittiertes System, über sich selbst Auskunft zu geben – und alles mit tiefem Zugriff kann lügen. Eine Analyse vom Computer aus über ein Kabel ist nicht auf die Mitwirkung des Telefons angewiesen: Sie liest die Inhalte des Telefons selbst aus, kommt zu ihrem eigenen Ergebnis und liefert etwas, das Sie an jemand anderen weitergeben können.

Genau das tut Haris Shield. Es läuft auf Ihrem Computer, untersucht das Telefon über USB und erstellt einen PDF-Bericht, den Sie einer Anwältin, einem Polizeibeamten oder einer Beratungsstelle übergeben können – statt eines Screenshots einer Einstellungsseite.

Wenn Sie dieselbe Art von Analyse ganz ohne Produkt wollen: Das Mobile Verification Toolkit von Amnesty International ist Open Source, genießt einen guten Ruf und ist das, was die Forscherinnen und Forscher, die zu diesem Thema veröffentlichen, tatsächlich verwenden. Es ist ein Kommandozeilenprogramm.

Wo Sie Hilfe bekommen

• Coalition Against Stalkerware – Ratschläge, geschrieben für Betroffene, und ein Verzeichnis der Mitgliedsorganisationen: stopstalkerware.org
• National Network to End Domestic Violence, Safety Net – Sicherheitsplanung rund um Technologie: techsafety.org
• Refuge (Großbritannien) – Unterstützung bei technologiegestütztem Missbrauch: refuge.org.uk
• Access Now Digital Security Helpline – kostenlos, für besonders gefährdete Menschen: accessnow.org/help
• Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Wenn Sie in unmittelbarer Gefahr sind, wählen Sie Ihre örtliche Notrufnummer, statt eine Checkliste abzuarbeiten.

Kurz gesagt

Stalkerware ist leichter zu finden als Söldner-Spyware, weil sie Berechtigungen braucht, die in gewöhnlichen Einstellungsbildschirmen auftauchen: Bedienungshilfen, Benachrichtigungszugriff und Geräteadministrator unter Android; Konfigurationsprofile, Kontogeräte und Freigabefunktionen auf dem iPhone. Der Weg über das Cloud-Konto braucht überhaupt keine App und wird am häufigsten übersehen.

Der Scan ist nicht der schwierige Teil. Die Reihenfolge ist es. Wenn jemand aus Ihrem Leben dahinterstecken könnte: Holen Sie sich Rat, bevor Sie eine Einstellung ändern, dokumentieren Sie, bevor Sie löschen, und sichern Sie Ihre Konten von einem Gerät aus, das nie in den Händen dieser Person war.

Quellen

• Coalition Against Stalkerware, Informationen für Betroffene: stopstalkerware.org/information-for-survivors
• National Network to End Domestic Violence, Safety-Net-Projekt: techsafety.org
• Amnesty International Security Lab, Mobile Verification Toolkit: mvt.re
• Electronic Frontier Foundation, Surveillance Self-Defense: ssd.eff.org

Weiterlesen: Wird mein Handy geortet? und Spyware sicher entfernen.