So funktioniert Haris Shield
Was die App von Ihrem Telefon liest, wie sie entscheidet, was eine Bedrohung ist, jede Verbindung, die sie aufbaut – und wie Sie all das prüfen können, ohne uns einfach glauben zu müssen.
Beschreibt die aktuelle Version, 1.0.13.
Was die App über das Kabel liest
Ihr Telefon ist mit dem USB-Kabel an Ihren Computer angeschlossen. Haris Shield liest es mit libimobiledevice (iPhone) und adb von Android aus – denselben Open-Source-Werkzeugen, die forensische Forschende verwenden. Auf dem Telefon wird nichts installiert, und der Scan liest nur: Er löscht, verschiebt oder verändert dort nichts. Alles, was er kopiert, bleibt im Ordner der App auf Ihrem Computer.
iPhone
Geräteinformationen
Modell, iOS-Version und Build, Seriennummer, ob ein Code festgelegt ist, Aktivierungsstatus, Gerätename und Zeitzone.
Absturzberichte
Werden auf Ihren Computer kopiert und dort gelesen. Die Originale bleiben auf dem Telefon – die App kopiert sie, sie verschiebt oder löscht sie nie.
Konfigurationsprofile
Installierte Profile, MDM-Registrierung, Betreuung (Supervision) und VPN-Profile – die Wege, über die ein Telefon verwaltet oder sein Datenverkehr umgeleitet werden kann.
Bereitstellungsprofile
Wer die Entwickler- und Unternehmens-Apps auf dem Telefon signiert hat, abgeglichen mit den Namen bekannter Spyware-Anbieter.
Sicherheitsstatus
Blockierungsmodus, Entwicklermodus und ob die iOS-Version zu denen gehört, für die bekannte Angriffe existieren.
Eine Sysdiagnose, die Sie importieren (optional)
Wenn Sie auf dem Telefon eine Sysdiagnose erstellen und das Archiv importieren, liest die App außerdem deren Datenbanken zur Netzwerknutzung, den Verlauf ausgeführter Prozesse, die Datenbanken zu App-Nutzung und Berechtigungen sowie die Netzwerk- und Prozessprotokolle.
Android
Geräteinformationen
Modell, Marke, Android-Version, Stand der Sicherheitsupdates und Seriennummer.
Installierte Apps
Paketnamen, abgeglichen mit bekannter Stalkerware, vor dem Launcher versteckte Apps und woher jede App installiert wurde (Play Store oder manuell installiert).
Berechtigungen
Welche Apps Überwachungsberechtigungen besitzen – SMS, Anrufliste, Standort, Kamera, Mikrofon – und gefährliche Kombinationen davon, außerdem Apps, die andere Apps installieren dürfen.
Bedienungshilfen, Geräteadministratoren, Benachrichtigungszugriff
Die drei Zugänge, die Stalkerware meist braucht, um den Bildschirm zu lesen, sich gegen das Entfernen zu wehren und Benachrichtigungen zu kopieren.
Prozesse und Netzwerk
Laufende Prozesse, die gerade offenen Verbindungen und der DNS-Cache, abgeglichen mit bekannten Spyware-Servern und IP-Adressen.
Zertifikate
Vom Nutzer installierte Stammzertifikate, mit denen verschlüsselter Datenverkehr mitgelesen werden kann, und Apps, die mit Debug- oder Testzertifikaten signiert sind.
Akku-, Daten- und Sensornutzung
Apps, die nachts aktiv werden, im Hintergrund viele Daten übertragen oder Kamera und Mikrofon nutzen, ohne auf dem Bildschirm zu sein.
Einstellungen und Systemprotokolle
USB- und WLAN-Debugging, unbekannte Quellen, Play Protect und einige bestimmte Einträge in Systemprotokollen, die mit bekannter Spyware in Verbindung stehen.
Ein vollständiger Scan führt außerdem eine Datenschutzprüfung und eine Hardware-Diagnose durch, beim iPhone zusätzlich die Komponentenprüfung. Die Analyse verschlüsselter iPhone-Backups und der Abgleich von Fingerabdrücken der Dateien von Android-Apps sind in Arbeit; sie sind nicht Teil der aktuellen Version.
Wie Befunde bewertet werden
Ein Scan endet mit einem von drei Ergebnissen. Der Unterschied zwischen ihnen ist wichtig, deshalb steht hier genau, was für jedes nötig ist.
Spyware gefunden
Nur bei einer konkreten Spur: ein bekannter Spyware-Prozess im Ausführungsverlauf, eine Verbindung oder DNS-Abfrage zu einem bekannten Spyware-Server, bekannte Stalkerware, der Zugriff gewährt wurde, oder ein Profil eines bekannten Spyware-Anbieters.
Verdächtige Aktivität
Dinge, die einen genaueren Blick wert, aber kein Beweis sind. Dazu gehört auch Angreifbarkeit: Eine alte iOS-Version oder fehlende Sicherheitsupdates machen ein Telefon leichter angreifbar, deshalb werden sie hier gemeldet – nie als Infektion. Vor Version 1.0.11 wurde eine alte iOS-Version fälschlich als Infektion gemeldet; das ist behoben.
Keine Bedrohungen gefunden
Keine der Spuren, die die App kennt, wurde gefunden. Das heißt nicht, dass das Telefon garantiert sauber ist – siehe unten, was kein Werkzeug versprechen kann.
Womit die App abgleicht
Die App enthält eine eingebaute Liste von Namen von Spyware-Prozessen, Servern, IP-Adressen und Stalkerware-Apps. Zusätzlich verwendet sie Indikatoren aus dem MVT-Projekt, veröffentlicht von Amnesty International, Citizen Lab und anderen Forschenden, die Pegasus, Predator und ähnliche Werkzeuge untersuchen.
Ein Name zählt nur, wenn er als vollständiger Name im Protokoll vorkommt. Kurze Namen von Pegasus-Prozessen wie „bh“ passten früher auf Wörter wie „github“; das ist nicht mehr so. Namen, die auch normale Systemprozesse von iOS sind, werden ausgelassen, weil ihr Vorkommen nichts beweist.
Warum die Indikatorliste nicht manipuliert werden kann
- 1. Jede Nacht erstellt unser Server ein Paket aus dem Indikatorverzeichnis von MVT.
- 2. Er signiert das Paket mit einem privaten Ed25519-Schlüssel, der nur auf dem Server existiert.
- 3. Die App prüft die Signatur mit dem in sie eingebauten öffentlichen Schlüssel und verwendet das Paket nur, wenn sie passt. Passt sie nicht, behält die App den letzten Satz, bei dem sie gepasst hat.
Ein gefälschtes Paket – aus einem kompromittierten Netzwerk oder von wem auch immer – kann also keine Indikatoren hinzufügen oder entfernen. Befunde werden auch nie in eine gemeinsame Liste hochgeladen: Ungeprüfte Meldungen von Nutzern sind genau der Weg, auf dem Bedrohungslisten vergiftet werden.
Was Ihren Computer verlässt
Jede Verbindung, die die App aufbauen kann, entnommen aus dem Code der App. Wenn Sie ihren Datenverkehr beobachten (siehe unten „Überprüfen Sie uns selbst“), sollten Sie diese Liste Punkt für Punkt abhaken können.
Immer, wenn die App online ist
Prüfung von Lizenz und Guthaben
harisshield.com
Ihr Lizenzschlüssel und eine Computer-ID – ein kurzer Hash aus dem Namen des Computers, dem Benutzernamen, dem Prozessor, der Architektur und der Größe des Arbeitsspeichers. Die Antwort ist ein von unserem Server signierter Guthabennachweis, mit dem die App 14 Tage lang offline weiterscannen kann.
Zählung nach jedem Scan
harisshield.com
Lizenzschlüssel, Computer-ID, iOS oder Android, die Anzahl der Befunde, eine zufällige Scan-ID und die Uhrzeit. So werden Scans von Ihrem Guthaben abgezogen. Nicht, was gefunden wurde, und nichts vom Telefon. Ohne Verbindung wartet die Meldung und wird später gesendet.
Signiertes Indikatorpaket
harisshield.com
Ein Download der neuesten Spyware-Indikatoren (siehe oben). Dabei wird nichts über Sie oder Ihr Telefon gesendet.
Suche nach Updates
harisshield.com
Ist ein Lizenzschlüssel aktiviert, sucht die App beim Start und alle vier Stunden nach Updates und lädt neue Versionen herunter; dabei sendet sie den Lizenzschlüssel, damit der Server die Datei freigibt.
Verbinden eines Computers mit Ihrer Lizenz
harisshield.com
Wenn Sie einen neuen Computer verbinden: die Computer-ID und der Name des Computers, damit die Bestätigungs-E-Mail Ihnen sagen kann, welcher Computer anfragt.
Nur wenn Sie eine Funktion nutzen
Komponentenprüfung (Teil eines vollständigen iPhone-Scans)
checkcoverage.apple.com, support-sp.apple.com
Die Seriennummer des iPhones, um Modell und Garantiestatus bei Apple abzufragen.
Zertifikatsprüfung während eines Android-Scans
Server, mit denen das Android-Telefon kommuniziert
Die App baut von Ihrem Computer aus kurze TLS-Handshakes zu einigen der öffentlichen Server auf, zu denen das Telefon offene HTTPS-Verbindungen hat (höchstens 18 Handshakes pro Scan), um deren Zertifikate zu prüfen. Diese Server sehen die IP-Adresse Ihres Computers. In einem Netzwerkmonitor erscheint das als Prozess openssl.
Live-Netzwerkmonitor
ipinfo.io
Die IP-Adressen, mit denen sich Ihr Telefon verbindet, während der Monitor läuft – die Adressen der Server, nicht Ihre –, um deren Land und Betreiber anzuzeigen. Wenn Sie ein eigenes ipinfo-Token eingegeben haben, wird es ebenfalls gesendet.
Prüfung auf Datenlecks
haveibeenpwned.com
Die E-Mail-Adresse, die Sie eingeben. Die Prüfung braucht Ihren eigenen API-Schlüssel für Have I Been Pwned; ohne ihn wird die Anfrage trotzdem gesendet, liefert aber keine Ergebnisse.
Fehlerberichte – ausgeschaltet, solange Sie das Kästchen nicht ankreuzen
harisshield.com
Nur aus einer festen Liste von Feldern: App-Version, Betriebssystem, Architektur, welcher Schritt fehlgeschlagen ist, Fehlertyp und -code, Funktionsname, iOS oder Android sowie ein 8-stelliger Hash des Lizenzschlüssels. Nie Fehlermeldungen, Dateipfade, Angaben zum Telefon, Befunde, Ihr Lizenzschlüssel oder Ihre E-Mail-Adresse.
Nur ältere Lizenzschlüssel
api.lemonsqueezy.com
Schlüssel, die nicht mit HRS- beginnen, wurden über Lemon Squeezy verkauft und werden dort aktiviert und geprüft, mit dem Schlüssel und der Computer-ID.
Nach wiederholt fehlgeschlagenen Aktivierungen
harisshield.com
Die Computer-ID und wie viele Versuche fehlgeschlagen sind, damit ein Schlüssel nicht durch Ausprobieren erraten werden kann.
Wird nie gesendet
- Nachrichten, Fotos, Kontakte, Anrufprotokolle oder E-Mails
- Die Liste der Apps auf dem Telefon
- Absturzberichte oder Ihre Sysdiagnose
- Was ein Scan gefunden hat, oder der Scan-Bericht selbst
Scan-Ergebnisse und Berichte bleiben im Ordner der App auf Ihrem Computer, bis Sie sie löschen oder sich entscheiden, ein PDF weiterzugeben.
Der Offline-Modus und was er nicht abdeckt
Der Offline-Modus in den Einstellungen der App stoppt das Herunterladen der Indikatoren, die IP-Abfragen im Netzwerkmonitor und die Prüfung auf Datenlecks. Er stoppt nicht die Prüfung von Lizenz und Guthaben, die Suche nach Updates, die Abfrage der Seriennummer und die Zertifikatsprüfung bei Android.
Für einen Scan ganz ohne Verbindung trennen Sie den Computer vom Internet. Nachdem die App einmal online war, scannt sie bis zu 14 Tage lang mit ihrem letzten signierten Guthabennachweis weiter und verwendet die Indikatoren, die sie bereits hat. Die Zählung der Scans wird gesendet, sobald Sie wieder verbunden sind.
Was kein Werkzeug versprechen kann
Kein Werkzeug kann beweisen, dass ein Telefon sauber ist
Haris Shield findet Spuren, die bekannt sind. Das MVT-Projekt sagt dasselbe über sein eigenes Werkzeug: Öffentliche Indikatoren reichen nicht aus, um ein Gerät für sauber zu erklären.
Die fortschrittlichste Spyware kann verborgen bleiben
Werkzeuge der Pegasus-Klasse sind darauf ausgelegt, möglichst wenig zu hinterlassen, und neue Versionen sind im Einsatz, bevor jemand Indikatoren für sie veröffentlicht hat. Sie können diesem Scan entgehen – und jedem anderen.
„Keine Bedrohungen gefunden“ heißt nicht „sicher“
Es bedeutet, dass keine der bekannten Spuren aufgetaucht ist. Wenn Ihre Lage Sie einem echten Risiko aussetzt, holen Sie eine zweite Meinung bei den unten genannten Fachleuten ein, ganz gleich, was unser Ergebnis sagt.
Wo wir heute stehen
Manches ist noch nicht fertig. Sie sollten wissen, was.
Noch nicht von Apple notarisiert
Deshalb meldet macOS, dass der Entwickler nicht überprüft werden kann, und Sie müssen beim ersten Mal „Dennoch öffnen“ wählen. Die Signierung mit einer Apple Developer ID und die Notarisierung werden gerade eingerichtet.
Für Windows noch nicht codesigniert
Deshalb zeigt Windows „Der Computer wurde durch Windows geschützt“. Die Codesignierung wird gerade eingerichtet. Bis beides umgesetzt ist, kann das Betriebssystem nicht bestätigen, dass eine Datei von uns stammt – die Prüfsummen unten können das.
Versionen
Die Mac-Version läuft nur auf Apple Silicon, die Linux-Version nur auf x86-64. Siehe die Download-Seite.
Überprüfen Sie uns selbst
Ein Sicherheitswerkzeug verlangt viel Vertrauen. Hier sind echte, unabhängige Wege, um zu prüfen, ob Haris Shield tut, was auf dieser Seite steht – und um Ihr Telefon von jemand anderem als uns prüfen zu lassen.
1. Das Installationsprogramm prüfen
Laden Sie es bei VirusTotal hoch. Ziehen Sie die heruntergeladene Datei auf virustotal.com, und rund 70 Virenscanner prüfen sie. Lesen Sie, welche Scanner etwas melden und wie sie es nennen – nicht nur die Anzahl.
Vergleichen Sie die SHA-512-Prüfsumme. Wenn die Prüfsumme Ihrer Datei mit der unten angegebenen übereinstimmt, ist es genau die Datei, die wir veröffentlicht haben. Es sind dieselben Werte, die auch die Update-Funktion der App prüft.
Version 1.0.13:
macOS · Haris Shield-1.0.13-arm64.dmg
128 MB
4fe86b6fddb00fe3292be6dcb5facba1c18fc325e3a794005c083b01453593f4a92cf6e7531e3e2bf35e60fa5108f9ed7b5cb2422a3655741ca0043bf7c889e9
Windows · Haris Shield Setup 1.0.13.exe
110 MB
8108d8091be32424877d796e99ac522a3ce7cf0599b6bb5d87ef175630ee811ee3d4921ea00ddad6b93fbf73bb064cdffc414fca9c4df310493b9e391e0278c1
Linux · Haris Shield-1.0.13.AppImage
124 MB
2072f0f85bf1a9a013e9dbbced8b3184d6050fe86963808a831fa6f43e656ae1d29026f78ca2a9186eddad5ecf9d6ffc744b571ea576fa83db2ffc8666e51b7c
Linux · phoneguard_1.0.13_amd64.deb
98 MB
e5e344a628c9e47ca6204c6493d05763eefff336c679675c9800646f7ba699edab9548d7fb7089c83983d3c1e9673f25d07ce9462391a547516767acdb7ab3cf
Mac (Terminal)
shasum -a 512 <Dateiname>
Linux (Terminal)
sha512sum <Dateiname>
Windows (PowerShell)
Get-FileHash -Algorithm SHA512 <Dateiname>
Groß- und Kleinschreibung spielt beim Vergleichen keine Rolle.
2. Den Netzwerkverkehr der App beobachten
Lassen Sie eines dieser Werkzeuge laufen, während Sie scannen. Sie sollten sehen, dass Haris Shield mit harisshield.com kommuniziert und – nur wenn Sie die entsprechenden Funktionen nutzen – mit den Diensten in der Liste oben. Die Verbindung zum Telefon selbst läuft über USB und erscheint nicht als Internetverkehr.
Mac
- LuLu
Kostenlos und Open Source, von Objective-See. Fragt nach, bevor eine App eine neue ausgehende Verbindung aufbaut, und zeigt, wohin sie führt.
- Little Snitch
Kostenpflichtig, von Objective Development. Zeigt jede Verbindung pro App, live und auf einer Karte.
Windows
- TCPView
Kostenlos, von Microsoft Sysinternals. Listet jede offene Verbindung mit dem zugehörigen Prozess auf.
- GlassWire
Gibt es auch in einer kostenlosen Version. Zeigt, mit welchen Hosts sich jede App verbindet.
- Windows Defender Firewall
Bereits in Windows enthalten. Blockieren Sie Haris Shield vollständig, wenn Sie bestätigen möchten, dass der Scan auch ohne Netzwerk funktioniert.
Linux
- OpenSnitch
Kostenlos und Open Source. Fragt pro App nach ausgehenden Verbindungen, ähnlich wie LuLu.
3. Eine zweite Meinung zu Ihrem Telefon einholen
Keine dieser Stellen ist mit uns verbunden. Wenn Sie Journalistin, Aktivist oder aus anderen Gründen möglicherweise ein Ziel sind, wenden Sie sich direkt an die Hilfsangebote – sie machen diese Arbeit jeden Tag.
- Mobile Verification Toolkit (MVT)
Amnesty International Security Lab
Kostenloses forensisches Open-Source-Werkzeug für iPhone und Android, entstanden während des Pegasus-Projekts. Es läuft auf der Kommandozeile und ist für Technikfachleute und Ermittelnde gedacht, nicht für eine schnelle Selbstprüfung. Haris Shield verwendet dieselben öffentlichen Indikatoren.
- iVerify Basic
iVerify
Eine App für iPhone und Android von einem unabhängigen Unternehmen für mobile Sicherheit. Sie prüft das Telefon vom Telefon selbst aus auf Anzeichen von Spyware wie Pegasus – ein nützlicher zweiter Blick aus einem anderen Winkel.
- Digital Security Helpline
Access Now
Kostenlose Hilfe rund um die Uhr, in mehreren Sprachen, für Journalistinnen und Journalisten, Aktivistinnen und Aktivisten, Menschenrechtsverteidiger und zivilgesellschaftliche Gruppen, die glauben, ins Visier genommen zu werden.
- Security Lab – Hilfe erhalten
Amnesty International
Unterstützung für Journalistinnen und Journalisten, Aktivistinnen und Aktivisten sowie zivilgesellschaftliche Organisationen, denen gezielte digitale Angriffe wie Pegasus drohen.
- Coalition Against Stalkerware
stopstalkerware.org
Ein Verzeichnis von Hilfetelefonen und Beratungsstellen nach Ländern für Menschen, die befürchten, dass ihr Partner oder eine nahestehende Person ihr Telefon überwacht. Rufen Sie es von einem Gerät auf, auf das diese Person nie Zugriff hatte.
Haben Sie auf dieser Seite etwas gefunden, das nicht zu dem passt, was die App tut? Schreiben Sie uns an support@harisshield.com. Siehe auch unsere Datenschutzerklärung.