Handy auf Spyware prüfen lassen: Was eine forensische Untersuchung wirklich zeigt

Jemand kennt Ihren Aufenthaltsort, obwohl Sie ihn nicht mitgeteilt haben. Private Nachrichten scheinen einer anderen Person bekannt zu sein. Auf Ihrem Smartphone tauchen Einstellungen oder Apps auf, an die Sie sich nicht erinnern können.

In solchen Situationen fällt schnell ein Begriff: Spyware.

Der Verdacht ist nicht grundsätzlich abwegig. Software zur heimlichen Überwachung von Smartphones existiert und wird auch gegen Privatpersonen eingesetzt. Trotzdem steckt hinter einem vermeintlich „ausspionierten Handy“ längst nicht immer eine klassische Spionage-App.

Manchmal liegt die Ursache in einem fremden Zugriff auf ein Benutzerkonto. Manchmal ist ein Gerät noch mit WhatsApp oder einem anderen Dienst verknüpft. Auch Standortfreigaben oder Fernzugriffsmöglichkeiten können erklären, warum eine andere Person Informationen erhält, die eigentlich privat sein sollten.

Eine forensische Untersuchung sollte deshalb nicht versuchen, einen bereits vorhandenen Verdacht zu bestätigen. Sie muss ergebnisoffen klären, ob sich technische Hinweise auf eine Überwachung oder einen unbefugten Zugriff finden lassen.

Wenn jemand Dinge weiß, die er eigentlich nicht wissen kann

Ein ungewöhnlich hoher Akkuverbrauch allein ist kein überzeugender Hinweis auf Spyware.

Interessanter wird ein Fall meist dann, wenn sich konkrete Beobachtungen wiederholen.

Eine andere Person kennt beispielsweise Aufenthaltsorte, obwohl keine bewusste Standortfreigabe besteht. Inhalte aus Nachrichten scheinen bekannt zu sein. Jemand weiß auffallend genau, wann bestimmte Personen angerufen wurden oder welche Informationen auf dem Smartphone gespeichert sind.

Gerade bei Partnern oder ehemaligen Partnern stellt sich dann eine wichtige Frage:

Hatte diese Person irgendwann Zugriff auf das entsperrte Smartphone?

Für viele Formen kommerziell verfügbarer Stalkerware braucht es keinen hochqualifizierten Hacker. Die Coalition Against Stalkerware weist darauf hin, dass entsprechende Software relativ einfach erhältlich sein kann und häufig von Personen eingesetzt wird, die physischen Zugriff auf das Smartphone ihres Opfers hatten.

Das bedeutet allerdings nicht, dass bei jedem entsprechenden Verdacht tatsächlich Stalkerware vorhanden ist.

Genau deshalb ist eine technische Prüfung sinnvoll.

Spyware ist nur eine mögliche Erklärung

Der Begriff Spyware wird im Alltag sehr breit verwendet.

Unter klassischer Spyware versteht man Programme, die Informationen vom Smartphone erfassen und an Dritte weitergeben. Eine Untergruppe davon ist sogenannte Stalkerware, die häufig im privaten Umfeld eingesetzt wird.

Dabei können je nach Software Standortinformationen, Kommunikation oder andere Daten betroffen sein.

Es gibt allerdings noch eine zweite Kategorie, die mit den typischen Fällen von Privatkunden nur wenig gemeinsam hat: hochentwickelte sogenannte Mercenary Spyware wie Pegasus.

Solche Angriffe sind technisch erheblich aufwendiger und richten sich gezielt gegen einzelne Personen. Apple beschreibt diese Angriffe als außergewöhnlich ressourcenintensiv und weist darauf hin, dass die überwiegende Mehrheit der Nutzer niemals Ziel einer solchen Attacke wird.

Bei einer normalen privaten Anfrage sollte daher nicht automatisch davon ausgegangen werden, dass ein hochentwickelter Zero-Click-Angriff stattgefunden hat.

Sehr viel häufiger muss zunächst geklärt werden, ob eine installierte Anwendung, ein Benutzerkonto oder eine Freigabe den beobachteten Zugriff erklären kann.

Ein kompromittiertes Konto kann sich genauso anfühlen wie Spyware

Angenommen, jemand kann Ihre WhatsApp-Nachrichten lesen.

Die naheliegende Schlussfolgerung wäre, dass eine Überwachungs-App auf dem Smartphone installiert wurde.

Es könnte jedoch auch ein anderes Gerät mit dem Konto verknüpft sein.

Ähnlich verhält es sich mit Standortinformationen. Wenn ein Google- oder Apple-Konto weiterhin auf einem anderen Gerät angemeldet ist oder eine Standortfreigabe besteht, können Informationen nach außen gelangen, ohne dass auf dem Smartphone irgendeine Spyware installiert sein muss.

Weitere mögliche Ursachen sind Fernwartungsprogramme, Gerätekonfigurationen oder Zugriffsrechte, die irgendwann bewusst eingerichtet und später vergessen wurden.

Deshalb reicht es nicht, ausschließlich nach bekannten Schadprogrammen zu suchen.

Eine professionelle Untersuchung muss die Frage breiter stellen:

Wie könnte eine andere Person technisch an die betreffenden Informationen gelangen?

Die typischen „Spyware-Anzeichen“ sind kein Beweis

Im Internet finden sich zahlreiche Checklisten, anhand derer sich Spyware angeblich erkennen lässt.

Genannt werden häufig:

• ungewöhnlich hoher Akkuverbrauch

• starke Erwärmung des Smartphones

• unerwartet hoher Datenverkehr

• unbekannte Apps

• ungewöhnliche Benachrichtigungen

• plötzlich verändertes Verhalten des Gerätes

Solche Auffälligkeiten können einen näheren Blick rechtfertigen. Sie beweisen jedoch keine Überwachung.

Ein fehlerhaftes App-Update kann den Akku stark belasten. Cloud-Synchronisation kann ungewöhnlich viel Datenverkehr erzeugen. Auch ein alter Akku oder ein Hintergrundprozess kann dazu führen, dass sich ein Smartphone erwärmt.

Die Coalition Against Stalkerware weist zudem darauf hin, dass Überwachungssoftware durchaus funktionieren kann, ohne derartige Auffälligkeiten zu verursachen.

Das Fehlen solcher Symptome ist deshalb ebenfalls kein Beweis dafür, dass alles in Ordnung ist.

Warum ein Virenscanner nicht dieselbe Frage beantwortet

Ein aktueller Virenscanner kann bekannte Schadprogramme erkennen und ist grundsätzlich sinnvoll.

Eine forensische Untersuchung geht jedoch über einen Malware-Scan hinaus.

Dabei werden – abhängig davon, welche Daten das jeweilige Gerät zur Verfügung stellt – auch Systeminformationen, installierte Anwendungen, Berechtigungen und andere technische Artefakte betrachtet.

Interessant kann beispielsweise sein, wann eine bestimmte Anwendung installiert wurde oder ob sich rund um einen vom Kunden genannten Zeitraum Änderungen nachvollziehen lassen.

Auch Profile, VPN-Konfigurationen oder ungewöhnliche Berechtigungen können eine Rolle spielen.

Der Unterschied liegt daher weniger in der Frage, ob ein bestimmtes Programm einen Warnhinweis ausgibt.

Entscheidend ist die technische Einordnung der vorhandenen Spuren.

So läuft eine forensische Untersuchung eines Smartphones ab

Am Anfang steht nicht die Software, sondern die Fragestellung.

Wir möchten zunächst wissen, warum der Verdacht entstanden ist.

Ein konkreter Hinweis wie

„Seit Mitte August kennt mein ehemaliger Partner regelmäßig meinen Aufenthaltsort.“

ist wesentlich aussagekräftiger als

„Mein Smartphone verhält sich komisch.“

Besonders relevant sind konkrete Zeiträume, ungewöhnliche Sicherheitsmeldungen und Situationen, in denen eine andere Person Zugriff auf das entsperrte Smartphone gehabt haben könnte.

Anschließend wird geprüft, welche Daten sich vom jeweiligen Gerät forensisch erfassen lassen.

Die Möglichkeiten unterscheiden sich dabei erheblich zwischen Android und iPhone und hängen zusätzlich von Modell, Betriebssystemversion und Sicherheitszustand des Gerätes ab.

Die verfügbaren Daten werden mit professioneller Forensiksoftware ausgewertet. Je nach Fragestellung können zusätzliche spezialisierte Werkzeuge eingesetzt werden, um bekannte technische Hinweise auf Spyware-Kampagnen zu prüfen.

Wichtig ist dabei immer die manuelle Bewertung.

Ein automatisierter Treffer ist noch keine abschließende forensische Aussage.

Bekannte Angriffsspuren: Was IOC-Prüfungen leisten

In der IT-Forensik wird häufig mit sogenannten Indicators of Compromise gearbeitet, kurz IOC.

Das sind technische Merkmale, die aus bereits untersuchten Angriffen bekannt sind.

Dazu können beispielsweise bestimmte Domains, Dateien oder andere charakteristische Artefakte gehören.

Mit dem Mobile Verification Toolkit, kurz MVT, hat das Security Lab von Amnesty International ein Werkzeug entwickelt, das solche Spuren in forensischen Smartphone-Daten untersuchen kann. Für Android existiert zusätzlich Android Quick Forensics, kurz AndroidQF. Amnesty bezeichnet beide aktuell als wichtige Werkzeuge für die einvernehmliche mobile Forensik.

Bei Android können damit beispielsweise gesammelte forensische Informationen gegen bekannte öffentliche Indicators of Compromise geprüft werden.

Das klingt zunächst nach einer einfachen Antwort auf die Frage „Ist mein Handy infiziert?“.

So einfach ist es allerdings nicht.

Ein IOC-Test kann nur nach Merkmalen suchen, die bekannt sind und sich noch in den verfügbaren Daten befinden.

Amnesty weist ausdrücklich darauf hin, dass ein fehlender Treffer nicht beweist, dass keine Infektion vorhanden war oder ist. Auch die eigenen Werkzeuge können neue hochentwickelte Spyware nicht zwangsläufig erkennen, wenn die entsprechenden technischen Indikatoren noch unbekannt oder nicht öffentlich verfügbar sind.

Android und iPhone hinterlassen unterschiedliche Spuren

Eine Untersuchung lässt sich nicht für jedes Smartphone nach demselben Schema durchführen.

Android

Bei Android spielen Anwendungen und deren Berechtigungen eine besonders wichtige Rolle.

Interessant können Apps sein, die nicht aus dem offiziellen Store stammen, ungewöhnliche Zugriffsrechte besitzen oder weitreichende Bedienungshilfen verwenden.

Auch Geräteverwaltungsrechte, VPN-Konfigurationen und andere privilegierte Funktionen können untersucht werden.

Wie ernst solche Angriffswege genommen werden, zeigt die laufende Weiterentwicklung von Android selbst. Google erweitert regelmäßig die Sicherheitsmechanismen des Betriebssystems und hat auch 2026 zusätzliche Schutzmaßnahmen gegen verschiedene Formen missbräuchlicher Zugriffe eingeführt.

iPhone

Bei einem iPhone liegt die Situation anders.

Das Betriebssystem schränkt Anwendungen wesentlich stärker ein. Das macht die Installation klassischer Stalkerware schwieriger, bedeutet aber nicht, dass ein iPhone grundsätzlich nicht überwacht werden kann.

Je nach Fall können Systemartefakte, Backups, Konfigurationsprofile und Informationen rund um den Apple Account relevant sein.

Für besonders anspruchsvolle gezielte Angriffe unterhält Apple ein eigenes System von Bedrohungsbenachrichtigungen.

Wer eine solche Benachrichtigung von Apple erhalten hat, sollte dies unbedingt bereits bei der Anfrage mitteilen. Ein solcher Fall muss anders bewertet werden als ein gewöhnlicher Verdacht auf Stalkerware.

Kann eine Untersuchung beweisen, dass keine Spyware vorhanden ist?

Nein.

Eine hundertprozentige Negativgarantie wäre fachlich nicht seriös.

Eine forensische Untersuchung kann feststellen, dass bekannte Spyware gefunden wurde. Sie kann verdächtige Apps oder Konfigurationen sichtbar machen. Ebenso können Spuren entdeckt werden, die mit einer bekannten Kompromittierung übereinstimmen.

Umgekehrt kann aber nicht garantiert werden, dass jede Form einer früheren oder gegenwärtigen Überwachung erkannt wird.

Manche Systeminformationen werden nur für begrenzte Zeit gespeichert. Daten können gelöscht oder überschrieben worden sein. Nicht alle Bereiche moderner Smartphones sind für eine Untersuchung gleichermaßen zugänglich.

Und neue Angriffsmethoden können existieren, bevor entsprechende Erkennungsmerkmale bekannt sind.

Eine seriöse Aussage nach einem negativen Befund lautet daher nicht:

„Dieses Smartphone wurde definitiv niemals überwacht.“

Sondern beispielsweise:

„In den untersuchten und zugänglichen Daten wurden keine technischen Hinweise auf bekannte Überwachungssoftware oder eine erkennbare Kompromittierung festgestellt.“

Diese Unterscheidung ist wesentlich.

Was passiert bei einem Fund?

Auch hier sollte nicht vorschnell bewertet werden.

Eine unbekannte App ist nicht automatisch Spyware. Eine auffällige Domain ist nicht automatisch der Beweis für einen Angriff.

Wird etwas Verdächtiges gefunden, muss deshalb zunächst geprüft werden, welche Bedeutung das Artefakt im konkreten Zusammenhang hat.

Das Ergebnis einer Untersuchung kann beispielsweise einen klaren Hinweis auf eine Überwachungsanwendung liefern.

In anderen Fällen wird keine Spyware gefunden, aber eine sicherheitsrelevante Konfiguration oder ein fremder Zugriff festgestellt.

Es kann außerdem Auffälligkeiten geben, deren Ursache anhand der verfügbaren Daten nicht eindeutig geklärt werden kann.

Und natürlich gibt es Geräte, bei denen sich keinerlei entsprechende Hinweise finden lassen.

Auch das ist ein valides Untersuchungsergebnis.

Verdächtige App gefunden? Nicht vorschnell löschen

Gerade wenn der Verdacht einen Partner oder ehemaligen Partner betrifft, sollte eine auffällige Anwendung nicht automatisch sofort entfernt werden.

Das hat zwei Gründe.

Zum einen können durch das Löschen relevante forensische Spuren verloren gehen.

Zum anderen kann eine Person, die tatsächlich eine Überwachungssoftware eingesetzt hat, unter Umständen bemerken, dass die Software nicht mehr funktioniert.

Die Coalition Against Stalkerware warnt deshalb davor, dass das Entfernen von Stalkerware in Missbrauchs- oder Stalking-Situationen Auswirkungen auf die persönliche Sicherheit haben kann. Betroffenen wird empfohlen, für die Suche nach Hilfe gegebenenfalls ein anderes vertrauenswürdiges Gerät zu verwenden.

Bei unmittelbarer persönlicher Gefährdung steht selbstverständlich die eigene Sicherheit vor einer späteren technischen Beweissicherung.

Vor der Untersuchung nicht auf Werkseinstellungen zurücksetzen

Wer wissen möchte, ob sich noch technische Spuren einer Überwachung auf dem Smartphone befinden, sollte das Gerät vorher möglichst nicht zurücksetzen.

Ein Werksreset kann Schadsoftware beseitigen.

Er kann aber gleichzeitig einen großen Teil der Daten löschen, die für eine spätere Untersuchung benötigt werden.

Das Smartphone sollte daher möglichst im aktuellen Zustand bleiben, wenn eine forensische Untersuchung geplant ist.

Gleiches gilt für umfangreiche Bereinigungsprogramme oder das eigenständige Entfernen verdächtiger Apps.

Kann eine Smartphone-Untersuchung als Beweis verwendet werden?

Eine normale technische Sicherheitsanalyse und eine für ein Gerichtsverfahren vorgesehene forensische Beweissicherung sind nicht zwangsläufig dasselbe.

Soll das Ergebnis möglicherweise in einem Strafverfahren, familienrechtlichen Verfahren oder einer anderen rechtlichen Auseinandersetzung verwendet werden, sollte dies vor Beginn der Untersuchung bekannt sein.

Dann kann geprüft werden, welche Anforderungen an Datensicherung und Dokumentation im jeweiligen Fall sinnvoll sind.

Das ist wesentlich besser, als erst nach Abschluss einer normalen Sicherheitsanalyse festzustellen, dass der Bericht zusätzlich als Beweismittel verwendet werden soll.

Was kostet es, ein Handy auf Spyware untersuchen zu lassen?

Der Preis einer forensischen Smartphone-Untersuchung lässt sich nicht für jedes Gerät identisch kalkulieren.

Der Aufwand hängt unter anderem davon ab, welches Smartphone untersucht werden soll, welche Daten zugänglich sind und wie konkret die Fragestellung eingegrenzt werden kann.

Für eine typische forensische Untersuchung eines entsperrbaren Smartphones auf Spyware, Stalkerware oder Hinweise auf unbefugte Zugriffe liegen die Kosten erfahrungsgemäß bei etwa 700 bis 1.000 Euro inklusive Mehrwertsteuer.

Bei umfangreicheren Untersuchungen kann der Aufwand höher sein. Das gilt beispielsweise, wenn mehrere Geräte einbezogen werden sollen oder besondere Anforderungen an eine forensische Beweissicherung bestehen.

Wichtig ist ein weiterer Unterschied zur Datenrettung:

Bezahlt wird die durchgeführte Untersuchung, nicht der Fund einer Spyware.

Wenn nach einer fachgerechten Analyse keine entsprechenden Hinweise festgestellt werden, ist das kein Fehlschlag der Untersuchung. Es ist das Ergebnis der untersuchten Daten.

Welche Informationen wir vorab benötigen

Wenn Sie Ihr Smartphone untersuchen lassen möchten, hilft uns eine möglichst sachliche Beschreibung des Verdachts.

Sie müssen selbst nicht wissen, ob tatsächlich Spyware vorhanden ist.

Interessant ist vielmehr:

Was ist passiert?

Seit wann besteht der Verdacht?

Welche Informationen scheint eine andere Person zu besitzen?

Hatte jemand Zugriff auf das entsperrte Smartphone?

Gab es auffällige Meldungen oder Veränderungen?

Je konkreter sich ein Vorgang zeitlich eingrenzen lässt, desto gezielter kann die spätere Analyse erfolgen.

Im Regelfall sollte sich das Smartphone einschalten und mit dem bekannten PIN beziehungsweise Sperrcode entsperren lassen.

Smartphone auf Spyware untersuchen lassen

Wenn Sie den Verdacht haben, dass Ihr Smartphone überwacht wird, können Sie uns das Gerät zur forensischen Untersuchung übergeben beziehungsweise einsenden.

Wir prüfen vor Beginn, welche Untersuchungsmöglichkeiten beim betreffenden Modell bestehen und welcher Umfang für die geschilderte Fragestellung sinnvoll ist.

Bei typischen Untersuchungen eines entsperrbaren Smartphones liegen die Kosten erfahrungsgemäß bei etwa 700 bis 1.000 Euro inklusive Mehrwertsteuer.

Den Fall können Sie hier anmelden:

https://www.datenrettung-germany.de/analyze.php

Bitte schreiben Sie im Bemerkungsfeld kurz, warum Sie eine Überwachung vermuten. Wenn ein bestimmter Zeitraum oder ein konkretes Ereignis relevant ist, geben Sie dies ebenfalls an.