Jemand kennt meine Nachrichten oder meinen Standort – wird mein Handy überwacht?

Eine andere Person weiss, wo Sie gewesen sind. Sie kennt Inhalte aus privaten Nachrichten oder erwähnt Fotos, Termine oder Gespräche, von denen sie eigentlich nichts wissen dürfte.

In dieser Situation liegt ein Gedanke nahe:

Jemand überwacht mein Handy.

Das kann tatsächlich der Fall sein. Die Ursache muss aber nicht zwangsläufig eine heimlich installierte Spyware sein.

Moderne Smartphones sind mit zahlreichen Konten, Cloud-Diensten und anderen Geräten verbunden. Nachrichten lassen sich auf Computern und Tablets verwenden, Standorte können dauerhaft freigegeben werden und Fotos werden automatisch in die Cloud übertragen.

Daneben existiert tatsächlich Überwachungssoftware, die gezielt dafür entwickelt wurde, Aktivitäten auf einem Smartphone heimlich mitzulesen.

Für Betroffene sieht das Ergebnis zunächst häufig gleich aus: Eine andere Person verfügt über Informationen, die sie eigentlich nicht haben dürfte.

Technisch können dahinter jedoch sehr unterschiedliche Ursachen stecken.

Mein Standort ist einer anderen Person bekannt

Das ist einer der häufigsten Gründe für den Verdacht auf Smartphone-Überwachung.

Man war beispielsweise an einem bestimmten Ort und kurze Zeit später scheint der ehemalige Partner genau zu wissen, wo man sich aufgehalten hat.

Spyware ist dafür eine mögliche Erklärung – aber längst nicht die einzige.

Bei Android kann beispielsweise über Google eine dauerhafte Standortfreigabe bestehen. Der freigegebene Echtzeitstandort kann auch dann sichtbar sein, wenn gerade keine Google-App verwendet wird.

Beim iPhone kann der Standort unter anderem über Apples „Wo ist?“-Funktion mit anderen Personen geteilt werden.

Solche Freigaben wurden möglicherweise irgendwann bewusst eingerichtet und später vergessen.

In anderen Fällen verfügt eine Person weiterhin über Zugriff auf ein Google- oder Apple-Konto oder auf ein anderes Gerät, das mit diesem Konto verbunden ist.

Bevor deshalb von einer heimlichen Spyware-Installation ausgegangen wird, muss geklärt werden, auf welchen Wegen Standortinformationen das Smartphone überhaupt verlassen können.

Mein ehemaliger Partner kennt meine WhatsApp-Nachrichten

Auch das wird uns bei einem Überwachungsverdacht häufig geschildert.

Eine naheliegende Vermutung ist eine App, die Nachrichten heimlich mitliest.

Doch auch hier gibt es andere Möglichkeiten.

WhatsApp kann gleichzeitig auf mehreren Geräten verwendet werden. Neben dem Haupttelefon können beispielsweise Computer, Tablets oder weitere unterstützte Geräte mit einem WhatsApp-Konto verknüpft sein.

Wenn eine andere Person zu einem früheren Zeitpunkt Zugriff auf das entsperrte Smartphone hatte, ist deshalb auch die Frage relevant, ob ein fremdes Gerät mit dem Konto verbunden wurde.

Daneben kommen weitere Szenarien infrage.

Vielleicht konnte die Person direkt auf das entsperrte Smartphone zugreifen. Vielleicht werden Benachrichtigungen auf einem anderen Gerät angezeigt. Oder der Zugriff erfolgt tatsächlich über eine Überwachungssoftware.

Allein aus der Tatsache, dass jemand Inhalte einer Nachricht kennt, lässt sich deshalb noch nicht ableiten, wie diese Information nach aussen gelangt ist.

Jemand kennt Fotos, Dokumente oder Termine von meinem Handy

Fotos befinden sich heute häufig nicht ausschließlich auf dem Smartphone.

Google Fotos, iCloud und andere Cloud-Dienste synchronisieren Inhalte zwischen verschiedenen Geräten.

Ähnliches gilt für Kalender, Kontakte, Notizen und Dokumente.

Ist ein alter Computer, ein Tablet oder ein anderes Smartphone noch mit dem entsprechenden Benutzerkonto verbunden, können dort weiterhin Informationen verfügbar sein.

Bei einer solchen Konstellation kann das Smartphone selbst technisch völlig unauffällig sein.

Der fremde Zugriff findet dann nicht auf das Telefon statt, sondern über ein anderes Gerät oder das dazugehörige Konto.

Genau deshalb ist die Aussage

„Auf meinem Smartphone wurde keine Spyware gefunden“

nicht automatisch gleichbedeutend mit

„Niemand kann auf meine Daten zugreifen.“

Mein Google-Konto zeigt Geräte, die ich nicht kenne

Das sollte überprüft werden.

Google ermöglicht es Nutzern, die Geräte und Sitzungen einzusehen, auf denen das eigene Google-Konto aktuell oder in den vergangenen Wochen verwendet wurde.

Dabei können neben Smartphones auch Computer, Browser oder andere Sitzungen erscheinen.

Ein unbekannter Eintrag ist allerdings nicht automatisch der Beweis für einen Angriff.

Gerätebezeichnungen können wenig eindeutig sein und dasselbe Gerät kann unter Umständen mit mehreren Sitzungen erscheinen.

Unbekannte Geräte oder Aktivitäten sollten dennoch ernst genommen und technisch eingeordnet werden.

Denn wenn eine andere Person Zugang zu einem zentralen Benutzerkonto besitzt, kann das je nach verwendeten Diensten wesentlich mehr erklären als eine einzelne verdächtige App.

Beim iPhone gibt es ebenfalls mehr als nur Spyware

Auch bei einem iPhone sollte nicht ausschließlich nach einer versteckten Spionage-App gesucht werden.

Apple hat mit der sogenannten Sicherheitsprüfung eine eigene Funktion geschaffen, mit der Nutzer unter anderem überprüfen können, mit welchen Personen und Apps Informationen geteilt werden und welche Geräte mit dem Apple Account verbunden sind.

Darüber lassen sich beispielsweise Standortfreigaben und verschiedene Zugriffsrechte kontrollieren.

Das zeigt einen wichtigen Punkt:

Die Sicherheitsfrage betrifft heute nicht nur das Smartphone selbst, sondern das gesamte damit verbundene Konto- und Geräteumfeld.

Daneben gibt es selbstverständlich auch tatsächliche Spyware-Angriffe auf iPhones.

Hochentwickelte Angriffssysteme wie Pegasus stellen jedoch eine andere Kategorie dar als typische private Stalkerware-Fälle und sollten nicht automatisch als Erklärung für jede ungewöhnliche Beobachtung herangezogen werden.

Jemand hatte Zugriff auf mein entsperrtes Smartphone

Diese Information ist für eine Untersuchung sehr wichtig.

Kommerzielle Stalkerware muss nicht zwingend durch einen hochqualifizierten Angreifer installiert werden.

Bei vielen solchen Produkten ist gerade der zeitweise physische Zugriff auf ein entsperrtes Smartphone entscheidend.

Die Situation kann beispielsweise so aussehen:

Das Smartphone lag über Nacht beim Partner.

Der PIN war bekannt.

Das Gerät wurde während einer Reparatur oder in einer anderen Situation aus der Hand gegeben.

Oder eine Person hatte in der Vergangenheit ohnehin regelmäßig Zugriff darauf.

Das bedeutet nicht automatisch, dass tatsächlich etwas installiert wurde.

Es verändert aber die technische Ausgangslage erheblich.

Wenn Sie eine forensische Untersuchung durchführen lassen möchten, sollten Sie deshalb immer erwähnen, ob und wann eine andere Person Zugang zum entsperrten Gerät gehabt haben könnte.

Können Apps heimlich auf einem Android-Handy laufen?

Grundsätzlich können Android-Anwendungen umfangreiche Berechtigungen erhalten.

Abhängig von Betriebssystemversion und Gerätekonfiguration können dabei unter anderem Zugriffsmöglichkeiten über Bedienungshilfen, Geräteverwaltung, Benachrichtigungen, Standortdienste oder andere privilegierte Funktionen relevant sein.

Eine App muss dabei nicht zwingend einen Namen wie „Spyware“ tragen.

Überwachungssoftware versucht naturgemäss häufig, möglichst unauffällig zu erscheinen.

Bei einer technischen Untersuchung reicht es deshalb nicht, lediglich die sichtbare App-Liste durchzusehen.

Interessant sind auch Herkunft, Berechtigungen und vorhandene technische Artefakte einer Anwendung.

Können auch ganz normale Apps zur Überwachung benutzt werden?

Ja.

Das ist ein Punkt, der häufig unterschätzt wird.

Nicht jedes Werkzeug, das für eine Überwachung verwendet wird, wurde ursprünglich dafür entwickelt.

Standortfreigaben sind beispielsweise für Familien und Freunde gedacht. Fernwartungsprogramme besitzen legitime Einsatzmöglichkeiten. Cloud-Dienste sollen Daten bequem zwischen eigenen Geräten synchronisieren.

Wenn jedoch eine andere Person Zugriff darauf hat oder eine entsprechende Funktion ohne Wissen des Gerätebesitzers nutzt, kann eine ursprünglich legitime Technik Teil einer unerwünschten Überwachung werden.

Auch die Coalition Against Stalkerware weist darauf hin, dass technologiegestützte Überwachung nicht zwingend klassische Stalkerware voraussetzt.

Deshalb ist die Suche nach einer einzigen „Spionage-App“ häufig zu kurz gedacht.

Was ist überhaupt Stalkerware?

Als Stalkerware werden Programme oder Apps bezeichnet, die es einer anderen Person ermöglichen, Aktivitäten auf einem Gerät ohne Wissen oder Zustimmung des Benutzers zu überwachen.

Je nach Software können beispielsweise Standortinformationen, Kommunikationsdaten oder andere Aktivitäten erfasst werden.

Solche Programme werden insbesondere im Zusammenhang mit der Überwachung durch Partner oder ehemalige Partner eingesetzt.

Ein wichtiger Unterschied zu hochentwickelter professioneller Spyware besteht darin, dass kommerzielle Stalkerware teilweise ohne besondere technische Kenntnisse installiert werden kann.

Häufig ist dafür allerdings ein Zugriff auf das entsperrte Smartphone erforderlich.

Ist hoher Akkuverbrauch ein Hinweis auf Spyware?

Er kann ein Hinweis sein.

Mehr aber zunächst nicht.

Ein plötzlich stark sinkender Akkustand kann genauso durch einen gealterten Akku, eine fehlerhafte App, ein Betriebssystem-Update, Cloud-Synchronisation oder schlechten Mobilfunkempfang verursacht werden.

Ähnliches gilt für ein ungewöhnlich warmes Smartphone oder erhöhten Datenverbrauch.

Problematisch sind deshalb viele der im Internet verbreiteten „Spyware-Checklisten“.

Sie vermitteln schnell den Eindruck, ein bestimmtes Symptom würde eine Überwachung beweisen.

Das tut es nicht.

Umgekehrt bedeutet ein völlig normal funktionierendes Smartphone ebenfalls nicht, dass eine Überwachung ausgeschlossen werden kann.

Manche Stalkerware kann weitgehend unauffällig arbeiten.

Wann wird der Verdacht technisch interessant?

Für eine forensische Untersuchung sind konkrete Zusammenhänge wesentlich hilfreicher als allgemeine Symptome.

Beispielsweise:

„Mein ehemaliger Partner wusste am 14. September, dass ich in einem bestimmten Restaurant war.“

Oder:

„Eine Person hat am nächsten Tag den Inhalt einer privaten Nachricht erwähnt.“

Oder:

„Nach einem Wochenende, an dem jemand Zugriff auf mein Smartphone hatte, sind mir erstmals ungewöhnliche Dinge aufgefallen.“

Solche Angaben erlauben eine gezieltere Untersuchung.

Je genauer Zeitpunkt, Ereignis und betroffene Information beschrieben werden können, desto besser lässt sich prüfen, welche technischen Spuren dazu passen könnten.

Warum ein Virenscanner allein nicht ausreicht

Ein Virenscanner kann bekannte Schadsoftware erkennen und ist grundsätzlich sinnvoll.

Die Fragestellung einer forensischen Untersuchung ist jedoch breiter.

Es geht nicht ausschließlich darum:

„Findet ein Antivirenprogramm eine bekannte Schadsoftware?“

Sondern auch:

Welche Apps waren vorhanden?

Welche Berechtigungen wurden vergeben?

Gab es auffällige Konfigurationen?

Welche Konten und Geräte spielen eine Rolle?

Passen technische Artefakte zeitlich zu den geschilderten Ereignissen?

Gibt es bekannte Hinweise auf eine Kompromittierung?

Und lässt sich möglicherweise eine vollkommen andere Erklärung für den vermeintlichen Informationsabfluss finden?

Eine forensische Untersuchung soll deshalb nicht möglichst schnell das Wort „Spyware“ bestätigen.

Sie soll herausfinden, was technisch nachvollziehbar ist.

Was können wir bei einer forensischen Untersuchung prüfen?

Welche Informationen verfügbar sind, hängt vom Smartphone, Betriebssystem, Softwarestand und der konkreten Fragestellung ab.

Bei einem zugänglichen Smartphone können – soweit technisch verfügbar – unter anderem Anwendungen, System- und App-Artefakte, Berechtigungen, Konfigurationen und weitere sicherheitsrelevante Informationen untersucht werden.

Zusätzlich können Daten gegen bekannte technische Hinweise auf bestimmte Spyware- oder Malware-Aktivitäten geprüft werden.

Entscheidend ist anschließend die fachliche Bewertung.

Nicht jeder automatisierte Treffer ist ein Beweis und nicht jede ungewöhnliche Datei ist Schadsoftware.

Das Ergebnis muss deshalb immer im Kontext des jeweiligen Gerätes und der geschilderten Situation betrachtet werden.

Kann eine Untersuchung beweisen, dass mein Handy nicht überwacht wird?

Eine hundertprozentige Garantie ist technisch nicht möglich.

Eine Untersuchung kann vorhandene Hinweise auf Überwachungssoftware, verdächtige Konfigurationen oder andere Auffälligkeiten feststellen.

Sie kann aber nicht zuverlässig beweisen, dass ein Smartphone zu keinem Zeitpunkt in der Vergangenheit überwacht wurde.

Bestimmte Daten werden vom Betriebssystem nur begrenzte Zeit gespeichert. Andere können überschrieben oder gelöscht worden sein.

Auch neue oder bislang unbekannte Angriffsmethoden können nicht zwangsläufig anhand bereits bekannter Merkmale erkannt werden.

Deshalb sollte ein negatives Untersuchungsergebnis nicht lauten:

„Ihr Smartphone war definitiv niemals kompromittiert.“

Technisch korrekt wäre beispielsweise:

„In den untersuchten und zugänglichen Daten wurden keine Hinweise auf bekannte Überwachungssoftware oder eine erkennbare Kompromittierung festgestellt.“

Sollte ich unbekannte Geräte sofort entfernen und meine Passwörter ändern?

Aus rein sicherheitstechnischer Sicht kann es sinnvoll sein, fremde Zugänge zu sperren.

Wenn jedoch zunächst geklärt werden soll, was tatsächlich passiert ist, muss zwischen Absicherung und Beweissicherung unterschieden werden.

Durch Änderungen können Informationen verloren gehen, die später bei der Rekonstruktion relevant wären.

Das betrifft besonders Fälle, in denen das Ergebnis möglicherweise für eine Anzeige oder ein Gerichtsverfahren benötigt wird.

Besteht dagegen eine unmittelbare persönliche Gefährdung, geht die eigene Sicherheit selbstverständlich vor.

Wer vermutet, dass das eigene Smartphone tatsächlich überwacht wird und dadurch eine persönliche Gefahr entstehen könnte, sollte für die Suche nach Hilfe möglichst ein anderes vertrauenswürdiges Gerät verwenden.

Verdächtige Apps nicht vorschnell löschen

Das gilt insbesondere für Anwendungen, bei denen der Verdacht auf Überwachungssoftware besteht.

Das Löschen kann technische Spuren vernichten.

Darüber hinaus kann das plötzliche Verschwinden einer Überwachungssoftware für die Person erkennbar sein, die diese eingesetzt hat.

Gerade bei Stalking oder problematischen Beziehungssituationen kann das relevant sein.

Wenn eine forensische Untersuchung geplant ist und keine unmittelbare Gefahr besteht, sollte das Smartphone deshalb möglichst wenig verändert werden.

Das Smartphone nicht auf Werkseinstellungen zurücksetzen

Ein Werksreset kann vorhandene Schadsoftware entfernen.

Für die Frage

„Wurde mein Smartphone überwacht?“

ist er allerdings oft genau der falsche erste Schritt.

Durch das Zurücksetzen werden gleichzeitig zahlreiche Informationen gelöscht, die für eine spätere Untersuchung benötigt werden könnten.

Wer zunächst Klarheit über einen möglichen Vorfall möchte, sollte das Gerät deshalb möglichst im aktuellen Zustand untersuchen lassen.

Was kostet eine forensische Untersuchung eines Smartphones?

Der Aufwand hängt vom verwendeten Smartphone, dem Betriebssystem, den verfügbaren Daten und der Fragestellung ab.

Für die typische Untersuchung eines entsperrbaren Smartphones auf Spyware, Stalkerware oder Hinweise auf unbefugte Zugriffe liegen die Kosten erfahrungsgemäß bei etwa 700 bis 1.000 Euro inklusive Mehrwertsteuer.

Bei komplexeren Fragestellungen, mehreren Geräten oder besonderen Anforderungen an die Beweissicherung kann der Aufwand höher sein.

Die Kosten entstehen dabei für die Untersuchung und nicht für den Fund einer Spyware.

Wird keine Überwachungssoftware festgestellt, ist die Untersuchung deshalb nicht „erfolglos“.

Auch ein fachlich begründetes negatives Ergebnis kann die Fragestellung des Kunden beantworten.

Forensische Smartphone-Untersuchung für Kunden aus Berlin

Wenn Sie in Berlin oder Umgebung wohnen und vermuten, dass jemand unbefugt auf Ihr Smartphone, Ihre Nachrichten oder andere persönliche Informationen zugreift, können Sie das Gerät von uns forensisch untersuchen lassen.

Für die Untersuchung ist es hilfreich, wenn Sie nicht nur den Verdacht „Spyware“ angeben, sondern möglichst konkret beschreiben, was passiert ist.

Interessant sind insbesondere:

• welche Informationen einer anderen Person offenbar bekannt sind

• seit wann Ihnen die Auffälligkeiten aufgefallen sind

• konkrete Daten oder Ereignisse

• möglicher früherer Zugriff auf das entsperrte Smartphone

• auffällige Sicherheitsmeldungen oder unbekannte Geräte

Im Regelfall sollte sich das Smartphone noch einschalten und mit dem bekannten Sperrcode beziehungsweise PIN entsperren lassen.

Für typische Untersuchungen liegen die Kosten erfahrungsgemäß bei etwa 700 bis 1.000 Euro inklusive Mehrwertsteuer.

Den Fall können Sie hier zur Analyse anmelden:

https://www.datenrettung-berlin.de/analysis.php

Bitte beschreiben Sie im Bemerkungsfeld kurz den konkreten Überwachungsverdacht.