Pegasus und andere Spyware: Wie erkennt man eine Infektion auf einem Smartphone?

Im März 2026 bestätigten die Staatsanwaltschaften von Rom und Neapel, dass die Telefone des Direktors eines italienischen Mediums und zweier Aktivisten aus dem Vereinswesen Spuren einer Infektion mit Graphite aufwiesen, einer von der Firma Paragon vertriebenen Spyware. Die Infektion ging auf Dezember 2024 zurück. Mehr als ein Jahr später „erinnerte“ sich das Telefon noch immer an das Geschehene. Genau auf diesem Gedächtnis beruht die Erkennung.

Spyware sieht man nicht, aber sie hinterlässt Spuren

Die fortschrittlichsten Spionageprogramme wie Pegasus (NSO Group), Predator (Intellexa) oder Graphite sind darauf ausgelegt, unsichtbar zu bleiben. Sie fügen kein Symbol hinzu, verlangsamen das Gerät nicht immer und können sich installieren, ohne dass das Opfer auf irgendetwas klickt. Manche löschen sich nach Gebrauch sogar selbst.

Ein modernes Smartphone führt jedoch ein regelrechtes Logbuch. Es vermerkt, welche Programme wann gelaufen sind, mit welchen Diensten es sich verbunden hat, welche Fehler aufgetreten sind und welche Daten übertragen wurden. Diese Protokolle dienen normalerweise dem reibungslosen Funktionieren des Systems. Für den Sachverständigen spielen sie die Rolle der Überwachungskameras eines Gebäudes: Der Einbrecher hat sein Werkzeug vielleicht mitgenommen, aber sein Besuch wurde aufgezeichnet.

Unsere Arbeit besteht also nicht darin, „die Software“ auf dem Telefon zu finden. Sie besteht darin, anhand der Spuren, die das Gerät unfreiwillig aufbewahrt hat, zu rekonstruieren, was darauf geschehen ist.

Pegasus ist nicht allein

Pegasus ist die bekannteste Spyware, aber nur ein Beispiel unter vielen. Mehrere Unternehmen haben vergleichbare Werkzeuge entwickelt, die öffentliche Untersuchungen in den letzten Jahren dokumentiert haben:

• Pegasus des israelischen Unternehmens NSO Group, 2021 durch das „Pegasus-Projekt“ in großem Umfang aufgedeckt;
• Predator, vertrieben vom Konsortium Intellexa, unter anderem auf Telefonen von Journalisten und Politikern in Europa gefunden;
• Graphite des Unternehmens Paragon, Auslöser der oben erwähnten italienischen Affäre;
• Hermit, entwickelt vom italienischen Unternehmen RCS Lab, gegen iPhone und Android gerichtet, 2022 von Lookout und Google dokumentiert;
• Reign des israelischen Unternehmens QuaDream, gegen das iPhone gerichtet, 2023 vom Citizen Lab und von Microsoft dokumentiert. Das Unternehmen stellte kurz darauf seine Tätigkeit ein.

Die Namen ändern sich, Unternehmen schließen oder benennen sich um, doch das Prinzip bleibt dasselbe. Deshalb beruht die Erkennung nicht auf dem Namen einer Software, sondern auf den Spuren, die jeder Eindringling früher oder später hinterlässt.

Drei Wege, einen Eindringling zu erkennen

Mit bekannten Fingerabdrücken vergleichen

Jede dokumentierte Spionagekampagne hinterlässt Signaturen: ungewöhnliche Programmnamen, Serveradressen, über die Daten abgeflossen sind, charakteristische Verhaltensweisen. Unabhängige Forschungslabore wie das Citizen Lab der Universität Toronto oder das Security Lab von Amnesty International veröffentlichen diese „Fingerabdrücke“ nach jeder Untersuchung. Wir vergleichen die auf dem Gerät gefundenen Spuren mit diesen Referenzen, so wie ein Ermittler Fingerabdrücke mit einer Kartei abgleicht.

Erkennen, was dort nichts zu suchen hat

Bekannte Fingerabdrücke reichen nicht aus: Eine neue Spyware ist noch nicht dokumentiert. Wir suchen deshalb auch nach Anomalien: ein Systemprogramm mit einem fast korrekten Namen, ein ohne Wissen des Nutzers installiertes Konfigurationsprofil, eine App, die sich übermäßige Rechte verschafft hat, Verbindungen zu Servern ohne Bezug zur Nutzung des Telefons. Ein einzelnes Indiz ist selten aussagekräftig; erst ihr Zusammentreffen ergibt ein Bild.

Jede Spur zeitlich einordnen

Eine isolierte Spur beweist nichts. Eine datierte Spur, abgeglichen mit anderen und in Bezug zum Alltag des Nutzers gesetzt, wird zu einem Analyseelement. Eine Nachricht, die um 3 Uhr morgens eingeht, gefolgt vom Absturz einer App und einer Verbindung zu einem unbekannten Server: Die Chronologie erzählt oft mehr als jedes Element für sich.

Die häufigste Bedrohung ist nicht die bekannteste

Sogenannte „Söldner“-Spyware, die an Staaten verkauft wird, zielt auf eine begrenzte Zahl von Personen: Journalisten, Rechtsanwälte, Politiker, Führungskräfte, Aktivisten. Ihre Kosten sind beträchtlich, ihr Einsatz bleibt gezielt. Apple, das Nutzer warnt, die es für Zielpersonen hält, verschickte im August 2026 eine neue Welle von Benachrichtigungen in 110 Länder. Insgesamt haben seit 2021 Nutzer in mehr als 150 Ländern solche Warnungen erhalten.

In der Praxis sieht die häufigste Situation anders aus: eine online gekaufte Überwachungssoftware, installiert von einem Angehörigen, einem ehemaligen Partner oder einem Kollegen, der einige Minuten Zugang zum Telefon hatte. Diese Werkzeuge, oft „Stalkerware“ genannt, sind weniger ausgefeilt, ihre Folgen für das Opfer können aber sehr schwer wiegen. Sie werden mit derselben Methode erkannt und hinterlassen in der Regel mehr Spuren.

Was die Analyse leisten kann – und was nicht

Die Redlichkeit gebietet eine Klarstellung: Das Fehlen von Spuren beweist nicht das Fehlen einer Infektion. Die Protokolle des Telefons reichen nicht unbegrenzt zurück, ein Zurücksetzen löscht das Wesentliche, und die neuesten Werkzeuge können den bekannten Methoden entgehen. Eine Analyse kommt daher zu abgewogenen Schlüssen: Spuren, die mit einer Infektion vereinbar sind; keine Spuren zum Zeitpunkt der Untersuchung festgestellt; oder unzureichende Anhaltspunkte für eine Aussage.

Wenn die Feststellungen vor Gericht verwendet werden sollen, zählt die Methode ebenso viel wie das Ergebnis. Die Sicherung wird dokumentiert, die Daten werden eingefroren und ihre Integrität gewährleistet, jede Schlussfolgerung wird mit den Elementen verknüpft, auf denen sie beruht. Das unterscheidet einen Eindruck von einem Beweis.

Fazit

Wenn Sie vermuten, dass ein Telefon überwacht wird, kommt es auf die ersten Schritte an. Setzen Sie es nicht zurück und löschen Sie keine Apps: Sie würden die Spuren vernichten, die die Analyse benötigt. Notieren Sie die Daten und Vorfälle, die Sie stutzig gemacht haben, bewahren Sie eine etwaige Benachrichtigung von Apple oder Google auf und nutzen Sie bis zur Untersuchung ein anderes Gerät für sensible Kommunikation. Für exponierte Personen verringert der Blockierungsmodus von Apple (Lockdown Mode) die Angriffsfläche erheblich.

Cyber Praxis führt diese Analysen auf iPhone und Android durch, von der Sicherheitsdiagnose für Mobilgeräte bis zum Gerichtsgutachten.