Bei Verdacht auf digitale Überwachung ist eine kurzfristige persönliche Übergabe des Smartphones nicht immer möglich – etwa auf Geschäftsreise, im Ausland oder bei räumlich weit entfernten Auftraggebern. Mit dem AQON INTELLIGENCE Quick-Check kann bei geeigneten iOS- und Android-Geräten eine autorisierte Remote-Prüfung der gerätespezifisch zugänglichen Daten und des beobachtbaren Netzwerkverkehrs erfolgen, ohne dass sich das Mobilgerät während dieser Prüfung physisch in unseren Untersuchungsräumen in Krefeld oder Vaterstetten bei München befinden muss.
Das Mobilgerät bleibt beim Nutzer. Für die Sitzung wird eine geschützte, ausdrücklich autorisierte Remote-Verbindung eingerichtet. Der für die Untersuchung relevante Netzwerkverkehr wird dem Analysegerät zugänglich gemacht und technisch ausgewertet. Betrachtet werden können auffällige Kommunikationsziele, ungewöhnliche Verbindungen, technische Anomalien und mögliche Indicators of Compromise (IoCs). Ein IoC ist ein technischer Hinweis, kein automatischer Beweis einer Kompromittierung. Auch eine unbekannte Domain oder IP-Adresse ist nicht automatisch Spyware. Die Ergebnisse müssen stets fachlich bewertet werden.
Handy auf Spyware prüfen, ohne das Gerät einzusenden
Bei einer klassischen Untersuchung vor Ort oder im Labor kann das Mobilgerät abhängig von Auftrag, Gerät und technischer Möglichkeit umfassender untersucht werden. Dazu können die Sicherung und Auswertung verfügbarer Gerätedaten gehören. Für eine solche Smartphone-Forensik muss das Gerät regelmäßig physisch für die Untersuchung bereitstehen.
Der AQON INTELLIGENCE Quick-Check verfolgt einen begrenzten, vorab vereinbarten Ansatz: Das Mobilgerät bleibt beim Nutzer. Je nach Gerät werden Android-Apps und Berechtigungen, iOS-System- und Diagnoseprotokolle sowie der während der Sitzung beobachtbare Netzwerkverkehr geprüft. Das kann kurzfristig eine erste Einordnung ermöglichen, ersetzt aber keine vollständige Untersuchung des Gerätespeichers.
So funktioniert der AQON INTELLIGENCE Quick-Check
1. Auftrag und technische Vorprüfung
Vor der Sitzung werden die Fragestellung, das verwendete Mobilgerät und die technischen Voraussetzungen geklärt. Dabei wird geprüft, ob der AQON INTELLIGENCE Quick-Check für den konkreten Fall geeignet ist.
2. Autorisierte Remote-Verbindung einrichten
Die geschützte Verbindung wird nur mit ausdrücklicher Autorisierung für das zu untersuchende Gerät eingerichtet. Das Mobilgerät verbleibt währenddessen beim Nutzer.
3. Vereinbarte Prüfbereiche auswerten
Je nach Gerät und technischer Eignung werden Android-Apps und Berechtigungen, iOS-System- und Diagnoseprotokolle sowie während der Sitzung beobachtbarer Netzwerkverkehr ausgewertet. Welche Bereiche tatsächlich zugänglich sind und untersucht werden, wird vorab vereinbart und im Ergebnis dokumentiert.
4. Auffälligkeiten und mögliche IoCs technisch bewerten
Kommunikationsziele, wiederkehrende Muster, technische Anomalien und mögliche IoCs werden nicht isoliert betrachtet, sondern im Zusammenhang mit Gerät, Nutzung und Untersuchungszeitraum fachlich eingeordnet.
5. Ergebnis dokumentieren und weitere Schritte empfehlen
Die Feststellungen und ihre Aussagegrenzen werden nachvollziehbar dokumentiert. Ergibt sich weiterer Klärungsbedarf, werden geeignete nächste Untersuchungsschritte empfohlen.
Was wird technisch analysiert?
Die Prüfung umfasst je nach Gerät und vereinbartem Umfang drei Bereiche:
- **Android:** zugängliche Apps und ihre Berechtigungen.
- **iOS:** zugängliche System- und Diagnoseprotokolle.
- **Netzwerkverkehr:** während der Sitzung technisch beobachtbare Kommunikation.
Es werden nicht bei jedem Gerät alle Bereiche verfügbar sein. Die Remote-Prüfung ist keine vollständige Auslesung des Gerätespeichers (Full File System). Für den Netzwerkbereich gilt:
Untersucht werden können Kommunikationsziele, Domains und IP-Adressen, soweit sie technisch sichtbar sind, außerdem Verbindungszeitpunkte, wiederkehrende Kommunikationsmuster, auffällige Endpunkte, technische Anomalien und mögliche IoCs.
Verschlüsselte HTTPS-Inhalte werden dabei nicht pauschal entschlüsselt. Nachrichteninhalte werden im Rahmen dieser Netzwerkverkehrsanalyse nicht gelesen. Sichtbarkeit und Aussagekraft hängen von der jeweiligen Verbindung, dem Gerät, den eingesetzten Diensten und weiteren technischen Bedingungen ab.
Was ist ein Indicator of Compromise?
Ein Indicator of Compromise, kurz IoC, ist ein technisches Merkmal oder Artefakt, das auf eine mögliche Kompromittierung hindeuten kann. Dazu können beispielsweise auffällige Kommunikationsziele oder bestimmte Verhaltensmuster gehören.
Ein IoC ist ein Anhaltspunkt und kein alleiniger Beweis. Derselbe technische Befund kann je nach Kontext eine legitime oder eine auffällige Ursache haben. Deshalb muss er mit weiteren Feststellungen abgeglichen und fachlich bewertet werden.
Was der AQON INTELLIGENCE Quick-Check leistet
Der AQON INTELLIGENCE Quick-Check ist darauf ausgerichtet, technisch erkennbare Auffälligkeiten, bekannte Indicators of Compromise (IoCs) und verdächtige Kommunikationsmuster in den vereinbarten, technisch zugänglichen Prüfbereichen zu identifizieren und fachlich einzuordnen. Je nach Aktivität und sichtbaren Spuren können dabei auch Hinweise auf hochentwickelte Überwachungssoftware erkannt werden. Die Aussagekraft bezieht sich auf die während der Untersuchung technisch beobachtbaren Daten. Ergibt sich aus dem Quick-Check ein weitergehender Verdacht oder eine relevante Auffälligkeit, kann die Analyse gezielt durch eine vertiefte Smartphone-Forensik ergänzt werden.
Staatstrojaner wie Pegasus und FinFisher erkennen
Das von AQON INTELLIGENCE eingesetzte Analysegerät ist für die Erkennung von Malware, Spyware und sogenannten Regierungstrojanern ausgelegt. Die technische Dokumentation nennt ausdrücklich die Erkennung von Pegasus; zusätzlich arbeitet das System mit einer Threat-Intelligence-Datenbank mit bekannten Indicators of Compromise, Malware-Familien, verdächtigen IP-Adressen und Command-and-Control-Servern.
Dadurch können im Rahmen der Untersuchung auch Hinweise auf hochentwickelte Überwachungssoftware wie Pegasus sowie – bei vorhandenen passenden technischen Indikatoren – auf weitere bekannte Spyware-Familien wie FinFisher/FinSpy aufgefunden und fachlich eingeordnet werden. Relevant sind dabei beispielsweise bekannte IoCs, verdächtige Kommunikationsziele, Domain-/IP-Bezüge und charakteristische Kommunikationsmuster.
Bei einem konkreten Treffer oder einem erhöhten Verdachtsbild kann der AQON INTELLIGENCE Quick-Check gezielt durch eine weitergehende Smartphone-Forensik ergänzt werden.
Wann ist der Quick-Check sinnvoll?
Der AQON INTELLIGENCE Quick-Check kann insbesondere bei Geschäftsreisen, Auslandsaufenthalten, für Führungskräfte und international tätige Unternehmen sinnvoll sein. Er kommt auch bei einem akuten Verdacht infrage, wenn eine persönliche Übergabe oder ein Geräteversand kurzfristig nicht möglich ist.
Ob die Methode im Einzelfall geeignet ist, hängt von der Fragestellung, dem Gerät und den technischen Rahmenbedingungen ab. Diese Punkte werden vor Beginn geklärt.
Weltweit nutzbar – mit technischen Voraussetzungen
Die Analyse ist grundsätzlich ortsunabhängig möglich, wenn eine geeignete Internetverbindung, ein kompatibles Gerät, die erforderlichen technischen Voraussetzungen und eine ausdrückliche Autorisierung vorliegen. Eine Durchführung an jedem Ort oder mit jedem Gerät kann daher nicht pauschal zugesichert werden.
Stabilität und Qualität der Verbindung können den Umfang der technisch beobachtbaren Kommunikation beeinflussen. Die Eignung wird deshalb vor dem Termin geprüft.
Ergänzung zur technischen Lauschabwehr
Eine technische Lauschabwehrprüfung untersucht Räume, Fahrzeuge oder andere Bereiche auf unerwünschte Aufzeichnungs-, Ortungs- oder Übertragungstechnik. Die digitale Geräte- und Netzwerkverkehrsanalyse betrachtet dagegen zugängliche Apps, Protokolle und Kommunikationswege eines Mobilgeräts.
Beide Untersuchungsbereiche sind fachlich zu trennen, weil sie unterschiedliche Informationswege prüfen. Abhängig vom Verdachtsbild können sie sich jedoch sinnvoll ergänzen.
Preis des AQON INTELLIGENCE Quick-Check
Für Verbraucher beträgt der Preis 892,50 € brutto pro Gerät.
750,00 € netto + 142,50 € Umsatzsteuer (19 %) = 892,50 € brutto pro Gerät.
Der Preis gilt für den beschriebenen Remote Quick-Check mit fachlicher Bewertung innerhalb des vorab vereinbarten gerätespezifischen Umfangs. Der konkrete Prüfungsumfang und die technischen Voraussetzungen werden vor Beginn festgelegt.
Was passiert bei einem auffälligen Befund?
Auffällige Kommunikationsziele, Anomalien oder mögliche IoCs werden zunächst technisch eingeordnet. Dabei wird geprüft, welche legitimen Ursachen in Betracht kommen und ob weitere Feststellungen den Verdacht stützen oder relativieren.
Treffen bekannte oder verdächtige IoCs zu hochentwickelter Spyware zu, werden diese fachlich eingeordnet und mit dem beobachtbaren Kommunikationsverhalten abgeglichen. Abhängig vom Befund kann eine weitergehende forensische Untersuchung des Geräts sinnvoll sein.
Je nach Befund kann eine weitergehende Smartphone-Forensik oder Spyware-Prüfung empfohlen werden. Für eine Abstimmung zum konkreten Fall steht die Kontaktseite zur Verfügung.
Wie wird ein unauffälliges Ergebnis eingeordnet?
Ein unauffälliges Ergebnis bedeutet, dass innerhalb des untersuchten Umfangs und Zeitraums keine entsprechenden technischen Auffälligkeiten festgestellt wurden. Damit erhält der Auftraggeber eine dokumentierte Bewertung der vereinbarten und tatsächlich zugänglichen Prüfbereiche. Besteht trotz eines unauffälligen Ergebnisses ein konkreter Verdacht oder ein erhöhtes Risikoprofil, kann AQON INTELLIGENCE die Prüfung durch weitergehende mobile Forensik ergänzen.
Fazit
Der AQON INTELLIGENCE Quick-Check ist eine ortsunabhängige erste technische Sicherheitsanalyse für geeignete mobile Endgeräte. Das Mobilgerät bleibt beim Nutzer. Über eine geschützte und ausdrücklich autorisierte Verbindung werden die vorab vereinbarten, gerätespezifisch zugänglichen Prüfbereiche untersucht.
Die Methode kann bei räumlicher Entfernung oder kurzfristigem Klärungsbedarf eine fachlich eingeordnete erste Bewertung ermöglichen. Der AQON INTELLIGENCE Quick-Check ist als begrenzte Remote-Prüfung konzipiert und kann bei Bedarf durch eine weitergehende Geräteforensik ergänzt werden.