Bei Verdacht auf digitale Überwachung stellt sich häufig zuerst die Frage, ob sich Spyware auf Handy oder Computer befindet. Ein Smartphone ist jedoch nicht der einzige mögliche Informationsweg. Auch Windows-PCs, Macs und die Netzwerkumgebung können relevant sein.
AQON INTELLIGENCE kann neben iOS- und Android-Geräten auch Windows-PCs, macOS-Systeme sowie WLAN- und kabelgebundene LAN-Netzwerke technisch untersuchen. Bei geeigneten Fragestellungen kann ergänzend der Netzwerkverkehr eines mobilen Geräts über eine geschützte autorisierte Remote-Verbindung analysiert werden. Mehrere Bestandteile der digitalen Umgebung lassen sich abhängig von der Fragestellung gemeinsam betrachten.
Handy auf Spyware prüfen: Was wird technisch untersucht?
Untersucht werden Hinweise auf Spyware oder sonstige Schadsoftware, ungewöhnliche Systemaktivitäten und auffällige Netzwerkkommunikation des Geräts. Betrachtet werden dabei unter anderem installierte Komponenten, Berechtigungen, Hintergrundaktivität und Verbindungen zu Gegenstellen.
Ein ungewöhnlicher Befund ist nicht automatisch der Nachweis einer Überwachung. Viele Auffälligkeiten haben technisch unverdächtige Ursachen, etwa Systemdienste, Sicherungsfunktionen oder installierte Anwendungen. Erforderlich ist deshalb immer die technische Einordnung im Gerätekontext. Der Ablauf einer solchen Untersuchung ist auf der Seite zur Spyware-Prüfung beschrieben; eine vertiefte Auswertung des Geräts selbst behandelt die Smartphone- und Tablet-Forensik.
Windows-PC auf Spyware und Malware untersuchen
Bei einem Windows-System werden Hinweise auf Malware und Spyware, sogenannte Indicators of Compromise (IoCs), auffällige Prozesse, Systemanomalien, verdächtige Komponenten und mögliche Persistenzmechanismen betrachtet.
IoCs sind technische Merkmale oder Artefakte, die auf eine mögliche Kompromittierung hindeuten können, etwa bestimmte Dateien, Einträge, Verbindungen oder Verhaltensmuster. Ein einzelner IoC ist kein automatischer Beweis für eine Kompromittierung; er ist ein Anhaltspunkt, der bewertet werden muss.
Persistenzmechanismen sind mögliche Verankerungsmechanismen, durch die unerwünschte Software nach einem Neustart erneut ausgeführt werden kann. Auch hier gilt: Legitimes Systemverhalten und regulär eingerichtete Autostart-Komponenten müssen von auffälligen Einträgen abgegrenzt werden. Die methodischen Grundlagen dazu beschreibt die Seite zur IT-Forensik, eine gerätebezogene Untersuchung die Seite zur Windows-Forensik.
Mac auf Spyware und Sicherheitsauffälligkeiten prüfen
Auf macOS-Systemen werden laufende Prozesse, installierte Komponenten, verdächtige Elemente und mögliche Kompromittierungsindikatoren betrachtet.
Unbekannte Aktivität ist nicht automatisch Schadsoftware. Systemdienste, Verwaltungssoftware und Hersteller- oder Unternehmenskomponenten können ähnliche Spuren erzeugen. Die Bewertung erfolgt deshalb im Systemkontext und nicht anhand einzelner Fundstellen. Weitere Angaben zur Untersuchung solcher Systeme enthält die Seite zur Mac-Forensik.
WLAN prüfen: Gibt es unbekannte Geräte im Netzwerk?
Im WLAN werden verbundene Geräte, nicht zugeordnete Hosts, ungewöhnliche Konfigurationen, mögliche Schwachstellen und auffällige Netzwerkaktivitäten erfasst.
Ein unbekannter Host ist nicht automatisch ein Angreifer. Smartphones, Computer, Drucker, Fernseher, Smart-Home- und IoT-Geräte erscheinen im Netzwerk oft mit wenig aussagekräftigen Bezeichnungen. Sie müssen zunächst identifiziert und den tatsächlich vorhandenen Geräten zugeordnet werden, bevor eine Auffälligkeit überhaupt bewertet werden kann.
LAN-Netzwerk technisch analysieren
Im kabelgebundenen Netzwerk werden Hosts, erreichbare Dienste, Kommunikationsbeziehungen, technische Anomalien und mögliche Risikohinweise betrachtet.
Ein erreichbarer Dienst ist zunächst eine technische Feststellung und nicht automatisch ein Sicherheitsproblem. Ob daraus ein Risiko entsteht, hängt von Zweck, Konfiguration und Umgebung ab. Die Feststellungen werden deshalb beschrieben und eingeordnet, nicht pauschal bewertet.
Netzwerkverkehr eines Smartphones analysieren
Bei der Analyse des Netzwerkverkehrs werden Kommunikationsgegenstellen sowie auffällige Verbindungen und Verhaltensweisen betrachtet, etwa regelmäßige Kontaktaufnahmen zu nicht erklärbaren Zielen.
Wichtig ist die Abgrenzung: Eine Netzwerkverkehrsanalyse ist nicht dasselbe wie eine vollständige mobile forensische Extraktion. Sie betrachtet die Kommunikation des Geräts, nicht dessen vollständigen Datenbestand.
Remote-Analyse auch ohne Gerät in den Untersuchungsräumen
Für geeignete Fragestellungen kann der Netzwerkverkehr über eine geschützte autorisierte Remote-Verbindung analysiert werden. Das Gerät muss während dieser Analyse nicht physisch in Krefeld sein.
Der Ablauf besteht aus drei sachlichen Schritten: autorisierte Verbindung, kontrollierte Analyse des relevanten Netzwerkverkehrs, technische Bewertung der Feststellungen. Eine vollständige Geräteextraktion ist auf diesem Weg nicht möglich.
Warum das bei einer Lauschabwehrprüfung sinnvoll sein kann
Technische Lauschabwehr (TSCM) und digitale Geräteanalyse untersuchen unterschiedliche Informationswege. Die Lauschabwehr untersucht Räume, Fahrzeuge und Bereiche auf unerwünschte Aufzeichnungs-, Ortungs- oder Übertragungstechnik.
Daneben kann ein Überwachungsverdacht auch mit einem Endgerät oder dem Netzwerk zusammenhängen. Beide Bereiche bleiben fachlich getrennt, ergänzen sich in der Praxis aber: Was im Raum nicht feststellbar ist, kann seinen Ursprung in einem Gerät oder in der Netzwerkumgebung haben – und umgekehrt.
Zusätzliche Geräteanalyse bei einer Lauschabwehr: 595 € brutto je Gerät
Im Zusammenhang mit einer von AQON INTELLIGENCE durchgeführten Lauschabwehrprüfung berechnen wir für die zusätzliche technische Analyse 595 € brutto je Gerät.
500,00 € netto + 95,00 € Umsatzsteuer (19 %) = 595,00 € brutto je Gerät.
Es handelt sich um eine Zusatzleistung zur eigentlichen Lauschabwehrprüfung. Der Prüfungsumfang wird vor Beginn anhand des Gerätetyps und der konkreten Fragestellung festgelegt.
Technische Berichte und nachvollziehbare Ergebnisse
Die Ergebnisse werden strukturiert dokumentiert. Getrennt dargestellt werden dabei:
- technische Feststellungen
- mögliche Indicators of Compromise
- Risikohinweise
- fachliche Einordnung der Feststellungen
Ein technischer Bericht ist damit nachvollziehbar aufgebaut. Eine automatische Gerichtsfestigkeit ergibt sich daraus nicht; welche Bedeutung eine Dokumentation in einem Verfahren erhält, entscheidet ausschließlich das Verfahren selbst.
Kann eine Spyware-Prüfung jede Überwachungssoftware finden?
Nein. Eine hundertprozentige Erkennung jeder technisch denkbaren Spyware oder Angriffsmethode lässt sich nicht seriös garantieren.
Die Möglichkeiten hängen unter anderem vom Gerät, vom Betriebssystem, vom Softwarestand, von den technischen Zugriffsmöglichkeiten und von den tatsächlich vorhandenen Spuren ab. Eine einzelne Auffälligkeit ist nicht automatisch Spyware, und ein unauffälliges Ergebnis ist kein Nachweis dafür, dass keine Überwachung stattgefunden hat. Entscheidend sind die Analyse, die Dokumentation und die fachliche Bewertung.
Fazit
Ein Überwachungsverdacht sollte nicht auf ein einzelnes Gerät reduziert werden. AQON INTELLIGENCE kann Smartphones, Windows-PCs, Macs sowie WLAN- und LAN-Netzwerke in die technische Sicherheitsanalyse einbeziehen und die Feststellungen im Zusammenhang betrachten.
Bei einer Lauschabwehrprüfung können relevante digitale Geräte zusätzlich untersucht werden; die zusätzliche technische Analyse kostet 595 € brutto je Gerät. Den Sachverhalt können Sie über das Kontaktformular schildern; darauf aufbauend wird eingeordnet, welche Untersuchung sinnvoll ist.