Zwei Geräte, dieselbe Fragestellung, zwei sehr unterschiedliche Ergebnisse: Das ist bei Mobilgeräten der Regelfall. Was sich sichern lässt, entscheidet sich an Modell, Systemversion, Sperrzustand und vorhandenen Zugängen.
Warum die Sicherheitsarchitektur den Rahmen setzt
Stand der nachfolgenden Angaben zu Geräte- und Systemfunktionen: September 2026. Hersteller ändern Sicherheitsfunktionen und Sicherungsverfahren laufend; maßgeblich ist der Zustand des konkreten Geräts bei der Übergabe.
Aktuelle iPhones verschlüsseln den Speicher hardwaregestützt; Schlüsselmaterial liegt in einem separaten Sicherheitsprozessor und ist an den Gerätecode gebunden. Solange das Gerät nach dem Einschalten nicht einmal entsperrt wurde, sind große Teile des Datenbestands rechnerisch nicht zugänglich.
Android ist kein einheitliches System. Geräte, die ursprünglich mit Android 10 oder einer neueren Version ausgeliefert wurden, müssen dateibasierte Verschlüsselung verwenden. Bei älteren oder später aktualisierten Geräten können andere Verfahren vorliegen. Die konkrete Umsetzung hängt zusätzlich von Hersteller, Modell, Chipsatz und Patchstand ab. Daraus ergeben sich in der Praxis größere Unterschiede zwischen zwei Android-Geräten als zwischen einem iPhone und einem gut abgesicherten Android-Flaggschiff.
Gerätezustand: der entscheidende Faktor bei der Übergabe
Für die Aussicht auf eine Sicherung ist relevant, ob das Gerät seit dem letzten Neustart entsperrt wurde, ob der Code bekannt ist, ob eine Displaysperre mit Biometrie aktiv ist und ob das Gerät noch Netzverbindung hat. Ein aktives Konto kann aus der Ferne gelöscht werden – deshalb wird ein übergebenes Gerät in der Regel funkisoliert und der Ladezustand gehalten.
Wird ein Gerät bei Verdacht mehrfach neu gestartet, in den Werkszustand zurückgesetzt oder aktualisiert, verschlechtert das die Ausgangslage meist dauerhaft.
Drei Datenquellen mit unterschiedlicher Tiefe
Lokale Gerätedaten umfassen Nachrichten, Anruflisten, Kontakte, Mediendateien, App-Datenbanken, Standortcaches und Systemprotokolle. Der Zugang setzt Entsperrung oder ein verwertbares Backup voraus.
Backups sind oft der praktikablere Weg: ein verschlüsseltes lokales Backup, ein Rechner mit bereits gekoppeltem Vertrauensverhältnis, oder eine Sicherung in der Herstellercloud. Backups enthalten weniger als das Gerät – Systemprotokolle und Teile des App-Datenbestands fehlen häufig.
Kontodaten beim Anbieter oder Mobilfunkbetreiber betreffen Anmeldungen, Synchronisationsstände und Verbindungsdaten. Der Zugriff erfolgt nur über die berechtigte Person oder auf Grundlage einer entsprechenden Anordnung, abhängig von Anbieter und Rechtsgrundlage.
Protokolle und Berechtigungen als Ansatzpunkt
Statt nach „Spionagesoftware" zu suchen, wird geprüft, was im System nachweisbar vom Normalzustand abweicht: Konfigurations- oder Verwaltungsprofile, Geräteadministrator-Rechte, Bedienungshilfen-Dienste mit weitreichendem Zugriff, Apps mit Berechtigung zur Bildschirmaufnahme oder zum Auslesen von Benachrichtigungen, aktivierte Entwickleroptionen, unbekannte VPN-Konfigurationen, Weiterleitungen in Messenger- und Mailkonten sowie Geräte, die als aktive Sitzung in Konten eingetragen sind.
Auffällige Netzverbindungen, ungewöhnlicher Datenverbrauch im Hintergrund oder Einträge in Systemprotokollen können ergänzende Hinweise liefern. Ein Hinweis allein trägt keine Aussage; belastbar wird es, wenn mehrere Quellen dasselbe Bild ergeben.
Grenzen, die sich nicht wegarbeiten lassen
Gesperrte Systembereiche bleiben gesperrt: Ohne Code, hinterlegten Schlüssel oder ein entsperrtes Gerät gibt es keinen vollständigen Bestand. Ende-zu-Ende-verschlüsselte Kommunikation ist nur auf dem Endgerät lesbar, nicht auf dem Übertragungsweg. Gelöschte Nachrichten sind je nach App und Zeitpunkt nicht mehr rekonstruierbar. Herstellerspezifische Sicherungsverfahren stehen nicht für alle Modelle und Patchstände zur Verfügung.
Wo diese Grenzen greifen, gehört das in das Gutachten – zusammen mit der Angabe, welcher Bereich deshalb nicht bewertet werden konnte.
Warum ein unauffälliger Befund keine Entwarnung ist
Eine Untersuchung kann nur zeigen, was das Gerät zum Zeitpunkt der Sicherung noch enthielt und was im geprüften Umfang zugänglich war. Wurde eine Anwendung zwischenzeitlich entfernt, das Gerät zurückgesetzt oder aktualisiert, können frühere Spuren fehlen. Möglich ist außerdem, dass der Informationsabfluss nicht über das Gerät lief, sondern über ein mitgenutztes Konto, ein Backup auf einem fremden Rechner oder eine dritte Person mit Zugang.
Der korrekte Befundsatz lautet daher: Im untersuchten Umfang wurden keine Hinweise auf eine Überwachungsfunktion festgestellt. Das ist etwas anderes als: Das Gerät ist sauber.
Sinnvoller nächster Schritt
Bei akutem Verdacht: Gerät möglichst nicht weiterbenutzen, keine Apps deinstallieren, kein Zurücksetzen, keine Systemaktualisierung. Kontowechsel und Kennwortänderungen über ein anderes, unverdächtiges Gerät vornehmen. Für die Untersuchung sind Modell, Systemversion, Verdachtszeitraum und beobachtete Auffälligkeiten die wichtigsten Angaben. Was eine Untersuchung umfasst, beschreibt die Seite zur Smartphone- und Tablet-Forensik.