Mobile Forensik

Spyware-Verdacht auf dem Smartphone: Welche Schritte jetzt sinnvoll sind

Mobile Forensik · 28.8.2026 · 14 Min. Lesezeit · AQON INTELLIGENCE

Ein Smartphone verhält sich plötzlich anders: Der Akku hält kürzer, das Gerät wird warm, eine unbekannte Anmeldung taucht auf, Gespräche scheinen bekannt zu sein, bevor sie weitergegeben wurden. Aus solchen Beobachtungen entsteht schnell der Verdacht, jemand lese mit. Der Verdacht kann berechtigt sein. Er ist aber kein technischer Nachweis, und die Reaktion in den ersten Stunden entscheidet oft darüber, ob sich der Sachverhalt später überhaupt noch prüfen lässt.

Dieser Beitrag beschreibt, wie sich Beobachtung, Indikator und Befund voneinander unterscheiden, welche Schritte in einem Verdachtsfall sinnvoll sind und wo eine technische Untersuchung an ihre Grenzen stößt.

Verdacht und technischer Nachweis unterscheiden

Auffälliges Geräteverhalten hat in den meisten Fällen banale Ursachen. Ein Systemupdate indiziert im Hintergrund neu und belastet Prozessor und Akku für ein bis zwei Tage. Eine App wurde mit erweiterten Hintergrundrechten installiert. Eine gealterte Batterie liefert unter Last weniger Spannung. Ein neuer Mobilfunkstandort führt zu häufigeren Verbindungswechseln und höherem Sendeaufwand. Jede dieser Ursachen kann exakt dieselben Symptome erzeugen wie eine Überwachungssoftware.

Umgekehrt gilt: Kommerziell vertriebene Überwachungssoftware ist darauf ausgelegt, unauffällig zu bleiben. Ein Produkt, das sich durch spürbare Verlangsamung verrät, ist für seinen Zweck schlecht gebaut. Aus der Abwesenheit von Symptomen lässt sich also ebenso wenig ableiten wie aus ihrem Vorhandensein.

Für die weitere Bearbeitung ist deshalb die Trennung von vier Ebenen entscheidend. Eine Beobachtung ist das, was eine Person wahrgenommen hat. Eine technisch festgestellte Tatsache ist ein aus dem Gerät gelesener, überprüfbarer Zustand, etwa ein installiertes Konfigurationsprofil mit Zeitstempel. Ein Indikator ist eine Feststellung, die mit einer Kompromittierung vereinbar wäre, aber auch andere Ursachen haben kann. Eine Bewertung ist die fachliche Einordnung mehrerer Feststellungen im Kontext. Diese Ebenen werden in unseren Gutachten getrennt ausgewiesen, weil ihre Aussagekraft unterschiedlich ist.

Das Gerät möglichst nicht unnötig verändern

Der häufigste Fehler im Verdachtsfall ist gut gemeint: Das Gerät wird zurückgesetzt, verdächtige Apps werden gelöscht, das Betriebssystem wird aktualisiert, ein Virenscanner wird installiert. Danach ist das Symptom oft verschwunden – und mit ihm die Datenbasis, an der sich hätte klären lassen, was tatsächlich vorlag.

Ein Zurücksetzen löscht neben einer möglichen Schadkomponente auch Diagnoseartefakte, Installationsspuren, Profilzustände und Protokolldaten. Ein Betriebssystemupdate rotiert oder verwirft Teile der Systemprotokolle. Auch das intensive Weiterbenutzen des Geräts wirkt sich aus, weil Protokolldateien begrenzt sind und ältere Einträge überschrieben werden. Ein bewusster Umgang mit dem Gerät ist deshalb selbst schon ein Beweissicherungsschritt.

Sinnvoll ist in der Regel: Gerät weiterbetreiben, aber sensible Kommunikation vorübergehend über ein anderes Gerät führen; keine Apps deinstallieren; kein Zurücksetzen; keine Aktualisierung des Betriebssystems bis zur Sicherung; das Gerät geladen halten, damit es nicht ungeplant ausgeht. Wer das Gerät physisch außer Reichweite bringen möchte, kann es ausgeschaltet und getrennt verwahren – dann allerdings ohne weitere Nutzung, damit der Zustand erhalten bleibt.

Ob im konkreten Fall die Beweislage oder die akute Vertraulichkeit Vorrang hat, ist eine Abwägung. Sie sollte bewusst getroffen werden und nicht nebenbei.

Beobachtungen und zeitlichen Ablauf festhalten

Technische Artefakte gewinnen an Aussagekraft, wenn sie sich mit einem Zeitverlauf abgleichen lassen. Nützlich sind daher schriftliche Notizen mit Datum und – soweit erinnerlich – Uhrzeit zu folgenden Punkten: Wann ist das Verhalten erstmals aufgefallen? Gab es davor einen Anlass, etwa eine Reparatur, ein Update, eine Trennung, einen Geschäftsvorgang, den Verlust eines Geräts oder eine kurzzeitige fremde Verfügungsgewalt über das Telefon? Welche Informationen sind mutmaßlich abgeflossen, und wann waren sie auf dem Gerät verfügbar?

Diese letzte Frage ist oft die wertvollste. Wenn ein Inhalt beim Gegenüber bekannt war, der ausschließlich über einen bestimmten Kanal und in einem bestimmten Zeitfenster auf dem Gerät lag, grenzt das den technisch zu prüfenden Bereich erheblich ein. Ohne solche Anhaltspunkte bleibt jede Untersuchung eine breite Suche.

Konto, App oder Betriebssystem als mögliche Ursache

Der Begriff „Spyware“ wird umgangssprachlich für sehr unterschiedliche Sachverhalte verwendet. Fachlich sind mindestens vier Szenarien zu unterscheiden.

Erstens die Kontokompromittierung: Ein Angreifer kennt die Zugangsdaten des Cloud-, E-Mail- oder Messenger-Kontos und liest Daten über die Weboberfläche oder ein Zweitgerät mit. Das Telefon selbst ist dabei unverändert. Hinweise finden sich in den Sitzungs- und Geräteübersichten der Dienste, in Anmeldebenachrichtigungen und in verknüpften Zweitsitzungen von Messengern.

Zweitens die legal vertriebene Überwachungs-App, die mit physischem Zugriff installiert wurde und sich als Systemdienst oder Kinderschutzfunktion tarnt. Sie benötigt in der Regel weitreichende Berechtigungen, Bedienungshilfen-Zugriff oder eine Geräteverwaltung.

Drittens die Konfiguration über Verwaltungsmechanismen: ein installiertes Konfigurationsprofil, eine hinzugefügte Geräteverwaltung (MDM), ein eingetragenes VPN oder ein zusätzliches Zertifikat, über das Datenverkehr umgeleitet oder aufgezeichnet werden kann.

Viertens der Angriff auf Betriebssystemebene, wie er von staatsnaher Überwachungssoftware bekannt ist. Solche Fälle sind selten, technisch anspruchsvoll und hinterlassen oft nur flüchtige Spuren.

Die vier Szenarien erfordern unterschiedliche Prüfschritte. Die Kontoseite lässt sich häufig schneller und ohne Eingriff in das Gerät klären – und sie ist der Ausgangspunkt vieler Fälle, die zunächst wie eine Gerätekompromittierung aussehen.

Datenbasis einer professionellen Untersuchung

Eine strukturierte Prüfung mobiler Endgeräte arbeitet nicht mit einem einzelnen Scan, sondern mit mehreren, voneinander unabhängigen Datenquellen. Je nach Gerätetyp, Betriebssystemversion und Zugriffsmöglichkeiten kommen in Betracht:

Systeminformationen zu Modell, Betriebssystemstand, Aktivierungs- und Update-Zeitpunkten
Diagnose- und Analysedaten des Betriebssystems, die Prozessstarts, Abstürze und Systemereignisse dokumentieren
installierte Anwendungen samt Installationsquelle, Signatur, Rechteumfang und Hintergrundaktivität
erteilte Berechtigungen, insbesondere Bedienungshilfen, Benachrichtigungszugriff, Standort, Mikrofon und Kamera
Konfigurationsprofile, Geräteverwaltungen, VPN-Einträge und installierte Zertifikate
Anmeldungen, aktive Sitzungen und verknüpfte Geräte der genutzten Konten und Messenger
lokale Backups sowie in Backups enthaltene ältere Zustände des Geräts
Netzwerkindikatoren wie kontaktierte Domains und Adressen, soweit sie erfasst oder rekonstruiert werden können
Abgleich der genannten Artefakte mit veröffentlichten Indikatoren bekannter Überwachungssoftware (IOC)

Für iOS lässt sich ein erheblicher Teil dieser Daten aus einer strukturierten Sicherung und den Sysdiagnose-Artefakten gewinnen. Bei Android hängt der Umfang stärker vom Hersteller, vom Sicherheitsniveau der Firmware und von den Auslesemöglichkeiten des jeweiligen Modells ab.

Automatisierte Treffer fachlich verifizieren

Werkzeuge wie das quelloffene Mobile Verification Toolkit von Amnesty International Security Lab gleichen Artefakte gegen Listen bekannter Indikatoren ab. Ein solcher Abgleich ist nützlich, ersetzt aber keine Bewertung.

Ein Treffer kann bedeuten, dass ein Artefakt tatsächlich einer bekannten Kampagne zuzuordnen ist. Er kann ebenso auf einer Domain beruhen, die inzwischen anders genutzt wird, auf einem generischen Dateinamen oder auf einem Eintrag, der aus einem völlig unbedeutenden Zusammenhang stammt. Umgekehrt bleibt ein Verfahren, das gegen bekannte Indikatoren prüft, gegenüber unbekannten Varianten blind.

Jeder automatisierte Treffer wird deshalb manuell nachvollzogen: Welcher konkrete Eintrag hat ausgelöst? Aus welcher Quelldatei stammt er? Welcher Zeitstempel hängt daran? Passt er zu dem berichteten Zeitverlauf? Lässt er sich durch eine reguläre App oder einen Systemvorgang erklären? Erst wenn diese Fragen beantwortet sind, entsteht aus einem Treffer ein Indikator und gegebenenfalls eine Feststellung.

Grenzen einer Spyware-Prüfung

Eine Untersuchung kann Hinweise finden oder nicht finden. Sie kann nicht beweisen, dass ein Gerät sauber ist. Dafür gibt es mehrere Gründe.

Moderne Betriebssysteme kapseln Anwendungen stark gegeneinander ab. Diese Isolation schützt die Nutzerdaten, sie begrenzt aber zugleich, welche Bereiche ein Untersuchungswerkzeug ohne tiefgreifenden Eingriff überhaupt lesen kann. Bei iOS liegt der Zugriff im Wesentlichen bei dem, was Backup und Diagnoseartefakte hergeben. Bei Android unterscheiden sich die Möglichkeiten je nach Modell und Firmwarestand erheblich.

Hinzu kommt die Flüchtigkeit vieler Spuren. Schadkomponenten, die ausschließlich im Arbeitsspeicher laufen, verschwinden mit einem Neustart. Protokolldateien haben begrenzte Größe und werden rotiert. Liegt der Vorfall Monate zurück, ist der maßgebliche Zeitraum unter Umständen nicht mehr abgedeckt.

Schließlich prüft jeder Indikatorenabgleich nur gegen das, was öffentlich dokumentiert ist. Für eine nicht veröffentlichte Variante existiert kein Muster. Ein unauffälliges Ergebnis ist damit eine belastbare Aussage über das, was untersucht wurde – nicht über alles, was theoretisch möglich wäre. Wir formulieren Ergebnisse entsprechend: mit Angabe des geprüften Umfangs, des abgedeckten Zeitraums und der verbleibenden Unsicherheit.

Datenschutz bei der Untersuchung privater Geräte

Ein Smartphone enthält Gesundheitsdaten, Standortverläufe, private Kommunikation und Daten unbeteiligter Dritter. Eine Untersuchung muss deshalb im Umfang begrenzt bleiben.

Vor Beginn wird schriftlich festgelegt, welche Fragestellung geklärt werden soll, welche Datenbereiche dafür erforderlich sind und welche ausgenommen bleiben. Ausgewertet wird nach Möglichkeit auf einer gesicherten Arbeitskopie, nicht auf dem Originalgerät. Zugriff erhalten nur die mit dem Auftrag befassten Personen. Nach Abschluss richtet sich die Behandlung der Arbeitskopien nach der Vereinbarung: Rückgabe, befristete Verwahrung für eine mögliche Nachprüfung oder Löschung.

Bei Diensttelefonen kommt hinzu, dass Mitbestimmungsrechte und interne Regelungen zu beachten sein können. Die rechtliche Bewertung übernimmt die auftraggebende Seite oder ihre anwaltliche Vertretung; wir liefern den technischen Befund und dokumentieren, wie er zustande gekommen ist.

Sinnvolle nächste Schritte

Eine ausführlichere Untersuchung ist besonders dann angezeigt, wenn ein konkreter Informationsabfluss nachvollziehbar ist, wenn Dritte zeitweise Zugriff auf das Gerät hatten, wenn ein wirtschaftlicher oder persönlicher Konflikt einen Anlass für Überwachung bietet oder wenn eine erste Prüfung Indikatoren ergeben hat, die sich nicht erklären lassen.

Wie ein solcher Auftrag technisch abläuft und welche Datenquellen dabei ausgewertet werden, beschreiben wir bei der Spyware-Prüfung mobiler Endgeräte und in der Smartphone- und Tablet-IT-Forensik. Wie der Weg vom Gerät bis zum Gutachten dokumentiert wird, ist unter digitale Beweissicherung und Chain of Custody beschrieben.

Kompakte Checkliste für den Verdachtsfall

Gerät nicht zurücksetzen, keine Apps löschen, kein Systemupdate einspielen, bis über eine Sicherung entschieden ist.
Sensible Gespräche und Nachrichten vorübergehend über ein anderes, unverdächtiges Gerät führen.
Zeitpunkt der ersten Auffälligkeit und mögliche Auslöser schriftlich festhalten.
Notieren, welche Information mutmaßlich abgeflossen ist und wann sie auf dem Gerät verfügbar war.
Aktive Sitzungen und verknüpfte Geräte der wichtigsten Konten und Messenger prüfen und ungewohnte Einträge dokumentieren, bevor sie entfernt werden.
Zwei-Faktor-Authentisierung dort aktivieren, wo sie fehlt – bevorzugt über App oder Sicherheitsschlüssel.
Passwörter von einem anderen, als vertrauenswürdig eingestuften Gerät aus ändern.
Installierte Konfigurationsprofile, Geräteverwaltungen, VPN-Einträge und Bedienungshilfen-Berechtigungen ansehen und fotografisch dokumentieren.
Keine Diagnose-Apps unbekannter Herkunft installieren; sie erhöhen den Datenabfluss, statt ihn zu klären.
Bei Diensttelefonen die interne IT und gegebenenfalls die Rechtsabteilung einbeziehen.
Bei konkretem Verdacht auf eine Straftat die Anzeigemöglichkeit prüfen; eine technische Untersuchung ersetzt keine polizeiliche Ermittlung.

Vertraulicher Kontakt

Ein erstes Gespräch dient der Einordnung: Welche Beobachtungen liegen vor, welcher Zeitraum ist relevant, welches Vorgehen ist angemessen. Es ist kostenfrei und unverbindlich. Sie erreichen uns über die Kontaktseite oder telefonisch; für die Kontaktaufnahme sollten Sie nach Möglichkeit ein anderes Gerät als das betroffene verwenden.

Weiterführende Quellen

Verantwortlich für den Inhalt: AQON INTELLIGENCE UG (haftungsbeschränkt)