Professionelle Lauschabwehr: Wie eine TSCM-Prüfung wirklich abläuft

Vertrauliche Gespräche können über Funktechnik, manipulierte Leitungen, versteckte Aufzeichnungsgeräte, Kameras oder kompromittierte Kommunikationssysteme erfasst werden. Eine professionelle Lauschabwehr muss deshalb mehr leisten als die Suche nach einem sendenden Gerät. Sie untersucht einen definierten Bereich systematisch auf technische Überwachungsrisiken und ordnet Auffälligkeiten im räumlichen, elektronischen und organisatorischen Zusammenhang ein.

International wird dieses Vorgehen als Technical Surveillance Counter-Measures, kurz TSCM, bezeichnet. Eine fachgerechte Prüfung verbindet Gefährdungsanalyse, physische Inspektion, technische Messungen und nachvollziehbare Dokumentation.

Warum ein einzelner Detektor nicht ausreicht

Einfache Funkdetektoren reagieren häufig auch auf reguläre Signale von Mobiltelefonen, WLAN-Routern, Bluetooth-Geräten, Alarmanlagen oder Gebäudetechnik. Ein Ausschlag zeigt zunächst nur, dass elektromagnetische Energie vorhanden ist. Er sagt weder zuverlässig aus, woher das Signal stammt, noch ob es zu einer unerlaubten Überwachungseinrichtung gehört.

Hinzu kommt, dass nicht jede Abhörtechnik dauerhaft sendet. Geräte können Informationen lokal speichern, nur zu festgelegten Zeiten übertragen oder über vorhandene Leitungen und Netzwerke kommunizieren. Ausgeschaltete oder rein aufzeichnende Komponenten erzeugen möglicherweise kein verwertbares Funksignal.

Eine belastbare Prüfung kombiniert deshalb mehrere Verfahren. Die britische National Authority for Counter-Eavesdropping beschreibt TSCM als Verbindung aus physischer Sicherheit, menschlichem Verhalten, systematischer Sichtprüfung und technischer Suche nach Auffälligkeiten in der elektromagnetischen und akustischen Umgebung. Darstellung der UK NACE zu Technical Surveillance Countermeasures.

Wann eine TSCM-Prüfung sinnvoll sein kann

Ein konkreter Verdacht ist nicht die einzige mögliche Ausgangslage. Technische Lauschabwehr kann auch präventiv eingesetzt werden, wenn besonders schutzwürdige Informationen besprochen oder verarbeitet werden.

Typische Anlässe sind:

• vertrauliche Strategie-, Vertrags- oder Personalgespräche
• bevorstehende Transaktionen, Verhandlungen oder Rechtsstreitigkeiten
• unerklärlicher Abfluss nicht öffentlicher Informationen
• Veränderungen an Räumen, Möbeln, Leitungen oder technischen Geräten
• unkontrollierte Zutritte durch externe Dienstleister oder wechselnde Nutzer
• Umbauten, Renovierungen oder längere Abwesenheitszeiten
• erhöhte Risiken durch Konflikte, Wettbewerb oder sensible Funktionen
• Übernahme neuer Büros, Besprechungsräume oder Fahrzeuge

Ein einzelnes Geräusch, eine Störung oder ein ungewöhnliches Funkverhalten ist noch kein Beweis. Entscheidend ist, ob sich Auffälligkeiten mit Zugriffsgelegenheiten, Informationsabflüssen oder technischen Veränderungen verbinden lassen.

Die Vorbereitung entscheidet über die Aussagekraft

Vor der Untersuchung werden das Schutzgut, der Prüfbereich und die konkrete Verdachtslage festgelegt. Dazu gehören Grundrisse, Raumnutzung, technische Ausstattung, bekannte Funkquellen, Zutrittsmöglichkeiten und Veränderungen seit der letzten kontrollierten Nutzung.

Ebenso relevant ist die Frage, welche Informationen geschützt werden sollen. Ein Vorstandsbüro, eine Kanzlei, ein privater Wohnbereich und ein Fahrzeug besitzen unterschiedliche Angriffsflächen. Der Prüfplan muss diese Unterschiede berücksichtigen.

Die wesentlichen Untersuchungsphasen

Gefährdungs- und Umfeldanalyse

Zu Beginn werden mögliche Angriffswege und Zugriffsgelegenheiten bewertet. Dabei geht es nicht um Spekulationen über einen bestimmten Täter, sondern um überprüfbare Voraussetzungen: Wer konnte den Bereich betreten? Welche Geräte wurden ausgetauscht? Welche Leitungen und Netzwerke sind vorhanden? Wann traten erstmals Auffälligkeiten auf?

Diese Informationen bestimmen, welche Messzonen, Betriebszustände und Vergleichswerte benötigt werden.

Physische und visuelle Inspektion

Eine sorgfältige Sichtprüfung bleibt unverzichtbar. Kontrolliert werden abhängig vom Auftrag unter anderem Möbel, Leuchten, Steckdosen, Kabelwege, Deckenbereiche, technische Geräte und Stellen, an denen Veränderungen oder verdeckte Einbauten möglich wären.

Dabei wird nicht wahllos demontiert. Eingriffe müssen technisch begründet, dokumentiert und mit den Eigentums- und Nutzungsrechten des Auftraggebers vereinbar sein. Endoskopische oder andere ergänzende Prüfmittel kommen dort zum Einsatz, wo sie einen konkreten Erkenntnisgewinn erwarten lassen.

Analyse der Funkumgebung

Die Funkprüfung erfasst vorhandene Signale über relevante Frequenzbereiche und untersucht ihre Eigenschaften. Entscheidend ist die fachliche Zuordnung: Gehört ein Signal zur bekannten Infrastruktur, zu einem benachbarten System oder zu einer nicht erklärbaren Quelle innerhalb des Prüfbereichs?

Verdächtige Emissionen werden räumlich eingegrenzt und unter verschiedenen Betriebsbedingungen erneut geprüft. Ein einmaliger Ausschlag reicht nicht für eine belastbare Bewertung.

Prüfung auf elektronische Komponenten

Nichtlineare Detektoren können bei geeigneten Prüfbedingungen auf Halbleiterbauteile reagieren, auch wenn ein Gerät nicht aktiv sendet. Da reguläre Elektronik dieselbe grundlegende Eigenschaft besitzt, muss jeder Befund lokalisiert und durch weitere Untersuchungen verifiziert werden.

Das Verfahren ergänzt die physische Inspektion und Funkanalyse. Es ersetzt sie nicht.

Leitungs-, Netzwerk- und Geräteprüfung

Je nach Auftrag können Strom-, Telefon-, Daten- und andere technische Leitungen auf ungewöhnliche Abgriffe oder Veränderungen untersucht werden. Auch WLAN-, Bluetooth-, Netzwerk- und Konferenztechnik kann Teil des Prüfbereichs sein.

Dabei ist eine fachliche Grenze wichtig: Eine räumliche TSCM-Prüfung ersetzt keine vollständige IT-forensische Untersuchung. Bestehen Hinweise auf kompromittierte Computer, Smartphones, Benutzerkonten oder Cloud-Dienste, müssen diese Systeme mit den Methoden der IT- beziehungsweise Mobile-Forensik geprüft werden.

Wie Auffälligkeiten bewertet werden

Professionelle Lauschabwehr trennt zwischen einer Beobachtung, einer technisch erklärbaren Anomalie und einem bestätigten Befund. Ein unbekanntes Funksignal kann sich als reguläres Nachbargerät herausstellen. Eine elektronische Reaktion in einer Wand kann von einer zulässigen Baukomponente stammen. Erst die Verbindung mehrerer Prüfwege erlaubt eine tragfähige Einordnung.

Eine nachvollziehbare Dokumentation sollte mindestens enthalten:

• Auftrag, Schutzgut und räumliche Abgrenzung
• Zeitpunkt und Bedingungen der Untersuchung
• geprüfte Bereiche, Systeme und Betriebszustände
• verwendete Mess- und Inspektionsverfahren
• festgestellte Auffälligkeiten und ihre Verifikation
• nicht zugängliche oder nicht geprüfte Bereiche
• technische Grenzen der Untersuchung
• konkrete Empfehlungen zur Risikoreduzierung

Pauschale Aussagen wie „vollständig abhörsicher“ sind fachlich nicht seriös. Eine TSCM-Prüfung beschreibt den Zustand eines definierten Prüfbereichs unter bestimmten Bedingungen und zu einem bestimmten Zeitpunkt.

Lauschabwehr endet nicht mit der Raumprüfung

Technischer Informationsschutz umfasst auch organisatorische und bauliche Maßnahmen. Dazu können kontrollierte Zutritte, dokumentierte Veränderungen an Räumen, Regeln für private Mobilgeräte, abgesicherte Besprechungstechnik und eine Überprüfung nach Umbauten oder Fremdzugriffen gehören.

Bei dauerhaft erhöhtem Schutzbedarf sind wiederkehrende Prüfungen sinnvoller als ein einmaliger Termin. Zeitpunkt und Umfang sollten sich am tatsächlichen Risiko orientieren, etwa vor besonders vertraulichen Verhandlungen, nach baulichen Veränderungen oder bei konkreten Hinweisen auf einen Informationsabfluss.

Das BSI unterhält eigene Lauschabwehr-Prüfgruppen für den staatlichen Geheimschutz. Die dazu veröffentlichten Hinweise verdeutlichen, dass technische Lauschabwehr eine spezialisierte Sicherheitsaufgabe und kein einfacher Gerätescan ist. Fragen und Antworten des BSI zur Lauschabwehr.

QUINTEGO führt mehrstufige Sicherheitsüberprüfungen für vertrauliche Räume, Fahrzeuge und Kommunikationsumgebungen durch. Weitere Informationen finden Sie unter professionelle Lauschabwehr und technischer Abhörschutz. QUINTEGO ist bundesweit tätig, unter anderem bei Lauschabwehr und TSCM in Berlin sowie in weiteren Einsatzgebieten. Für die diskrete Planung eines Prüfauftrags können Sie Kontakt mit QUINTEGO aufnehmen.