Smartphones und Tablets erfordern eine plattformgerechte Methodik
Spyware und Stalkerware auf mobilen Endgeräten hinterlassen je nach Betriebssystem, Installationsweg und Zeitraum sehr unterschiedliche Spuren. Eine belastbare Untersuchung beginnt deshalb nicht mit einem Virenscan, sondern mit der geordneten Sicherung von Systemzustand, Konfiguration, installierten Apps, verknüpften Konten und Netzwerkindikatoren. Aus diesen Artefakten lässt sich bewerten, ob technisch erfassbare Hinweise auf eine Kompromittierung vorliegen.
Diese Seite behandelt die Spyware-Prüfung auf mobilen Endgeräten. Für andere Plattformen bietet QUINTEGO eigenständige Leistungen an: IT-Forensik und Incident-Untersuchung für Unternehmensumgebungen, Smartphoneforensik für die breite mobile Datensicherung, Mac-Forensik, Windows-Forensik und Smartwatch-Forensik.
Beweisfrage und mobile Plattform bestimmen den Sicherungsweg
Am Anfang stehen Beweisfrage, maßgeblicher Zeitraum, Geräte- und Kontobezug sowie die nachweisbare Berechtigung zur Untersuchung. Modell, Betriebssystem, Verschlüsselung, aktueller Betriebszustand und vorhandene Zugangsmittel werden vor jeder technischen Maßnahme erfasst. Ein Zurücksetzen, Bereinigen oder unkontrolliertes Neustarten sollte bis zur Erstbewertung vermieden werden, weil dadurch flüchtige Daten, Protokolle oder Zugriffsmöglichkeiten verloren gehen können.
Der Sicherungsweg wird anschließend plattformbezogen festgelegt. Bei iOS- und Android-Geräten kommen je nach Zustand und Berechtigung logische Sicherungen, dateisystembezogene oder weitergehende Akquisitionsmethoden in Frage. Relevante Befunde werden anhand ihrer Originalartefakte, Zeitbezüge und – soweit möglich – eines zweiten Analysewegs verifiziert.
Was eine belastbare mobile Untersuchung auszeichnet
- Präzise Auftrags- und Beweisfrage mit eindeutig begrenztem Untersuchungsumfang
- Dokumentierte Übernahme, Geräteidentifikation und nachvollziehbare Übergabekette
- Plattformgerechte Akquisition mit Prüfsummen und kontrollierten Arbeitskopien
- Zeitachsenbasierte Auswertung mit technischer Verifikation relevanter Befunde
- Klare Trennung zwischen Feststellung, Indiz, Bewertung und technischer Grenze
Passende Forensik-Leistungen nach Plattform
Die Spyware-Prüfung auf mobilen Endgeräten konzentriert sich auf Smartphones und Tablets. Andere Plattformen und Geräteklassen erfordern eine eigene Methodik und sind als eigenständige Leistungen verlinkt.
IT-Forensik und Incident-Untersuchung
Bei Sicherheitsvorfällen werden betroffene Systeme, Konten und verfügbare Protokollquellen nach ihrer Flüchtigkeit und Beweisrelevanz priorisiert. Endpunkt-, Identitäts-, E-Mail-, EDR-/SIEM-, Netzwerk- und Cloud-Artefakte werden zu einer belastbaren Ereigniszeitleiste zusammengeführt, ohne betriebliche Eingriffe oder technisch unvermeidbare Veränderungen zu verschweigen.
- Incident-Triage, Beweisfrage und Sicherungsreihenfolge festlegen
- Flüchtige Daten, Datenträger, Konten- und Cloud-Protokolle sichern
- Erstzugriff, Persistenz, Berechtigungsnutzung und Datenbewegung rekonstruieren
- Befunde, Datenlücken sowie Eindämmungs- und Härtungsmaßnahmen dokumentieren
Mobile Forensik
Smartphones und Tablets enthalten Kommunikations-, App-, Standort-, Konto- und Gerätespuren, deren Verfügbarkeit stark vom aktuellen Zustand, der Betriebssystemversion und der Verschlüsselung abhängt. Die Sicherung wird deshalb gerätebezogen geplant und kann – je nach technischer Möglichkeit und Berechtigung – logisch, über Backups, dateisystembezogen oder in weitergehender Form erfolgen.
- Geräteidentität, Betriebszustand, Konten und Sicherungen erfassen
- App-Datenbanken, Kommunikation, Medien und Metadaten auswerten
- Standort-, Synchronisations- und Systemereignisse zeitlich korrelieren
- Gelöschte oder historische Inhalte nur bei technischer Verfügbarkeit einbeziehen
Spyware-Prüfung auf mobilen Endgeräten
Eine seriöse Spyware-Prüfung ist kein bloßer Virenscan. Auffällige Symptome werden mit Konfigurationsprofilen, Zertifikaten, Berechtigungen, Persistenzmechanismen, Netzwerk- und Kontoindikatoren sowie bekannten Indicators of Compromise abgeglichen. Ein einzelner automatisierter Treffer gilt erst nach technischer Einordnung als belastbarer Befund.
- MDM- und Konfigurationsprofile, Zertifikate, VPN und Proxy prüfen
- Ungewöhnliche Apps, Dienste, Autostarts und privilegierte Rechte untersuchen
- Domains, IP-Adressen, Hashwerte und weitere Bedrohungsindikatoren korrelieren
- Kontositzungen, Anmeldeereignisse und sicherheitsrelevante Änderungen einordnen
Mac-Forensik
Mac-Forensik erfordert eine native Betrachtung von APFS, FileVault und der Sicherheitsarchitektur moderner Apple-Hardware. Neben Benutzerdateien sind insbesondere Apple-spezifische Metadaten, System- und Dateisystemereignisse, Ausführungs- und Persistenzspuren sowie lokale oder gesicherte Systemzustände von Bedeutung.
- APFS-Volumes, Snapshots, FileVault und Time-Machine-Bezüge analysieren
- Apple Silicon, T2-Chip und Secure-Enclave-Abhängigkeiten berücksichtigen
- Unified Logs, FSEvents, Spotlight, Plist- und Quarantäne-Daten auswerten
- LaunchAgents, LaunchDaemons, Login-Objekte und Benutzeraktivitäten prüfen
Windows-Forensik
Windows-Systeme stellen eine breite Artefaktlandschaft aus NTFS-Strukturen, Registry, Ereignisprotokollen und Nutzungsdaten bereit. Ihre gemeinsame Auswertung kann Programme, Anmeldungen, Dateiaktivitäten, externe Datenträger, Persistenz und sicherheitsrelevante Veränderungen in einer belastbaren Zeitachse zusammenführen.
- Registry, EVTX-Ereignisprotokolle und Kontenaktivitäten untersuchen
- Prefetch, Amcache, SRUM, LNK-Dateien und Jump Lists korrelieren
- NTFS-Metadaten, USN Journal, Volume Shadow Copies und $MFT einbeziehen
- Dienste, geplante Aufgaben, WMI, Defender und BitLocker-Status prüfen
Smartwatch-Forensik
Smartwatches verteilen relevante Spuren häufig auf Uhr, Smartphone-App und Herstellerkonto. Aktivitäts-, Gesundheits-, Standort-, Benachrichtigungs- und Synchronisationsdaten werden deshalb quellenbezogen gesichert und zeitlich korreliert.
- Geräteidentität, Modell, Softwarestand und Kopplung erfassen
- Aktivitäts-, Trainings-, Standort- und App-Artefakte prüfen
- Zeitzonen und Synchronisationsverzug transparent einordnen
- Besonders sensible Gesundheitsdaten eng und zweckgebunden behandeln
Originalzustand erhalten und einen sauberen Kommunikationsweg nutzen
Ein vorschnelles Zurücksetzen, Aktualisieren oder Installieren vermeintlicher Bereinigungssoftware auf dem betroffenen Smartphone oder Tablet kann Protokolle, flüchtige Daten und Zugriffsmöglichkeiten verändern. Notieren Sie Auffälligkeiten mit Zeitpunkt, trennen Sie Beobachtung von Vermutung und nehmen Sie den Erstkontakt möglichst über ein zweites, vertrauenswürdiges mobiles Gerät auf.
- Verdächtige Meldungen, Kontowarnungen und Geräteverknüpfungen mit Zeitbezug dokumentieren
- Keine unbekannten Profile, Apps oder Zertifikate eigenständig löschen
- Gekoppelte Geräte, Smartwatches, Backups und Cloud-Sitzungen in die Erstbewertung einbeziehen
- Bei akuter persönlicher Gefahr zuerst Polizei und geeignete Beratungsstellen einschalten
Ein unauffälliger Befund ist immer auf Datenstand, Zeitraum und Verfahren begrenzt. Gelöschte, inaktive oder ausschließlich kontobasierte Angriffe können auch nach sorgfältiger Untersuchung außerhalb der technischen Nachweisbarkeit liegen.
Werkzeugkette nach Plattform und Sicherungsziel
Kein einzelnes Produkt deckt alle Gerätegenerationen, Betriebssystemversionen und Spurenarten zuverlässig ab. QUINTEGO kombiniert spezialisierte Werkzeuge nach Beweisfrage, Systemzustand und zulässigem Zugriff. Automatisierte Ergebnisse werden mit Rohartefakten und Zeitachsen abgeglichen, soweit dies technisch möglich ist. Zum eingesetzten Softwarebestand gehören unter anderem Cellebrite UFED, Cellebrite Physical Analyzer, Cellebrite Digital Collector, Cellebrite Inspector, MEFF M3-PRO, MOBILedit Forensic ULTRA, X-Ways Forensics, Belkasoft Evidence Center X und SUMURI RECON.
Cellebrite UFED
Cellebrite UFED unterstützt – abhängig von Gerät, Betriebssystem, Lizenzumfang und nachgewiesener Berechtigung – den kontrollierten Zugriff und die forensische Erfassung digitaler Daten aus iOS- und Android-Geräten sowie weiteren unterstützten mobilen Quellen. Sicherungsprotokolle und Extraktionsergebnisse werden fallbezogen geprüft und nachvollziehbar dokumentiert.
Offizielle ProduktinformationCellebrite Physical Analyzer
Cellebrite Physical Analyzer dient der Dekodierung und Auswertung forensisch erfasster Mobil-, App- und Cloud-Daten. Such-, Filter-, Zeitachsen- und Berichtsfunktionen unterstützen die strukturierte Untersuchung; relevante Treffer werden mit den zugrunde liegenden Artefakten und dem Fallkontext abgeglichen.
Offizielle ProduktinformationCellebrite Digital Collector
Cellebrite Digital Collector unterstützt die forensische Sichtung, Live-Datenerfassung, zielgerichtete Sammlung und Image-Erstellung auf Windows- und Mac-Systemen. Auswahl, Sicherungsweg, Zielmedium und kryptografische Prüfsummen werden dokumentiert; die anschließende Auswertung erfolgt an kontrollierten Arbeitskopien.
Offizielle ProduktinformationCellebrite Inspector
Cellebrite Inspector ergänzt die Computerforensik um die Analyse von Windows- und Mac-Daten. Erweiterte Suche, Filterung und Artefaktauswertung unterstützen unter anderem die Prüfung von Browser-, Standort-, Registry-, APFS-Snapshot- und Time-Machine-Spuren; Befunde werden quellenbezogen verifiziert.
Offizielle ProduktinformationX-Ways Forensics
X-Ways Forensics wird für forensische Images, Dateisystemanalyse, Wiederherstellung, Hash-Prüfung und Zeitachsen eingesetzt. Die integrierte Schreibschutzlogik unterstützt einen kontrollierten Untersuchungsablauf; neben Windows-Dateisystemen lassen sich auch HFS+ und APFS aus Mac-Sicherungen analysieren, ohne das Originalmedium für die laufende Auswertung zu verändern.
Offizielle ProduktbeschreibungBelkasoft Evidence Center X
Belkasoft Evidence Center X ergänzt die Werkzeugkette bei der Akquisition und Analyse von Computer-, Mobilgeräte-, Arbeitsspeicher- und Cloud-Daten. Automatisch extrahierte Artefakte, Verknüpfungen und Zeitachsen werden nicht isoliert übernommen, sondern gegen die zugrunde liegenden Quellen und den konkreten Fallkontext geprüft.
Offizielle ProduktbeschreibungMOBILedit Forensic ULTRA
MOBILedit Forensic ULTRA ergänzt die mobile Sicherung um logische, dateisystembezogene und – bei geeigneten Geräten und rechtlicher Autorisierung – weitergehende Akquisitionsmethoden. App-Daten, gelöschte Inhalte und gerätespezifische Artefakte werden in den Gesamtbefund eingeordnet.
Herstellerinformation öffnenMEFF M3-PRO
MEFF M3-PRO dient als ergänzende Bedrohungsanalyse für iOS- und Android-Geräte. Hinweise auf Malware, Spyware, auffällige Systemzustände und relevante Verkehrsindikatoren werden nicht isoliert übernommen, sondern mit weiteren Artefakten und der Fallzeitachse korreliert.
Offizielle SysteminformationSUMURI RECON ITR & RECON LAB
RECON ITR unterstützt die forensische Sicherung und Triage moderner Intel-, T2- und Apple-Silicon-Macs einschließlich APFS- und Time-Machine-Bezügen sowie softwaregestütztem Schreibschutz. RECON LAB ergänzt die native macOS-Analyse um Apple-spezifische Metadaten, Artefaktverarbeitung, Filterung und fallbezogene Berichte.
SUMURI RECON ITR ansehenAutorisierter Zugriff, Zweckbindung und Verhältnismäßigkeit
Untersucht werden ausschließlich eigene Geräte und Daten oder Systeme, für die eine nachweisbare Einwilligung beziehungsweise andere tragfähige Berechtigung vorliegt. Das Eigentum an einem Gerät bedeutet nicht automatisch, dass auf jedes darin eingebundene fremde Konto oder sämtliche personenbezogenen Inhalte zugegriffen werden darf. Cloud-Konten, Unternehmensumgebungen und Daten Dritter werden deshalb nur erfasst, wenn sie vom dokumentierten Auftrag und einer belastbaren Rechtsgrundlage gedeckt sind. Ein Umgehen von Schutzmaßnahmen außerhalb dieser Befugnis ist ausgeschlossen.
Je nach Sachverhalt können insbesondere §§ 202a, 202b und 202c sowie § 303a StGB berührt sein. Bei personenbezogenen Daten sind unter anderem Zweckbindung, Datenminimierung und eine tragfähige Rechtsgrundlage nach Art. 5 und 6 DSGVO zu beachten. Untersuchungen im Beschäftigungskontext erfordern eine gesonderte Prüfung nach § 26 BDSG; zur Aufdeckung von Straftaten müssen dokumentierte tatsächliche Anhaltspunkte vorliegen, und die Maßnahme darf nicht unverhältnismäßig sein. Datenschutz, Arbeitsrecht, Beteiligungsrechte und Aufbewahrungsfristen sollten vor Beginn mit dem zuständigen Rechtsbeistand geklärt werden. Diese Leistungsbeschreibung ersetzt keine Rechtsberatung.
Spyware-Prüfung: Antworten auf die häufigsten Fragen
Für wen ist die Spyware-Prüfung geeignet?
Für Privatpersonen mit dem Verdacht, dass ein Smartphone im persönlichen Umfeld überwacht wird, sowie für Unternehmen, deren Geschäftsleitung oder Schlüsselpersonen betroffen sein könnten. Auch Anwaltskanzleien beauftragen die Prüfung, wenn ein Mandat vertrauliche Kommunikation berührt.
Was wird bei der Prüfung untersucht?
Systemzustand und Konfiguration, installierte Anwendungen und Profile, Berechtigungen, Konten- und Geräteverknüpfungen, Netzwerk- und Hintergrundaktivität sowie – soweit plattformseitig zugänglich – Protokoll- und Diagnosedaten. Grundlage ist eine geordnete Sicherung, nicht das bloße Durchsehen des Geräts.
Welche Angaben werden vorab benötigt?
Gerätetyp und Betriebssystemstand, seit wann der Verdacht besteht, welche Auffälligkeiten aufgetreten sind, wer physischen Zugriff auf das Gerät hatte, welche Konten verknüpft sind und ob bereits Zurücksetzungen oder Updates durchgeführt wurden. Wichtig: Vor der Untersuchung nichts löschen und nichts zurücksetzen.
Wie läuft die Beauftragung ab?
Erstgespräch und Klärung der Berechtigung am Gerät, schriftliche Auftragserteilung, Übergabe oder Vor-Ort-Termin, Sicherung und Auswertung, Ergebnisbesprechung mit Bericht. Das Gerät kann per versichertem Versand übergeben werden; in dringenden Fällen ist auch eine persönliche Übergabe oder Abholung möglich. Untersucht werden ausschließlich Geräte, für die eine Berechtigung des Auftraggebers besteht.
Welche Faktoren bestimmen Aufwand und Kosten?
Plattform und Betriebssystemversion, Zahl der Geräte und verknüpften Konten, Umfang der Datenbestände, gewünschte Auswertungstiefe, Dringlichkeit sowie der Bedarf an einer gerichtsverwertbar aufbereiteten Dokumentation.
Welche Ergebnisse erhält der Auftraggeber?
Einen verständlichen Bericht mit Befunden, deren Bewertung, den geprüften Bereichen, der eingesetzten Methodik und konkreten Empfehlungen zur Bereinigung und Absicherung – einschließlich der Frage, welche Schritte in welcher Reihenfolge sinnvoll sind.
Wo liegen die technischen Grenzen?
Nicht jede Überwachung hinterlässt auf dem Gerät Spuren: Zugriffe über Cloud-Konten, Backups oder das Mobilfunknetz liegen außerhalb des Geräts. Aktuelle Betriebssysteme schränken den Zugriff auf Systembereiche zusätzlich ein. Ein Befund ohne Nachweis bedeutet daher „kein Nachweis im untersuchten Bereich“ und nicht automatisch „keine Überwachung“.
Was ist Stalkerware?
Software, die heimlich Standort, Kommunikation oder Aktivitäten eines Geräts preisgibt, oft installiert durch Personen aus dem persönlichen Umfeld.
Wie äußert sich Spyware auf dem Handy?
Häufig genannte Beobachtungen sind ein ungewöhnlich schnell entleerter Akku, unerklärter Datenverbrauch, unbekannte Apps oder Profile und starke Erwärmung. Keines dieser Anzeichen beweist für sich eine Überwachung; sie können auch technische Ursachen haben.
Kann Spyware vollständig entfernt werden?
Das lässt sich nicht pauschal beantworten. Ob eine Bereinigung ausreicht oder ein Gerät ersetzt werden sollte, hängt vom Befund ab – ebenso, ob zusätzlich Konten abgesichert werden müssen. Wir dokumentieren den Befund und besprechen die möglichen Schritte, bevor am Gerät etwas verändert wird.
Drei Möglichkeiten, die auseinandergehalten werden müssen
Auffälliges Verhalten eines Geräts hat nicht zwangsläufig eine Ursache auf dem Gerät selbst. Vor jeder technischen Bewertung wird deshalb unterschieden:
- Kompromittierung des Geräts. Auf dem Gerät läuft Software, die Daten heimlich ausleitet oder Funktionen fernsteuert. Sie hinterlässt Spuren im Betriebssystem, in Protokollen oder im Netzwerkverhalten – nicht immer und nicht immer dauerhaft.
- Zugriff auf ein Konto. Wer Zugangsdaten zu einem Apple-, Google- oder Messenger-Konto kennt, kann Nachrichten, Fotos, Standorte oder Sicherungen einsehen, ohne das Gerät je berührt zu haben. Solche Fälle sind über Konto- und Anmeldeprotokolle zu klären, nicht über eine Geräteuntersuchung allein.
- Legitime Verwaltungs- und Familienfunktionen. Geräteverwaltung des Arbeitgebers (MDM), Familienfreigaben, Standortteilung oder Sicherungsdienste können denselben Eindruck erzeugen wie Überwachungssoftware. Sie sind oft eingerichtet, dokumentiert und zulässig – nur der betroffenen Person nicht bekannt.
Welche dieser Möglichkeiten zutrifft, entscheidet über den weiteren Weg. Deshalb gehören Konto- und Nutzungsumfeld von Anfang an zur Fragestellung.
Fachliche Grundlagen und Quellen
Die folgenden Punkte beschreiben allgemein dokumentierte Fachgrundlagen der mobilen Forensik. Sie belegen nicht den Umfang eines konkreten Auftrags bei QUINTEGO.
- Untersuchung setzt Berechtigung voraus. Das Mobile Verification Toolkit (MVT), ein von Fachleuten genutztes Forschungswerkzeug, ist ausdrücklich für die einwilligungsbasierte forensische Sicherung von iOS- und Android-Geräten bestimmt; die Auswertung von Geräten ohne Einwilligung der nutzenden Person ist lizenzrechtlich untersagt. Quelle: MVT-Dokumentation – Einführung und einwilligungsbasierte Untersuchung.
- Ein unauffälliger Abgleich beweist keine Spyware-Freiheit. Die MVT-Dokumentation weist ausdrücklich darauf hin, dass öffentlich verfügbare Kompromittierungsindikatoren nicht ausreichen, um ein Gerät als „sauber“ einzustufen; wer sich allein darauf stützt, übersieht möglicherweise neuere Spuren und gewinnt ein falsches Sicherheitsgefühl. Quelle: MVT-Dokumentation – Grenzen bekannter Indikatoren („Indicators of Compromise“).
- Sicherungsweg bestimmt den Erkenntnisumfang. Die MVT-Methodik für iOS beschreibt die Entscheidung zwischen einer Auswertung auf Basis einer Gerätesicherung und einem vollständigen Dateisystemabbild: Eine Sicherung enthält nur einen Teil der auf dem Gerät gespeicherten Dateien, kann aber in vielen Fällen ausreichen, um verdächtige Artefakte überhaupt zu erkennen. Quelle: MVT-Dokumentation – einwilligungsbasierte Backup-Untersuchung: Gerätesicherung und Dateisystemabbild („iOS Forensic Methodology“).
- Arbeit an Kopien, nicht am Original. Der forensische Prozess aus Sicherung, Aufbereitung, Analyse und Bericht sowie der Grundsatz, Kopien statt Originaldateien auszuwerten, ist in NIST SP 800-86 beschrieben. Quelle: NIST Special Publication 800-86 (2006). Aussagegrenze: Die Veröffentlichung stammt aus dem Jahr 2006; aktuelle Fähigkeiten oder Grenzen der Smartphoneforensik lassen sich daraus nicht ableiten.
Bitte beachten: Setzen Sie ein möglicherweise betroffenes Gerät nicht zurück, löschen Sie keine Apps und ändern Sie nichts an den Einstellungen, bevor der Sachverhalt besprochen ist. Jede Veränderung kann Spuren zerstören, die für die Bewertung gebraucht werden. Welche Schritte in Ihrer Situation sinnvoll sind – auch zum Schutz Ihrer Konten – klären wir im Erstgespräch.
Weitere Informationen zur Leistung
Verdacht auf Spyware oder Stalkerware auf Smartphone oder Tablet erfordert eine schnelle, forensische Untersuchung. QUINTEGO analysiert iOS- und Android-Geräte auf technisch erfassbare Hinweise für unbefugte Überwachung. Welche Warnsignale vorab für eine Überwachung sprechen können, erläutert der Fachbeitrag Spyware auf mobilen Endgeräten erkennen; die vollständige Datensicherung und Auswertung eines Geräts beschreibt die Smartphoneforensik.
Wie eine technische Untersuchung bei Spyware-Verdacht aufgebaut ist und welche harmlosen Ursachen häufig hinter vermeintlichen Anzeichen stecken, erläutert ergänzend eine Fachseite von AQON INTELLIGENCE.
Regionale Verfügbarkeit
Spyware-Prüfungen führen wir unter anderem in München, Berlin, Hamburg und Frankfurt am Main durch. Eine Übersicht aller Städte und Länder finden Sie unter Einsatzorte. Kontaktieren Sie uns für eine vertrauliche Erstberatung.