Was lässt sich bei einem Spyware-Verdacht untersuchen?
QUINTEGO untersucht Smartphones und Tablets auf technisch erfassbare Hinweise auf Überwachungssoftware und unberechtigte Zugriffe. Dazu können Apps, Geräteprofile, Berechtigungen, Protokolle und einbezogene Konten gehören. Welche Daten verfügbar sind, hängt unter anderem vom Gerät, dem Betriebssystem und seinem Zustand ab.
Ein ungewöhnlicher Akkuverbrauch oder ein warmes Gerät beweist keine Überwachung. Auch normale Anwendungen oder technische Probleme kommen als Erklärung infrage. Für die Untersuchung sind deshalb konkrete Beobachtungen mit Zeitpunkt hilfreicher als eine allgemeine Vermutung. Die US-Verbraucherschutzbehörde FTC erläutert mögliche Anzeichen und den sicheren Umgang mit einem Stalkerware-Verdacht.
Diese Seite behandelt die Spyware-Prüfung auf mobilen Endgeräten. Für andere Plattformen bietet QUINTEGO eigenständige Leistungen an: IT-Forensik und Incident-Untersuchung für Unternehmensumgebungen, Smartphoneforensik für die breite mobile Datensicherung, Mac-Forensik, Windows-Forensik und Smartwatch-Forensik.
Wie läuft die Prüfung ab?
Zuerst klären wir die Auffälligkeiten, den relevanten Zeitraum und die Berechtigung zur Untersuchung. Danach werden Gerät und zugängliche Datenquellen erfasst und ein geeigneter Sicherungsweg festgelegt. Das kann beispielsweise die Auswertung einer vorhandenen Sicherung oder eine Untersuchung zugänglicher Gerätedaten umfassen. Wie Sie das Gerät bis dahin unverändert lassen, fasst der Abschnitt Was Sie vor der Untersuchung beachten sollten zusammen.
Apps, Einstellungen und zeitliche Abläufe werden gemeinsam bewertet; ein unbekannter Eintrag allein belegt keine Schadsoftware. Für geeignete Geräte ist zusätzlich eine Remote-Analyse ohne Geräteversand möglich. Sie untersucht die Netzwerkkommunikation während einer vereinbarten Sitzung und ersetzt keine vollständige forensische Geräteuntersuchung.
Ein Abgleich mit bekannten Angriffsmerkmalen kann die Untersuchung unterstützen. Er ist kein vollständiger Sicherheitstest: Die Dokumentation des Mobile Verification Toolkit weist ausdrücklich auf die Grenzen öffentlich bekannter Merkmale hin.
Was erhalten Sie als Ergebnis?
Sie erhalten einen verständlichen Bericht über die geprüften Daten und festgestellten Auffälligkeiten. Er erläutert, welche Hinweise belastbar sind, welche Fragen offenbleiben und welche weiteren Schritte sich daraus ergeben.
Ein unauffälliges Ergebnis bezieht sich auf die untersuchten Daten und Verfahren. Es kann eine frühere oder technisch nicht mehr nachweisbare Überwachung nicht vollständig ausschließen. Ebenso kann ein auffälliger Zugriff nicht in jedem Fall einer bestimmten Person zugeordnet werden.
Geht es allgemein um Nachrichten, Dateien oder den zeitlichen Ablauf einer Gerätenutzung, führt die Smartphoneforensik weiter. Für einen Vorfall mit mehreren Unternehmenssystemen ist die IT-Forensik vorgesehen.
Beweisfrage und mobile Plattform bestimmen den Sicherungsweg
Am Anfang stehen Beweisfrage, maßgeblicher Zeitraum, Geräte- und Kontobezug sowie die nachweisbare Berechtigung zur Untersuchung. Modell, Betriebssystem, Verschlüsselung, aktueller Betriebszustand und vorhandene Zugangsmittel werden vor jeder technischen Maßnahme erfasst. Wie Sie das Gerät bis zur Erstbewertung unverändert lassen, fasst der Abschnitt Was Sie vor der Untersuchung beachten sollten zusammen.
Der Sicherungsweg wird anschließend plattformbezogen festgelegt. Bei iOS- und Android-Geräten kommen je nach Zustand und Berechtigung logische Sicherungen, dateisystembezogene oder weitergehende Akquisitionsmethoden in Frage. Relevante Befunde werden anhand ihrer Originalartefakte, Zeitbezüge und – soweit möglich – eines zweiten Analysewegs verifiziert.
Was eine belastbare mobile Untersuchung auszeichnet
- Präzise Auftrags- und Beweisfrage mit eindeutig begrenztem Untersuchungsumfang
- Dokumentierte Übernahme, Geräteidentifikation und nachvollziehbare Übergabekette
- Plattformgerechte Akquisition mit Prüfsummen und kontrollierten Arbeitskopien
- Zeitachsenbasierte Auswertung mit technischer Verifikation relevanter Befunde
- Klare Trennung zwischen Feststellung, Indiz, Bewertung und technischer Grenze
Passende Forensik-Leistungen nach Plattform
Die Spyware-Prüfung auf mobilen Endgeräten konzentriert sich auf Smartphones und Tablets. Andere Plattformen und Geräteklassen erfordern eine eigene Methodik und sind als eigenständige Leistungen verlinkt.
IT-Forensik und Incident-Untersuchung
Betrifft der Verdacht Server, Firmenkonten oder ein ganzes Netzwerk, ist eine Untersuchung der IT-Umgebung der passende Weg – mit eigener Sicherungsreihenfolge und eigener Zeitachse.
IT-Forensik ansehen →Mobile Forensik
Smartphones und Tablets enthalten Kommunikations-, App-, Standort-, Konto- und Gerätespuren, deren Verfügbarkeit stark vom aktuellen Zustand, der Betriebssystemversion und der Verschlüsselung abhängt. Die Sicherung wird deshalb gerätebezogen geplant und kann – je nach technischer Möglichkeit und Berechtigung – logisch, über Backups, dateisystembezogen oder in weitergehender Form erfolgen.
- Geräteidentität, Betriebszustand, Konten und Sicherungen erfassen
- App-Datenbanken, Kommunikation, Medien und Metadaten auswerten
- Standort-, Synchronisations- und Systemereignisse zeitlich korrelieren
- Gelöschte oder historische Inhalte nur bei technischer Verfügbarkeit einbeziehen
Spyware-Prüfung auf mobilen Endgeräten
Eine seriöse Spyware-Prüfung ist kein bloßer Virenscan. Auffällige Symptome werden mit Konfigurationsprofilen, Zertifikaten, Berechtigungen, Persistenzmechanismen, Netzwerk- und Kontoindikatoren sowie bekannten Indicators of Compromise abgeglichen. Ein einzelner automatisierter Treffer gilt erst nach technischer Einordnung als belastbarer Befund.
- MDM- und Konfigurationsprofile, Zertifikate, VPN und Proxy prüfen
- Ungewöhnliche Apps, Dienste, Autostarts und privilegierte Rechte untersuchen
- Domains, IP-Adressen, Hashwerte und weitere Bedrohungsindikatoren korrelieren
- Kontositzungen, Anmeldeereignisse und sicherheitsrelevante Änderungen einordnen
Mac-Forensik
Für MacBooks und iMacs gelten eigene Verfahren, etwa bei APFS, FileVault und Apple Silicon. Diese Untersuchung wird gesondert beauftragt.
Mac-Forensik ansehen →Windows-Forensik
Windows-Rechner und Notebooks werden über Registry-, Ereignis- und Dateisystemspuren untersucht – als eigenständige Leistung neben der Geräteprüfung am Smartphone.
Windows-Forensik ansehen →Smartwatch-Forensik
Ist eine gekoppelte Uhr betroffen, werden Uhr, App und Herstellerkonto zusätzlich einbezogen.
Smartwatch-Forensik ansehen →Was Sie vor der Untersuchung beachten sollten
Ein vorschnelles Zurücksetzen, Aktualisieren oder Installieren vermeintlicher Bereinigungssoftware auf dem betroffenen Smartphone oder Tablet kann Protokolle, flüchtige Daten und Zugriffsmöglichkeiten verändern. Notieren Sie Auffälligkeiten mit Zeitpunkt, trennen Sie Beobachtung von Vermutung und nehmen Sie den Erstkontakt möglichst über ein zweites, vertrauenswürdiges mobiles Gerät auf.
- Verdächtige Meldungen, Kontowarnungen und Geräteverknüpfungen mit Zeitbezug dokumentieren
- Keine unbekannten Profile, Apps oder Zertifikate eigenständig löschen
- Gekoppelte Geräte, Smartwatches, Backups und Cloud-Sitzungen in die Erstbewertung einbeziehen
- Bei akuter persönlicher Gefahr zuerst Polizei und geeignete Beratungsstellen einschalten
Ein unauffälliger Befund ist immer auf Datenstand, Zeitraum und Verfahren begrenzt. Gelöschte, inaktive oder ausschließlich kontobasierte Angriffe können auch nach sorgfältiger Untersuchung außerhalb der technischen Nachweisbarkeit liegen.
Werkzeugkette nach Plattform und Sicherungsziel
Kein einzelnes Produkt deckt alle Gerätegenerationen, Betriebssystemversionen und Spurenarten zuverlässig ab. QUINTEGO kombiniert spezialisierte Werkzeuge nach Beweisfrage, Systemzustand und zulässigem Zugriff. Automatisierte Ergebnisse werden mit Rohartefakten und Zeitachsen abgeglichen, soweit dies technisch möglich ist. Zum eingesetzten Softwarebestand gehören unter anderem Cellebrite UFED, Cellebrite Physical Analyzer, MEFF M3-PRO, MOBILedit Forensic ULTRA und Belkasoft Evidence Center X. Für Computer- und Mac-Untersuchungen kommen zusätzliche Werkzeuge zum Einsatz; sie sind auf den Seiten zur IT-Forensik, Windows-Forensik und Mac-Forensik beschrieben.
Cellebrite UFED
Cellebrite UFED unterstützt – abhängig von Gerät, Betriebssystem, Lizenzumfang und nachgewiesener Berechtigung – den kontrollierten Zugriff und die forensische Erfassung digitaler Daten aus iOS- und Android-Geräten sowie weiteren unterstützten mobilen Quellen. Sicherungsprotokolle und Extraktionsergebnisse werden fallbezogen geprüft und nachvollziehbar dokumentiert.
Offizielle ProduktinformationCellebrite Physical Analyzer
Cellebrite Physical Analyzer dient der Dekodierung und Auswertung forensisch erfasster Mobil-, App- und Cloud-Daten. Such-, Filter-, Zeitachsen- und Berichtsfunktionen unterstützen die strukturierte Untersuchung; relevante Treffer werden mit den zugrunde liegenden Artefakten und dem Fallkontext abgeglichen.
Offizielle ProduktinformationBelkasoft Evidence Center X
Belkasoft Evidence Center X ergänzt die Werkzeugkette bei der Akquisition und Analyse von Computer-, Mobilgeräte-, Arbeitsspeicher- und Cloud-Daten. Automatisch extrahierte Artefakte, Verknüpfungen und Zeitachsen werden nicht isoliert übernommen, sondern gegen die zugrunde liegenden Quellen und den konkreten Fallkontext geprüft.
Offizielle ProduktbeschreibungMOBILedit Forensic ULTRA
MOBILedit Forensic ULTRA ergänzt die mobile Sicherung um logische, dateisystembezogene und – bei geeigneten Geräten und rechtlicher Autorisierung – weitergehende Akquisitionsmethoden. App-Daten, gelöschte Inhalte und gerätespezifische Artefakte werden in den Gesamtbefund eingeordnet.
Herstellerinformation öffnenMEFF M3-PRO
MEFF M3-PRO dient als ergänzende Bedrohungsanalyse für iOS- und Android-Geräte. Hinweise auf Malware, Spyware, auffällige Systemzustände und relevante Verkehrsindikatoren werden nicht isoliert übernommen, sondern mit weiteren Artefakten und der Fallzeitachse korreliert.
Offizielle SysteminformationAutorisierter Zugriff, Zweckbindung und Verhältnismäßigkeit
Untersucht werden ausschließlich eigene Geräte und Daten oder Systeme, für die eine nachweisbare Einwilligung beziehungsweise andere tragfähige Berechtigung vorliegt. Das Eigentum an einem Gerät bedeutet nicht automatisch, dass auf jedes darin eingebundene fremde Konto oder sämtliche personenbezogenen Inhalte zugegriffen werden darf. Cloud-Konten, Unternehmensumgebungen und Daten Dritter werden deshalb nur erfasst, wenn sie vom dokumentierten Auftrag und einer belastbaren Rechtsgrundlage gedeckt sind. Ein Umgehen von Schutzmaßnahmen außerhalb dieser Befugnis ist ausgeschlossen.
Je nach Sachverhalt können insbesondere §§ 202a, 202b und 202c sowie § 303a StGB berührt sein. Bei personenbezogenen Daten sind unter anderem Zweckbindung, Datenminimierung und eine tragfähige Rechtsgrundlage nach Art. 5 und 6 DSGVO zu beachten. Untersuchungen im Beschäftigungskontext erfordern eine gesonderte Prüfung nach § 26 BDSG; zur Aufdeckung von Straftaten müssen dokumentierte tatsächliche Anhaltspunkte vorliegen, und die Maßnahme darf nicht unverhältnismäßig sein. Datenschutz, Arbeitsrecht, Beteiligungsrechte und Aufbewahrungsfristen sollten vor Beginn mit dem zuständigen Rechtsbeistand geklärt werden. Diese Leistungsbeschreibung ersetzt keine Rechtsberatung.
Spyware-Prüfung: Antworten auf die häufigsten Fragen
Für wen ist die Spyware-Prüfung geeignet?
Für Privatpersonen mit dem Verdacht, dass ein Smartphone im persönlichen Umfeld überwacht wird, sowie für Unternehmen, deren Geschäftsleitung oder Schlüsselpersonen betroffen sein könnten. Auch Anwaltskanzleien beauftragen die Prüfung, wenn ein Mandat vertrauliche Kommunikation berührt.
Was wird bei der Prüfung untersucht?
Systemzustand und Konfiguration, installierte Anwendungen und Profile, Berechtigungen, Konten- und Geräteverknüpfungen, Netzwerk- und Hintergrundaktivität sowie – soweit plattformseitig zugänglich – Protokoll- und Diagnosedaten. Grundlage ist eine geordnete Sicherung, nicht das bloße Durchsehen des Geräts.
Welche Angaben werden vorab benötigt?
Gerätetyp und Betriebssystemstand, seit wann der Verdacht besteht, welche Auffälligkeiten aufgetreten sind, wer physischen Zugriff auf das Gerät hatte, welche Konten verknüpft sind und ob bereits Zurücksetzungen oder Updates durchgeführt wurden. Bitte beachten Sie dazu Was Sie vor der Untersuchung beachten sollten.
Wie läuft die Beauftragung ab?
Erstgespräch und Klärung der Berechtigung am Gerät, schriftliche Auftragserteilung, Übergabe oder Vor-Ort-Termin, Sicherung und Auswertung, Ergebnisbesprechung mit Bericht. Das Gerät kann per versichertem Versand übergeben werden; in dringenden Fällen ist auch eine persönliche Übergabe oder Abholung möglich. Untersucht werden ausschließlich Geräte, für die eine Berechtigung des Auftraggebers besteht.
Welche Faktoren bestimmen Aufwand und Kosten?
Der Aufwand richtet sich nach Gerät und Betriebssystem, Datenumfang, Zahl der Konten und der benötigten Auswertungstiefe. Auch Dringlichkeit und Dokumentation spielen eine Rolle. Den Umfang klären wir vor der Beauftragung. Die Remote-Analyse mit eigenem Preis ist eine gesonderte Prüfung des Netzwerkverkehrs.
Welche Ergebnisse erhält der Auftraggeber?
Einen verständlichen Bericht mit Befunden, deren Bewertung, den geprüften Bereichen, der eingesetzten Methodik und konkreten Empfehlungen zur Bereinigung und Absicherung – einschließlich der Frage, welche Schritte in welcher Reihenfolge sinnvoll sind.
Wo liegen die technischen Grenzen?
Nicht jede Überwachung hinterlässt auf dem Gerät Spuren: Zugriffe über Cloud-Konten, Backups oder das Mobilfunknetz liegen außerhalb des Geräts. Aktuelle Betriebssysteme schränken den Zugriff auf Systembereiche zusätzlich ein. Ein Befund ohne Nachweis bedeutet daher „kein Nachweis im untersuchten Bereich“ und nicht automatisch „keine Überwachung“.
Was ist Stalkerware?
Software, die heimlich Standort, Kommunikation oder Aktivitäten eines Geräts preisgibt, oft installiert durch Personen aus dem persönlichen Umfeld.
Wie äußert sich Spyware auf dem Handy?
Häufig genannte Beobachtungen sind ein ungewöhnlich schnell entleerter Akku, unerklärter Datenverbrauch, unbekannte Apps oder Profile und starke Erwärmung. Keines dieser Anzeichen beweist für sich eine Überwachung; sie können auch technische Ursachen haben.
Kann Spyware vollständig entfernt werden?
Das lässt sich nicht pauschal beantworten. Ob eine Bereinigung ausreicht oder ein Gerät ersetzt werden sollte, hängt vom Befund ab – ebenso, ob zusätzlich Konten abgesichert werden müssen. Wir dokumentieren den Befund und besprechen die möglichen Schritte, bevor am Gerät etwas verändert wird.
Drei Möglichkeiten, die auseinandergehalten werden müssen
Auffälliges Verhalten eines Geräts hat nicht zwangsläufig eine Ursache auf dem Gerät selbst. Vor jeder technischen Bewertung wird deshalb unterschieden:
- Kompromittierung des Geräts. Auf dem Gerät läuft Software, die Daten heimlich ausleitet oder Funktionen fernsteuert. Sie hinterlässt Spuren im Betriebssystem, in Protokollen oder im Netzwerkverhalten – nicht immer und nicht immer dauerhaft.
- Zugriff auf ein Konto. Wer Zugangsdaten zu einem Apple-, Google- oder Messenger-Konto kennt, kann Nachrichten, Fotos, Standorte oder Sicherungen einsehen, ohne das Gerät je berührt zu haben. Solche Fälle sind über Konto- und Anmeldeprotokolle zu klären, nicht über eine Geräteuntersuchung allein.
- Legitime Verwaltungs- und Familienfunktionen. Geräteverwaltung des Arbeitgebers (MDM), Familienfreigaben, Standortteilung oder Sicherungsdienste können denselben Eindruck erzeugen wie Überwachungssoftware. Sie sind oft eingerichtet, dokumentiert und zulässig – nur der betroffenen Person nicht bekannt.
Welche dieser Möglichkeiten zutrifft, entscheidet über den weiteren Weg. Deshalb gehören Konto- und Nutzungsumfeld von Anfang an zur Fragestellung.
Fachliche Grundlagen und Quellen
Die folgenden Punkte beschreiben allgemein dokumentierte Fachgrundlagen der mobilen Forensik. Sie belegen nicht den Umfang eines konkreten Auftrags bei QUINTEGO.
- Untersuchung setzt Berechtigung voraus. Das Mobile Verification Toolkit (MVT), ein von Fachleuten genutztes Forschungswerkzeug, ist ausdrücklich für die einwilligungsbasierte forensische Sicherung von iOS- und Android-Geräten bestimmt; die Auswertung von Geräten ohne Einwilligung der nutzenden Person ist lizenzrechtlich untersagt. Quelle: MVT-Dokumentation – Einführung und einwilligungsbasierte Untersuchung.
- Ein unauffälliger Abgleich beweist keine Spyware-Freiheit. Die MVT-Dokumentation weist ausdrücklich darauf hin, dass öffentlich verfügbare Kompromittierungsindikatoren nicht ausreichen, um ein Gerät als „sauber“ einzustufen; wer sich allein darauf stützt, übersieht möglicherweise neuere Spuren und gewinnt ein falsches Sicherheitsgefühl. Quelle: MVT-Dokumentation – Grenzen bekannter Indikatoren („Indicators of Compromise“).
- Sicherungsweg bestimmt den Erkenntnisumfang. Die MVT-Methodik für iOS beschreibt die Entscheidung zwischen einer Auswertung auf Basis einer Gerätesicherung und einem vollständigen Dateisystemabbild: Eine Sicherung enthält nur einen Teil der auf dem Gerät gespeicherten Dateien, kann aber in vielen Fällen ausreichen, um verdächtige Artefakte überhaupt zu erkennen. Quelle: MVT-Dokumentation – einwilligungsbasierte Backup-Untersuchung: Gerätesicherung und Dateisystemabbild („iOS Forensic Methodology“).
- Arbeit an Kopien, nicht am Original. Der forensische Prozess aus Sicherung, Aufbereitung, Analyse und Bericht sowie der Grundsatz, Kopien statt Originaldateien auszuwerten, ist in NIST SP 800-86 beschrieben. Quelle: NIST Special Publication 800-86 (2006). Aussagegrenze: Die Veröffentlichung stammt aus dem Jahr 2006; aktuelle Fähigkeiten oder Grenzen der Smartphoneforensik lassen sich daraus nicht ableiten.
Bitte beachten: Setzen Sie ein möglicherweise betroffenes Gerät nicht zurück, löschen Sie keine Apps und ändern Sie nichts an den Einstellungen, bevor der Sachverhalt besprochen ist. Jede Veränderung kann Spuren zerstören, die für die Bewertung gebraucht werden. Welche Schritte in Ihrer Situation sinnvoll sind – auch zum Schutz Ihrer Konten – klären wir im Erstgespräch.
Spyware-Prüfung oder Smartphoneforensik: worin der Unterschied liegt
Beide Untersuchungen arbeiten am selben Gerät, beantworten aber unterschiedliche Fragen. Welche passt, ergibt sich aus dem Untersuchungsziel.
Spyware-Prüfung: Ist das Gerät überwacht?
Im Mittelpunkt steht der Verdacht auf Überwachungssoftware, heimliche Konfigurationen, Profile oder unerwünschte Zugriffswege. Geprüft werden Systemzustand, installierte Komponenten, Berechtigungen, Verwaltungsprofile und auffälliges Kommunikationsverhalten. Ergebnis ist eine Bewertung des Überwachungsverdachts samt Empfehlungen zur Absicherung.
Smartphoneforensik: Was ist auf dem Gerät geschehen?
Hier geht es um Inhalte und Spuren als Beweismittel: Nachrichten, Anrufe, Standort-, App- und Systemspuren werden gesichert und zu einer nachvollziehbaren Zeitleiste verbunden. Historische Spuren können frühere Ereignisse dokumentieren. Aussagen beziehen sich auf die ausgewerteten Daten und den belegbaren Zeitraum. Welche Daten verfügbar sind, hängt von Gerät, Zugang und Sicherungsweg ab. Die Untersuchung erfolgt an einer verifizierten Sicherung und setzt eine nachgewiesene Berechtigung am Gerät voraus. Näheres auf der Seite Smartphoneforensik.
Aussagegrenzen beider Untersuchungen
- Ein Befund gilt für das untersuchte Gerät zum Untersuchungszeitpunkt, nicht für frühere oder spätere Zustände.
- Zugriffe über Konten, Sicherungen oder das Mobilfunknetz liegen außerhalb des Geräts und lassen sich damit nicht ausschließen.
- Herstellerseitige Zugriffsbeschränkungen, Verschlüsselung und fehlende Protokollierung begrenzen, welche Bereiche überhaupt auswertbar sind.
- Beide Untersuchungen liefern technische Feststellungen; die rechtliche Bewertung bleibt der beauftragten Rechtsvertretung vorbehalten.
Bei einem Verdacht auf Spyware oder Stalkerware auf Smartphone oder Tablet hilft eine technische Prüfung, Beobachtungen fachlich einzuordnen. QUINTEGO analysiert iOS- und Android-Geräte auf technisch erfassbare Hinweise für unbefugte Überwachung. Welche Warnsignale vorab für eine Überwachung sprechen können, erläutert der Fachbeitrag Spyware auf mobilen Endgeräten erkennen; die vollständige Datensicherung und Auswertung eines Geräts beschreibt die Smartphoneforensik.
Wie eine technische Untersuchung bei Spyware-Verdacht aufgebaut ist und welche harmlosen Ursachen häufig hinter vermeintlichen Anzeichen stecken, erläutert ergänzend eine Fachseite von AQON INTELLIGENCE.
Regionale Verfügbarkeit
Spyware-Prüfungen führen wir unter anderem in München, Berlin, Hamburg und Frankfurt am Main durch. Eine Übersicht aller Städte und Länder finden Sie unter Einsatzorte. Kontaktieren Sie uns für eine vertrauliche Erstberatung.