Thought Leadership
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) warnt Smartphone-Nutzer davor, dass Angreifer kommerzielle Spyware „aktiv einsetzen“, um Nutzer von mobilen Messaging-Anwendungen anzugreifen.
Der Warnhinweis erfolgt vor dem Hintergrund, dass Cybersecurity-Experten die Spyware Sturnus offengelegt haben, die effektiv die Verschlüsselung umgeht und es ermöglicht, über Signal, Telegram und WhatsApp versendete Nachrichten mitzulesen. Worauf sollten Smartphone-Nutzer deshalb verstärkt achten und wie können sie sich am besten schützen?
Spyware hat sich von einer Nischenwaffe, die von Staaten eingesetzt wurde, zu einer handelsüblichen Funktion entwickelt. Das sollte Cybersecurity-Verantwortliche sehr beunruhigen. Tools wie Pegasus und Predator setzen Maßstäbe, indem sie die vollständige Übernahme von Geräten, die unbemerkte Extraktion von Daten und den Zugriff auf Nachrichten nach deren Entschlüsselung ermöglichen. Moderne Android- und Apple-Trojaner kopieren nun dieselben Taktiken in kriminellem Umfang.
Die bedeutende Veränderung in Bezug auf moderne Spyware ist ihre vergleichsweise hohe Zugänglichkeit. Funktionen, für die früher die Ressourcen eines Staates und erfahrene Cyberkriminelle erforderlich waren, können heute wie ein Abonnement gemietet werden. Malware-Familien wie Sturnus und Herodotus bieten Bildschirmaufzeichnung, Keylogging und Fernsteuerung über einfache Malware-as-a-Service (MaaS)-Kits. Sobald ein Gerät kompromittiert ist, übernehmen Angreifer die Identität des Benutzers, seine Sitzungen und seine Berechtigungen. Diese Entwicklung und die geringeren Anforderungen an Cyber-Kenntnisse bedeuten, dass Unternehmen mobile Geräte als risikoreiche Endpunkte und nicht als Verbraucherzubehör behandeln müssen.
Was Spyware macht und warum verschlüsselte Apps nicht unbedingt sicher sind
Spyware knackt die Verschlüsselung nicht, sondern umgeht sie einfach. Tools wie Sturnus lesen Signal-, WhatsApp- und Telegram-Nachrichten, indem sie diese nach ihrer Entschlüsselung auf dem Gerät erfassen. Das ist kein App-Fehler, sondern eine vollständige Kompromittierung des Geräts. Einmal eingebettet, kann Spyware alles sehen, was der Benutzer sieht: Multi-Faktor-Authentifizierungsaufforderungen (MFA), Bankaktivitäten, E-Mails, Cloud-Anmeldungen und gespeicherte Anmeldedaten. Die Infektion beginnt in der Regel mit sideloaded Apps, bösartigen Links oder Missbrauch der Barrierefreiheit.
Für Unternehmen wird dies zu einem Identitätsproblem. Wenn das Gerät kompromittiert ist, wird der Angreifer zum Benutzer. Um dies zu verhindern, sind eine starke Geräteauthentifizierung, strenge Berechtigungskontrollen und identitätsorientierte Sicherheitsmaßnahmen wie adaptive MFA und privilegiertes Zugriffsmanagement erforderlich. Die Verschlüsselung schützt die Nachricht während der Übertragung, nicht das Telefon in Ihrer Hand. Das ist ein entscheidender Unterschied.
Warum Spyware zu einem immer größeren Problem wird
Die Demokratisierung von Überwachungsinstrumenten ist der eigentliche Wendepunkt. Spyware verbreitet sich, weil sie auf den kriminellen Markt gelangt ist. Fortgeschrittene Manipulationen auf Geräten, die früher nur Elite-Angreifern vorbehalten waren, sind heute in MaaS-Kits integriert, die praktisch jedem zur Verfügung stehen.
Hybrides Arbeiten verstärkt das Risiko zusätzlich, da ein einziges kompromittiertes persönliches Gerät Unternehmens-E-Mails, Cloud-Plattformen oder privilegierte Konten offenlegen kann. Spyware der nächsten Generation wird Automatisierung mit Identitätsdiebstahl verbinden und mehrstufige Betrugsmanöver durchführen, ohne dass menschliches Eingreifen erforderlich ist.
Angreifer brechen immer weniger, sondern loggen sich vielmehr ein. Die Bedrohung ist nicht mehr theoretisch, sondern real. Unternehmen müssen immer von einer Kompromittierung mobiler Geräte ausgehen und Zero-Trust-Prinzipien, kontinuierliche Verifizierung und strenge Berechtigungsgrenzen durchsetzen, bei denen Mitarbeiter nur Zugriff auf die Konten und Systeme haben, die sie für ihre Arbeit benötigen – und nicht mehr.
Anzeichen dafür, dass ein Gerät betroffen ist
Moderne Spyware versteckt sich gut, hinterlässt aber dennoch Spuren. Plötzlicher Batterieverbrauch, unerklärlicher Datenverbrauch, deaktivierte Sicherheitseinstellungen und Apps, die Zugriffsberechtigungen anfordern, sind häufige Frühindikatoren.
Auf Unternehmensseite treten Anomalien häufig eher in der Identitäts-Telemetrie als auf dem Gerät selbst auf. Unerwartete MFA-Aufforderungen, Mitarbeiter, die sich zu ungewöhnlichen Zeiten anmelden, oder privilegierte Sitzungen, die von mobilen Endgeräten aus initiiert werden, sind häufige Anzeichen für eine Übernahme. Wenn sich ein Telefon und ein Konto seltsam verhalten, sollte man davon ausgehen, dass sie kompromittiert wurden.
Viele Antiviren-Tools erkennen Spyware nicht, die so konzipiert ist, dass sie legitimes Verhalten imitiert. Die Erkennung erfordert eine tiefere Transparenz, wie z. B. Geräteüberprüfung, Überwachung auf Sitzungsebene und mobile-fokussierte Bedrohungsinformationen. Eine Lösung für privilegiertes Zugriffsmanagement mit KI-gestützter Sitzungsüberwachung kann ungewöhnliche Aktivitäten in Echtzeit erkennen und Bedrohungen sofort abschalten – schneller als jeder Mensch dies könnte.
Wie lässt sich das Risiko am besten verringern?
Es gibt keine einheitliche Lösung für Spyware, da man sich sowohl gegen eine vollständige Kompromittierung des Geräts als auch gegen eine betrügerische App verteidigen muss. Die Empfehlungen von Behörden wie der Cybersecurity and Infrastructure Security Agency (CISA) – Patches installieren, Sideloading deaktivieren, Berechtigungen überprüfen und regelmäßig neu starten – sind nach wie vor unerlässlich. Der Lockdown-Modus und die Isolationsfunktionen von Android reduzieren die Angriffsfläche erheblich.
Grundsätzlich müssen Unternehmen strengere Kontrollen implementieren, wie z. B. Geräteüberprüfung, Richtlinien für die Verwaltung mobiler Geräte, eingeschränkte Zugriffsberechtigungen, adaptive MFA und strenge Berechtigungsgrenzen. Ein sicherer Passwort-Manager oder eine passwortbasierte Anmeldung verringert die Auswirkungen von Identitätsdiebstahl und eliminiert mit der AutoFill-Technologie das Risiko, dass Keylogger Passwörter stehlen.
Das Zurücksetzen des Telefons kann ebenfalls helfen, aber fortgeschrittene Varianten erfordern eine professionelle Handhabung. Deshalb empfiehlt es sich, Resilienz auf der Grundlage von Zero Trust aufzubauen. Dabei sollte man davon ausgehen, dass ein Gerät verloren gehen kann, und dennoch sichergestellt ist, dass der Angreifer keine wertvollen Daten erbeuten kann.
