Wurde ich gehackt? Woran du es wirklich erkennst

Wurde ich gehackt? Diese Frage wird in Deutschland jeden Monat rund tausendmal in Suchmaschinen getippt, meist abends, meist nachdem etwas am Telefon komisch war. Der Akku ist heiß, das Datenvolumen schneller weg als sonst, im Browser poppt Werbung auf. Und weil das Netz auf solche Momente bestens vorbereitet ist, findet man binnen Sekunden eine Liste mit zwölf Anzeichen für ein gehacktes Handy, an deren Ende ein Virenscanner zum Kauf steht.

Dieser Text macht es andersherum. Er sortiert zuerst aus, was fast immer eine harmlose Erklärung hat, benennt dann die Anzeichen, die tatsächlich zählen, und zeigt, wie du in zwanzig Minuten zu einer belastbaren Antwort kommst. Am Ende steht eine Reihenfolge für den Ernstfall, denn wenn es wirklich passiert ist, entscheidet die Reihenfolge über den Schaden.

Die meisten Symptome sind keine

Fangen wir mit dem unbequemen Teil an. Die Standardliste aus den üblichen Ratgebern besteht überwiegend aus Beobachtungen, die bei einem drei Jahre alten Telefon zum normalen Alltag gehören. Passiert sein kann trotzdem etwas, nur beweist keine dieser Beobachtungen für sich genommen irgendetwas.

Der Akku wird heiß und hält nicht mehr durch. Lithium-Zellen verlieren mit jedem Ladezyklus Kapazität. Apple nennt achtzig Prozent nach etwa fünfhundert Ladungen als normal, in der Praxis sitzen viele Geräte nach zwei, drei Jahren bei knapp über siebzig Prozent. Das reicht schon, damit ein voller Tag nicht mehr durchhält. Dazu kommen Hintergrundaktualisierung, Standortdienste und ein Betriebssystem, das mit jedem Update mehr will. Wärme entsteht beim Laden, beim Navigieren und im Sommer im Auto sowieso.

Das Datenvolumen schmilzt. Automatische Videowiedergabe in sozialen Netzen ist der mit Abstand größte Posten, gefolgt von Cloud-Backups, die sich ins Mobilfunknetz verirrt haben, weil das WLAN kurz weg war. Spionagesoftware überträgt in der Regel Textprotokolle und komprimierte Datenpakete, das fällt gegen ein einziges automatisch abgespieltes Video kaum ins Gewicht.

Das Gerät ist langsam geworden. Speicher unter zehn Prozent frei, ein Dutzend Apps im Hintergrund, ein Betriebssystem, das für neuere Hardware entwickelt wurde.

Werbung poppt auf. Das ist meistens der Browser oder eine kostenlose App mit aggressivem Werbenetz, gelegentlich auch eine Browser-Benachrichtigung, die man irgendwann einmal erlaubt hat und die sich in den Website-Einstellungen wieder abschalten lässt.

Diese Nüchternheit hat einen praktischen Zweck. Sie ist die Voraussetzung dafür, dass du das echte Signal überhaupt bemerkst, denn wer jedes warme Gehäuse für einen Angriff hält, hat nach der dritten Fehlwarnung aufgehört hinzusehen. Die Sicherheitsbranche nennt das Alarmmüdigkeit, und sie ist der beste Freund jedes Angreifers.

Der Mythos mit den Codes

Seit Jahren kursiert ein besonders zäher Ratschlag: Man tippe *#21# in die Telefon-App, und dann sehe man, ob das Gerät überwacht wird. Boulevardmedien greifen ihn regelmäßig auf, auf kurzen Videoplattformen läuft er in Endlosschleife.

Der Code tut etwas, nur eben etwas anderes. Er ist ein sogenannter MMI-Befehl und fragt beim Mobilfunknetz den Status der Rufumleitung ab, also ob Anrufe an eine andere Nummer weitergeleitet werden. Das ist eine Funktion des Netzes, nicht des Telefons. Mit *#62# fragst du die Umleitung bei Nichterreichbarkeit ab, die bei fast jedem Vertrag auf die eigene Mailbox zeigt, weshalb dort für gewöhnlich eine fremd aussehende Nummer steht. Genau diese Mailbox-Nummer wird in den viralen Videos regelmäßig als Beweis für einen Lauschangriff verkauft.

Eine Spionage-App auf dem Gerät liest Nachrichten mit, greift auf Mikrofon und Standort zu und schickt das an einen Server. Mit der Rufumleitung im Mobilfunknetz hat das nichts zu tun, deshalb kann kein MMI-Code sie sichtbar machen. Die Codes sind nützlich, wenn du wissen willst, ob jemand eine Umleitung eingerichtet hat, etwa nach einem Fall von SIM-Übernahme. Als Hacker-Test sind sie wertlos.

Was wirklich zählt

Belastbare Anzeichen haben ein gemeinsames Merkmal: Hinter ihnen steckt eine Handlung, die du nicht selbst ausgelöst hast. Ein Ereignis mit Zeitstempel also, kein Zustand, über den sich streiten lässt.

Anmeldungen, die nicht von dir sind. Google, Apple, Microsoft und jeder ernstzunehmende Mailanbieter führen einen Anmeldeverlauf mit Zeitpunkt, Gerät und ungefährem Ort. Ein Zugriff aus einem Land, in dem du nie warst, ist ein harter Befund. Achte dabei auf die Zeitzone und darauf, dass VPN-Nutzung und Mobilfunk-Roaming den Ort verfälschen können.

Nachrichten im Postausgang, die du nicht geschrieben hast. Der Klassiker bei übernommenen Konten, weil Angreifer Postfächer gern zum Weiterverbreiten nutzen. Ebenso auffällig: Nachrichten, die aus deinem Posteingang verschwunden sind, weil eine angelegte Filterregel Warnmails des Anbieters sofort in den Papierkorb schiebt.

Zwei-Faktor-Codes ohne eigenen Anmeldeversuch. Wenn dir eine SMS mit einem Bestätigungscode zugestellt wird und du gerade nichts getan hast, versucht jemand in genau diesem Moment, sich mit deinem Passwort anzumelden. Das Passwort ist damit verbrannt, unabhängig davon, ob der Versuch geklappt hat.

Geänderte Wiederherstellungsdaten. Eine fremde Telefonnummer oder Zweitadresse im Konto, eine neue Weiterleitungsregel, ein zusätzlicher App-Zugang. Das ist der Schritt, mit dem sich ein Angreifer festsetzt, und er ist gefährlicher als der eigentliche Einbruch.

Apps, die du nie installiert hast. Besonders solche mit unauffälligen Systemnamen. Dazu Geräte in deinem Konto, die dir nicht gehören, und bei WhatsApp ein verknüpfter Rechner, den du nicht kennst.

Finanzielle Bewegung. Kleine Testabbuchungen, ein Kauf im App-Store, eine Bestellung an eine fremde Lieferadresse. Wo Geld fließt, ist die Diagnose meist schon gestellt.

Wurde ich gehackt: die Prüfung in fünf Schritten

Für alles Folgende brauchst du zwanzig Minuten und im Idealfall ein zweites Gerät. Arbeite die Punkte der Reihe nach ab, ohne zwischendurch etwas zu löschen.

Erstens: die E-Mail-Adresse gegen bekannte Datenlecks prüfen. Auf haveibeenpwned.com gibst du deine Adresse ein und bekommst die Liste der veröffentlichten Datenpannen, in denen sie auftaucht. Der Dienst wird von einem australischen Sicherheitsforscher betrieben, ist kostenlos und gilt in der Branche als Referenz. Für die dazugehörige Passwortprüfung wird dein Passwort nicht übertragen: Der Browser bildet einen Hash, schickt nur dessen erste fünf Zeichen, und der Abgleich passiert lokal. Dieses Verfahren heißt k-Anonymität und ist der Grund, warum man die Seite guten Gewissens benutzen kann.

Ein Treffer heißt zunächst nur, dass deine Adresse bei irgendeinem Anbieter abgeflossen ist. Zum Problem wird er, wenn du das dort verwendete Passwort auch anderswo benutzt hast, denn genau das probieren Angreifer automatisiert durch.

Zweitens: die aktiven Sitzungen deiner wichtigsten Konten. Jeder große Anbieter zeigt unter Sicherheit, welche Geräte gerade angemeldet sind und wann sie sich zuletzt gemeldet haben. Bei Google findest du das im Sicherheitsbereich des Kontos, dieselbe Stelle, die auch bei der Frage nach dem Profil eine Rolle spielt, über die wir bereits geschrieben haben: was Google über dich weiß. Wirf hier alles hinaus, was du nicht zuordnen kannst, und sieh dir im selben Zug die Weiterleitungen und Filterregeln des Postfachs an.

Drittens: die App-Liste und die Berechtigungen. Sortiere die installierten Apps nach Installationsdatum, das entlarvt Nachzügler zuverlässiger als jeder Blick auf die Symbole. Prüfe danach, welche App auf Standort, Mikrofon und Kamera zugreifen darf. Beide Systeme zeigen inzwischen an, welche App zuletzt darauf zugegriffen hat, und iOS blendet bei aktivem Zugriff einen farbigen Punkt in der Statusleiste ein.

Viertens: die zwei Einstellungsseiten, die sonst nie jemand öffnet. Unter iOS liegt unter Einstellungen, Allgemein, VPN und Geräteverwaltung die Liste der Konfigurationsprofile. Solche Profile stammen normalerweise vom Arbeitgeber oder von einer VPN-App. Findest du dort ein Profil, das du nicht selbst eingerichtet hast, ist das ein ernstes Signal, denn ein Profil kann Datenverkehr umleiten und Einstellungen erzwingen. Unter Android sind die Gegenstücke die Geräteadministrator-Apps, die Benachrichtigungszugriffe und vor allem die Bedienungshilfen. Letztere sind für Menschen mit Einschränkungen gedacht und erlauben einer App, den Bildschirminhalt zu lesen und Eingaben zu registrieren. Stalkerware nutzt diesen Weg praktisch immer.

Fünftens: Akku- und Datennutzung pro App. Beide Systeme führen eine Statistik darüber, welche App wie viel Energie und wie viel Datenvolumen verbraucht hat. Interessant ist nicht der Spitzenreiter, sondern der Ausreißer: eine App, die du nie benutzt und die trotzdem seit Wochen im Hintergrund läuft.

Handy gehackt, was tun: die richtige Reihenfolge

Wenn die Prüfung einen echten Befund ergeben hat, gilt eine einfache Regel. Das möglicherweise kompromittierte Gerät ist für die Rettungsaktion nicht zu gebrauchen, denn ein Passwortwechsel, den ein Mitleser beobachtet, ist kein Passwortwechsel.

1. Zweites Gerät nehmen. Ein Rechner, das Telefon einer Vertrauensperson, notfalls ein frisch zurückgesetztes Tablet. Über dieses Gerät läuft alles Weitere.

2. Zuerst das E-Mail-Passwort ändern. Das Postfach ist der Generalschlüssel, weil sich über die Funktion zum Zurücksetzen fast jedes andere Konto darüber öffnen lässt. Danach kommen Bank, Cloud-Speicher, Apple-ID oder Google-Konto und die sozialen Netze, jeweils mit einem eigenen, langen Passwort. Ein Passwortmanager nimmt dir das Merken ab, und die Wiederverwendung desselben Passworts ist der Fehler, der die meisten Ketten überhaupt erst möglich macht.

3. Alle Sitzungen beenden. Fast jeder Dienst hat eine Funktion, die sämtliche angemeldeten Geräte abmeldet. Nutze sie, sonst bleibt ein bereits geöffneter Zugang bestehen, obwohl das Passwort längst neu ist.

4. Zwei-Faktor einschalten. Wenn möglich mit einer Authenticator-App statt per SMS, weil SIM-Übernahmen den SMS-Weg aushebeln. Die hinterlegten Wiederherstellungscodes gehören an einen Ort, der nicht auf dem betroffenen Gerät liegt.

5. Wiederherstellungsdaten kontrollieren. Zweitadresse, Telefonnummer, Weiterleitungen, Filterregeln, verknüpfte Apps. Alles, was du nicht selbst eingerichtet hast, fliegt raus. Dieser Schritt wird am häufigsten vergessen und ist der, über den Angreifer zurückkommen.

6. Das Gerät aufräumen. Systemupdate einspielen, unbekannte Apps deinstallieren, verdächtige Berechtigungen und Profile entfernen, neu starten.

7. Im Zweifel zurücksetzen. Ein Werksreset ist die einzige Maßnahme, die verlässlich alles entfernt, was sich in Systemnähe eingenistet hat. Den Weg dahin findest du am iPhone unter Einstellungen, Allgemein, iPhone übertragen oder zurücksetzen, Alle Inhalte und Einstellungen löschen. Bei Android liegt er je nach Hersteller unter Einstellungen, System, Zurücksetzen, Auf Werkseinstellungen zurücksetzen. Bevor du das auslöst, merke dir die Zugangsdaten deiner Apple-ID beziehungsweise deines Google-Kontos, sonst sperrt dich die Aktivierungssperre nach dem Reset aus dem eigenen Gerät aus.

Entscheidend ist, was danach kommt: Richte das Gerät als neu ein und installiere die Apps einzeln, statt ein Backup einzuspielen. Ein Backup, das kurz vor oder während des Befalls entstand, holt den Schädling sonst gleich wieder zurück, und der ganze Aufwand war umsonst. Fotos und Dokumente kannst du getrennt aus der Cloud oder von Hand zurückholen, die Programme selbst kommen frisch aus dem Store. (Willst du ein Gerät umgekehrt so leeren, dass beim Verkauf oder Weitergeben wirklich nichts zurückbleibt, ist das ein eigenes Thema, das unser Text über Daten wirklich löschen auseinandernimmt.)

8. Melden, wo es nötig ist. Bei finanziellem Schaden die Bank und eine Strafanzeige, bei einem übernommenen Konto den Anbieter, bei geschäftlichen Daten je nach Lage die Datenschutzaufsicht.

Der Sonderfall, bei dem alles anders läuft

Bis hierhin ging es um Angreifer, die irgendwo im Netz sitzen und dich nicht kennen. Es gibt einen zweiten Fall, und er ist in der Praxis der häufigere Grund für echte Spionagesoftware auf einem Telefon. Sie wird von Menschen installiert, die Zugang zum Gerät haben: Partner, Ex-Partner, Familienangehörige. Die Programme werden offen als Kindersicherung oder Diebstahlschutz verkauft und laufen unsichtbar im Hintergrund.

Technisch hilft in diesen Fällen der Blick auf die oben genannten Stellen, also Bedienungshilfen und Geräteadministratoren unter Android, Konfigurationsprofile und die Geräteliste der Apple-ID unter iOS. Apple hat mit der Sicherheitsprüfung seit iOS 16 eine eigene Funktion dafür eingebaut, die alle Freigaben an andere Personen an einer Stelle sammelt und im Notfall in einem Zug beendet. Sie hat oben rechts eine Schaltfläche zum sofortigen Verlassen des Menüs, ein Detail, das über die gedachte Zielgruppe einiges verrät. Auf Android meldet Play Protect einen Teil dieser Programme, und die Coalition Against Stalkerware, ein Zusammenschluss aus Sicherheitsfirmen und Opferschutzorganisationen, sammelt Material und Ansprechstellen zum Thema.

Beachte außerdem den unauffälligeren Weg: Es braucht keine Software, wenn jemand dein Kontopasswort kennt. Geteilte Familienkonten, ein bekanntes iCloud-Passwort oder eine aktive Standortfreigabe liefern dieselben Informationen, ohne dass je etwas installiert wurde.

Übersicht: Symptom, wahrscheinliche Ursache, Aussagekraft

Vorbeugen ist unspektakulär

Die Maßnahmen, die statistisch am meisten bringen, sind langweilig und kostenlos. Ein eigenes, langes Passwort je Dienst aus einem Passwortmanager verhindert die Kettenreaktion nach einem Datenleck. Zwei-Faktor-Anmeldung macht ein gestohlenes Passwort weitgehend wertlos. Systemupdates schließen die Lücken, über die automatisierte Angriffe laufen, und eine sechsstellige Gerätesperre verhindert genau die zwei Minuten Zugriff, die für die Installation von Stalkerware reichen.

Dazu kommt eine Gewohnheit, die selten genannt wird: einmal im Quartal die Geräteliste und die verbundenen Apps der drei wichtigsten Konten durchsehen. Das dauert fünf Minuten und findet Zugänge, an die sich niemand mehr erinnert. Wer darüber hinaus wissen will, wie viel über die eigene Person ohnehin im Netz steht, findet den größeren Rahmen in unserem Beitrag dazu, was Metadaten über dich verraten.

Was bleibt

Die ehrliche Antwort auf die Frage im Titel lautet in den meisten Fällen: nein, und dein Telefon ist einfach drei Jahre alt. Diese Antwort verkauft keine Schutzsoftware, deshalb liest man sie selten.

Verdächtig macht ein Gerät nicht sein Zustand, sondern ein Ereignis, das du nicht ausgelöst hast: eine Anmeldung zu einer Uhrzeit, zu der du geschlafen hast, ein Bestätigungscode für einen Login, den niemand versucht haben will, oder eine App, die da einfach ist. Sobald einer dieser Punkte zutrifft, hat die Beruhigung ein Ende, und dann zählt die Reihenfolge aus dem Abschnitt weiter oben: erst das zweite Gerät, dann das Postfach, dann alles andere. Diese zwanzig Minuten sind gut investiert, auch wenn am Ende herauskommt, dass alles in Ordnung war.

Häufige Fragen

Handy gehackt, was tun?

Der erste Schritt ist Ruhe und ein zweites Gerät. Ändere die Passwörter deiner wichtigsten Konten von einem anderen, sauberen Gerät aus, allen voran das Passwort deines E-Mail-Postfachs, weil daran alle Zurücksetzungen hängen. Schalte danach die Zwei-Faktor-Anmeldung ein und wirf in den Kontoeinstellungen alle aktiven Sitzungen und fremden Geräte hinaus. Erst dann kümmerst du dich um das Telefon selbst: Systemupdate einspielen, unbekannte Apps entfernen, Berechtigungen durchsehen. Bleibt ein begründeter Verdacht, ist das Zurücksetzen auf Werkseinstellungen der einzige wirklich verlässliche Schnitt.

Wurde meine E-Mail gehackt?

Das lässt sich zum großen Teil nachsehen. Auf haveibeenpwned.com gibst du deine Adresse ein und siehst, in welchen bekannt gewordenen Datenlecks sie auftaucht. Ein Treffer bedeutet allerdings nur, dass die Adresse und meist ein Passwort bei irgendeinem Anbieter abgeflossen sind, nicht dass jemand in deinem Postfach sitzt. Ob das der Fall ist, zeigen die Sicherheitseinstellungen deines Anbieters: aktive Sitzungen, Anmeldeverlauf, eingerichtete Weiterleitungen und Filterregeln. Eine heimliche Weiterleitung an eine fremde Adresse ist das deutlichste Zeichen von allen.

Wird mein Handy überwacht?

In den allermeisten Fällen nicht. Eine gezielte Überwachung durch Software auf dem Gerät setzt fast immer voraus, dass jemand das entsperrte Telefon einige Minuten in der Hand hatte, und das grenzt den Kreis der Verdächtigen stark ein. Die kursierenden Tastencodes taugen als Nachweis nicht. Aussagekräftiger sind ein Blick in die Liste der installierten Apps, in die Geräteverwaltungs- und Bedienungshilfen-Einstellungen unter Android und in die Konfigurationsprofile unter iOS. Wer dort nichts Fremdes findet und ein aktuelles System fährt, wird mit hoher Wahrscheinlichkeit nicht per App überwacht.

iPhone gehackt, was tun?

Beim iPhone ist der Weg kürzer als bei Android, weil klassische Spionage-Apps ohne Jailbreak kaum laufen. Prüfe zuerst unter Einstellungen, Allgemein, VPN und Geräteverwaltung, ob dort ein fremdes Konfigurationsprofil liegt, und schau in den Einstellungen deiner Apple-ID nach unbekannten Geräten. Der häufigere Fall ist ohnehin nicht das Telefon, sondern das Konto: Wer deine Apple-ID kennt, sieht Fotos, Backups und Standort, ohne je etwas installiert zu haben. Apple-ID-Passwort ändern, Zwei-Faktor prüfen, fremde Geräte entfernen, iOS aktualisieren.

Was sind echte Anzeichen für ein gehacktes Handy?

Verlässlich sind nur Anzeichen, hinter denen eine Handlung steckt, die du nicht selbst ausgelöst hast. Dazu gehören Anmeldungen aus fremden Ländern im Kontoverlauf, versendete Nachrichten in deinem Postausgang, an die du dich nicht erinnerst, Codes für Zwei-Faktor-Anmeldungen ohne eigenen Anmeldeversuch, plötzlich geänderte Wiederherstellungsadressen und Apps, die du nie installiert hast. Ein warmer Akku, ein langsam gewordenes Gerät oder Werbung im Browser gehören nicht dazu, dafür gibt es fast immer eine banale Erklärung.

Kann man über WhatsApp gehackt werden?

Ein Angriff allein durch das Empfangen einer normalen Nachricht ist extrem selten und betrifft in der Praxis Ziele, hinter denen staatliche Akteure her sind. Der Alltagsfall sieht anders aus: Jemand bringt dich dazu, einen per SMS zugestellten Registrierungscode weiterzugeben, und übernimmt damit dein Konto. Oder er koppelt heimlich WhatsApp Web an, während er dein entsperrtes Telefon in der Hand hat. Gegen das Erste hilft die Zwei-Schritt-Verifizierung mit eigener PIN, gegen das Zweite ein regelmäßiger Blick in die Liste der verknüpften Geräte.

Wie erkenne ich eine Spionage-App auf Android?

Solche Apps verstecken sich, brauchen aber Rechte, die man sehen kann. Schau in den Einstellungen unter Bedienungshilfen, welche Dienste aktiv sind, denn Stalkerware missbraucht diese Schnittstelle regelmäßig zum Mitlesen. Prüfe außerdem die Geräteadministrator-Apps, die Benachrichtigungszugriffe und die Liste aller installierten Apps inklusive der Systemapps, wo sich Tarnnamen wie "Sync Service" oder "Device Health" finden. Google Play Protect meldet einen Teil dieser Programme, und die Sicherheits-Apps von ESET, Bitdefender oder Kaspersky erkennen Stalkerware in Tests recht zuverlässig.

Wie prüfe ich mein Handy auf Spyware?

Vier Blicke decken das meiste ab. Erstens die Akku- und Datennutzung pro App, weil dauerhaft im Hintergrund funkende Software dort auffällt. Zweitens die App-Liste, sortiert nach Installationsdatum. Drittens die Berechtigungen für Standort, Mikrofon und Kamera, samt der Frage, welche App zuletzt darauf zugegriffen hat. Viertens Konfigurationsprofile unter iOS beziehungsweise Geräteadministratoren und Bedienungshilfen unter Android. Ein aktuelles Betriebssystem und ein Neustart erledigen den Rest, denn manche Spionagesoftware überlebt einen Neustart nicht.