Handy auf Spyware prüfen lassen in Wien: So läuft eine forensische Untersuchung ab

Wer vermutet, dass das eigene Smartphone überwacht wird, steht häufig vor einem Problem: Ein normaler Virenscan erscheint zu oberflächlich, gleichzeitig ist für Außenstehende kaum nachvollziehbar, was bei einer professionellen forensischen Untersuchung eigentlich passiert.

Wird das gesamte Handy durchsucht? Werden private Nachrichten gelesen? Muss der PIN bekannt gegeben werden? Kann bei der Untersuchung etwas gelöscht werden? Und was bedeutet es, wenn am Ende keine Spyware gefunden wird?

Wir möchten deshalb transparent zeigen, wie eine solche Untersuchung bei uns abläuft – von der ersten Schilderung des Verdachts bis zum technischen Ergebnisbericht.

Das Ziel ist dabei nicht, einen bestehenden Verdacht um jeden Preis zu bestätigen.

Die Fragestellung lautet vielmehr:

Gibt es auf dem Smartphone oder in den untersuchbaren Daten technische Hinweise auf Spyware, Stalkerware oder einen anderen unbefugten Zugriff?

Vor der Untersuchung: Das Smartphone möglichst nicht verändern

Wenn der Verdacht besteht, dass ein Smartphone überwacht wird und eine forensische Untersuchung geplant ist, sollte das Gerät möglichst in seinem aktuellen Zustand bleiben.

Insbesondere sollte das Smartphone nicht auf Werkseinstellungen zurückgesetzt werden.

Auch verdächtige Apps sollten nach Möglichkeit nicht vorschnell gelöscht werden. Gleiches gilt für sogenannte Cleaner, Sicherheitsprogramme oder andere Maßnahmen, die Apps, Dateien oder Systeminformationen verändern können.

Der Grund ist einfach:

Was aus Sicherheitsgründen als erster Schritt sinnvoll erscheinen mag, kann für die spätere Untersuchung wichtige Spuren vernichten.

Wenn beispielsweise eine verdächtige Anwendung vorhanden ist, sind nicht nur die App selbst, sondern möglicherweise auch deren Konfiguration, Berechtigungen oder zeitliche Artefakte interessant.

Wurde sie vor der Untersuchung entfernt, können Teile dieser Informationen verloren gehen.

Besteht eine unmittelbare persönliche Gefährdung, hat die Sicherheit der betroffenen Person selbstverständlich Vorrang. Bei Stalking- oder Gewaltsituationen kann es außerdem sinnvoll sein, Hilfe über ein anderes, vertrauenswürdiges Gerät zu suchen.

1. Am Anfang steht der konkrete Verdacht

Eine gute Smartphone-Forensik beginnt nicht mit dem Anschluss des Gerätes an eine Software.

Zunächst möchten wir verstehen, warum Sie eine Überwachung vermuten.

Ein Satz wie

„Ich glaube, mein Handy wurde gehackt“

ist als Ausgangspunkt verständlich, technisch aber noch sehr allgemein.

Wesentlich hilfreicher wäre beispielsweise:

„Seit Mitte August kennt mein ehemaliger Partner mehrmals meinen Aufenthaltsort, obwohl ich keine Standortinformationen mit ihm teile.“

Oder:

„Nach einem Wochenende, an dem eine andere Person Zugriff auf mein entsperrtes Smartphone hatte, sind Dinge aus privaten Nachrichten bekannt geworden.“

Solche Angaben helfen bei der späteren Analyse enorm.

Besonders hilfreich sind konkrete Daten oder Zeiträume sowie Informationen darüber, ob jemand Zugriff auf das entsperrte Smartphone gehabt haben könnte.

Auch ungewöhnliche Sicherheitsmeldungen oder unbekannte Geräte und Kontozugriffe sollten erwähnt werden.

Es geht dabei nicht darum, dass der Kunde selbst bereits eine technische Diagnose erstellt.

Wir benötigen vielmehr den Sachverhalt, den wir technisch untersuchen sollen.

2. Das Smartphone wird dokumentiert

Vor der eigentlichen Untersuchung wird das Gerät erfasst.

Dazu gehören Modell, Betriebssystem und der allgemeine Zustand des Smartphones.

Auch die Frage, ob das Gerät mit dem bekannten PIN beziehungsweise Sperrcode entsperrt werden kann, ist wichtig.

Moderne Smartphones verschlüsseln große Teile ihrer Daten. Ohne Zugriff auf das entsperrte Gerät können die forensischen Möglichkeiten deshalb erheblich eingeschränkt sein.

Das bedeutet allerdings nicht, dass bei jedem Smartphone dieselbe Art von Daten gewonnen werden kann.

Ein aktuelles iPhone unterscheidet sich technisch deutlich von einem Android-Gerät. Selbst zwischen verschiedenen Android-Modellen und Betriebssystemversionen bestehen erhebliche Unterschiede.

Deshalb wird zunächst geprüft, welche Untersuchungsmöglichkeiten beim konkreten Gerät tatsächlich zur Verfügung stehen.

3. Zuerst werden die verfügbaren Daten gesichert

Wenn technisch möglich, besteht der nächste Schritt darin, die für die Untersuchung verfügbaren Daten zu erfassen.

Dabei hängt die Tiefe der Datenerfassung vom jeweiligen Smartphone ab.

Bei manchen Geräten stehen umfangreichere Dateisysteminformationen zur Verfügung. In anderen Fällen ist nur eine eingeschränktere Extraktion möglich.

Genau deshalb wäre es unseriös, für jedes Smartphone pauschal zu versprechen, dass sämtliche Systemdaten ausgelesen werden können.

Wichtig ist vielmehr, dass dokumentiert wird, welche Datenbasis tatsächlich untersucht wurde.

Diese Information spielt später auch für die Bewertung eines negativen Ergebnisses eine entscheidende Rolle.

4. Die eigentliche Analyse erfolgt mit professionellen Forensikwerkzeugen

Nach der Datenerfassung beginnt die eigentliche Untersuchung.

Wir setzen dafür unter anderem professionelle Forensiksoftware ein, mit der Smartphone-Daten strukturiert ausgewertet werden können.

Dabei können – abhängig von der verfügbaren Datenbasis – beispielsweise installierte Anwendungen, App-Artefakte, Systeminformationen, Berechtigungen oder andere sicherheitsrelevante Informationen untersucht werden.

Bei bestimmten Fragestellungen können zusätzlich spezialisierte Werkzeuge zur Suche nach bekannten Spyware-Indikatoren eingesetzt werden.

Dazu gehören beispielsweise das Mobile Verification Toolkit (MVT) und bei Android-Geräten Android Quick Forensics (AndroidQF).

Diese Werkzeuge werden vom Security Lab von Amnesty International gemeinsam mit weiteren Beteiligten entwickelt beziehungsweise gepflegt und speziell für einvernehmliche mobile Forensikuntersuchungen eingesetzt. Amnesty beschreibt MVT und AndroidQF auch 2026 weiterhin als wichtige Werkzeuge in diesem Bereich.

Entscheidend ist jedoch:

Keines dieser Werkzeuge ersetzt die fachliche Bewertung.

Ein automatisierter Treffer ist nicht automatisch der Beweis für einen Angriff.

Und wenn ein automatisierter Scan nichts findet, bedeutet dies ebenfalls nicht automatisch, dass eine Überwachung ausgeschlossen werden kann.

Amnesty weist ausdrücklich darauf hin, dass solche Werkzeuge nicht zwangsläufig die neuesten hochentwickelten Spyware-Varianten erkennen können, wenn entsprechende Indikatoren nicht bekannt oder nicht öffentlich verfügbar sind.

5. Wir suchen nicht nur nach einer App mit dem Namen „Spyware“

Überwachungssoftware kündigt sich normalerweise nicht mit einem eindeutigen Symbol auf dem Startbildschirm an.

Deshalb wäre es zu einfach, lediglich die Liste der installierten Apps durchzusehen.

Bei der Untersuchung können je nach Gerät beispielsweise ungewöhnliche Anwendungen, verdächtige Berechtigungen oder Konfigurationen eine Rolle spielen.

Bei Android können unter anderem bestimmte Bedienungshilfen, Geräteverwaltungsfunktionen oder andere weitreichende App-Berechtigungen relevant sein.

Bei einem iPhone sind teilweise andere Artefakte und Konfigurationen von Bedeutung.

Zusätzlich können bekannte technische Indicators of Compromise geprüft werden.

Die konkrete Untersuchung richtet sich deshalb immer nach Betriebssystem, Gerät und Sachverhalt.

6. Ein wichtiger Teil ist die zeitliche Analyse

Angenommen, ein Kunde berichtet:

„Am 12. September wusste eine andere Person plötzlich, dass ich mich an einem bestimmten Ort aufgehalten hatte.“

Dann ist dieses Datum für uns wesentlich interessanter als eine allgemeine Aussage wie:

„Mein Akku hält nicht mehr so lange.“

Wenn entsprechende Daten vorhanden sind, kann gezielt untersucht werden, welche technischen Ereignisse rund um den relevanten Zeitraum stattgefunden haben.

Wann wurde eine bestimmte Anwendung installiert?

Wann tauchte eine Konfiguration erstmals auf?

Gibt es technische Aktivitäten, die zeitlich mit den geschilderten Ereignissen zusammenpassen?

Nicht in jedem Fall lässt sich daraus ein eindeutiger Zusammenhang rekonstruieren.

Aber konkrete Zeitangaben machen aus einer allgemeinen Spyware-Suche eine gezielte forensische Fragestellung.

7. Auch legitime Funktionen können eine Überwachung ermöglichen

Bei einer solchen Untersuchung darf man sich nicht ausschließlich auf klassische Schadsoftware konzentrieren.

Eine andere Person kann unter Umständen auf Informationen zugreifen, obwohl überhaupt keine Spyware installiert wurde.

Ein Beispiel sind verknüpfte Geräte oder weiterhin aktive Kontozugriffe.

Auch Standortfreigaben, Cloud-Dienste oder Fernzugriffsmöglichkeiten können relevant sein.

Für den Betroffenen sieht das Ergebnis unter Umständen genauso aus wie eine Spyware-Infektion:

Eine andere Person kennt Informationen, die eigentlich privat sein sollten.

Aus technischer Sicht sind das jedoch unterschiedliche Szenarien.

Deshalb lautet die Fragestellung nicht nur:

„Ist Spyware installiert?“

Sondern:

„Lassen sich technische Hinweise darauf finden, wie eine andere Person Zugriff auf diese Informationen erhalten könnte?“

8. Werden dabei meine privaten Nachrichten und Fotos angesehen?

Ein Smartphone enthält heute einen sehr großen Teil des persönlichen Lebens.

Nachrichten, Fotos, Kontakte, Dokumente und möglicherweise auch Standortinformationen können hochsensibel sein.

Eine forensische Sicherheitsuntersuchung bedeutet deshalb nicht, dass sämtliche privaten Inhalte eines Kunden ohne konkreten Anlass gelesen werden.

Wir versuchen die Untersuchung auf die jeweilige Fragestellung zu begrenzen.

Wenn der Verdacht beispielsweise einen bestimmten Zeitraum oder eine bestimmte Anwendung betrifft, kann gezielt in diesem Bereich untersucht werden.

Es kann allerdings Situationen geben, in denen einzelne Inhalte oder Metadaten für die technische Bewertung relevant sind.

Das lässt sich nicht bei jedem Fall vollständig vermeiden.

Der Grundsatz sollte deshalb immer sein:

So viel untersuchen wie für die Fragestellung erforderlich – nicht mehr.

9. Was passiert, wenn wir etwas Verdächtiges finden?

Ein verdächtiger Fund wird zunächst bewertet.

Eine unbekannte Anwendung ist nicht automatisch Spyware.

Eine auffällige Domain ist noch kein Beweis für einen Angriff.

Und auch eine ungewöhnliche Berechtigung kann eine legitime Erklärung haben.

Deshalb muss ein Fund immer im technischen Zusammenhang betrachtet werden.

Je nach Ergebnis kann eine Untersuchung beispielsweise zu unterschiedlichen Bewertungen führen.

Es können eindeutige technische Hinweise auf eine Überwachungssoftware vorhanden sein.

Es kann eine sicherheitsrelevante Konfiguration oder ein fremder Zugriff festgestellt werden, ohne dass klassische Spyware vorhanden ist.

Es können Auffälligkeiten existieren, die sich anhand der verfügbaren Daten nicht eindeutig erklären lassen.

Oder die Untersuchung ergibt keine technischen Hinweise auf eine Überwachung.

Eine seriöse Forensik muss alle diese Ergebnisse zulassen.

10. Was bedeutet es, wenn keine Spyware gefunden wird?

Das ist besonders wichtig.

Ein negatives Untersuchungsergebnis ist nicht gleichbedeutend mit der Aussage:

„Ihr Smartphone wurde garantiert niemals überwacht.“

Eine solche Aussage wäre technisch nicht haltbar.

Manche Artefakte werden vom Betriebssystem nur begrenzte Zeit gespeichert.

Daten können überschrieben oder bereits gelöscht worden sein.

Nicht sämtliche Bereiche moderner Smartphones sind forensisch zugänglich.

Und eine neue oder bislang unbekannte Angriffsmethode kann naturgemäß noch nicht anhand bekannter Indikatoren erkannt werden.

Deshalb sollte das Ergebnis immer auf die tatsächlich untersuchten Daten bezogen werden.

Eine mögliche Formulierung wäre beispielsweise:

„In den untersuchten und zugänglichen Daten wurden keine technischen Hinweise auf bekannte Überwachungssoftware oder eine erkennbare Kompromittierung festgestellt.“

Diese Einschränkung gehört für uns zu einer transparenten forensischen Untersuchung dazu.

11. Was enthält der Abschlussbericht?

Nach Abschluss der Untersuchung wird das Ergebnis dokumentiert.

Der Bericht sollte nachvollziehbar darstellen, welches Smartphone untersucht wurde, welche Datenbasis zur Verfügung stand und welche Fragestellung zugrunde lag.

Anschließend werden relevante Feststellungen beschrieben und technisch eingeordnet.

Dabei sollte klar zwischen nachweisbaren Tatsachen und einer technischen Bewertung unterschieden werden.

Wurde beispielsweise eine bestimmte Anwendung gefunden, kann deren Existenz dokumentiert werden.

Die Aussage, wer diese App installiert hat, ist jedoch eine andere Frage.

Eine Person sollte nicht allein aufgrund eines technischen Verdachts beschuldigt werden.

Für eine Zuordnung zu einem konkreten Verursacher wären zusätzliche belastbare Hinweise erforderlich.

12. Was passiert nach einem positiven Fund?

Wenn tatsächlich Hinweise auf Überwachungssoftware oder einen unbefugten Zugriff festgestellt werden, stellt sich die nächste Frage:

Soll das Smartphone sofort bereinigt werden?

Das hängt vom Fall ab.

Soll das Untersuchungsergebnis möglicherweise später als Beweis verwendet werden, kann es sinnvoll sein, den Zustand zunächst zu dokumentieren und relevante Daten zu sichern.

Erst danach sollte entschieden werden, welche Apps entfernt, Konten abgesichert oder Einstellungen verändert werden.

Bei einem reinen Sicherheitsfall ohne Beweissicherungsinteresse kann dagegen die möglichst schnelle Absicherung des Gerätes im Vordergrund stehen.

Deshalb sollte diese Entscheidung nicht automatisch durch die Analyse-Software getroffen werden.

13. Kann der Bericht später für ein Gerichtsverfahren verwendet werden?

Eine normale forensische Sicherheitsanalyse und eine ausdrücklich für ein Gerichtsverfahren durchgeführte Beweissicherung sind nicht automatisch dasselbe.

Wenn bereits vor Beginn bekannt ist, dass die Ergebnisse beispielsweise für eine Anzeige, ein familienrechtliches Verfahren oder eine andere rechtliche Auseinandersetzung benötigt werden könnten, sollte uns dies vor der Untersuchung mitgeteilt werden.

Dann kann bei der Durchführung und Dokumentation berücksichtigt werden, dass möglicherweise höhere Anforderungen an Nachvollziehbarkeit und Beweissicherung bestehen.

Das nachträglich zu rekonstruieren ist wesentlich schwieriger.

Was kostet eine forensische Smartphone-Untersuchung?

Der Aufwand hängt vom Smartphone, dem Betriebssystem, der verfügbaren Datenbasis und der jeweiligen Fragestellung ab.

Für eine typische forensische Untersuchung eines entsperrbaren Smartphones auf Spyware, Stalkerware oder Hinweise auf unbefugte Zugriffe liegen die Kosten erfahrungsgemäß bei etwa 700 bis 1.000 EUR inklusive MwSt.

Bei komplexeren Fragestellungen, mehreren Geräten oder besonderen Anforderungen an eine forensische Beweissicherung kann der Aufwand höher sein.

Die Kosten entstehen für die Durchführung der Untersuchung.

Sie sind deshalb nicht davon abhängig, ob am Ende tatsächlich eine Spyware gefunden wird.

Auch die fachliche Feststellung, dass sich in den untersuchten Daten keine entsprechenden technischen Hinweise finden lassen, ist ein Untersuchungsergebnis.

Wie lange dauert eine solche Untersuchung?

Das lässt sich nicht für jedes Smartphone pauschal angeben.

Bereits die Datenerfassung kann sich je nach Modell und Umfang erheblich unterscheiden.

Hinzu kommt die eigentliche Auswertung.

Ein Fall mit einem sehr konkreten Ereignis und einem gut eingegrenzten Zeitraum kann anders untersucht werden als ein Smartphone, bei dem mehrere Jahre zurückliegende Vorgänge ohne konkreten Zeitpunkt bewertet werden sollen.

Nach der ersten technischen Prüfung lässt sich deshalb wesentlich besser einschätzen, welcher Aufwand beim jeweiligen Gerät zu erwarten ist.

Persönliche Übergabe für Kunden aus Wien

Gerade bei einer forensischen Untersuchung möchten manche Kunden ihr Smartphone nicht einfach ohne vorherigen persönlichen Kontakt versenden.

Für Kunden aus Wien kann deshalb nach vorheriger Vereinbarung auch eine persönliche Übergabe organisiert werden.

Die technische Untersuchung selbst erfolgt anschließend in unserem Zentrallabor in Vorarlberg.

Bei der Übergabe können die Fragestellung und relevante Ereignisse bereits aufgenommen werden. Gerade bei komplexeren Fällen ist es hilfreich, wenn konkrete Zeiträume oder Beobachtungen von Anfang an bekannt sind.

Smartphone in Wien auf Spyware untersuchen lassen

Wenn Sie vermuten, dass Ihr Smartphone überwacht wird, können wir zunächst prüfen, welche forensischen Untersuchungsmöglichkeiten bei Ihrem Gerät bestehen.

Bitte verändern Sie das Smartphone vor einer geplanten Untersuchung möglichst wenig und setzen Sie es nicht auf Werkseinstellungen zurück.

Für typische Untersuchungen eines entsperrbaren Smartphones liegen die Kosten erfahrungsgemäß bei etwa 700 bis 1.000 EUR inklusive MwSt.

Den Fall können Sie hier anmelden:

https://www.datenrettung-wien.at/analysis.php

Beschreiben Sie im Bemerkungsfeld bitte kurz, warum Sie eine Überwachung vermuten.

Besonders hilfreich sind konkrete Zeiträume, auffällige Ereignisse und die Information, ob eine andere Person möglicherweise Zugriff auf das entsperrte Smartphone hatte.