Wie ich mein iPhone auf Spyware geprüft habe. Vorgehen, Ergebnis, Grenzen.
Ich wollte wissen, wie man ein Handy auf staatliche Spyware wie Pegasus oder Predator untersucht. Also habe ich es an meinem eigenen iPhone ausprobiert, mit den Werkzeugen, die auch Forschende verwenden.
- Werkzeug: das Mobile Verification Toolkit (MVT) von Amnesty International und die öffentlichen Indikatoren für bekannte Spyware.
- Ergebnis: keine Treffer. Ein paar Auffälligkeiten habe ich einzeln nachgeprüft, alle waren Fehlalarme.
- Grenze: Das ist ein Abgleich mit bekannten Mustern. Neue oder unbekannte Spyware findet so ein Test nicht.
Was ich untersucht habe
Absturzberichte und ein Diagnosepaket des Systems, beides per USB ausgelesen. Dazu einen achtminütigen Mitschnitt des Netzwerkverkehrs, damit ich sehe, mit welchen Servern das Handy spricht. Außerdem habe ich nachgesehen, ob Konfigurationsprofile installiert sind, ob der Entwicklermodus an ist und ob alle Apps aus dem App Store signiert sind.
Ein Umweg, den ich gehen musste
Die Version von MVT, die ich hatte, wertet das Diagnosepaket nicht mehr forensisch aus, sie zeigt nur noch Informationen an. Ich habe die Indikatoren deshalb selbst gegen die Dateien abgeglichen. Den Netzwerk-Mitschnitt konnte das Standardwerkzeug nicht lesen, also habe ich die Servernamen mit einem kleinen eigenen Parser herausgezogen.
Die Fehlalarme
Ein paar Treffer sahen zuerst verdächtig aus. Bei genauerem Hinsehen waren es normale Systemprozesse von Apple an ihrem üblichen Ort, zufällig passende Zeichenfolgen in Datenmüll oder Einträge aus Apples eigenen Texttabellen. Genau dafür ist das Nachprüfen da: Ein Treffer ist ein Hinweis, kein Beweis.
Was der Test nicht kann
MVT erkennt nur, was schon bekannt und beschrieben ist. Hochentwickelte Spyware kann Spuren löschen, und ein vollständiges Backup habe ich mangels Speicherplatz nicht ausgewertet. Das Ergebnis heißt also: keine bekannten Spuren gefunden. Es heißt nicht: Das Handy ist garantiert sauber.
Was ich daraus mitnehme
Sicherheit ist zum größten Teil Nachprüfen und sauberes Formulieren. Die ehrliche Aussage ist schwächer als alles sauber
, aber sie stimmt. Seitdem prüfe ich auch bei meinen eigenen Projekten zuerst, was ich wirklich belegen kann.
Ich nenne hier bewusst keine Details zu meinen Apps oder Einstellungen. Wer selbst prüfen will, findet MVT und die Anleitung öffentlich.