Stellen Sie sich Folgendes vor: Sie sitzen in einem Regierungsausschuss und untersuchen eines der invasivsten Überwachungsinstrumente, die jemals entwickelt wurden. Dann stellen Sie fest, dass auf Ihrem Telefon die ganze Zeit über dasselbe Tool ausgeführt wurde. Genau das ist passiertStelios Kouloglou, ein ehemaliges Mitglied des Europäischen Parlaments, das im PEGA-Ausschuss tätig war, dem Gremium, das mit der Untersuchung des Pegasus-Spyware-Missbrauchs in der gesamten EU beauftragt ist. Laut aForensischer Bericht des Citizen Lab, sein iPhone wurde im Oktober 2022 und erneut im März 2023 infiziert, genau in Schlüsselphasen der Arbeit des Ausschusses.

Dies ist keine Geschichte über ein kompromittiertes Telefon. Es ist eine Geschichte darüber, wiekommerzielle Spywareist zu einer ernsthaften Bedrohung für demokratische Institutionen geworden. Und noch praktischer: Es wirft eine Frage auf, die sich jeder Entwickler, Journalist und jeder datenschutzbewusste Mensch stellen sollte: Wie sieht diese Art von Angriff eigentlich aus und welche Abwehrmaßnahmen gibt es?

Was Pegasus so gefährlich macht

Die meisten Menschen stellen sich vor, dass ein Opfer beim Telefon-Hacking auf einen fehlerhaften Link klicken muss.Pegasus, gebaut von der israelischen Firma NSO Group, braucht das nicht immer. Es nutzt das, was Forscher nennenZero-Click-Exploits, Angriffsvektoren, die keine Interaktion vom Ziel erfordern. Kein Link zum Anklicken. Keine Datei zum Öffnen. Die Spyware installiert sich unbemerkt.

Nach der Installation kann Pegasus auf Nachrichten, E-Mails, Mikrofon, Kamera und GPS-Standort zugreifen. Es kann verschlüsselte Messaging-Apps wie Signal oder WhatsApp lesen, da es auf Betriebssystemebene arbeitet, unterhalb der Stelle, an der diese Apps Daten verschlüsseln. Als die Verschlüsselung einsetzt, hat Pegasus den Inhalt bereits im Klartext gesehen.

Der Fall Kouloglou offenbarte auch etwas Beunruhigendes hinsichtlich der Targeting-Logik. Citizen Lab stellte eine Überschneidung zwischen seinem Infektionszeitplan und a festseparate Pegasus-Kampagnegegen russisch- und weißrussischsprachige Exiljournalisten in Europa. Dies deutet darauf hin, dass es sich um einen einzelnen Pegasus-Kunden handelt, der in mehreren europäischen Ländern tätig ist, und nicht um einen kleinen oder einfachen Akteur.

Hier ist es wichtig, das Bedrohungsmodell zu verstehen. Pegasus ist keine billige Malware, die in Dark-Web-Foren verkauft wird. Laut der eigenen Vermarktung der NSO Group wird es ausschließlich an Regierungen verkauft. Das verändert die Berechnung, wer ins Visier genommen werden könnte und warum. Politiker, Journalisten, Anwälte und Aktivisten sind mit einem Bedrohungsprofil konfrontiert, dem normale Verbraucher selten begegnen. Die Verteidigungsprinzipien gelten jedoch im Großen und Ganzen.

Wie diese Infektionen tatsächlich funktionieren: Ein technischer Blick

Zero-Click-Exploits zielen typischerweise auf Software ab, die nicht vertrauenswürdige Daten automatisch verarbeitet. Überlegen Sie, wie Ihr Telefon mit einer eingehenden iMessage, einer Voicemail-Benachrichtigung oder einer Kalendereinladung umgeht. All dies löst eine Hintergrundanalyse aus, bevor Sie jemals mit ihnen interagieren. Eine Schwachstelle in diesem Parsing-Code ist der Einstiegspunkt.

Hier eine vereinfachte Darstellung der Infektionskette:

Lieferung:Ein speziell gestaltetes Paket, eine Nachricht oder eine Push-Benachrichtigung wird an das Zielgerät gesendet. Keine Benutzerinteraktion erforderlich.
Ausbeutung:Es liegt eine Sicherheitslücke in den Hintergrundprozessen von iOS oder Android vor. Der Speicher wird auf kontrollierte Weise beschädigt.
Nutzlastinstallation:Ein kleiner Lader läuft und lädt das vollständige Pegasus-Implantat von einem Remote-Server herunter.
Beständigkeit:Die Spyware nistet sich so ein, dass sie Neustarts übersteht, obwohl iOS-Updates sie manchmal zerstören können.
Exfiltration:Erfasste Daten werden in verschlüsselten Bursts an Command-and-Control-Server zurückgesendet und ahmen dabei oft den normalen App-Verkehr nach.

Die forensische Erkennung, wie sie Citizen Lab auf dem iPhone von Kouloglou durchgeführt hat, basiert auf der Untersuchung von Systemprotokollen, Prozessartefakten und Netzwerkverkehrsmustern. Werkzeuge wie dieMobile Verification Toolkit (MVT)wurden speziell für diesen Zweck gebaut. MVT kann iPhone-Backups oder Android-Gerätedaten auf bekannte Pegasus Indicators of Compromise (IOCs) analysieren.

# MVT über Pip installieren
pip install mvt

# Analysieren Sie ein iPhone-Backup für Pegasus-IOCs
mvt-ios check-backup --iocs path/to/iocs.stix2 path/to/iphone/backup

# Überprüfen Sie ein verbundenes iOS-Gerät (erfordert zuerst eine vollständige Sicherung)
mvt-ios check-fs --iocs path/to/iocs.stix2 path/to/extracted/fs

MVT ist kostenlos und Open Source. Es handelt sich um dieselbe Werkzeugklasse, die Citizen Lab und Amnesty Tech für forensische Arbeiten verwenden. Es schützt zwar nicht vor einer Infektion, ist aber der Ausgangspunkt für deren Erkennung. Sicherheitsteams, die mit Hochrisiko-Clients arbeiten, sollten dies zu einem Teil ihres Standard-Toolkits machen.

Der Sperrmodus ist keine Spielerei

Apple eingeführtSperrmodusin iOS 16 als direkte Reaktion auf hochentwickelte Spyware wie Pegasus. Es handelt sich um eine extreme Härtungsoption, die eine Vielzahl von Funktionen deaktiviert, die häufig von Zero-Click-Exploits missbraucht werden. Die meisten Menschen brauchen es nicht. Für Personen mit hohem Risiko ist es verständnisvoll.

Diagram showing how Pegasus spyware infects an iPhone through a zero-click exploit

Was der Sperrmodus tatsächlich bewirkt:

Funktionsweise der Pegasus-Spyware

Schritt 1: Infektion

Pegasus nutzt Zero-Click-Exploits, um Geräte zu infizieren.

Schritt 2: Zugriff

Nach der Installation greift es auf Nachrichten, Kamera und Standort zu.

Schritt 3: Datenerfassung

Liest verschlüsselte Apps wie Signal vor der Verschlüsselung.

Schritt 4: Überwachung

Arbeitet geräuschlos und sammelt Daten ohne Wissen des Benutzers.

Blockiert die meisten Nachrichtenanhangstypen in iMessage
Deaktiviert FaceTime-Anrufe von unbekannten Kontakten
Blockiert Kabelverbindungen zu Zubehör, wenn das Telefon gesperrt ist
Deaktiviert freigegebene Fotoalben und einige Funktionen zum Surfen im Internet
Verhindert die Installation von Konfigurationsprofilen

Der Kompromiss ist real. Einige Apps gehen kaputt. Manche Arbeitsabläufe werden umständlich. Aber für Journalisten, Anwälte und jeden, der ein wertvolles Überwachungsziel sein könnte, ist die Verringerung der Angriffsfläche erheblich. Apple hat sich außerdem dazu verpflichtet, Sicherheitsforscher zu bezahlen, die Umgehungsmöglichkeiten für den Sperrmodus finden, wodurch ein finanzieller Anreiz geschaffen wird, den Sperrmodus beizubehalten.

Der Sperrmodus ist kein Allheilmittel. Entschlossene Angreifer auf Landesebene verfügen über Ressourcen, um neue Zero-Days zu finden. Aber es erhöht die Kosten eines Angriffs erheblich, was wichtig ist, wenn es um Spyware geht, die angeblich Millionen von Dollar pro Einsatz kostet. Höhere Kosten bedeuten, dass weniger Ziele getroffen werden.

Was Entwickler aus Angriffen auf Landesebene lernen können

Hier ist die Sache: Die meisten Entwickler sind keine Europaabgeordneten. Aber die Lehren aus der Funktionsweise von Pegasus lassen sich direkt auf Prinzipien übertragen, die für jeden wichtig sind, der Software erstellt oder sichert. Der Fall Kouloglou ist im Wesentlichen eine Meisterklasse darüber, was passiert, wenn die Bedrohungsmodellierung ignoriert wird.

DerNIST Cybersecurity Frameworkbetont Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen als die fünf Säulen der Sicherheit. Pegasus-Angriffe offenbaren Lücken in allen fünf Fällen. Organisationen, die sensible Kommunikation verarbeiten, seien es EU-Ausschüsse, Anwaltskanzleien oder medizinische Plattformen, unterschätzen häufig insbesondere die Erkennungs- und Reaktionsschritte.

Was sollten Entwickler und Organisationen praktisch mitnehmen?

Reduzieren Sie Ihre Angriffsfläche:Jeder Hintergrundprozess, der nicht vertrauenswürdige Daten analysiert, ist ein potenzieller Zero-Click-Einstiegspunkt. Minimieren Sie, was Ihre App ohne Benutzerinitiierung verarbeitet.
Vermuten Sie einen Verstoß:Entwerfen Sie Systeme so, dass ein kompromittierter Endpunkt nicht alles preisgibt. End-to-End-Verschlüsselung hilft, aber auch die Schlüsselverwaltung ist wichtig.
Verwenden Sie Hardware-Sicherheitsschlüssel:Selbst wenn ein Gerät kompromittiert wird, fügen Hardware-Authentifizierungstoken eine Ebene hinzu, die reine Software-Angriffe nur schwer umgehen können.
Protokollieren und überwachen:Anomaler Netzwerkverkehr ist oft das erste erkennbare Anzeichen für Spyware-Aktivität. Eine ordnungsgemäße Protokollierungsinfrastruktur ist für sensible Bereitstellungen nicht optional.

Für Teams, die an sensiblen Anwendungen arbeiten, lohnt es sich auch, das durchzulesenAWS-Sicherheitsdokumentationzu Isolationsmustern. Die Wahl der Cloud-Architektur hat einen echten Einfluss darauf, was ein Angreifer erreichen kann, wenn ein einzelner Endpunkt kompromittiert wird. Netzwerksegmentierung, IAM-Rollen mit den geringsten Privilegien und die Verwaltung verschlüsselter Geheimnisse reduzieren den Explosionsradius.

Wenn Sie tiefer in die statistische Seite der Schwachstellenanalyse einsteigen möchten, stehen Ihnen Tools wie unsere zur VerfügungPerzentilrechnerkann Sicherheitsteams dabei helfen, ihre Patch-Kadenz oder Reaktionszeiten mit internen historischen Daten zu vergleichen.

Bei der VPN-Frage irrt sich jeder

Nach Geschichten wie dieser Pause fragen sich die Leute sofort: Hätte ein VPN geholfen? Ehrlich gesagt, nicht viel. AVPNverschlüsselt den Datenverkehr zwischen Ihrem Gerät und einem VPN-Server. Pegasus arbeitet auf dem Gerät selbst, unterhalb der Netzwerkschicht. Wenn Ihre Daten den VPN-Tunnel erreichen, hat die Spyware sie bereits lokal erfasst.

Allerdings bieten VPNs auch in anderen Kontexten einen sinnvollen Schutz. Sie verhindern die Überwachung auf Netzwerkebene, schützen vor Man-in-the-Middle-Angriffen auf öffentliche WLANs und verschleiern den Datenverkehr Ihres Internetproviders. Für einen Journalisten, der in ein Hochrisikoland reist, ist ein VPN Teil einer umfassenderen Verteidigungsmaßnahme und keine eigenständige Lösung. Schauen Sie sich unsere anumfassender VPN-Leitfadenwenn Sie verstehen möchten, wo VPNs wirklich helfen und wo nicht.

Die umfassendere Lehre ist, dass Sicherheitstools der tatsächlichen Bedrohung entsprechen müssen. Die Verwendung eines VPN gegen Pegasus ist, als würde man einen Regenmantel in einem U-Boot tragen. Die Bedrohung kommt aus einer ganz anderen Richtung.

Erkennungstools, die Sie heute tatsächlich verwenden können

Wenn Sie mit Hochrisikokunden arbeiten oder sich persönlich in einer Kategorie befinden, die eine anspruchsvolle Überwachung erfordern könnte, finden Sie hier konkrete Tools, die Sie kennen sollten. Diese sind nicht theoretisch. Citizen Lab und Amnesty Tech haben sie in echten Ermittlungen eingesetzt.

Screenshot of Mobile Verification Toolkit running on a terminal to scan an iPhone backup for spyware

Mobile Verification Toolkit (MVT)

MVTvon Amnesty Tech ist der Goldstandard für die forensische Analyse von iOS und Android. Es vergleicht Geräteartefakte mit bekannten Pegasus- und kommerziellen Spyware-IOCs. Es erfordert etwas Komfort über die Befehlszeile, aber die Dokumentation ist solide. Sie finden es untergithub.com/mvt-project/mvt.

Schutz vor Spyware-Angriffen

✓

Verwenden Sie den Sperrmodus
Aktivieren Sie den iOS-Sperrmodus für mehr Sicherheit.

✓

Setzen Sie Erkennungstools ein
Verwenden Sie aus Sicherheitsgründen kommerzielle Spyware-Erkennungstools.

✓

Regelmäßige Updates
Halten Sie Ihr Gerät auf dem neuesten Stand, um Schwachstellen zu minimieren.

✓

Beschränken Sie die Berechtigungen
Beschränken Sie App-Berechtigungen, um den Datenzugriff zu minimieren.

iVerify

iVerifyist eine kommerzielle iOS-Sicherheits-App, die automatisierte Bedrohungserkennungsscans durchführt. Es basiert auf einer ähnlichen forensischen Logik wie MVT, ist jedoch für technisch nicht versierte Benutzer konzipiert. Es hat Pegasus-Infektionen in unabhängigen Tests erkannt und wird von einigen Hochrisikoorganisationen als routinemäßiges Überwachungsinstrument verwendet.

Wireshark für Netzwerkanalyse

Wiresharkkann den Netzwerkverkehr von einem Gerät erfassen und analysieren. Spyware kommuniziert häufig mit Command-and-Control-Servern in Mustern, die im Vergleich zum normalen App-Verkehr ungewöhnlich aussehen. Sicherheitsforscher nutzen es, um ungewöhnliche ausgehende Verbindungen zu erkennen. Die Interpretation erfordert Fachwissen, ist aber kostenlos und wirkungsvoll.

GreyKey und Cellebrite: Kennen Sie die andere Seite

Es ist auch wertvoll zu verstehen, welche Maßnahmen Strafverfolgungsbehörden und raffinierte Angreifer ergreifen. Werkzeuge wieCellebriteUndGreyKeywerden verwendet, um Daten von gesperrten Telefonen zu extrahieren. Wenn Sie wissen, dass diese vorhanden sind, können Sie Entscheidungen über die Einstellungen für die Festplattenverschlüsselung und die Timer für die automatische Sperre treffen. Selbst mit diesen Tools ist es erheblich schwieriger, Daten von einem Telefon zu extrahieren, das schnell gesperrt wird und einen starken Passcode verwendet.

Das größere Bild: Wer ist gefährdet?

Der Fall Kouloglou ist ungewöhnlich, aber nicht einzigartig. Citizen Lab hat Pegasus-Infektionen dokumentiert, die sich gegen Journalisten in Mexiko, Aktivisten in Saudi-Arabien, Anwälte in Spanien und jetzt gegen einen EU-Parlamentarier richten, der die Spyware selbst untersucht. Das Muster deutet darauf hin, dass derjenige, der diese Einsätze kontrolliert, keine Scheu davor hat, Menschen in demokratischen Ländern ins Visier zu nehmen.

Was bedeutet das praktisch? Wenn Sie in den Bereichen investigativer Journalismus, politische Interessenvertretung, Menschenrechte oder staatliche Aufsicht tätig sind, unterscheidet sich Ihr Bedrohungsmodell von dem eines typischen Entwicklers oder Verbrauchers. Sie sollten Ihr Telefon als potenziell kompromittiertes Gerät behandeln, wenn Sie mit politisch sensiblen Informationen in Kontakt gekommen sind.

Für alle anderen geht es in der Lektion eher um systemisches Bewusstsein. Die Infrastruktur, die Pegasus, Zero-Day-Broker, private Geheimdienstfirmen und staatliche Spyware-Märkte ermöglicht, operiert größtenteils in rechtlichen Grauzonen. Regulatorische Reaktionen wie die Arbeit der EU im PEGA-Ausschuss sind ein Teil des Puzzles. Technische Abwehrmaßnahmen sind ein weiterer Aspekt. Beides allein reicht nicht aus.

Teams, die Anwendungen entwickeln, die sensible Daten verarbeiten, können von der Erkundung von Containerisierungspraktiken unter profitierenDocker-Dokumenteoder Überprüfung der Orchestrierungssicherheitsmuster imKubernetes-Dokumentation. Durch die Isolierung von Arbeitslasten wird der Schaden begrenzt, den eine kompromittierte Komponente anrichten kann. Dies ist das gleiche Prinzip, das den Sperrmodus unter iOS wirksam macht.

Die Sicherheitsgemeinschaft verfügt auch über viele gute Bildungsressourcen.Kaggle lernenbehandelt die Grundlagen der Datenanalyse, die der forensischen Arbeit zugrunde liegen. Und wenn Sie über Inhaltssicherheit für ein Team oder eine Organisation nachdenken,Puffer-Ressourcenbibliothekbehandelt sichere Kommunikationspraktiken für verteilte Teams.

Nehmen Sie mobile Sicherheit ernst

Der Fall Kouloglou ist ein Weckruf, nicht nur für Politiker, sondern für jeden, der mit Informationen umgeht, die ein Mächtiger haben könnte. Kommerzielle Spyware gibt es, sie wird gegen Menschen in demokratischen Ländern eingesetzt und ist ausgereift genug, um den meisten Abwehrmaßnahmen auf Verbraucherebene zu entgehen.

Die gute Nachricht ist, dass es Abwehrmechanismen gibt. Lockdown-Modus, MVT, Hardware-Sicherheitsschlüssel und eine durchdachte Netzwerkarchitektur erhöhen die Kosten von Angriffen. Keine Verteidigung ist perfekt, aber wenn Sie sich selbst zu einem teuren Ziel machen, reduzieren Sie Ihr Risiko erheblich.

Wenn Sie in einem Hochrisikobereich arbeiten, beginnen Sie noch heute mit einem forensischen Scan mit MVT. Informieren Sie sich darüberNIST Cybersecurity Frameworkum zu verstehen, wo die Lücken in Ihrem Unternehmen bestehen. Und schauen Sie sich unsere anumfassender VPN-Leitfadenum zu verstehen, wo Tools auf Netzwerkebene tatsächlich in Ihren Verteidigungsstapel passen. Sicherheit ist kein einzelnes Werkzeug. Es handelt sich um eine mehrschichtige Haltung, die mit klarem Blick darauf aufgebaut wird, wogegen man sich tatsächlich verteidigt.