Angriffe auf iPhones Apple schickte Spionagewarnung an Teilnehmer von Merz’ Asienreise Weil sie möglicherweise Ziel einer Attacke mit Spähsoftware waren, warnte Apple Bundestagsabgeordnete und Teilnehmer der Asienreise des Bundeskanzlers. Die Angriffsmethode lässt den Betroffenen praktisch keine Chance.

Marcel Rosenbach Wenn Apple Mitteilungen an seine Kunden verschickt, handelt es sich meist um Werbung, etwa für die neuesten iPhone-Modelle. Doch die Nachrichten, die zuletzt unter anderem an Bundestagsabgeordnete und Journalisten gingen, sind erheblich brisanter.

Darin informiert der Konzern die Empfänger darüber, dass sie offenbar im Visier professioneller Hacker waren. »Warnmeldung«, heißt es in diesen Botschaften, die plötzlich auf dem Sperrbildschirm aufploppen und per Mail an die Kunden gehen. Das Unternehmen habe festgestellt, dass sie möglicherweise einer zielgerichteten Attacke mit Spähsoftware ausgesetzt gewesen seien, mit der ihr iPhone gehackt werden sollte.

Bedrohungsbenachrichtigung von Apple Foto: Apple »Sehr zuverlässige Warnungen« Digitalminister Karsten Wildberger hatte am Sonntagabend in der Sendung »Bericht aus Berlin« ARD-Informationen bestätigt, wonach auch Bundestagsabgeordnete und Regierungsmitglieder den Warnhinweis von Apple bekommen hätten.

Nach SPIEGEL-Informationen betrifft die aktuelle Apple-Warnung einen breiteren Personenkreis. So sollen die Warnung auch mehrere Personen erhalten haben, die Bundeskanzler Friedrich Merz auf seiner jüngsten Asienreise nach Singapur, Japan und Südkorea begleiteten. Auch Mitarbeitende von Bundesministerien hätten die Apple-Warnhinweise erhalten. Zudem zählten Journalisten zu den Empfängern, darunter eine Journalistin des SPIEGEL-Verlags.

Insgesamt warnte Apple nach eigenen Angaben aktuell potenziell Betroffene in 99 Ländern, es handelt sich also offenbar nicht um eine allein auf Deutschland fokussierte Angriffswelle. Hintergrund ist nach SPIEGEL-Informationen, dass der Konzern seine Hinweise stets über einen längeren Zeitraum sammelt und dann gleichzeitig an potenziell betroffene Kunden kommuniziert. Nicht alle aktuell benachrichtigten Personen müssen daher mit derselben Schadsoftware oder von denselben Angreifern attackiert worden sein.

Über die Plattform X hat etwa der libanesische Journalist und Dokumentarfilmer Radwan Mortada die an ihn gerichtete Apple-Warnung öffentlich gemacht. Er hatte bei Al Jazeera jüngst die Dokumentation »The Trap« (»Die Falle«) über die Pager-Angriffe Israels gegen Hisbollah-Mitglieder im Libanon veröffentlicht.

Apple betonte, betroffene Nutzer sollten die Warnungen nicht auf die leichte Schulter nehmen. »Obwohl unsere Untersuchungen niemals absolute Sicherheit bringen können, sind Bedrohungsbenachrichtigungen von Apple sehr zuverlässige Warnungen davor, dass ein Benutzer persönlich von einem Angriff durch Söldner-Spyware betroffen ist, und sollten daher sehr ernst genommen werden.« Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) heißt es auf SPIEGEL-Anfrage, der Behörde sei bislang bekannt, »dass mehrere Mitglieder des Deutschen Bundestages sowie weitere Personen des öffentlichen Lebens die Warnhinweise erhalten hätten. Die Betroffenen »müssten davon ausgehen, dass ihr Gerät möglicherweise kompromittiert wurde«.

Bereits am Freitag hatte die Bonner Behörde in einem Schreiben an alle Bundestagsabgeordneten und deren Mitarbeitende auf die aktuellen Apple-Warnungen hingewiesen. Darin hat sie Betroffenen empfohlen, auf ihren iPhones den Blockierungsmodus (»Lockdown«-Modus) zu aktivieren und alle Updates des Herstellers sofort zu installieren. Wer auf Nummer sicher gehen wolle, dem empfehle das BSI allerdings »dringend«, auf ein neues Endgerät umzusteigen und für dessen Einrichtung nicht das volle Back-up des bisherigen iPhones zu nutzen.

Ein Angriff, der kein Zutun der Betroffenen erfordert Über die Verantwortlichen hinter der Angriffswelle und die genutzte Schadsoftware macht Apple keine detaillierten Angaben. In den Mitteilungen selbst ist lediglich von »Mercenary Spyware« die Rede. Der englische Begriff »Mercenary« bedeutet übersetzt »Söldner«. Es geht um professionelle, kommerziell angebotene Spionagesoftware, mit der gezielt einzelne Menschen überwacht werden können. Private Unternehmen entwickeln solche Programme und verkaufen sie ihren Kunden – häufig staatlichen Stellen. Auch in dem aktuellen Fall könnte der Einsatz von »Mercenary Spyware« für Verantwortliche mit großen Budgets sprechen, denn die Lizenzen für diese Programme und deren Einsatz sind teuer und aufwendig.

Laut BSI könnte es sich zudem um eine besonders perfide Variante handeln, bei der die Betroffenen kaum eine Chance haben, den Angriff erfolgreich abzuwehren. Es sei davon auszugehen, dass »Geräte ohne Zutun der Betroffenen infiziert werden – etwa über eine präparierte Nachricht, die nicht geöffnet werden muss (›Zero-Click‹)«, so die Behörde. »Die Betroffenen bemerken davon in der Regel nichts.« Nicht einmal verschlüsselte Chats sind noch sicher Sind die Geräte erfolgreich infiziert, können Angreifer in der Regel praktisch sämtliche Inhalte auslesen und sogar aus der Ferne Kamera und Mikrofon auslösen; das iPhone kann praktisch zur Wanze in der Hosentasche werden.

Nicht einmal verschlüsselte Chats sind vor den Angreifern sicher, da diese ja das Gerät selbst infizieren und die Inhalte nicht auf dem verschlüsselten Transport abgreifen. Der Markt für derlei kommerzielle Spionagesoftware boomt, ihre Hersteller, deren Geschäftsmodelle und Geschäftspraktiken sind höchst umstritten. Öffentlich behaupten die Firmen, ihre gefährlichen Produkte lediglich an staatliche Stellen und für deren legitime Zwecke zu verkaufen, etwa zur Strafverfolgung. Tatsächlich landen kommerzielle und mächtige Spionageprogramme immer wieder missbräuchlich und illegalerweise auf den Endgeräten von Menschenrechtsaktivisten, Oppositionellen, Journalisten und Politikern.

Erst Mitte Oktober wurde ein orchestrierter Angriff auf Mitarbeiter des Senders Al Jazeera bekannt, mindestens 45 Geräte von Mitarbeitenden waren betroffen. In dem Fall, den IT-Experten des kanadischen Citizen Lab untersucht und bekannt gemacht hatten, wurden die Betroffenen ebenfalls mit einer »Zero Click«-Methode infiziert – in jenem Fall über manipulierte Werbeanzeigen. Die Anzeigen stammten laut Citizen Lab von einem israelischen Unternehmen, bei der Schadsoftware handelte es sich um ein Produkt des ebenfalls israelischen Spähsoftware-Herstellers Candiru.