Auf Smartphones sammeln sich inzwischen immer mehr Informationen zu unserem gesamten Leben: Kontakte, Aufenthaltsorte, Kontodaten, Gesundheitswerte. Ein Spionage-Software für iPhones mit beispiellosen Fähigkeiten ist eine akute Warnung vor den Risiken dieses Trends.

Dass alle mögliche Kommunikation überwacht wird, wusste man schon seit den NSA-Enthüllungen von Edward Snowden vor drei Jahren. Doch auch in dieser Welt schienen zumindest moderne Smartphones dank strikter Vorsichtsmassnahmen der Anbieter – besonders im Vergleich zum löchrigen PC – ein Bollwerk der Sicherheit zu sein.

Partner-Inhalte
 
 
 
 
 
 

Drei neue Schwachstellen

Vor allem Apple machte den Datenschutz bei seinen iPhones und das Vertrauen der Nutzer zu einem Verkaufsargument. Eine neu entdeckte Spionage-Software mit beispiellosen Fähigkeiten stellt dieses Vertrauen auf die Probe.

Denn an allen Sicherheitsmassnahmen vom Fingerabdruck-Sensor bis zum «Secure-Element»-Datentresor auf dem Chip vorbei konnte sich das von Experten auf den Namen «Pegasus» getaufte Programm in den iPhones einnisten und auf breiter Front Daten abgreifen. Dafür nutzte sich gleich drei bisher unbekannte Schwachstellen in Apples Software aus – erst eine im Safari-Webbrowser und dann zwei im Kern des Mobil-Betriebssystems iOS.

Fragen über Fragen

Apple stopfte diese Sicherheitslücken mit einem Update nach zehn Tagen Entwicklung – sehr schnell für die Branche. Doch die Unsicherheit ist gesät. Auf den Smartphones lagern immer Daten zu unserem gesamten Leben: Privateste Kommunikation, Bilder, Kontoinformationen, Gesundheitswerte.

Und moderne Smartphone-Systeme sind komplexe Gebilde mit Millionen Zeilen Software-Code. Wie viele solcher Schwachstellen könnten da noch drinstecken? Wie viele werden auf ähnliche Weise ausgenutzt? Wie lange war «Pegasus» bereits im Einsatz?

Spionieren im grossen Stil

Nach Erkenntnissen der IT-Sicherheitsfirma Lookout, die das Spionage-Programm eingehend untersuchte, konnte «Pegasus» alle Versionen des iPhone-Betriebssystems ab dem vor drei Jahren eingeführten iOS 7 befallen.

Die Software könne Anrufe mitschneiden, Aufenthaltsorte verfolgen, Kontaktlisten einsehen, E-Mails lesen sowie Daten von Facebook und Kommunikationsdiensten wie WhatsApp, Skype, Telegram, Viber oder WeChat abgreifen.

Israelische Herkunft vermutet

Er habe nicht viele Angriffe gesehen, die so professionell und ausgeklügelt gestaltet wurden, sagte Lookouts Chef-Forscher Mike Murray dem Technologie-Blog «TechCrunch».

Die Sicherheitsexperten vermuten hinter der «Pegasus»-Software die Firma NSO Group aus Israel, die einem amerikanischen Finanzinvestor gehört. Sie äusserte sich nicht zur Urheberschaft, verwies in Stellungnahmen in der «New York Times» und der Website «Vice» darauf, dass sie ihre Software nur an Regierungsbehörden verkaufe und auch nicht an Länder, gegen die Ausfuhrbeschränkungen gelten.

Handel mit Software-Schwachstellen blüht

Dass unter anderem Geheimdienste grundsätzlich auf bisher unbekannte Schwachstellen setzen, um Geräte aufzuknacken, war spätestens seit Snowdens Enthüllungen geläufig. Mit «Pegasus» gibt es nun die bisher einmalige Gelegenheit, eine solche Software zu sezieren.

Zugleich blüht ein reger Handel mit Software-Schwachstellen. Erst vor einigen Monaten sorgte eine Firma für Aufsehen, die eine Million Dollar für eine «Zero-Day»-Lücke beim iPhone bot – so werden Fehler genannt, die dem Anbieter noch unbekannt sind und deswegen erstmals frei ausgenutzt werden können.

Horten oder melden?

Apple hatte sich lange dagegen gesträubt, eine Belohnung für gefundene Schwachstellen zu zahlen. Nun bietet der Konzern seit einigen Wochen bis zu 50'000 Dollar für die Aufdeckung von Lücken im Betriebssystem an.

Unter anderem der US-Geheimdienst NSA sucht gezielt nach solchen «Zero-Day»-Schwachstellen und hortet sie oft, auch wenn in den USA ein Regierungsgremium regelmässig darüber entscheidet, ob sie im Interesse der Öffentlichkeit den Anbietern gemeldet werden sollten. Denn Einfallstore für Geheimdienste könnten auch die Tür für Kriminelle öffnen, wenn sie von ihnen entdeckt werden, warnen Sicherheitsexperten immer wieder.

(sda/ccr)