BSI-Warnung vor Spyware: Auch iPhones von VIPs sind nicht immun

Ist der gute Sicherheitsruf des iPhones eine Tatsache oder eine Denkgewohnheit? Deutschland liefert gerade einen Anlass, das zu fragen. Das Bundesamt für Sicherheit in der Informationstechnik hat Bundestagsabgeordnete und Regierungsmitglieder vor möglicher Spyware auf ihren iPhones gewarnt – und den Brief erhalten ausgerechnet jene, die eigentlich am besten geschützt sein sollten.

Was wir wissen und was nicht

Laut ARD-Bericht, den die Freie Presse übernommen hat, warnte das BSI Abgeordnete und Regierungsmitglieder vor einem möglichen Spyware-Angriff. Auslöser war eine Bedrohungsmitteilung von Apple. Digitalminister Karsten Wildberger bestätigte das und sprach von „einer Meldung von Apple, dass bestimmte Geräte möglicherweise mit sogenannter Spyware kompromittiert wurden“. Das BSI habe „super schnell“ reagiert und alle Betroffenen angeschrieben.

Darüber hinaus ist die Faktenlage dünn. Wildberger nannte es „rein spekulativ“, was genau vor sich geht, und sagte, man müsse abwarten. Der Spiegel merkt an, dass er offenließ, wer hinter den Angriffen stecken könnte. Es gibt also keinen benannten Angreifer, keine bestätigte Zahl an Infektionen und keine genannte Schwachstelle. Wer etwas anderes behauptet, rät.

Die Warnung zeigt, dass das System funktioniert – und genau das ist der Punkt

Betrachtet man die Geschichte andersherum, wirkt sie weniger wie ein Versagen und mehr wie ein Alarm, der seine Aufgabe erfüllt. Apple meldete ein mögliches Problem, und das BSI schrieb nach eigenen Angaben rasch alle Betroffenen an und erklärte, was zu tun ist. Das ist die gute Variante einer schlechten Lage.

Zugleich räumt sie mit einem bequemen Mythos auf. Spyware sammelt, wie der ARD-Beitrag beschreibt, Nachrichten, Fotos, Standortdaten, Anrufe und sogar Mikrofonaufnahmen; auch Staaten setzen sie ein. Ein Handy muss nicht nachlässig bedient werden, um zum Ziel zu werden – es genügt, dass es jemandem gehört, der interessant ist. Politiker sind genau das, und wir glauben, dass sie nicht die letzte Gruppe bleiben, die eine solche Mitteilung erhält.

Unsere Einschätzung: „iPhones bekommen keine Viren“ war immer eine Vereinfachung auf Werbeniveau. Die Plattform ist robust, aber robust heißt nicht immun, und eine Bedrohungsmitteilung lesen wir als Eingeständnis von Apple, dass das Risiko real ist. Klar ist aber auch: Bestätigt ist hier noch nichts. Die Warnung betrifft eine mögliche Kompromittierung, keine nachgewiesenen Infektionen.

Normale Nutzer sollten nicht in Panik geraten, aber auch nicht abwinken

Gezielte Spyware richtet sich meist gegen wenige Personen, die meisten Leser sind statistisch also nicht die anvisierten Opfer. Das ist unsere Überlegung, die die Dokumentation nicht beziffert. Dennoch beschreiben dieselben Quellen, wie Spyware aufs Gerät gelangt: manipulierte E-Mail-Anhänge, gefälschte Links, Apps aus zweifelhaften Quellen und mitunter Lücken in veralteter Software. Diese Wege sind nicht auf Politiker beschränkt.

Die vernünftige Reaktion ist deshalb unspektakulär und günstig:

• Updates zügig installieren. Veraltete Software ist einer der dokumentierten Zugangswege, und ihn zu schließen kostet nichts.
• Unerwartete Links und Anhänge als feindlich behandeln, auch wenn sie von Bekannten stammen.
• Jede Bedrohungsmitteilung von Apple ernst nehmen und ihren Anweisungen folgen, statt sie ungeprüft als Phishing abzutun.
• Den Sperrmodus erwägen, wenn das eigene Profil passt. Die uns vorliegenden Quellen gehen darauf nicht näher ein, daher können wir nicht sagen, was er blockiert. Unserer Meinung nach sollten Journalisten, Aktivisten und alle, die mit sensiblem Material arbeiten, ihn prüfen – im Wissen, dass strengere Einstellungen meist etwas Komfort kosten.

Das Fazit

Das ist keine Botschaft nach dem Motto „iPhones sind unsicher“, sondern: „Kein Handy ist ein Schutzschild.“ Eine Warnung des Herstellers mit anschließender schneller offizieller Reaktion ist unseres Erachtens das richtige Modell, doch es funktioniert nur, wenn die Empfänger der Warnung auch handeln. Halten Sie Ihr Gerät aktuell, seien Sie misstrauisch gegenüber dem, was im Posteingang landet, und härten Sie Ihr Handy ab, bevor jemand anderes entscheidet, dass sich der Aufwand lohnt, falls Sie etwas tun, das Sie zum Ziel macht. Mehr wissen wir, sobald der Ursprung dieser Kampagne geklärt ist. Bis dahin ist Vorsicht billiger als Reue.