Dein iPhone meldet Söldner-Spyware: Was jetzt zu tun ist – und was du besser lässt

Podcast zum Blogbeitrag:

So oder so ähnlich kann dein nächster Montag aussehen: Der erste Kaffee ist noch nicht durch, da steht jemand aus der Leitung in der Tür, das iPhone in der Hand. „Da steht, ich werde von Spyware angegriffen. Ist das echt? Und was mache ich jetzt?“ Auf dem Sperrbildschirm prangt eine Apple Bedrohungsbenachrichtigung, und plötzlich bist du die Person, von der alle eine ruhige, richtige Antwort erwarten.Ganz theoretisch ist das gerade nicht. Laut Security-Insider hat Apple in dieser Woche Bundestagsabgeordnete und Regierungsmitglieder vor einem möglichen gezielten Angriff auf ihre iPhones gewarnt. Das BSI rät den Betroffenen, vorsorglich von einer Kompromittierung auszugehen. Ob tatsächlich ein Gerät befallen ist, ist offen.Ich habe so eine Warnung selbst noch nie bekommen, und die allermeisten von uns werden das auch nie. Aber als Admin bin ich derjenige, der gefragt wird. Deshalb habe ich mir angesehen, was Apple offiziell dazu schreibt, und daraus einen Ablauf gemacht, den ich im Ernstfall abarbeiten würde.

Was hinter einer Apple Bedrohungsbenachrichtigung steckt

Gemeint ist keine gewöhnliche Schadsoftware, sondern sogenannte Söldner-Spyware: kommerzielle Spionagesoftware, die Firmen im Auftrag staatlicher Stellen entwickeln. Das bekannteste Beispiel ist Pegasus der NSO Group. Laut Apple kosten solche Angriffe Millionen, laufen oft nur kurz und treffen sehr wenige, gezielt ausgewählte Menschen, meist Journalisten, Aktivisten, Politiker und Diplomaten.Ein paar Fakten aus Apples eigener Erklärung:

• Apple verschickt diese Warnungen seit 2021 mehrmals pro Jahr und hat inzwischen Menschen in über 150 Ländern benachrichtigt.
• Apple nennt keinen Grund, keinen Angreifer und keine Region. Sonst könnten die Angreifer ihr Vorgehen anpassen.
• Apple bezeichnet die Warnungen als „sehr zuverlässig“ und rät, sie sehr ernst zu nehmen. Absolute Sicherheit gibt es trotzdem nicht.

Seit 2026 kommt die Warnung auf drei Wegen an: als Hinweis auf dem Sperrbildschirm und in den Einstellungen des iPhones, als E-Mail an die Adressen des Apple Accounts und als Banner oben auf account.apple.com nach der Anmeldung.

Schritt 1: Prüfen, ob die Warnung echt ist – ohne einen Link anzuklicken

Eine Warnung vor einem Angriff ist ein hervorragender Köder für einen Angriff. Deshalb zuerst die Echtheit prüfen.Apple schreibt dazu eindeutig: In einer Bedrohungsbenachrichtigung wirst du nie gebeten,

• auf Links zu klicken oder Dateien zu öffnen,
• Apps oder Profile zu installieren,
• dein Apple-Account-Passwort oder einen Bestätigungscode per E-Mail oder Telefon zu nennen.

Wenn eine angebliche Warnung genau das verlangt, ist sie Phishing. Echt ist sie, wenn sie nach der Anmeldung auf account.apple.com oben auf der Seite erscheint. Die Adresse tippst du selbst in den Browser ein. Den Link aus der Mail nimmst du nicht, auch wenn er noch so vertrauenswürdig aussieht.

Schritt 2: Ruhe bewahren und nichts plattmachen

Der Reflex vieler Admins ist verständlich: Gerät zurücksetzen, neu einrichten, Problem gelöst. Genau das würde ich hier nicht tun. Ein Werksreset kann Spuren vernichten, die Fachleute für die Untersuchung brauchen. Und ob der Angriff damit wirklich erledigt ist, weißt du hinterher auch nicht.Stattdessen:

• Fachleute dazuholen. Apple empfiehlt ausdrücklich die Digital Security Helpline der gemeinnützigen Organisation Access Now. Sie ist rund um die Uhr über ihre Website erreichbar. Bei Dienstgeräten gehört natürlich auch der eigene Sicherheitsverantwortliche dazu.
• Vorsorglich von einer Kompromittierung ausgehen, wie es das BSI den Abgeordneten rät. Praktisch heißt das: Was auf dem Gerät gesprochen, geschrieben oder gespeichert wurde, gilt als möglicherweise mitgelesen. Vertrauliche Gespräche führst du bis zur Klärung über ein anderes, sauberes Gerät.
• Die Sache vertraulich behandeln. Wer eine solche Warnung bekommen hat, ist selbst eine sensible Information. Das gehört nicht in den Teams-Kanal und auch nicht ins Lehrerzimmer.

Schritt 3: Aktualisieren und Blockierungsmodus einschalten

Apple nennt als ersten Schutz die neueste Software und den Blockierungsmodus (englisch: Lockdown Mode). Den gibt es seit iOS 16, iPadOS 16, watchOS 10 und macOS Ventura. Erst aktualisieren, dann einschalten:

1. Öffne die Einstellungen und tippe auf Datenschutz & Sicherheit.
2. Scrolle nach unten zu Blockierungsmodus und tippe auf Blockierungsmodus aktivieren.
3. Bestätige mit Aktivieren & Neustart und gib den Gerätecode ein.

Auf iPad und Mac musst du den Modus jeweils einzeln einschalten. Eine gekoppelte Apple Watch zieht automatisch mit.Danach ist das iPhone absichtlich unbequem: Die meisten Anhänge in Nachrichten werden blockiert, Linkvorschauen fallen weg, manche Websites laden langsamer oder sehen kaputt aus, FaceTime-Anrufe von Unbekannten kommen nicht mehr durch, und geteilte Fotoalben verschwinden. Telefonieren, einfache Textnachrichten und der Notruf funktionieren weiter. Weniger Komfort heißt hier weniger Angriffsfläche, und genau darum geht es.

Was der Blockierungsmodus für dich als Admin bedeutet

Hier wird es für uns interessant, denn ein paar Einschränkungen treffen genau die Werkzeuge, mit denen wir Geräte verwalten:

• Keine Konfigurationsprofile, keine MDM-Registrierung. Im Blockierungsmodus lassen sich keine Profile installieren, und das Gerät kann nicht bei einer Mobilgeräteverwaltung registriert werden. Soll ein Dienstgerät ins MDM, muss das vorher passieren.
• Kabelverbindungen nur entsperrt. Ein iPhone oder iPad lässt sich nur noch mit einem Rechner oder Zubehör verbinden, wenn es entsperrt ist. Am Mac mit Apple-Chip braucht es zusätzlich eine ausdrückliche Freigabe.
• Keine unsicheren WLANs. Das Gerät verbindet sich nicht mehr automatisch mit unverschlüsselten Netzen und trennt sich beim Einschalten von ihnen. Ein offenes Gäste-WLAN ist dann raus.
• Kein 2G und 3G mehr auf iPhone und iPad.
• Ausnahmen sind möglich, etwa für eine bestimmte Website oder App. Jede Ausnahme schwächt aber den Schutz. Ich würde sie nur für wirklich nötige, vertrauenswürdige Dienste setzen.

Wichtig: Der Blockierungsmodus ist kein Werkzeug für die ganze Belegschaft. Apple selbst beschreibt ihn als extremen Schutz für die wenigen, die persönlich ins Visier geraten können. Wer ihn flächendeckend verordnet, bekommt vor allem Tickets.

Was ich lieber nicht selbst machen würde

Es gibt frei verfügbare Werkzeuge, mit denen man iPhone-Sicherungen auf bekannte Spuren von Spyware untersuchen kann, etwa das Mobile Verification Toolkit (MVT) von Amnesty International. Für Neugierige ist das spannend. Im Ernstfall würde ich die Auswertung trotzdem Leuten überlassen, die das regelmäßig machen. Ein unauffälliger Befund heißt nicht, dass das Gerät sauber ist, und ein falsch gedeuteter Treffer sorgt für unnötige Panik.Ebenfalls schwierig: private Geräte. Wenn die Warnung auf dem privaten iPhone einer Kollegin auftaucht, kannst du beraten und auf die richtigen Stellen verweisen. Das Gerät untersuchen oder verwalten solltest du nicht, schon aus Datenschutzgründen.

Und für alle, die keine Warnung bekommen haben

Für alle anderen hat Apple eine Liste, die nach Allgemeinwissen klingt und trotzdem selten vollständig umgesetzt ist:

• Geräte immer auf die neueste Software aktualisieren.
• Gerätecode, Face ID oder Touch ID nutzen.
• Zwei-Faktor-Authentifizierung und ein starkes Passwort für den Apple Account.
• Den Schutz für gestohlene Geräte einschalten.
• Apps nur aus dem App Store installieren.
• Starke, einmalige Passwörter und, wo möglich, Passkeys verwenden. Ein Passwortmanager hilft dabei. Wie du den selbst gehostet absicherst, habe ich in „Passwortmanager weg, Backup auch?“ beschrieben.
• Keine Links oder Anhänge von unbekannten Absendern öffnen.

Wer Grund zur Annahme hat, gezielt angegriffen zu werden, kann den Blockierungsmodus auch ohne Warnung einschalten.

Fazit

Eine Apple Bedrohungsbenachrichtigung ist die seltene Nachricht, bei der die gute und die schlechte Neuigkeit dieselbe ist: Jemand hält dich für wichtig genug, um Millionen auszugeben. Für uns Admins heißt das vor allem, den Reflex zum schnellen Aufräumen zu unterdrücken. Erst prüfen, ob die Warnung echt ist, dann Fachleute holen, aktualisieren und den Blockierungsmodus einschalten. Und am besten legst du dir diesen Ablauf schon heute zurecht, bevor am Montag jemand mit dem iPhone in der Tür steht.Quellen: Apple: Bedrohungsbenachrichtigungen (Support-Artikel) · Apple: Informationen zum Blockierungsmodus · Security-Insider: „Apple-Warnung vor Spyware löst BSI-Alarm bei Politikern aus“ (04.11.2026)