Spähsoftware auf Politiker-iPhones: Apple warnt Bundestag und Regierung

Mitglieder des Deutschen Bundestages und der Bundesregierung haben in den vergangenen Tagen Warnungen von Apple erhalten: Ihre iPhones seien möglicherweise gezielt mit Spähsoftware angegriffen worden. Bundesdigitalminister Karsten Wildberger (CDU) bestätigte den Vorfall am Sonntagabend in der ARD-Sendung «Bericht aus Berlin». Wer hinter den Angriffen steckt, wie viele Politiker betroffen sind und ob die Angreifer tatsächlich Daten abgegriffen haben, ist offen.

Was bekannt ist

Nach Recherchen des ARD-Hauptstadtstudios gehen die sogenannten Bedrohungsmitteilungen von Apple seit dem 29. Oktober auf den Geräten der Betroffenen ein. Das geht laut den Berichten aus einem Schreiben des Bundesamts für Sicherheit in der Informationstechnik (BSI) hervor, das der ARD vorliegt. Apple warnt darin vor sogenannter «Mercenary Spyware», kommerzieller Spähsoftware, die private Firmen entwickeln und an Staaten verkaufen.

Es gebe, so Wildberger laut einem dpa-Bericht, «eine Meldung von Apple, dass bestimmte Geräte gegebenenfalls kompromittiert wurden mit sogenannter Spyware». Weitere Angaben machte er nicht: «Das ist jetzt rein spekulativ, um was es sich hier konkret handelt, das muss man jetzt abwarten.» Das BSI habe sehr schnell reagiert und alle Betroffenen angeschrieben. Einen Angriff mit künstlicher Intelligenz sah der Minister nicht zwingend, Spyware auf Telefonen gebe es schon lange. Die Sache sei aber «etwas, was natürlich uns sehr besorgt».

Das BSI empfiehlt den Betroffenen laut den Berichten, vorsorglich davon auszugehen, dass ihr Gerät kompromittiert sein kann. Zu Anlass und Hintergrund der Warnungen lägen dem Amt keine näheren Informationen vor, berichtet die ARD, wie unter anderem GMX und die «Stuttgarter Nachrichten» wiedergeben. Namen betroffener Abgeordneter oder Regierungsmitglieder sind nicht öffentlich.

Was Apples Warnungen bedeuten

Apple bezeichnet seine Bedrohungsmitteilungen auf seiner Supportseite als «sehr zuverlässige Warnungen». Sie besagen, dass eine Person gezielt ins Visier genommen wurde, nicht aber, ob der Angriff gelungen ist. Seit 2021 hat der Konzern nach eigenen Angaben Nutzer in über 150 Ländern so benachrichtigt. Die Angriffe kosten laut Apple Millionen von Dollar, richten sich gegen wenige Personen wie Journalisten, Aktivisten, Politiker und Diplomaten und werden historisch mit staatlichen Akteuren in Verbindung gebracht, darunter Firmen wie die NSO Group mit ihrer Software Pegasus. Apple ordnet die Angriffe ausdrücklich keinen bestimmten Angreifern oder Regionen zu. Der Konzern rät Betroffenen unter anderem, den sogenannten Blockierungsmodus («Lockdown Mode») einzuschalten.

Was eine erfolgreiche Infektion bedeuten würde, beschrieb der «TE Wecker» von Tichys Einblick am Montagmorgen: Einige dieser Programme könnten ein Telefon infizieren, ohne dass der Besitzer einen Link öffne, und auf einem infizierten Gerät liessen sich auch verschlüsselte Chats mitlesen. «Damit könnten vertrauliche Quellen eines Abgeordneten auffliegen», hiess es in der Sendung. Laut den Berichten über das BSI-Schreiben könnten Angreifer auf Nachrichten, auch aus verschlüsselten Messengern, sowie auf Anrufe, Kontakte, Standort, Mikrofon und Kamera zugreifen. Der «TE Wecker» wies zudem darauf hin, dass die Nachricht ausgerechnet zum Digitalgipfel der Bundesregierung bekannt wurde.

Die offenen Fragen

Für die Bürger, deren Vertreter hier betroffen sind, bleiben die wesentlichen Fragen unbeantwortet. Wer hat den Angriff in Auftrag gegeben? Ein ausländischer Staat, ein Nachrichtendienst, eine kriminelle Gruppe? Wie viele Mandatsträger sind betroffen, und aus welchen Fraktionen? Wurden Daten tatsächlich abgegriffen, etwa Gespräche mit Informanten, Bürgern oder Unternehmen, die sich vertraulich an ihre Abgeordneten wenden?

Auffällig ist auch, wer die Lücke bemerkt hat: nicht der Staat, sondern ein privates Unternehmen aus Kalifornien. Das BSI hat nach Angaben der ARD keine eigenen Erkenntnisse zu Anlass und Hintergrund. Ebenso offen ist, wie die Bundesregierung mit dem Markt für kommerzielle Spähsoftware umgehen will.

Klartext

Dass ein amerikanischer Handyhersteller deutsche Abgeordnete warnen muss, bevor es der eigene Sicherheitsapparat tut, ist ein Armutszeugnis für den Staat. Der Schutz der Kommunikation gewählter Volksvertreter ist eine Kernaufgabe, keine Nebensache für die Zeit nach dem nächsten Digitalgipfel. Wer Bürgern ständig neue Überwachungsbefugnisse abverlangt, muss zuerst beweisen, dass er die eigenen Leute schützen kann. Die Bundesregierung schuldet der Öffentlichkeit rasch Antworten: wie viele betroffen sind, was abgeflossen ist und wer dahintersteckt. Und sie sollte klar sagen, ob deutsche Behörden selbst Kunden auf jenem Spyware-Markt sind, dessen Produkte nun gegen das eigene Parlament gerichtet werden.