Mercenary-Spyware: Wenn gezielte Überwachung auch KMU-Geschäftsführer trifft

Apple verschickt seit Jahren gezielte Warnmeldungen an Nutzer, deren Geräte mutmaßlich mit staatlich finanzierter Söldner-Spyware infiziert wurden – zuletzt an Betroffene in 110 Ländern gleichzeitig. Wer dabei nur an Journalisten, Menschenrechtsaktivisten oder Diplomaten denkt, unterschätzt die Lage: Auch Geschäftsführer, Justiziare und Mitarbeiter von KMU geraten ins Visier, sobald sie in internationale Geschäfte, Rechtsstreitigkeiten oder sensible Verhandlungen involviert sind. Für ostdeutsche KMU mit Auslandsgeschäft, M&A-Vorhaben oder Kontakten in Risikoländer ist das kein abstraktes Thema mehr.

Was Mercenary-Spyware von gewöhnlicher Malware unterscheidet

Der Begriff „Mercenary-Spyware” (Söldner-Spyware) bezeichnet kommerzielle Überwachungssoftware, die von spezialisierten Firmen entwickelt und an Regierungen sowie – in wachsendem Maß – auch an Unternehmen und Privatpersonen mit entsprechenden Mitteln verkauft wird. Bekannte Beispiele sind Pegasus (NSO Group), Predator (Intellexa) oder Graphite (Paragon). Anders als klassische Ransomware oder Phishing-Kits zielt diese Software nicht auf Masse, sondern auf einzelne, sorgfältig ausgewählte Personen.

Das macht sie technisch und wirtschaftlich anders bedrohlich:

• Zero-Click-Angriffe: Viele Varianten nutzen Sicherheitslücken in Messaging-Apps wie iMessage oder WhatsApp, bei denen keinerlei Interaktion des Opfers nötig ist – kein Klick, kein Download.
• Extrem hohe Kosten pro Ziel: Ein einzelner Infektionsversuch kann im sechsstelligen Bereich liegen. Das bedeutet: Wer angegriffen wird, wurde bewusst ausgewählt, nicht zufällig getroffen.
• Voller Gerätezugriff: Nach erfolgreicher Infektion lassen sich Nachrichten, Standort, Mikrofon, Kamera und gespeicherte Zugangsdaten vollständig auslesen – oft ohne sichtbare Spuren auf dem Gerät.
• Kurze Lebensdauer der Spuren: Viele Varianten löschen sich nach der Datenübertragung selbst oder überleben nur bis zum nächsten Neustart, was forensische Nachweise erschwert.

Warum auch KMU-Führungskräfte betroffen sein können

Die klassischen Zielgruppen bleiben Aktivisten, Journalisten und politische Gegner autoritärer Regime. Zunehmend dokumentiert sind aber auch Fälle, in denen Wirtschaftsakteure ins Visier geraten: bei Übernahmeverhandlungen, in Patentstreitigkeiten, bei Geschäften mit staatsnahen Partnern in Risikoländern oder wenn ein Unternehmen an sensiblen Ausschreibungen beteiligt ist. Auch Anwälte, die solche Mandate begleiten, und Mitarbeiter mit Zugriff auf vertrauliche Vertragsentwürfe sind potenzielle Ziele. Wer glaubt, als mittelständisches Unternehmen „zu klein” für diese Art von Angriff zu sein, übersieht, dass nicht die Unternehmensgröße zählt, sondern der Wert der Information, auf die zugegriffen werden kann.

Wie ein Angriff typischerweise abläuft

1. Auswahl des Ziels: Eine Person mit Zugang zu wertvollen Informationen wird identifiziert – etwa ein Geschäftsführer vor einer wichtigen Verhandlung.
2. Infektion: Über eine Zero-Click-Lücke in einer Messaging-App oder einen präparierten Link wird Spyware auf dem Smartphone installiert.
3. Datenabfluss: Nachrichten, E-Mails, Kontakte, Standortdaten und teils Zugangsdaten zu Firmensystemen werden über Monate unbemerkt abgegriffen.
4. Nutzung der Informationen: Die gewonnenen Daten fließen in Verhandlungsvorteile, Wirtschaftsspionage oder gezielte Folgeangriffe auf das Unternehmen ein.

Praxis: Was Unternehmen konkret tun können

Ein hundertprozentiger Schutz gegen staatlich finanzierte Spyware existiert nicht – wohl aber wirksame Maßnahmen, die das Risiko deutlich senken und die Angriffsfläche für alle Angreifer verkleinern, nicht nur für Söldner-Spyware.

1. Betriebssysteme und Apps konsequent aktuell halten

Zero-Click-Lücken werden von Herstellern regelmäßig geschlossen, sobald sie bekannt werden. Automatische Updates für Smartphones und Messaging-Apps sind die wichtigste und günstigste Einzelmaßnahme.

2. Lockdown- beziehungsweise Härtungsmodi nutzen

Apple bietet mit dem Lockdown-Modus eine Funktion, die gezielt die Angriffsfläche für hochentwickelte Spyware reduziert, etwa durch Blockieren bestimmter Nachrichtenanhänge und Web-Technologien. Für Personen mit erhöhtem Risikoprofil – etwa Geschäftsführung bei internationalen Verhandlungen – ist die Aktivierung eine sinnvolle Vorsichtsmaßnahme.

3. Geräte für Risikosituationen trennen

Für besonders sensible Reisen oder Verhandlungen empfiehlt sich ein separates, minimal konfiguriertes Gerät ohne Zugriff auf das komplette Firmennetz und ohne gespeicherte sensible Dokumente. So bleibt der Schaden im Fall einer Kompromittierung begrenzt.

4. Mobile Device Management konsequent einsetzen

Ein zentrales MDM ermöglicht es, verdächtige App-Installationen, ungewöhnliche Zertifikate oder Konfigurationsprofile auf Firmengeräten zu erkennen und Geräte im Ernstfall aus der Ferne zu isolieren oder zurückzusetzen.

5. Netzwerksegmentierung und Zugriffsbeschränkung

Selbst wenn ein Mobilgerät kompromittiert wird, sollte es keinen direkten, unbeschränkten Zugriff auf zentrale Firmensysteme haben. Zero-Trust-Prinzipien mit MFA-geschützten Zugängen begrenzen, wie weit sich ein Angreifer von einem infizierten Gerät aus im Netzwerk bewegen kann.

6. Warnmeldungen der Hersteller ernst nehmen

Erhält ein Mitarbeiter eine Threat-Notification von Apple, Google oder einem anderen Hersteller, ist das kein Fehlalarm zum Ignorieren, sondern ein konkreter Hinweis auf eine mutmaßliche gezielte Attacke. In diesem Fall sollte umgehend eine forensische Prüfung des Geräts eingeleitet und betroffene Zugangsdaten zurückgesetzt werden.

7. Sensibilisierung der Geschäftsführung und relevanter Mitarbeiter

Anders als bei breit gestreutem Phishing braucht es hier gezielte Awareness für die Personen, die tatsächlich ein erhöhtes Risikoprofil haben – etwa vor internationalen Reisen oder bei laufenden Verhandlungen mit staatsnahen Akteuren.

Rexoma unterstützt KMU in Dresden beim Schutz vor gezielter Überwachung

Sie sind unsicher, ob Ihre Geschäftsführung oder Schlüsselmitarbeiter einem erhöhten Risiko für gezielte Überwachungsangriffe ausgesetzt sind? Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, Mobilgeräte über MDM abzusichern, Zero-Trust-Zugriffskonzepte umzusetzen und im Ernstfall verdächtige Geräte forensisch einzuordnen.

Häufige Fragen zu Mercenary-Spyware

Betrifft Mercenary-Spyware wirklich auch kleine und mittlere Unternehmen? Ja, sobald ein Unternehmen an Informationen mit hohem Wert für Dritte beteiligt ist – etwa bei internationalen Verhandlungen, Patentstreitigkeiten oder Geschäften mit staatsnahen Partnern. Die Unternehmensgröße spielt dabei eine untergeordnete Rolle.

Wie erkenne ich, ob mein Smartphone mit Spyware infiziert ist? Ohne forensische Analyse ist eine sichere Erkennung im Alltag kaum möglich, da moderne Spyware kaum sichtbare Spuren hinterlässt. Warnmeldungen von Apple oder Google sind der zuverlässigste Hinweis und sollten immer ernst genommen werden.

Reicht ein normales Antivirenprogramm auf dem Smartphone als Schutz? Nein. Zero-Click-Angriffe nutzen unbekannte Sicherheitslücken, die von klassischen Virenscannern nicht erkannt werden. Wirksamer sind aktuelle Betriebssystemversionen, Härtungsmodi und eine konsequente Gerätetrennung für Risikosituationen.

Was ist der Lockdown-Modus und lohnt er sich für Firmengeräte? Der Lockdown-Modus schränkt bestimmte Funktionen und Angriffsflächen gezielt ein, etwa bei Nachrichtenanhängen oder Weblinks. Für Geräte von Personen mit erhöhtem Risikoprofil ist die Aktivierung sinnvoll, für den restlichen Mitarbeiterkreis meist nicht notwendig, da er die Alltagsnutzung einschränkt.

Was tun, wenn eine Threat-Notification eines Herstellers eingeht? Das betroffene Gerät sollte umgehend vom Firmennetz getrennt, forensisch geprüft und alle darauf gespeicherten Zugangsdaten zurückgesetzt werden. Eine Meldung an die IT-Sicherheitsverantwortlichen im Unternehmen sollte in solchen Fällen fest definiert sein.