Smartphones am Arbeitsplatz gehört in vielen Branchen zum beruflichen Alltag. Sie ermöglichen den Zugriff auf E-Mails, Unternehmensanwendungen, Dokumente und interne Kommunikationskanäle – häufig auch außerhalb des Büros. Gleichzeitig enthalten sie eine Vielzahl sensibler Informationen und bieten über Mikrofon, Kamera, Standortdaten und gespeicherte Nachrichten weitreichende Einblicke in den Alltag ihrer Nutzer. Dass diese Geräte gezielt zum Ausspähen von Personen eingesetzt werden können, zeigen aktuelle Fälle sogenannter Mercenary Spyware. Anfang November 2026 wurde bekannt, dass Mitglieder der Bundesregierung und des Deutschen Bundestages sowie weitere Personen des öffentlichen Lebens Apple-Bedrohungsbenachrichtigungen über mögliche gezielte Spionageangriffe auf ihre Geräte erhalten hatten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigte, dass es sich um kommerziell entwickelte Spähsoftware handelt, die ohne Zutun der betroffenen Personen auf Smartphones gelangen kann. Die Hintergründe und das tatsächliche Ausmaß der aktuellen Vorfälle werden derzeit noch untersucht. Der Fall verdeutlicht jedoch, welche Möglichkeiten hochentwickelte Spionagesoftware inzwischen bietet und welche Bedeutung der Schutz mobiler Endgeräte für Unternehmen und Organisationen hat.
Was steckt hinter Mercenary Spyware?
Als Mercenary Spyware wird hochentwickelte Spionagesoftware bezeichnet, die von spezialisierten Unternehmen entwickelt und an staatliche oder andere finanzstarke Auftraggeber bereitgestellt wird. Anders als herkömmliche Schadsoftware, die häufig auf eine möglichst große Zahl infizierter Geräte ausgerichtet ist, dient diese Technologie der gezielten Überwachung einzelner Personen oder Personengruppen. Zu den bekanntesten Beispielen zählt die Spionagesoftware Pegasus der NSO Group. Solche Programme werden insbesondere gegen Personen eingesetzt, die aufgrund ihrer beruflichen Tätigkeit, ihrer Kontakte oder ihrer Informationen für bestimmte Akteure von Interesse sind. Dazu gehören beispielsweise politische Entscheidungsträger, Diplomaten, Journalistinnen und Journalisten oder Menschenrechtsaktivisten.
Nach einer erfolgreichen Infektion kann die Software weitreichenden Zugriff auf ein Smartphone ermöglichen. Betroffen sein können gespeicherte Nachrichten, E-Mails, Kontakte, Fotos, Kalender, Dokumente und Standortinformationen. Darüber hinaus kann die Spionagesoftware unter Umständen Mikrofon und Kamera aktivieren und so Gespräche oder Vorgänge in der unmittelbaren Umgebung erfassen. Besonders relevant ist dabei, dass auch verschlüsselte Kommunikation betroffen sein kann. Messenger-Dienste schützen Nachrichten in der Regel durch eine Ende-zu-Ende-Verschlüsselung während der Übertragung. Wird jedoch das Endgerät selbst kompromittiert, können Nachrichten unter Umständen direkt nach dem Entschlüsseln auf dem Gerät ausgelesen werden. Die Verschlüsselung des Kommunikationswegs bietet in diesem Fall keinen ausreichenden Schutz mehr vor dem Zugriff auf die Inhalte.
Die Bezeichnung Mercenary Spyware beschreibt dabei nicht nur eine bestimmte Software, sondern ein Geschäftsmodell für hochspezialisierte Überwachungstechnologie. Die Entwicklung und der Einsatz solcher Programme erfordern erhebliche technische und finanzielle Ressourcen. Die Software wird gezielt auf bestimmte Zielpersonen zugeschnitten und nutzt teilweise Sicherheitslücken, die dem Hersteller des betroffenen Betriebssystems noch nicht bekannt sind. Dadurch können auch Geräte angegriffen werden, auf denen aktuelle Sicherheitsupdates installiert sind. Apple bezeichnet seine Bedrohungsbenachrichtigungen als zuverlässige Hinweise darauf, dass eine Person individuell Ziel eines solchen Angriffs geworden ist. Eine solche Warnung ist allerdings nicht automatisch der Nachweis einer erfolgreichen Infektion. Sie sollte dennoch ernst genommen und fachkundig überprüft werden.
Zero-Click-Angriffe: Eine Infektion ohne Zutun der betroffenen Person
Eine besondere Herausforderung stellen sogenannte Zero-Click-Angriffe dar. Bei klassischen Phishing-Angriffen müssen Betroffene in der Regel zunächst einen schädlichen Link öffnen, einen Anhang herunterladen oder eine andere Aktion ausführen. Bei einem Zero-Click-Angriff ist eine solche Interaktion nicht erforderlich. Stattdessen nutzen Angreifende Sicherheitslücken in Betriebssystemen, Anwendungen oder Kommunikationsdiensten aus, um Schadsoftware bereits beim Empfang oder bei der automatischen Verarbeitung speziell präparierter Inhalte einzuschleusen. Als mögliche Angriffspunkte kommen beispielsweise Messenger-Dienste, Bildverarbeitungsfunktionen, Vorschauen von Nachrichten oder andere Schnittstellen infrage, die eingehende Daten automatisiert verarbeiten.
Technisch nutzen Angreifende dabei häufig sogenannte Zero-Day-Schwachstellen. Damit sind Sicherheitslücken gemeint, die dem Hersteller zum Zeitpunkt des Angriffs noch nicht bekannt sind oder für die noch kein Sicherheitsupdate bereitgestellt wurde. Ein entsprechend präparierter Inhalt kann bereits ausreichen, um einen Fehler in der Verarbeitung auszunutzen und ersten Schadcode auf dem Gerät auszuführen. In komplexeren Angriffsszenarien werden mehrere Schwachstellen miteinander kombiniert: Eine erste Sicherheitslücke ermöglicht den Einstieg in eine Anwendung, weitere Schwachstellen können anschließend dazu genutzt werden, deren Sicherheitsbeschränkungen zu überwinden und höhere Zugriffsrechte auf dem Gerät zu erlangen. Auf diese Weise kann aus einer zunächst begrenzten Schwachstelle ein weitreichender Zugriff auf das Smartphone entstehen.
Die technischen Angriffsmöglichkeiten entwickeln sich dabei kontinuierlich weiter. Eine im Oktober 2026 veröffentlichte Untersuchung des Citizen Lab dokumentierte beispielsweise eine Angriffsmethode, bei der gezielt ausgespielte Online-Werbung zur Verbreitung von Mercenary Spyware eingesetzt wurde. Die präparierten Werbeanzeigen konnten bereits beim Aufruf eine technische Verbindung herstellen und unter bestimmten Voraussetzungen eine Infektion auslösen. Die betroffene Person musste weder einen Link anklicken noch eine Datei herunterladen. Dieser Fall zeigt, dass nicht nur Nachrichten oder Messenger-Dienste als mögliche Einfallstore infrage kommen, sondern auch alltägliche digitale Angebote in Angriffsketten eingebunden werden können.
Für die Betroffenen ist diese Angriffsform besonders schwer zu erkennen. Da keine bewusste Interaktion erforderlich ist, gibt es häufig keinen Anlass, einen Angriff zu vermuten. Auch ungewöhnliche Fehlermeldungen, eine auffällige Geräteauslastung oder ein schnellerer Akkuverbrauch müssen nicht zwangsläufig auftreten. Hochentwickelte Spionagesoftware ist darauf ausgelegt, möglichst unauffällig zu arbeiten und ihre Aktivitäten vor dem Nutzer zu verbergen. Eine Infektion lässt sich daher nicht zuverlässig allein anhand des sichtbaren Geräteverhaltens ausschließen. In bestimmten Fällen sind spezialisierte forensische Untersuchungen erforderlich, um technische Spuren auszuwerten und eine mögliche Kompromittierung nachzuweisen.
Welche Risiken ergeben sich für Unternehmen?
Mercenary Spyware richtet sich häufig gegen Personen mit besonderen Informationen oder Einflussmöglichkeiten. Die Bedrohung ist jedoch auch für Unternehmen und Organisationen relevant. Beschäftigte mit Zugang zu vertraulichen Geschäftsunterlagen, Kundeninformationen, strategischen Planungen oder internen Kommunikationskanälen können ebenfalls interessante Ziele darstellen. Dabei muss nicht zwangsläufig das Unternehmen selbst im Mittelpunkt des Angriffs stehen. Auch die gezielte Überwachung einzelner Beschäftigter kann Angreifenden ermöglichen, Informationen über Geschäftsbeziehungen, Entscheidungsprozesse, interne Zuständigkeiten oder geplante Projekte zu erlangen.
Wird ein beruflich genutztes Smartphone kompromittiert, kann dies weit über den Verlust einzelner Zugangsdaten hinausgehen. Angreifende können unter Umständen vertrauliche E-Mails und Messenger-Nachrichten mitlesen, auf gespeicherte Dokumente zugreifen oder Informationen über Termine und Gesprächspartner gewinnen. Werden Mikrofon und Kamera aktiviert, können sogar Inhalte erfasst werden, die nicht für eine digitale Übermittlung vorgesehen waren. Besonders kritisch ist dies bei Beschäftigten, die regelmäßig an vertraulichen Besprechungen teilnehmen, Personalangelegenheiten bearbeiten oder Zugriff auf besonders schützenswerte Informationen haben. Auch Zugangsdaten und Authentifizierungsinformationen, die auf dem Gerät gespeichert oder während der Nutzung eingegeben werden, können für weitere Angriffe verwendet werden.
Ein zusätzliches Risiko entsteht durch die Vermischung privater und beruflicher Nutzung mobiler Endgeräte. Werden auf einem Smartphone sowohl private als auch geschäftliche Kommunikationswege genutzt, können bei einer Kompromittierung unterschiedliche Datenbestände betroffen sein. Selbst wenn Unternehmensdaten ausschließlich über bestimmte Apps oder Anwendungen verarbeitet werden, kann ein Angriff auf Betriebssystemebene möglicherweise auch diese Bereiche erfassen. Die Trennung von privaten und geschäftlichen Anwendungen bietet daher keinen uneingeschränkten Schutz, wenn das gesamte Gerät kompromittiert wurde. Für Unternehmen ist es deshalb wichtig, nicht nur die eingesetzten Anwendungen, sondern auch die Sicherheitsanforderungen an die Geräte selbst zu berücksichtigen.
Datenschutzrechtliche Anforderungen und technische Schutzmaßnahmen
Aus datenschutzrechtlicher Sicht kann eine erfolgreiche Infektion eines Smartphones eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO darstellen, wenn dadurch personenbezogene Daten unbefugt offengelegt, verändert, gelöscht oder zugänglich gemacht werden. Dabei kann bereits ein unbefugter Zugriff eine Datenschutzverletzung begründen, auch wenn keine nachweisliche Übermittlung an Dritte erfolgt ist. Ergibt die Bewertung ein voraussichtliches Risiko für die Rechte und Freiheiten natürlicher Personen, ist die Datenschutzverletzung gemäß Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Bei einem voraussichtlich hohen Risiko kommt zusätzlich eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO in Betracht. Auch nicht meldepflichtige Datenschutzverletzungen sind gemäß Art. 33 Abs. 5 DSGVO zu dokumentieren. Wird ein Gerät eines Auftragsverarbeiters kompromittiert und sind personenbezogene Daten des Verantwortlichen betroffen, muss dieser gemäß Art. 33 Abs. 2 DSGVO unverzüglich informiert werden.
Unabhängig von einem konkreten Sicherheitsvorfall verpflichtet Art. 32 DSGVO Verantwortliche und Auftragsverarbeiter dazu, geeignete technische und organisatorische Maßnahmen umzusetzen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Dazu gehören zeitnahe Sicherheitsupdates, aktuelle Betriebssysteme und Anwendungen sowie die Einbindung mobiler Geräte in die betriebliche Sicherheitsarchitektur. Eine zentrale Geräteverwaltung, Mehr-Faktor-Authentifizierung, restriktive Zugriffsrechte und eine möglichst geringe lokale Speicherung vertraulicher Daten können dazu beitragen, Sicherheitsrisiken zu reduzieren. Ebenso wichtig sind klare Regelungen zur dienstlichen Nutzung privater und dienstlicher Smartphones. Unternehmen sollten festlegen, welche Anwendungen zugelassen sind, welche Sicherheitsanforderungen gelten und an wen sich Beschäftigte bei einem Verdacht auf eine Kompromittierung wenden müssen. Ergänzend bleibt die Sensibilisierung der Mitarbeitenden relevant, insbesondere um Auffälligkeiten frühzeitig zu melden und eigenständige Maßnahmen zu vermeiden, die eine spätere Untersuchung erschweren könnten.
Bei konkreten Hinweisen auf eine gezielte Infektion reicht eine gewöhnliche Überprüfung durch die betroffene Person allerdings nicht aus. Das Gerät sollte nicht eigenständig zurückgesetzt oder neu eingerichtet werden, da dadurch wichtige forensische Spuren verloren gehen können. Stattdessen sollten das betroffene Gerät und gegebenenfalls verbundene Konten und Zugangsdaten gesichert, die weitere Nutzung bewertet und spezialisierte IT-Sicherheitsexperten hinzugezogen werden. Bei einer bestätigten oder hinreichend wahrscheinlichen Kompromittierung müssen mögliche Folgezugriffe unterbunden und betroffene Zugangsdaten über ein vertrauenswürdiges Gerät geändert werden. Apple empfiehlt Betroffenen entsprechender Bedrohungsbenachrichtigungen unter anderem die Aktivierung des Blockierungsmodus und die Inanspruchnahme fachkundiger Unterstützung. Auch das BSI hat im aktuellen Fall zu weitergehenden Schutzmaßnahmen und einer fachlichen Beratung aufgefordert.
Fazit
Mercenary Spyware und Zero-Click-Angriffe zeigen, dass Smartphones auch ohne erkennbare Nutzerinteraktion kompromittiert und zur gezielten Überwachung eingesetzt werden können. Für Unternehmen sind insbesondere die möglichen Zugriffe auf vertrauliche Kommunikation und personenbezogene Daten sowie die daraus entstehenden datenschutzrechtlichen Melde- und Informationspflichten relevant. Ein angemessenes Sicherheitskonzept für mobile Endgeräte, regelmäßige Aktualisierungen, klare Nutzungsregelungen und definierte Abläufe für den Umgang mit Sicherheitsvorfällen sind daher wichtige Bestandteile des betrieblichen Datenschutzes und der Informationssicherheit.
Bei Fragen zur Absicherung mobiler Endgeräte, zur datenschutzrechtlichen Bewertung von Sicherheitsvorfällen oder zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen stehen wir Ihnen als externe Datenschutzbeauftragte gerne zur Verfügung.
Folgende Beiträge könnten Sie auch interessieren: