Die Ethik des Handy-Hackings: Recht, Risiken und Grenzen

„Handy-Hacking“ gehört zu den am häufigsten gesuchten Begriffen rund um Mobiltelefone. Die Motive dahinter sind selten offen kriminell: Misstrauen in einer Beziehung, Sorge um das, was ein Kind nachts auf dem Bildschirm tut, oder die eigene Vermutung, dass jemand mitliest. Was die Suchergebnisse versprechen, hält jedoch weder rechtlich noch technisch, was es suggeriert.

Dieser Beitrag erklärt, was unter Handy-Hacking tatsächlich verstanden wird, warum unbefugter Zugriff in Deutschland strafbar ist und welchen Schaden er anrichtet, wie Spähsoftware sich tarnt, woran Sie einen Befall am eigenen Gerät erkennen und welche legalen Wege es gibt, wenn Sie ein Telefon prüfen lassen wollen.

Was unter Handy-Hacking verstanden wird

Der Begriff umfasst sehr unterschiedliche Vorgänge, und zwischen ihnen liegen rechtlich Welten. Wer von „Hacking“ spricht, meint meist fünf Dinge, die nichts miteinander zu tun haben außer dem Wort.

Unbefugter Fernzugriff

Gemeint ist ein Dienst, der angeblich Nachrichten, Anruflisten, Fotos oder den Standort einer anderen Person in Echtzeit liefert. In allen Rechtsordnungen mit modernem Datenschutz- und Computerstrafrecht ist das eine Straftat, keine Grauzone. In Deutschland greifen hier §202a StGB für das Ausspähen von Daten, §202b StGB für das Abfangen von Daten und §303a StGB für Computersabotage. Wer solche Zugriffe beauftragt, haftet mit.

Stalkerware und Spähsoftware

Stalkerware ist kommerzielle Software, die als „Elternkontrolle“ oder „Mitarbeiterüberwachung“ vermarktet wird. Nach der Installation auf dem Zielgerät überträgt sie Nachrichten, Standort und App-Nutzung still an Dritte. Entscheidend ist nicht das Produkt, sondern die Einwilligung: Auf dem Handy eines Erwachsenen ohne dessen Wissen installiert, ist der Einsatz in den meisten Fällen strafbar. In Trennungs- und Gewaltkontexten ist Stalkerware eines der zentralen Werkzeuge, mit denen Täter ihre Opfer überwachen und kontrollieren.

SIM-Swap

Beim SIM-Swap überredet der Angreifer den Mobilfunkanbieter, die Rufnummer des Opfers auf eine eigene Karte umzustellen. Danach fängt er SMS-Einmalcodes ab und übernimmt E-Mail-, Bank- und Social-Media-Konten. Das ist kein theoretisches Szenario, sondern ein Dauerbrenner gegen Konten mit hohem Gegenwert.

Ausnutzung von SS7

Das Signalisierungssystem Nummer 7 ist der Vermittlungsstandard des globalen Telefonnetzes. Bekannte Schwachstellen erlauben es Angreifern mit Zugang auf Netzbetreiberebene, Gespräche und SMS abzufangen und den Standort zu bestimmen, ohne das Gerät zu berühren. Ein beliebiger Onlinedienst kann das nicht leisten. Angebote, die eine „SS7-Ortung“ für einen zweistelligen Betrag versprechen, sind entweder Betrug oder Teil einer schweren Straftat.

Autorisierte Sicherheitsprüfung

Die legale Variante: Eine zertifizierte Fachperson prüft im Auftrag und mit schriftlicher Einwilligung der berechtigten Person ein Gerät auf Schwachstellen, Schadsoftware, Konfigurationsfehler und Datenabfluss. Das ist erlaubt, sinnvoll und für Unternehmen mit erhöhtem Risiko Standard.

Warum unbefugter Zugriff kein Kavaliersdelikt ist

Die rechtliche Bewertung hängt an einem einzigen Merkmal: der Einwilligung der berechtigten Person. Fehlt sie, ist der Zugriff strafbar, unabhängig davon, wie nah sich die Beteiligten stehen und wie nachvollziehbar das Motiv war.

Hinzu kommt die Datenschutz-Grundverordnung. Nachrichten, Fotos, Kontakte und Standortverläufe sind personenbezogene Daten, teils besonderer Kategorien. Wer sie ohne Rechtsgrundlage erhebt und speichert, verstößt gegen die DSGVO; bei Unternehmen kommen Bußgelder und Meldepflichten hinzu. Und der praktische Teil: Erlangte Daten sind vor Gericht in der Regel unverwertbar. Wer heimlich mitschneidet, um Beweise zu sammeln, verliert sie meist genau dadurch und macht sich selbst angreifbar.

Der Schaden ist dabei nicht abstrakt. Heimliche Überwachung zerstört Vertrauen, verändert das Verhalten der betroffenen Person und kann in Gewaltbeziehungen die Eskalation beschleunigen, weil das Opfer die Kontrolle über seine Kommunikation verliert. Deshalb ist die ethische Bewertung hier keine Geschmacksfrage.

Der ethische Rahmen: Einwilligung, Zweck, Verhältnismäßigkeit

Datenschutz als Grundrecht

Eine rechtmäßige Prüfung beginnt nicht mit einem Werkzeug, sondern mit einem Dokument: der schriftlichen Einwilligung der Person, deren Gerät untersucht wird, und einem klar abgegrenzten Auftragsumfang. Auch eine Ehepartnerin, ein Elternteil eines erwachsenen Kindes, ein Arbeitgeber oder eine frühere Partnerin erhält dadurch keine Befugnis, private Kommunikation zu überwachen.

Schriftliche Einwilligung ist die klare Grenze

Die sauberste Trennlinie in der digitalen Überwachung ist Einwilligung plus Transparenz. Überwachung, die die betroffene Person kennt und der sie zugestimmt hat, kann ethisch und rechtlich einwandfrei sein: offengelegte Kindersicherung bei Minderjährigen, dokumentierte Regelungen für Firmengeräte, vereinbarte Geräteverwaltung. Ohne diese dokumentierte Zustimmung wird aus jedem noch so gut gemeinten Motiv ein Eingriff in die Persönlichkeitsrechte.

Beziehungskontext ersetzt keine Rechtsgrundlage

Gerichte bewerten emotional begründete Zugriffe nicht milder. „Ich hatte den Verdacht, betrogen zu werden“, „ich wollte nur aufpassen“ oder „ich brauchte Beweise für das Verfahren“ sind keine Rechtsgrundlage. Wer so argumentiert, riskiert ein Strafverfahren und verliert obendrein die Verwertbarkeit des Materials.

Wie Spähsoftware sich tarnt

Kommerzielle Überwachungssoftware zeigt sich selten als offensichtliche App. Sie arbeitet mit Rechten und Profilen, die im Alltag niemand prüft.

Tarnmechanismus	Wie er funktioniert	Wo Sie nachsehen
Bedienungshilfen-Rechte	Die App erhält Vollzugriff auf Bildschirminhalte, Tastatureingaben und andere Apps	Einstellungen > Bedienungshilfen
Konfigurationsprofile	Ein Profil setzt Zertifikate, Proxy und WLAN-Zugangsdaten und bricht so verschlüsselten Verkehr auf	Einstellungen > Allgemein > VPN & Geräteverwaltung
Geräteadministrator-Rechte	Die App darf Einstellungen ändern und sich gegen Löschen sperren	Einstellungen > Sicherheit > Geräteadministratoren
Umbenannte Symbole	Die App heißt „Systemdienst“ und hat kein eigenes Icon	Vollständige App-Liste, nicht nur der Startbildschirm
Unauffällige Hintergrundlast	Dauerhafte Übertragung kleiner Datenmengen statt eines sichtbaren Fensters	Akku- und Datenverbrauch pro App

Auf iOS ist der Weg über ein Konfigurationsprofil oder ein fremdes Gerät in der Apple-ID-Kontoübersicht der realistischste Fall; auf Android sind es Geräteadministrator-Rechte und der Zugriff über die Bedienungshilfen. In beiden Fällen gilt: Was Sie nicht selbst eingerichtet haben, ist ein Prüfanlass.

Was hinter „Handy-Hacker beauftragen“ steckt

Die Angebote, die bei einer solchen Suche auftauchen, sind fast immer Betrug. Vier Muster kehren wieder.

Vorkasse-Betrug

Der angebliche Dienstleister verlangt eine Vorauszahlung per Überweisung, Kryptowährung oder Geschenkkarte und verschwindet danach. Der Auftraggeber hat Geld verloren und nichts erhalten.

Teillieferung mit Nachforderungen

Die raffiniertere Variante liefert zunächst angebliche Zwischenergebnisse: gefälschte Bildschirmfotos, allgemeine Standortdaten, zusammengeschusterte Zusammenfassungen. Anschließend wird ein technisches Problem behauptet, das nur mit einer weiteren Zahlung zu lösen sei. Wer emotional und finanziell bereits investiert ist, zahlt nach.

Gefälschte Beweise

Manche Anbieter produzieren täuschend echte Bildschirmfotos von Chats, Anruflisten oder Profilen und verkaufen sie an Menschen in Trennungs- und Sorgerechtsverfahren. Wer solche Unterlagen in ein Verfahren einbringt, begeht eine schwere Straftat und riskiert eine Freiheitsstrafe.

Erpressung nach dem Auftrag

Einige Gruppen identifizieren den zahlenden Auftraggeber und nutzen genau dieses Wissen: „Zahlen Sie, sonst erzählen wir Ihrer Frau oder Ihrem Arbeitgeber, was Sie beauftragt haben.“ Der Auftraggeber hat sich strafbar gemacht und wird nun selbst erpresst.

Anzeichen, dass Ihr eigenes Gerät kompromittiert ist

Ein einzelnes Symptom beweist nichts, ein Muster dagegen schon. Diese Beobachtungen sind echte technische Indizien:

• Auffälliger Akkuverbrauch: Spähsoftware läuft dauerhaft im Hintergrund und zieht Strom.
• Erhöhtes Datenvolumen: Überwachungs-Apps übertragen laufend Daten an entfernte Server. Ein unerklärlicher Sprung im Mobilfunk- oder WLAN-Verbrauch ist ein Warnsignal.
• Gerät wird im Leerlauf warm: Hintergrundprozesse halten den Prozessor beschäftigt.
• Unbekannte Apps in der vollständigen Liste: Prüfen Sie alle Apps, nicht nur den Startbildschirm, und auf Android zusätzlich die Geräteadministratoren.
• Unerwartete Kontoaktivität: Anmeldewarnungen aus fremden Regionen, Passwort-Zurücksetzungen, die Sie nicht ausgelöst haben, oder Einmalcodes ohne eigene Anmeldung.
• Bildschirmaktivität ohne Nutzung: Das Display leuchtet auf, die Kameraanzeige erscheint, Benachrichtigungen aus unbekannten Apps tauchen auf.

Für die technische Seite, inklusive Einstellungspfaden und einem Notfallplan für die ersten 60 Minuten, lesen Sie unsere Anleitung zum iPhone vor Hackern schützen.

Was im Verdachtsfall zu tun ist

Zuerst die eigene Sicherheit

Wenn Sie eine Gewaltbeziehung vermuten oder die Überwachung mit einem Sicherheitsrisiko zusammenhängt, unternehmen Sie nichts vom möglicherweise kompromittierten Gerät aus. Nutzen Sie ein fremdes Telefon oder einen Rechner an einem sicheren Ort, bevor Sie Schritte einleiten, die die überwachende Person alarmieren.

Technische Sofortmaßnahmen

1. Betriebssystem und Apps aktualisieren. Viele Spähwerkzeuge nutzen bekannte Lücken in älterer Software.
2. Mobile Sicherheitslösung laufen lassen. Bewährte Scanner erkennen zahlreiche kommerzielle Spähprogramme.
3. Berechtigungen prüfen. Standort, Mikrofon, Kamera und Kontakte: Entziehen Sie alles, was zur Funktion einer App nicht passt.
4. Sitzungen und verbundene Geräte kontrollieren. Google-Konto, Apple-ID und jedes soziale Netzwerk: unbekannte Sitzungen abmelden.
5. Kritische Passwörter ändern. Beginnen Sie bei E-Mail und Mobilfunkkonto, dann Bank und soziale Netzwerke. Ändern Sie sie von einem unbelasteten Gerät.
6. App-basierte Zwei-Faktor-Authentifizierung einführen. Ein Authenticator oder Sicherheitsschlüssel statt SMS nimmt SIM-Swap den Angriffsvektor.
7. Werksreset durchführen, wenn ein Befall wahrscheinlich ist. Sichern Sie nur Fotos und Kontakte; eine Rücksicherung kann Schadsoftware zurückbringen.

Hochrisikosituationen

Führungskräfte, öffentliche Personen, Journalistinnen und Betroffene von häuslicher Gewalt brauchen mehr als einen gewöhnlichen Sicherheitsscan. Mit schriftlicher Einwilligung der berechtigten Person und definiertem Auftragsumfang kann eine Fachperson das Gerät forensisch untersuchen, autorisierten Netzwerkverkehr auf Steuerungssignale auswerten, einen schriftlichen Bericht mit Befunden und Belegen erstellen und Empfehlungen für ein sauberes Ersatzgerät geben. Wie ein solcher Ablauf aussieht, beschreibt unser Beitrag zur forensischen Untersuchung von Mobiltelefonen.

Anzeige erstatten und Meldepflichten prüfen

Bei Verdacht auf Straftaten gilt: Beweise sichern, dann Anzeige bei der Polizei erstatten. Löschen Sie nichts, bevor die Sicherung steht; ein Reset vernichtet genau die Spuren, die eine Einordnung erlauben. Für Unternehmen kommt die 72-Stunden-Meldepflicht nach DSGVO hinzu, wenn personenbezogene Daten betroffen sind. Betroffene ohne Unternehmen wenden sich an die zuständige Datenschutz-Aufsichtsbehörde, wenn Daten ohne Rechtsgrundlage verarbeitet wurden.

Legitime Alternativen statt heimlicher Zugriff

Wer ein Gerät prüfen lassen will, hat mehrere saubere Wege:

• Schriftliche Einwilligung: Die betroffene Person willigt ein, der Umfang wird dokumentiert, die Ergebnisse werden geteilt. Das ist die Grundlage jeder legalen Untersuchung.
• Elterliche Aufsicht über ein minderjähriges Kind in Ihrer Obhut: Kindersicherung ist zulässig, wenn sie offengelegt ist und dem Kindeswohl dient. Heimliche Dauerüberwachung eines Jugendlichen bleibt ein Vertrauensbruch, auch wo sie formal erlaubt ist.
• Gerichtlich beauftragte Forensik: Im Zivil- oder Strafverfahren beauftragt das Gericht eine Sachverständige. Der Zugriff ist dann rechtlich gedeckt, und die Beweise sind verwertbar.
• Beschwerde bei der Aufsichtsbehörde: Wenn Sie vermuten, dass jemand Ihre Daten rechtswidrig verarbeitet, ist die Aufsichtsbehörde der vorgesehene Weg, nicht die Gegenüberwachung.
• Geräteverwaltung im Unternehmen: Auf Firmengeräten ist Monitoring über MDM mit dokumentierter Richtlinie zulässig. Auf privaten Geräten von Beschäftigten endet diese Befugnis.

Das Wichtigste in Kürze

• Unbefugtes Handy-Hacking ist in Deutschland nach §202a, §202b und §303a StGB strafbar und verletzt die DSGVO.
• Fast alle Dienste, die Handy-Hacking anbieten, sind Betrug: Vorkasse, gefälschte Ergebnisse, Erpressung.
• Stalkerware ist eine reale Bedrohung, vor allem in Trennungs- und Gewaltkontexten. Sicherheit geht vor Technik.
• Echte Indizien sind Akkuverbrauch, Datenvolumen, unbekannte Apps mit Sonderrechten und unerwartete Kontoaktivität.
• Legale Wege sind schriftliche Einwilligung, offengelegte elterliche Aufsicht, gerichtlich beauftragte Forensik und die Aufsichtsbehörde.

Häufig gestellte Fragen

Ist es jemals legal, auf das Handy einer anderen Person zuzugreifen?

Ja, mit ausdrücklicher schriftlicher Einwilligung. Eltern können Geräte minderjähriger Kinder in ihrer Obhut mit angemessener Offenlegung betreuen, Arbeitgeber Firmengeräte nach dokumentierter Richtlinie überwachen, und jede Person darf ihr eigenes Gerät untersuchen lassen. Ohne diese Zustimmung ist der Zugriff in der Regel strafbar, unabhängig vom Verwandtschaftsgrad.

Lässt sich Spähsoftware ohne physischen Zugriff installieren?

Der Großteil kommerzieller Stalkerware benötigt kurzzeitigen physischen Zugriff auf das entsperrte Gerät. Staatliche Werkzeuge schaffen es über Zero-Click-Ketten ohne jede Interaktion, sind aber teuer und auf ausgewählte Ziele gerichtet. Wer nicht zu diesen Zielgruppen gehört, sollte sein Risiko entsprechend einordnen.

Wie prüfe ich mein Handy am sichersten auf Spähsoftware?

Sichern Sie zuerst, was Sie brauchen, und setzen Sie das Gerät dann zurück; installieren Sie anschließend nur Apps, die Sie kennen. Für forensische Gewissheit ist der Weg über eine Fachperson richtig, die die Gerätekopie auswertet, bevor gelöscht wird. Eine reine App-Suche auf dem Gerät findet professionelle Werkzeuge oft nicht.

Wie erstatte ich Anzeige, wenn jemand mit angeblichem Hacking Geld erpressen will?

Sichern Sie alle Kommunikation, Zahlungsbelege und angebliche Ergebnisse, bevor Sie etwas löschen, und erstatten Sie dann Anzeige bei der Polizei. In Deutschland ist die örtliche Dienststelle oder die Online-Wache des Bundeslandes der Einstieg; bei Datenverarbeitung ohne Rechtsgrundlage kommt die Beschwerde bei der Datenschutz-Aufsichtsbehörde hinzu.

Darf ich als Arbeitgeber private Handys von Beschäftigten überwachen?

Nein. Die Befugnis endet an der Grenze des dienstlich bereitgestellten Geräts. Auf Firmengeräten ist Monitoring über eine Geräteverwaltung zulässig, sofern die Richtlinie dokumentiert und transparent ist und der Umfang verhältnismäßig bleibt. Private Geräte dürfen auch mit Zustimmung nur in engem, klar benanntem Rahmen geprüft werden. Wie weit die Beauftragung externer Sicherheitsdienstleister reicht, fasst unser Beitrag dazu zusammen, ob das Anheuern von Hackern legal ist.