IT-Sicherheit · Analyse
Warnung statt Nachweis: Spyware-Alarm für Dienst-iPhones in Bundestag und Bundesregierung
Seit dem 29. Oktober 2026 erhalten mehrere Mitglieder des Deutschen Bundestages sowie weitere Personen des öffentlichen Lebens auf ihren Apple-Geräten eine herstellerseitige Bedrohungsbenachrichtigung. Apple teilt darin mit, einen Angriff mit sogenannter Mercenary Spyware erkannt zu haben. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert die Abgeordneten am 30. Oktober schriftlich und macht Empfehlungen öffentlich. Ob die Warnungen eine tatsächliche Kompromittierung bedeuten oder nur auf einen Angriffsversuch hinweisen, ist dem BSI nicht bekannt.
Öffentlich wird der Vorgang am 1. November, als Digitalminister Karsten Wildberger der ARD die Warnung bestätigt. Am 2. November sagt Regierungssprecher Stefan Kornelius, die Bundesregierung nehme den Vorfall sehr ernst; die Hinweise seien früh öffentlich gemacht worden, „weil davon auszugehen ist, dass Geräte kompromittiert sein können“. Namen von Betroffenen nennt weder die Regierung noch das BSI. Die Bundestagsverwaltung spricht gegenüber SZ Dossier von „einigen wenigen Personen“ aus dem Bundestag beziehungsweise ihren Geräten.
Der Fall ist kein klassischer Einbruch in ein Behördennetz, sondern eine Warnung vor kommerziell entwickelter Spähsoftware, die in der Vergangenheit häufig im Auftrag staatlicher Akteure gegen gezielt ausgewählte Personen eingesetzt wurde. Genau das solltest du dir merken, wenn in deinem Unternehmen Geschäftsleitung, Anwältinnen oder Journalistinnen Diensthandys nutzen: Eine solche Benachrichtigung ist kein Beweis für einen erfolgreichen Angriff – und trotzdem kein Grund zur Entwarnung.
Was eine Apple-Bedrohungsbenachrichtigung bedeutet – und was nicht
Apple verschickt Bedrohungsbenachrichtigungen, wenn das Unternehmen davon ausgeht, dass eine Person gezielt mit Mercenary Spyware angegriffen wurde. Das BSI gibt die Einordnung des Herstellers so wieder: Die Benachrichtigungen seien „sehr zuverlässige Warnungen, dass eine Person gezielt angegriffen wurde“. Ob der Angriff erfolgreich war, gehe aus der Benachrichtigung nicht hervor.
Das ist die zentrale Unterscheidung. Eine bestätigte Warnung vor einem gezielten Angriff ist keine festgestellte Infektion. Gleichzeitig empfiehlt das BSI, vorsorglich von einer möglichen Kompromittierung auszugehen – insbesondere dann, wenn am Gerät unübliches Verhalten aufgefallen ist, etwa häufige Abstürze oder ein schnelles Entladen der Batterie im Vergleich zu den vergangenen Monaten.
Eine echte Benachrichtigung erscheint auf dem Sperrbildschirm und in den Einstellungen des iPhone, kommt zusätzlich per E-Mail an die Adressen des Apple-Accounts und wird nach der Anmeldung auf account.apple.com oben auf der Seite angezeigt. Apple fordert darin nie dazu auf, Links anzuklicken, Dateien zu öffnen, Apps oder Profile zu installieren oder Passwörter und Bestätigungscodes zu nennen. Wer an der Echtheit zweifelt, soll account.apple.com selbst im Browser aufrufen, statt einem Link zu folgen.
Das ist in einem öffentlich bekannten Fall wie diesem besonders wichtig: Genau solche Warnungen ziehen Phishing-Mails an, die sich als Apple-Hinweis ausgeben und genau das verlangen, was eine echte Benachrichtigung niemals verlangt.
„Dem BSI ist nicht bekannt, ob diese Benachrichtigungen tatsächliche Kompromittierungen bedeuten oder lediglich auf Angriffsversuche hinweisen.“
Dieser Satz ist die wichtigste amtliche Einordnung. Er verbietet zwei Verkürzungen: weder „die iPhones der Regierung sind gehackt“ noch „es war nur ein Fehlalarm“.
Mercenary Spyware: gezielt, kommerziell, oft unsichtbar
Unter Mercenary Spyware versteht das BSI kommerziell entwickelte Spähsoftware, die in der Vergangenheit häufig im Auftrag staatlicher Stellen gegen einzelne, ausgewählte Personen eingesetzt wurde. Das bekannteste Beispiel in dieser Kategorie ist Pegasus der NSO Group. Das BSI führt Pegasus als Beispiel an, nicht als zugeschriebenes Werkzeug dieses Vorfalls. Wer in Überschriften aus der Warnung einen „Pegasus-Angriff auf den Bundestag“ macht, geht über den festgestellten Stand hinaus.
In öffentlich dokumentierten Fällen solcher Software wurden Geräte ohne Zutun der Betroffenen infiziert, etwa über eine präparierte Nachricht, die nicht geöffnet werden musste. Das Innenministerium sagt zum aktuellen Fall, die Behörden gingen derzeit davon aus, „dass die Geräte ohne Zutun der Betroffenen infiziert werden“, etwa über eine solche Nachricht. Das ist die allgemeine Funktionsweise dieser Softwareklasse, auf den Fall angewandt – kein nachgewiesener Infektionsweg an einem konkreten Gerät.
Ist ein Gerät kompromittiert, können Angreifer nach der BSI-Darstellung auf Nachrichten zugreifen, einschließlich verschlüsselter Messenger, außerdem auf Anrufe, Kontakte, Kalender und Standort, und Mikrofon und Kamera einschalten. Genau deshalb hilft Ende-zu-Ende-Verschlüsselung hier nur begrenzt: Sie schützt die Leitung, nicht das entsperrte, bereits infizierte Endgerät.
Apple beschreibt Mercenary Spyware, so Euronews, als „weit anspruchsvoller als gewöhnliche Aktivitäten von Cyberkriminellen“. Die große Mehrheit der Nutzer gerate nicht ins Visier. Das unterstreicht den Charakter: kein Massenphishing, sondern ein Angriff auf ausgewählte Personen.
Zeitstrahl des Ablaufs
Ab 29. Oktober 2026:
Bedrohungsbenachrichtigungen von Apple gehen auf betroffenen Geräten ein. Apple teilt mit, einen Angriff mit Mercenary Spyware erkannt zu haben. Quelle: BSI; bestätigt über ein BSI-Schreiben, das Wildberger vorlag, auch von Euronews, 2.11.2026.30. Oktober 2026:
Das BSI sensibilisiert die Mitglieder des Bundestages schriftlich und informiert über notwendige Maßnahmen. Betroffene werden aufgefordert, sich direkt an das BSI zu wenden. Quelle: BSI.Sonntag, 1. November 2026:
Digitalminister Wildberger bestätigt der ARD die Warnung. Der Deutschlandfunk berichtet, das BSI habe mehrere Regierungsmitglieder und Abgeordnete vor Handyspionage gewarnt; ob der Angriff erfolgreich war und ob Daten kopiert wurden, sei nicht bekannt. Quelle: Deutschlandfunk.Montag, 2. November 2026:
Regierungssprecher Kornelius in Berlin: Die Bundesregierung nehme den Vorfall sehr ernst, öffentlich keine Aussagen zu betroffenen Regierungsmitgliedern. Ein Sprecher des Digitalministeriums betont, die Apple-Meldung sage nichts über eine tatsächliche Kompromittierung. Das Innenministerium bestätigt den Kreis „verschiedene Personen des öffentlichen Lebens, auch Mitglieder des Deutschen Bundestages“ sowie Privatpersonen und beschreibt die Softwareklasse. Wildberger im ARD-„Bericht aus Berlin“: Das BSI habe „superschnell reagiert“; was genau vorliege, sei „rein spekulativ“, das müsse man abwarten. Quelle: Tagesspiegel, 2.11.2026, 15:27 Uhr.Dienstag, 3. November 2026:
Die Bundestagsverwaltung bestätigt SZ Dossier „einige wenige Personen“ aus dem Bundestag bzw. deren Geräte. BSI und Bundesamt für Verfassungsschutz seien an der Aufklärung beteiligt. Quelle: SZ Dossier.Stand 12. November 2026:
Eine öffentliche Feststellung, dass einzelne Dienst-iPhones tatsächlich kompromittiert wurden, liegt weiterhin nicht vor. Das BSI-Dokument mit Einordnung und Empfehlungen bleibt die maßgebliche behördliche Quelle.
Was Betroffene tun sollen – und was eine echte Warnung nicht verlangt
Die Empfehlungen des BSI richten sich an alle, die eine solche Benachrichtigung erhalten haben. Unabhängig von weiteren Schritten gilt: Ist keine forensische Analyse beabsichtigt, das Betriebssystem sofort aktualisieren. Um künftige Angriffe zu erschweren, den Blockierungsmodus in Betracht ziehen (Einstellungen > Datenschutz & Sicherheit > Blockierungsmodus). Dieser Modus erschwert neue Angriffe, beseitigt eine bestehende Infektion aber nicht. Er schränkt Funktionen ein, etwa Nachrichtenanhänge, Linkvorschauen und FaceTime-Anrufe von Unbekannten; Telefonate und einfache Textnachrichten funktionieren weiter. Das BSI rät, ihn dauerhaft beizubehalten, auch auf einem neuen Gerät, und künftige Updates sofort zu installieren.
Wer das Risiko einer Kompromittierung als hoch einschätzt, soll über einen Tausch des Geräts nachdenken – einschließlich des Zurücksetzens aller genutzten Konten und, um erneute Angriffe zu erschweren, des Wechsels der Rufnummer. Danach: neuer Gerätecode (Face ID und Touch ID ersetzen ihn nicht), geänderte Passwörter für Apple-Account, E-Mail und weitere Konten, Zwei-Faktor-Authentifizierung, neue vertrauenswürdige Rufnummer im Apple-Account, Authenticator-Apps neu einrichten statt übertragen, in Signal die Registrierungssperre und in WhatsApp die Verifizierung in zwei Schritten mit neuer PIN, verknüpfte Geräte prüfen.
Wer eine Benachrichtigung erhalten hat, soll das BSI unter [email protected] informieren. Das helfe, das Ausmaß einzuschätzen.
Zwei Punkte aus diesen Empfehlungen solltest du nicht überlesen. Erstens: Sofort patchen und Forensik schließen sich in der Praxis oft aus, weil ein Update Spuren überschreiben kann. Das BSI macht diese Abwägung ausdrücklich. Zweitens: Ein Gerättausch ohne neue Rufnummer und ohne zurückgesetzte Konten kann denselben Angreifer nur auf das nächste Gerät mitnehmen.
Was heißt das für dein Unternehmen?
Der Vorfall betrifft öffentlich vor allem Politik. Das Muster gilt für jede Organisation, in der einzelne Personen ein lohnendes Ziel sind: Geschäftsleitung, Rechtsabteilung, M&A, Journalismus, NGOs.
- 1.
Diensthandys der Leitungsebene als eigene Angriffsfläche behandeln.
Mercenary Spyware zielt nicht auf die Masse, sondern auf ausgewählte Personen. Inventarisiere, wer in deinem Unternehmen ein besonders attraktives Ziel wäre, welche Geräte und Konten diese Personen nutzen und ob dort ein härteres Profil gilt als für den Durchschnitt – inklusive schneller Updates und, wo vertretbar, Blockierungsmodus oder vergleichbarer Einschränkungen. - 2.
Eine Herstellerwarnung ernst nehmen, ohne sie zur festgestellten Infektion zu machen.
Das BSI trennt beides klar. In deinem Vorfallsprozess braucht es dieselbe Trennung: Maßnahmen vorsorglich, Sprache präzise. „Gerät als möglicherweise kompromittiert behandeln“ ist etwas anderes als „Gerät ist gehackt“. - 3.
Forensik oder Sofort-Update bewusst entscheiden.
Wenn du später nachvollziehen willst, ob und wie ein Gerät infiziert wurde, darf es nicht zuerst ungeplant überschrieben werden. Wenn Forensik nicht vorgesehen ist, gilt die BSI-Linie: sofort aktualisieren. Diese Entscheidung gehört in den Notfallplan, nicht in die Hektik einer Warnung. - 4.
Verschlüsselte Messenger schützen nicht vor einem kompromittierten Endgerät.
Wenn Spyware Nachrichten auch innerhalb verschlüsselter Dienste lesen und Mikrofon oder Kamera einschalten kann, reicht „wir nutzen Signal“ als Schutzbehauptung nicht. Der Schutz muss am Gerät ansetzen: aktuelles System, eingeschränkte Profile, Kontrolle verknüpfter Geräte. - 5.
Echte Warnungen von Phishing unterscheiden.
Apple fordert in einer echten Bedrohungsbenachrichtigung nie dazu auf, Links anzuklicken, Dateien zu öffnen, Apps zu installieren oder Passwörter zu nennen. Nach einem öffentlich bekannten Fall wie diesem solltest du im Unternehmen genau darauf hinweisen. Wer unsicher ist, öffnet account.apple.com selbst. - 6.
Einen Weg zum Gerättausch inklusive Konten und Rufnummer haben.
Ein neues iPhone mit der alten Nummer und denselben, nicht zurückgesetzten Konten ist oft nur ein neues Gehäuse. Wenn dein Krisenplan für Führungskräfte einen Tausch vorsieht, muss er Nummer, Apple-Account, Messenger-PINs und Authenticator-Apps einschließen.
Wenn du prüfen willst, wie gut Dienstgeräte, Konten und Meldewege in deinem Unternehmen gegen gezielte Angriffe auf einzelne Personen aufgestellt sind, kannst du dafür ein Security-Audit von Wasa Consult nutzen. Der Fall zeigt vor allem eines: Die gefährliche Lage beginnt nicht erst mit einem nachgewiesenen Einbruch, sondern bereits mit einer glaubwürdigen Warnung, der du nicht ausweichen kannst.
Häufige Fragen
Quellen
- Bundesamt für Sicherheit in der Informationstechnik: Bedrohungsbenachrichtigungen von Apple zu Mercenary Spyware – Einordnung und Empfehlungen (November 2026).
- Deutschlandfunk: BSI warnt mehrere Regierungsmitglieder und Abgeordnete vor Handy-Spionage, 1.11.2026.
- Tagesspiegel / dpa, AFP: Spähsoftware auf iPhones: Bundesregierung besorgt wegen Hackerangriff auf Politiker-Handys, 2.11.2026, 15:27 Uhr.
- Euronews, Simon Ormiston: Apple warnt vor Hacker-Angriff auf Bundestagsabgeordnete, 2.11.2026.
- SZ Dossier, Gabriel Rinaldi: Spyware: Bundestag geht von „einigen wenigen“ Betroffenen aus, 3.11.2026.
