Sicherheitslücken des Mobiltelefons aufdecken

Sie führen im Auftrag der Opferhilfe beider Basel für Opfer von Beziehungsgewalt und Stalking sogenannte Handy-Sicherheitsassessments durch. Was genau machen Sie dabei?

Rachid Dahjaoui: Wir überprüfen die betroffenen Personen umfassend auf digitale Sicherheitsrisiken. Das Ziel ist herauszufinden, ob ihr Gerät überwacht wird, etwa durch sogenannte Stalkerware, also versteckte Überwachungs-Apps, oder ob es andere Schwachstellen gibt, über die eine Gefährdung besteht. Am Ende erhält die betroffene Person einen konkreten Massnahmenplan mit klaren Handlungsempfehlungen. Ausserdem können die Betroffenen während des gesamten Assessments weitere Fragen stellen.

Wie läuft eine solche Prüfung ab?

Rachid Dahjaoui: In der ersten Phase klären wir die betroffene Person über den Ablauf und das Ziel des Assessments auf. Ausserdem erhält sie einen Leitfaden zur digitalen Selbstverteidigung mit praktischen Tipps zum sicheren Umgang mit dem Smartphone, zu Passwörtern und wichtigen Einstellungen in Social-Media-Apps, insbesondere auch was Standortfreigaben betrifft. In der zweiten Phase gehen wir gemeinsam einen von uns entwickelten Fragebogen durch, mit dem wir systematisch alle relevanten Risikobereiche abfragen. Stossen wir dabei auf Auffälligkeiten, sogenannte Red Flags, haken wir gezielt nach, um die konkrete Gefährdung einzuschätzen. Bereits während des Gesprächs halten wir passende Gegenmassnahmen fest.

Wie geht es dann weiter?

In der dritten Phase wird es technisch: Wir analysieren den Netzwerkverkehr des Smartphones, also die Verbindungen, die das Gerät im Hintergrund aufbaut. Damit lässt sich erkennen, ob das Telefon heimlich Daten an verdächtige Dienste sendet, wie es bei Stalkerware der Fall wäre. Dafür nutzen wir ein speziell konfiguriertes Gerät, mit dem sich die betroffene Person verbindet. Nach dem Assessment erhält sie einen Massnahmenplan mit allen erkannten Risiken und den empfohlenen Schritten.

Was sind die häufigsten Schwachstellen, denen Sie begegnet sind? 

Rachid Dahjaoui: Mit Abstand die grösste Schwachstelle ist der fehlende sichere Umgang mit den eigenen Accounts und Passwörtern. Betroffene haben häufig ihre Zugangsdaten mit dem Partner oder der Partnerin geteilt oder sich die Accounts von diesem einrichten lassen. Das führt dazu, dass der Partner oder die Partnerin vollen Zugriff hat und damit auch volle Kontrolle und Überwachungsmöglichkeiten. Hinzu kommt, dass oft dasselbe Passwort für mehrere Accounts verwendet wird. Wird eines davon bekannt, stehen damit gleich mehrere Türen offen.

Francis Fink: Den betroffenen Personen fehlt in diesem Zusammenhang auch häufig der Überblick, welche ihrer Accounts wie sicher ist. Wenn sie dann hören, dass alle Accounts als gefährdet oder sogar kompromittiert angesehen werden müssen, ist das für sie eine grosse Belastung.

Die Pilotphase ist nun abgeschlossen. Welche Erfahrungen konnten Sie sammeln? Welche Zwischenbilanz ziehen Sie?

Rachid Dahjaoui: Eine wichtige Erkenntnis: Bis auf einen Fall haben wir keine Stalkerware oder Spyware auf den Geräten gefunden. Das bedeutet aber nicht, dass keine Überwachung stattfindet – ganz im Gegenteil. Das Risiko entsteht meist nicht durch technische Angriffe, sondern dadurch, dass Zugänge freiwillig geteilt oder vom Partner oder der Partnerin eingerichtet wurden. Fachsprachlich spricht man hier von Social Engineering, also der gezielten Manipulation von Menschen, um an Zugänge oder Informationen zu gelangen. Eine weitere Erkenntnis: Ein Fragebogen allein reicht nicht aus. Es braucht fundiertes Wissen im Bereich Cybersecurity, um das tatsächliche Gefahrenpotenzial richtig einschätzen zu können.

Francis Fink: Eine der wichtigsten Erfahrungen für mich persönlich ist, dass die Täter bei häuslicher und psychischer Gewalt ihre Kontrollausübung über die Opfer auch in den digitalen Raum verlagern. Das heisst, dass die Opfer, welche bis vor den Tatvorgängen einen ähnlich sorglosen Umgang mit ihrer eigenen Accountsicherheit gepflegt haben, wie die Mehrheit aller Menschen, ihr eigenes Sicherheitsdispositiv unbedingt der erhöhten Gefahrenlage anpassen müssten. Ein solcher Wechsel gelingt nicht aus dem Stand heraus, und häufig ist zu diesem Zeitpunkt bereits ein grosses Gefährdungspotenzial vorhanden. Unsere Cyberassessments bilden da einen Startpunkt, um digitale Hygiene, wie wir es nennen, zu betreiben und allenfalls damit zu beginnen, die Kontrolle über die eigenen Accounts und Verbindungen zurückzugewinnen.

Wie können Sie dafür sorgen, dass betroffene Personen Ihre Empfehlungen umsetzen?

Rachid Dahjaoui: Idealerweise sollte ein Angebot geschaffen werden, das die Betroffenen bei der Umsetzung der Massnahmen direkt begleitet. Sie also nicht mit einer Liste allein lässt, sondern Schritt für Schritt unterstützt. Gleichzeitig ist es wichtig, die Betroffenen zu sensibilisieren: Was ist technisch alles möglich? Welche Risiken bestehen konkret? Und wie hätte sich die Person schützen können? Dieses Bewusstsein ist der Schlüssel, damit die Empfehlungen auch langfristig im Alltag umgesetzt werden.

Francis Fink: Momentan können wir die betroffenen Personen nach dem Assessment leider nicht begleiten. Das heisst, dass wir nicht sicherstellen können, dass sie unsere Empfehlungen auch adäquat umsetzen können. Aus meiner Sicht wäre es zentral, die digitale Souveränität zurückzugewinnen, also einen Zustand, in dem eine Person selbständig entscheiden und steuern kann, wieviel Zugriff sie anderen Personen gewähren will und diesen allenfalls auch wieder entziehen kann. Eine Erweiterung des Angebots von Opferhilfestellen hin zu Beratungsangeboten, wie sich Personen sicher im digitalen Raum bewegen können und wie sie die von uns empfohlenen Massnahmen umsetzen könnten, würde unsere Bemühung zweifellos abrunden.

Sie konnten Ihre Erfahrungen den Opferberatungsstellen vorstellen, und Sie betreuen im Auftrag von tech against violence eine wöchentliche Sprechstunde für Fachpersonen. Worauf führen Sie das grosse Interesse an Ihrer Arbeit zurück?

Rachid Dahjaoui: In der heutigen Zeit ist es erschreckend einfach, andere Personen digital zu überwachen. Dafür braucht es weder Hackerkenntnisse noch grosses technisches Wissen. Das führt dazu, dass digitale Überwachung in Gewaltbeziehungen immer häufiger vorkommt, und die Beratungsstellen werden zunehmend mit genau dieser Problematik konfrontiert. Gleichzeitig fehlt dort oft das nötige Know-how, um die Risiken korrekt einschätzen zu können. Ein konkretes Beispiel: Wenn eine betroffene Person in ein Frauen- oder Mädchenhaus flüchtet und ein Smartphone bei sich trägt, das gerade aktiv geortet wird, ist die Sicherheit der gesamten Schutzeinrichtung gefährdet. Genau hier braucht es Fachwissen, und genau deshalb ist das Interesse an unserer Arbeit so gross.

Francis Fink: Das Informatikwissen von Mitarbeitenden in Fachstellen im Bereich Cybersicherheit ist häufig nicht ausreichend, um adäquat auf die Gefahrensituation im digitalen Raum reagieren zu können. Das ist den meisten Fachstellen bewusst, weshalb sie das Angebot von tech against violence rege benutzen.

Welche Tipps können Sie uns allen geben, damit wir bewusster mit Datensicherheit umgehen?

Rachid Dahjaoui: Vier einfache Grundregeln, die einen grossen Unterschied machen: Erstens: Verwenden Sie für jeden Account ein eigenes, starkes Passwort. Ein Passwort-Manager hilft dabei, den Überblick zu behalten. Zweitens: Aktivieren Sie, wo immer möglich, die Zwei-Faktor-Authentifizierung. Das bedeutet, dass neben dem Passwort ein zweiter Bestätigungsschritt nötig ist, zum Beispiel ein Code per App. Selbst wenn jemand Ihr Passwort kennt, kommt er damit alleine nicht in den Account. Drittens: prüfen Sie regelmässig die Berechtigungen Ihrer Apps: Welche App hat Zugriff auf Ihren Standort, Ihre Kamera oder Ihr Mikrofon? Deaktivieren Sie alles, was nicht zwingend nötig ist. Viertens: Halten Sie Ihre Geräte immer up to date und installieren Sie Updates. Und ganz grundsätzlich: Teilen Sie Ihre Zugangsdaten mit niemandem – auch nicht mit dem Partner oder der Partnerin.

Francis Fink: Ich sehe das wie Rachid: Ein sicherer Umgang mit den eigenen Accounts und Passwörtern sind die Grundlage für die eigene Cybersicherheit.

Wie erkennen wir, dass etwas mit der Sicherheit unseres Mobiltelefons nicht stimmt? Und was sollen wir dann tun?

Rachid Dahjaoui: Es gibt einige typische Warnsignale: Der Akku ist auffällig schnell leer, obwohl man das Telefon kaum benutzt hat. Die Kamera oder das Mikrofon schaltet sich ohne ersichtlichen Grund ein. Man erhält E-Mails über Passwort-Zurücksetzungen, die man selbst nicht veranlasst hat. Oder bestimmte Einstellungen lassen sich plötzlich nicht mehr ändern und zeigen Fehlermeldungen an. Das sind nur einige Beispiele, aber wenn Ihnen solche Dinge auffallen, sollten Sie aufmerksam werden. Wenden Sie sich in diesem Fall an eine Fachstelle oder eine Beratungsstelle, die Sie dabei unterstützen kann, das Gerät überprüfen zu lassen.

Francis Fink: Dazu ist zu ergänzen, dass Stalking seit dem 1. Januar 2026 eine strafbare Handlung darstellt. Freiheitsstrafen von bis zu drei Jahren können ausgesprochen werden. Stalking heisst eine anhaltende Verfolgung, Belästigung oder Bedrohung, welche die Möglichkeit einer Person, ihr Leben frei zu gestalten, stark einschränkt. Häufig ist die digitale Überwachung Teil davon.