Pegasus ist die bekannteste, aber längst nicht die einzige kommerzielle Spyware, die gezielt iPhones angreift. Hinter den Programmen stehen private Firmen, die Überwachungssoftware an staatliche Auftraggeber verkaufen. Die meisten iPhone-Nutzer sind davon nie betroffen – doch wer im Visier steht, hat es mit Angriffen zu tun, die Millionen kosten und in modernen Varianten ganz ohne Klick des Opfers funktionieren. Nachfolgend erklären wir, wie Pegasus arbeitet, wer wirklich gefährdet ist, was Apples Bedrohungsmeldungen bedeuten und welche Schutzmaßnahmen sinnvoll sind.
Apple bezeichnet diese Klasse von Angriffswerkzeugen offiziell als „Söldner-Spyware“. Der Begriff ersetzt die früher verwendete Formulierung „staatlich gesponserte Angriffe“ und beschreibt das Geschäftsmodell präziser: Private Unternehmen entwickeln hochkomplexe Überwachungssoftware und verkaufen sie an staatliche Akteure. Das bekannteste Beispiel ist Pegasus von der israelischen NSO Group, doch der Markt ist gewachsen. Mit Coruna und DarkSword sind 2025 und 2026 weitere iOS-Exploit-Kits aufgetaucht, die Apple in mehreren Notfall-Sicherheitsupdates adressieren musste. Für betroffene Personen ist Apples Blockierungsmodus die wichtigste Verteidigungslinie – aber auch alle anderen Nutzer profitieren davon, das Bedrohungsbild zu verstehen.
Was Pegasus genau ist
Pegasus wurde 2016 erstmals dokumentiert, als die Sicherheitsfirma Lookout und das Citizen Lab der Universität Toronto die Software auf dem iPhone eines Menschenrechtsaktivisten aus den Vereinigten Arabischen Emiraten entdeckten. Entwickelt wird sie von der NSO Group, einem israelischen Unternehmen, das die Spyware ausschließlich an staatliche Auftraggeber verkauft – offiziell zur Terrorismus- und Kriminalitätsbekämpfung.
Pegasus hat sich technisch deutlich weiterentwickelt. Die 2016 entdeckte Version war noch ein One-Click-Angriff: Ahmed Mansoor erhielt eine SMS mit einem Link, ein Klick darauf reichte zur Infektion. Spätestens 2020 wurde dann der Wechsel zu Zero-Click-Exploits dokumentiert – zunächst über die Kismet-Lücke, ab Februar 2021 dann über den weitaus bekannteren FORCEDENTRY-Angriff, der Apples damals neue BlastDoor-Schutzschicht in iMessage aushebelte und im September 2021 mit iOS 14.8 geschlossen wurde. Bei einem Zero-Click-Angriff muss das Opfer nichts tun – allein der Empfang einer präparierten Nachricht, eines manipulierten Bildes oder eines speziellen Web-Aufrufs genügt, um eine Sicherheitslücke in iOS auszunutzen und die Software unbemerkt zu installieren. Einmal aktiv, erhält die Spyware nahezu vollständigen Zugriff auf das iPhone: Nachrichten, E-Mails, Fotos, Standort, Mikrofon, Kamera und gespeicherte Passwörter lassen sich auslesen oder in Echtzeit überwachen.
Pegasus ist nicht das einzige Werkzeug dieser Klasse. Predator wird vom Intellexa-Konsortium vertrieben, einer vom ehemaligen israelischen Geheimdienstoffizier Tal Dilian gegründeten Allianz aus mehreren Unternehmen. Die eigentliche Entwicklung erfolgt bei der Konsortiumsfirma Cytrox AD in Nord-Mazedonien. Mit Coruna und DarkSword sind zudem zwei weitere iOS-Exploit-Kits aktiv im Einsatz, die unter anderem von Russland zugeordneten Gruppen sowie kommerziellen Überwachungsanbietern genutzt werden.
Wer wirklich angegriffen wird
Apple selbst stellt klar: Die überwiegende Mehrheit der iPhone-Nutzer wird nie von einem Söldner-Spyware-Angriff betroffen sein. Die Kosten pro Ziel liegen bei mehreren Millionen Dollar, die Operationen sind oft nur kurz aktiv und werden gezielt gegen einzelne Personen geführt.
Im Visier stehen typischerweise:
- Journalisten mit kritischer Berichterstattung
- Menschenrechtsaktivisten und Dissidenten
- Politiker und Diplomaten
- Anwälte mit sensiblen Mandaten
- Wissenschaftler in geopolitisch relevanten Forschungsfeldern
Bekannte Fälle umfassen die Überwachung von Personen aus dem Umfeld des 2018 ermordeten saudischen Journalisten Jamal Khashoggi, gezielte Angriffe auf indische Journalisten und Oppositionspolitiker sowie Spyware-Funde auf Geräten europäischer Aktivisten. Seit 2021 hat Apple Nutzer in über 150 Ländern mit Bedrohungsmeldungen über entsprechende Angriffsversuche informiert.
Wie Apple betroffene Nutzer informiert
Erkennt Apple einen Angriff, der auf eine Söldner-Spyware-Operation hindeutet, wird der betroffene Nutzer auf zwei Wegen benachrichtigt. Nach der Anmeldung auf account.apple.com erscheint oben auf der Seite eine Bedrohungsmeldung. Parallel sendet Apple eine Mitteilung per E-Mail an alle mit dem Apple Account verknüpften Adressen sowie eine iMessage an die hinterlegten Telefonnummern.
Die E-Mail wird seit April 2025 von der Adresse threat-notifications [at] email.apple.com versendet, iMessage-Nachrichten kommen von threat-notifications [at] apple.com. Frühere E-Mails stammten ebenfalls von threat-notifications [at] apple.com.
Apple weist ausdrücklich darauf hin, was eine echte Bedrohungsmeldung nicht enthält:
- Keine Links, auf die geklickt werden soll
- Keine Aufforderung, Apps oder Profile zu installieren
- Keine Abfrage des Apple-Account-Passworts
- Keine Anforderung eines Bestätigungscodes
Wer eine entsprechende Mitteilung erhält, kann ihre Echtheit zuverlässig prüfen, indem er sich direkt auf account.apple.com anmeldet. Erscheint dort die Warnung im oberen Seitenbereich, ist sie authentisch.
Bedrohungsmeldungen von Phishing unterscheiden
Da der Begriff „Pegasus“ inzwischen breit bekannt ist, nutzen Phishing-Angreifer ihn gezielt für gefälschte Warnungen. Pop-ups mit Texten wie „Warning Pegasus Spyware Activated“ oder gefälschte E-Mails, die zu einem Anruf bei einer angeblichen Apple-Care-Hotline auffordern, sind reine Betrugsversuche. Apple ruft niemals von sich aus an, verlangt keine Aktionen über Telefonnummern in Warnmeldungen und sendet keine Pop-ups im Browser. Die Methoden, mit denen sich solche Fakes erkennen lassen, beschreibt unser separater Ratgeber zu Phishing-Warnsignalen ausführlich.
Eine zweite Eigenheit: Echte Pegasus-Infektionen sind so konzipiert, dass sie unentdeckt bleiben. Wer eine Meldung sieht, die behauptet, das iPhone sei „mit Pegasus infiziert“, kann sicher sein, dass es sich um einen Scam handelt.
Was nach Erhalt einer echten Bedrohungsmeldung zu tun ist
Apple selbst empfiehlt, sich an spezialisierte Hilfsorganisationen zu wenden. Die Digital Security Helpline der gemeinnützigen Organisation Access Now ist rund um die Uhr erreichbar und unterstützt Apple-Bedrohungsmeldungs-Empfänger kostenlos mit individuellen Sicherheitsempfehlungen. Auch Amnesty International und das Citizen Lab der Universität Toronto bieten forensische Untersuchungen für gefährdete Personengruppen an.
Wichtig ist die richtige Reihenfolge: Wer das iPhone sofort zurücksetzt oder neu aufsetzt, vernichtet möglicherweise forensische Spuren, die für die Aufklärung des Angriffs entscheidend wären. Ein Neustart entfernt zwar viele speicherresidente Komponenten der Spyware, löscht aber auch wertvolle Logfiles. Ohne dringende Notwendigkeit sollte daher zuerst Expertenhilfe konsultiert werden.
Parallel sollte der Blockierungsmodus aktiviert werden. Apple hat ihn explizit für diese Bedrohungsklasse entwickelt. Er reduziert die Angriffsfläche drastisch, indem Funktionen wie Nachrichten-Anhänge, FaceTime-Anrufe von Unbekannten und bestimmte Web-Technologien eingeschränkt werden – also genau jene Vektoren, über die Söldner-Spyware typischerweise eindringt.
Praktischer Schutz für alle Nutzer
Auch wer keine Bedrohungsmeldung erhalten hat, kann durch konsequente Sicherheitshygiene die eigene Angriffsfläche reduzieren. Apple empfiehlt für alle Nutzer:
- Geräte immer auf der aktuellsten iOS-Version halten
- Gerätecode aktivieren
- Zwei-Faktor-Authentifizierung für den Apple Account nutzen
- Apps ausschließlich aus dem App Store installieren
- Sichere und einmalig vergebene Passwörter verwenden
- Keine Links oder Anhänge von unbekannten Absendern öffnen
Wer aus beruflichen Gründen ein erhöhtes Risiko hat – etwa als Journalist, Anwalt mit politisch sensiblen Mandaten oder Mitarbeiter einer NGO mit Bezug zu autoritären Regimen – sollte den Blockierungsmodus dauerhaft aktivieren, auch ohne konkrete Bedrohungsmeldung. Die funktionalen Einschränkungen sind im Alltag spürbar, aber die zusätzliche Schutzschicht ist substanziell.
Apple gegen die Spyware-Industrie
Apple hat 2021 Klage gegen die NSO Group eingereicht, mit dem Ziel, dem Unternehmen die Nutzung von Apple-Diensten und -Geräten dauerhaft zu untersagen. Im Januar 2024 wies ein US-Gericht den Abweisungsantrag der NSO Group zurück. Doch im September 2024 zog Apple die Klage selbst zurück. Begründung: Der Prozess hätte erfordert, dass Apple interne Threat-Intelligence-Informationen offenlegt – ein Risiko, das nach einem mutmaßlichen Eingriff israelischer Behörden in NSO-Unterlagen zu hoch geworden sei. Zudem habe sich der Spyware-Markt diversifiziert, ein einzelner Prozess gegen NSO sei nicht mehr wirksam.
Apple investiert seitdem stärker in technische Maßnahmen statt in juristische. Der Blockierungsmodus wurde erweitert, die Bedrohungsmeldungen wurden verfeinert, und Apple kooperiert in der neuen Cybersecurity-Initiative Project Glasswing mit Anthropic, um Sicherheitslücken systematisch aufzudecken.
Ein realistischer Blick auf das eigene Risiko
Pegasus und Predator sind reale, aber sehr gezielte Bedrohungen – wer kein politisches Hochrisikoprofil hat, ist statistisch nicht im Visier dieser Operationen, weil die Kosten pro Ziel schlicht zu hoch sind. Anders sieht es bei Coruna und DarkSword aus: Diese Exploit-Kits haben sich aus der staatlichen Nische gelöst und werden inzwischen auch von Kriminellen für Massenangriffe genutzt, etwa zum Diebstahl von Kryptowährungen über kompromittierte Websites. Wer eine veraltete iOS-Version nutzt und auf einen manipulierten Link klickt oder eine infizierte Seite besucht, kann auch ohne politisches Profil ins Visier geraten. Wichtig ist daher für jeden iPhone-Nutzer: Geräte konsequent aktuell halten, Apples Bedrohungsmeldungen verstehen und sie von Phishing-Versuchen unterscheiden können. Wer das tut, ist gegen die Werkzeuge der Söldner-Spyware-Industrie so gut geschützt, wie es ein Verbrauchergerät heute sein kann. Zeit für frisches Zubehör? Besuche unsere Amazon Storefront und entdecke eine große Auswahl an Produkten von führenden Herstellern, auch für HomeKit! (Bild: Shutterstock / Bits And Splits)
- Sichere E-Mail-Nutzung auf dem iPhone
- KI macht dein iPhone sicherer – was das wirklich für dich bedeutet
- Apple Sicherheitsupdates: So schützt Apple deine Geräte
- Ransomware erklärt: Kann mein iPhone betroffen sein?
- Identitätsdiebstahl: Was tun, wenn deine Daten gestohlen wurden?
- Social Engineering erkennen: So schützt du dich vor Manipulation
- KI-Betrug erkennen: Deepfakes, Fake-Stimmen und wie du dich schützt
- Quishing erkennen: So schützt du dich vor QR-Code-Betrug
- Öffentliches WLAN sicher nutzen: So schützt du dein iPhone
- iOS 26.4: Hotspot-Datenverbrauch pro Gerät anzeigen
- Smishing erkennen: So schützt du dich vor SMS-Betrug
- Sicheres Passwort erstellen & verwalten: Der Apple-Leitfaden
- WhatsApp gehackt: So schützt du dein Konto
- Phishing erkennen: So schützt du dich vor Betrug
- Apple ID erstellen, ändern und löschen: Der komplette Überblick
- iPhone Rufumleitung aktivieren: Alle Methoden unter iOS 26
- iPhone vibriert ohne Grund: Ursachen und Lösungen unter iOS 26
- AirPods verbinden und zurücksetzen: Anleitung für alle Modelle
- AirDrop funktioniert nicht: Alle Lösungen unter iOS 26
- iPhone lädt langsam: Ursachen und Lösungen unter iOS 26
- iPhone Bildschirm aufnehmen: Anleitung für iOS 26
- WLAN Passwort anzeigen auf dem iPhone: Alle Methoden unter iOS 26
- iPhone Update Probleme: Alle Lösungen unter iOS 26
- iPhone Backup erstellen: Alle Methoden unter iOS 26
Häufige Fragen zu Pegasus und kommerzieller Spyware
Pegasus ist hochentwickelte Spyware, die in modernen Versionen ohne jede Interaktion des Opfers installiert wird (Zero-Click) und Millionen Dollar pro Einsatz kostet. Gewöhnliche Malware setzt fast immer auf Phishing oder schädliche Apps und richtet sich gegen breite Nutzergruppen statt einzelne Ziele.
Ja – das ist sogar das Design-Ziel. Pegasus ist darauf ausgelegt, vollständig unentdeckt zu bleiben. Anzeigen wie „Pegasus aktiviert“ sind ausschließlich Phishing-Versuche.
Der Modus ist Apples wirksamste Schutzmaßnahme gegen Söldner-Spyware. Citizen Lab und Apple haben mehrere konkrete Fälle dokumentiert, in denen der Blockierungsmodus aktive Angriffe – darunter mit Pegasus und Predator – blockiert hat. Eine hundertprozentige Garantie gibt es bei Software-Sicherheit nie, doch der Modus reduziert die Angriffsfläche drastisch.
Echte Bedrohungsmeldungen kommen von threat-notifications [at] email.apple.com und werden parallel auf account.apple.com nach Anmeldung angezeigt. Sie enthalten niemals Links zum Anklicken oder Aufforderungen zur Passworteingabe.
Berichten und Klageschriften zufolge liegen die Kosten pro Zielperson im Bereich mehrerer Millionen Dollar. Das macht den Einsatz gegen Privatpersonen ohne politisches Profil wirtschaftlich uninteressant.
Ein Reset oder Neustart entfernt viele speicherresidente Komponenten, kann aber auch wichtige forensische Spuren löschen. Wer eine Bedrohungsmeldung erhalten hat, sollte vor dem Reset Expertenhilfe von Organisationen wie Access Now oder Citizen Lab konsultieren.
