Apple warnt vor Spyware: Was eine Bedrohungsmitteilung auf dem iPhone bedeutet, was du sofort tust und wann der Blockierungsmodus sinnvoll ist

Nachtrag vom 12.11.2026

Forscher umgehen den Blockierungsmodus: Was das für dich heißt.

Am 3. November hat das Sicherheitsteam Calif.io, zu dem der deutsche Forscher Stefan Esser gehört, in einem Video einen Angriff auf ein iPhone 18 Pro mit eingeschaltetem Blockierungsmodus vorgeführt [10][13]. Das Gerät lief mit einer iOS-Version vor 27.2, das Opfer nahm per AirDrop ein präpariertes PDF an und öffnete es [10][11]. Danach installierte es iOS 27.2, der Angriff blieb trotzdem auf dem Gerät [10]. Laut Esser schließt iOS 27.2 die für den Einbruch genutzten Lücken; die Lücke, über die sich der Angriff über Updates hält, hat Apple noch nicht geschlossen, weil Calif.io ihr die Details nach eigener Aussage noch nicht geschickt hatte (Stand 6. November) [11]. Technische Details hat Calif.io nicht veröffentlicht [10].

Die Grenzen der Vorführung: Es braucht einen Klick, das Opfer muss die Datei annehmen und öffnen [11]. Ob ein iPhone, das schon iOS 27.2 hat, auf demselben Weg neu angegriffen werden kann, geht aus den Berichten nicht hervor [13]. iOS 27.2.1 vom 9. November behebt laut Apple neun Lücken, unter anderem in Bluetooth, AirPlay und Nachrichten; ein Eintrag zu PDF, Vorschau oder Calif.io steht nicht in der Liste [12]. Wir lesen das so, dass die Persistenzlücke noch offen ist (Einschätzung).

Esser selbst sagt, der Blockierungsmodus mache aus Zero-Click-Angriffen Ein-Klick-Angriffe und Angriffe damit teurer [11]. Unsere Empfehlung ändert sich deshalb nur in zwei Punkten:

• Blockierungsmodus anlassen. Wer eine echte Warnung bekommen hat oder zur Zielgruppe gehört, lässt ihn aktiv und spielt iOS 27.2.1 ein [1][7].
• Update ist kein Reinigungsmittel. Nach einer echten Warnung wiegt der Rat des BSI zum Gerätetausch mit neuen Zugängen und neuer Rufnummer schwerer als vorher [1][11] (Einschätzung).
• Keine unerwarteten PDFs öffnen, AirDrop auf „Nur Kontakte“ oder aus. „10 Minuten für alle“ springt nach zehn Minuten von selbst zurück [14].

01 / Was passiert ist

Warum gerade so viele über gehackte iPhones reden.

Am Abend des 1. November berichtete die Tagesschau über ein Schreiben des BSI: iPhones von Bundestagsabgeordneten und Regierungsmitgliedern hätten seit dem 29. Oktober eine Bedrohungsbenachrichtigung von Apple erhalten, wonach ein Angriff mit sogenannter Mercenary Spyware erkannt worden sei [4]. Digitalminister Karsten Wildberger bestätigte das im „Bericht aus Berlin“ [4][6]. Das BSI selbst nennt als Datum seines Schreibens an die Abgeordneten den 30. Oktober und hat inzwischen eine öffentliche Einordnung mit Empfehlungen veröffentlicht [1].

Am 2. November legte die Bundesregierung nach. Laut Bundesinnenministerium haben „verschiedene Personen des öffentlichen Lebens, auch Mitglieder des Deutschen Bundestages“ sowie Privatpersonen eine solche Warnung bekommen [5]. Ein Sprecher des Digitalministeriums betonte, dass eine Apple-Meldung nichts darüber aussage, „ob tatsächlich auch eine Kompromittierung vorliegt“ [5]. Das BSI schreibt dasselbe: Ihm ist nicht bekannt, ob die Benachrichtigungen echte Infektionen oder nur Angriffsversuche bedeuten [1]. Wie viele Menschen betroffen sind und wer hinter dem Angriff steckt, ist öffentlich nicht bekannt [5][8].

Mercenary Spyware heißt auf Deutsch Söldner-Spyware: kommerziell entwickelte Spähsoftware, die häufig im Auftrag staatlicher Stellen gegen gezielt ausgewählte Personen eingesetzt wird. Das bekannteste Beispiel ist Pegasus der NSO Group [1][2]. Ist ein Gerät befallen, können Angreifer laut BSI Nachrichten lesen, auch in verschlüsselten Messengern, dazu Anrufe, Kontakte, Kalender und Standort, und sie können Mikrofon und Kamera einschalten [1]. Typisch ist die Infektion ohne jedes Zutun, etwa über eine präparierte Nachricht, die nicht einmal geöffnet werden muss („Zero-Click“) [1].

Für die meisten Firmen-iPhones bleibt das Risiko gering. Apple schreibt, die überwiegende Mehrheit der Nutzer werde nie von solchen Angriffen betroffen sein; sie kosten Millionen und richten sich meist gegen Journalisten, Aktivisten, Politiker und Diplomaten [2]. Wenn in deinem Betrieb jemand politisch aktiv ist, in sensiblen Branchen verhandelt oder öffentlich exponiert ist, gehört er aber zur Zielgruppe (Einschätzung). Und die Nachrichtenlage wird Betrüger anlocken, die falsche „Apple-Warnungen“ verschicken (Einschätzung).

02 / Echt oder Phishing

Wie du eine echte Apple-Warnung von einer Kopie unterscheidest.

Apple stellt eine echte Bedrohungsbenachrichtigung auf drei Wegen zu [2]:

• Auf dem iPhone: als Hinweis auf dem Sperrbildschirm und in der Einstellungen-App.
• Per E-Mail: an die Adressen, die mit dem Apple Account verknüpft sind. Seit 2026 kommt sie laut Apple von Apple Threat Notifications (threat-notifications@email.apple.com).
• Im Apple Account: als Banner oben auf der Seite, nachdem du dich bei account.apple.com angemeldet hast.

Der dritte Weg ist der entscheidende Test. Eine Absenderadresse lässt sich fälschen, das Banner in deinem eigenen Account nicht (Einschätzung). Tipp deshalb account.apple.com selbst in den Browser ein oder öffne es über ein Lesezeichen, nie über einen Link aus der Nachricht. Das empfehlen Apple und das BSI gleichermaßen [1][2]. Steht dort oben kein Hinweis, war die Nachricht keine Apple-Bedrohungsmitteilung.

Ebenso klar ist, was eine echte Warnung nie verlangt: Apple bittet darin nicht darum, Links anzuklicken, Dateien zu öffnen, Apps oder Profile zu installieren oder das Apple-Account-Passwort oder einen Bestätigungscode per E-Mail oder Telefon zu nennen [2]. Eine Mail, die genau das will, ist Phishing. Leite sie nicht im Team weiter, sondern lösche sie und gib eine kurze Warnung an alle mit Firmen-iPhone. Wie du Apple Accounts im Team gegen Sperren und Übernahmen absicherst, habe ich in Apple Account gesperrt beschrieben.

03 / Sofortschritte

Was du sofort tust, wenn die Warnung echt ist.

Das BSI hat für Empfänger einer echten Warnung eine klare Reihenfolge veröffentlicht [1]. Für ein Firmen-iPhone sieht sie so aus:

1. Forensik oder Update entscheiden: Wenn keine forensische Analyse geplant ist, sofort das Betriebssystem aktualisieren [1]. Willst du den Angriff untersuchen lassen, sprich vorher mit Fachleuten, denn ein Update kann Spuren verändern (Einschätzung). Apple verweist auf die rund um die Uhr erreichbare Digital Security Helpline von Access Now [2].
2. Blockierungsmodus einschalten: Einstellungen › Datenschutz & Sicherheit › Blockierungsmodus › Blockierungsmodus aktivieren › Aktivieren & Neustart [1][3]. Er erschwert neue Angriffe, eine bestehende Infektion entfernt er nicht [1]. Vollständig schützt er nicht, wie eine Vorführung von Calif.io im November zeigt (siehe Nachtrag) [10][11].
3. Gerätetausch abwägen: Schätzt du das Risiko als hoch ein, rät das BSI zu einem neuen Gerät. Dazu gehört, alle darauf genutzten Konten zurückzusetzen und die Rufnummer zu wechseln [1].
4. Zugänge erneuern: neuer Gerätecode, der sich vom alten unterscheidet; neue Passwörter für Apple Account, E-Mail und alle anderen Konten auf dem Gerät; Zwei-Faktor-Authentifizierung prüfen; neue Nummer als vertrauenswürdige Nummer im Apple Account eintragen und erst danach die alte entfernen; Authenticator-Apps neu einrichten statt übertragen [1].
5. Messenger und Geräte prüfen: in Signal die Registrierungssperre, in WhatsApp die Verifizierung in zwei Schritten mit neuer PIN aktivieren, verknüpfte Geräte dort und im Apple Account durchgehen und Unbekanntes entfernen [1].
6. Melden: Das BSI bittet Empfänger, sich über service-center@bsi.bund.de zu melden, damit es das Ausmaß einschätzen kann [1].

Für die Geschäftsführung heißt das: Ein betroffenes Gerät ist ein Sicherheitsvorfall, kein Supportticket. Lege fest, wer entscheidet, ob getauscht wird, wer die Konten zurücksetzt und wer Kunden oder Partner informiert, falls vertrauliche Gespräche über das Gerät liefen (Einschätzung). Wenn ein Altgerät ausgemustert wird, hilft die Anleitung Firmen-iPhone zurücksetzen und übergeben.

Selbst erkennen lässt sich solche Spyware kaum. Betroffene bemerken die Infektion laut BSI in der Regel nicht [1]. Als mögliche Hinweise nennt das BSI unübliches Verhalten im Vergleich zu den Vormonaten, etwa häufige Abstürze oder einen schnell leeren Akku [1]. Beides hat meist harmlose Ursachen. Virenscanner-Apps aus dem App Store können das System nicht durchleuchten, sie sind für diesen Fall keine Hilfe (Einschätzung).

04 / Blockierungsmodus

Wann der Blockierungsmodus auf dem iPhone sinnvoll ist.

Apple beschreibt den Blockierungsmodus als „optionalen, extremen Schutz“ für die wenigen Menschen, die wegen ihrer Identität oder Tätigkeit ins Visier solcher Angriffe geraten können [3]. Auch ohne Warnung kannst du ihn einschalten, wenn du Grund zu der Annahme hast, gezielt angegriffen zu werden [2]. Für Geschäftsführer, die mit Politik, Behörden, Rüstung, Medien oder vertraulichen Übernahmen zu tun haben, ist das eine ernsthafte Überlegung. Für die Kassenkraft im Laden oder das Lager-iPhone nicht (Einschätzung).

Der Preis ist ein spürbar eingeschränktes Gerät. Laut Apple gilt im Blockierungsmodus unter anderem [3]:

• Nachrichten: Die meisten Anhänge werden blockiert, außer bestimmten Bild-, Video- und Audioformaten; Links und Linkvorschauen fehlen.
• Safari: Komplexe Webtechniken sind gesperrt, manche Websites laden langsamer oder funktionieren nicht richtig.
• FaceTime: Eingehende Anrufe kommen nur von Personen durch, die du in den letzten 30 Tagen selbst angerufen hast.
• Verbindungen: kein automatisches Verbinden mit unsicheren WLANs, 2G und 3G sind abgeschaltet, Zubehör und Computer verbinden sich nur mit entsperrtem iPhone.
• Fotos und Einladungen: Geteilte Alben verschwinden aus der Fotos-App, Einladungen zu Apple-Diensten von Unbekannten werden blockiert.

Telefonate und einfache Textnachrichten funktionieren weiter, Notruf SOS ebenfalls [3]. Einzelne vertrauenswürdige Websites und Apps kannst du ausnehmen, seit Version 27 auch Kontakte, deren Nachrichten dann nicht mehr eingeschränkt werden [3]. Jede Ausnahme senkt den Schutz, also sparsam damit umgehen [3]. Auf iPhone, iPad und Mac musst du den Modus getrennt einschalten; eine gekoppelte Apple Watch zieht automatisch mit [3].

Was das für verwaltete Firmen-iPhones heißt

Hier liegt die Stolperstelle für Firmen. Im Blockierungsmodus lassen sich keine Konfigurationsprofile installieren, und das Gerät kann sich nicht neu bei einer Geräteverwaltung (MDM) anmelden [3]. Ein iPhone, das schon vorher verwaltet war, bleibt verwaltet; Admins können dort weiter Profile verteilen [3]. Zentral einschalten kannst du den Modus per MDM nicht, das muss die Person selbst tun [3]. Die Reihenfolge ist deshalb wichtig: erst das Gerät in eure Verwaltung aufnehmen, dann den Blockierungsmodus aktivieren. Bei einem Ersatzgerät gilt dasselbe, und laut BSI soll der Modus dort dauerhaft aktiv bleiben [1].

05 / Update-Stand

Welche iOS-Version deine Firmen-iPhones jetzt brauchen.

Unabhängig von der Warnung ist das Update der wirksamste Schritt für alle Geräte. Aktuell ist laut Apple iOS 27.2.1, erschienen am 9. November 2026 für iPhone 11 und neuer [7][12]. Am selben Tag kamen iOS 26.7.3 für Geräte, die noch auf iOS 26 bleiben, und iOS 18.7.12 für iPhone XS, XS Max und XR [7]. Die Vorgänger iOS 27.2, 26.7.2 und 18.7.11 vom 26. Oktober standen hier bis zum 12. November als aktuell [7]. Apple empfiehlt ausdrücklich, vor dem Einschalten des Blockierungsmodus auf die neueste Software zu aktualisieren [3].

Ob die aktuellen Warnungen mit einer bestimmten, inzwischen geschlossenen Lücke zusammenhängen, ist nicht bekannt [1]. Prüfe trotzdem heute unter Einstellungen › Allgemein › Info die Version jedes Firmen-iPhones und setz eine Frist von wenigen Tagen. Welche Modelle noch Updates bekommen und wie du Updates im Team durchsetzt, steht in iPhone-Updates für Firmengeräte. Wie Spyware auch über Werbung auf iPhones kam, habe ich im Oktober in Neue iPhone-Spyware über verseuchte Werbung beschrieben.

Für alle Mitarbeitenden gelten die Grundregeln, die auch Apple nennt: Gerätecode mit Face ID oder Touch ID, Zwei-Faktor-Authentifizierung und starkes Passwort für den Apple Account, Schutz für gestohlene Geräte, Apps nur aus dem App Store, Passkeys, wo möglich, und keine Links oder Anhänge von Unbekannten [2].

FAQ

Häufige Fragen zur Apple-Spyware-Warnung.

Ist mein iPhone gehackt, wenn ich die Warnung bekomme?

Nicht zwingend. Apple nennt die Warnungen sehr zuverlässige Hinweise auf einen gezielten Angriff, ob er erfolgreich war, steht nicht darin [1][2]. Das BSI rät, vorsorglich von einer Kompromittierung auszugehen [1].

Kann ich den Blockierungsmodus wieder ausschalten?

Ja, an derselben Stelle in den Einstellungen. Wer eine echte Warnung bekommen hat, sollte ihn laut BSI aber dauerhaft aktiv lassen, auch auf einem neuen Gerät [1].

Hilft ein Zurücksetzen auf Werkseinstellungen?

Das BSI nennt bei hohem Risiko den Gerätetausch inklusive neuer Konten und Rufnummer [1]. Ein Zurücksetzen allein deckt gestohlene Zugangsdaten nicht ab, deshalb gehören neue Passwörter und Codes immer dazu (Einschätzung).

Quellen

Quellen

1. Bundesamt für Sicherheit in der Informationstechnik: „Bedrohungsbenachrichtigungen von Apple zu Mercenary Spyware – Einordnung und Empfehlungen“, November 2026 – bsi.bund.de · abgerufen 03.11.2026.
2. Apple Support: „Informationen zu Bedrohungsbenachrichtigungen von Apple und zum Schutz vor Söldner-Spyware/Hacks“, 13. August 2026 – support.apple.com · abgerufen 03.11.2026.
3. Apple Support: „Informationen zum Blockierungsmodus“, 18. September 2026 – support.apple.com · abgerufen 03.11.2026.
4. tagesschau.de: „Wildberger bestätigt ARD-Informationen zu Hackerangriff“, 1. November 2026 – tagesschau.de · abgerufen 03.11.2026.
5. Tagesspiegel (dpa, AFP): „Spähsoftware auf iPhones: Bundesregierung besorgt wegen Hackerangriff auf Politiker-Handys“, 2. November 2026 – tagesspiegel.de · abgerufen 03.11.2026.
6. heise online (Dirk Knop, mit Material der dpa): „Apple meldet Kompromittierung von Geräten durch Spyware“, 1. November 2026 – heise.de · abgerufen 03.11.2026.
7. Apple Support: „Sicherheitsupdates von Apple“ – support.apple.com · abgerufen 03.11.2026, erneut 12.11.2026.
8. Euronews: „Apple warnt Bundestagsabgeordnete und Regierungsmitglieder: iPhones im Visier von Spionage-Software“, 2. November 2026 – de.euronews.com · abgerufen 03.11.2026.
9. Access Now: „Digital Security Helpline“ – accessnow.org · abgerufen 03.11.2026.
10. heise online (Mac & i): „Erstmals geknackt: Calif.io hackt iOS-Blockierungsmodus, Exploit überlebt Update“, 4. November 2026 – heise.de · abgerufen 12.11.2026.
11. heise online (Ben Schwan, Mac & i): „iOS-Blockierungsmodus umgangen: Wie der jüngste Exploit von Calif.io arbeitet“, 6. November 2026 – heise.de · abgerufen 12.11.2026.
12. Apple Support: „About the security content of iOS 27.2.1 and iPadOS 27.2.1“, 9. November 2026 – support.apple.com · abgerufen 12.11.2026.
13. macprime: „Blockierungsmodus geknackt: Exploit übersteht Update auf iOS 27.2“, November 2026 – macprime.ch · abgerufen 12.11.2026.
14. Apple Support: „AirDrop auf dem iPhone verwenden“ – support.apple.com · abgerufen 12.11.2026.

Alle Quellen am 3. November 2026 abgerufen, Quellen 7 und 10 bis 14 am 12. November 2026. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.