Geliebt, getracked, gestalked: Wie Schweizerinnen und Schweizer ihre Liebsten überwachen

Mit wem schreibt die Ehefrau? Wo ist der Exfreund? Mit sogenannter Stalkerware kann heute jeder und jede das eigene Umfeld ausspionieren. KEYSTONE/DPA/Fernando Gutierrez-Juarez

Stalkerware ist in der Schweiz verbreitet – obwohl deren Installation ohne Zustimmung der anderen Person illegal ist. Das zeigen geleakte Daten der App Mspy.

Grüezi. Schön, sind Sie hier.

Wieso und wegen wem Sie da sind – vielleicht, weil Ihnen jemand den Link zu diesem Beitrag geschickt hat; Ihre Mutter, ein Freund, die Arbeitskollegin – das geht uns nichts an. Wie es niemanden etwas angeht, was Sie im Internet tun; welche Seiten Sie besuchen; wem Sie schreiben. Vor allem: Wo Sie sich aufhalten.

Und jetzt stellen Sie sich vor: Sie schreiben Ihrer Mutter, was Sie von diesem Beitrag halten. Aber Ihre Unterhaltung verfolgt noch jemand. Auf Ihrem Handy läuft ein Programm, das Ihre Whatsapp-Chats aufzeichnet, Ihre Google-Suchen und Ihren Browserverlauf mitschneidet, Ihre GPS-Daten sammelt und weiterleitet. An jemanden, der Sie kennt. Der sieht, wo Sie sind. Auf wenige Meter genau. Jetzt. In diesem Moment.

Erschreckend? Dank sogenannter Spy- oder Stalkerware kann heute jede und jeder Spion werden. Und das passiert, auch in der Schweiz. Das zeigt eine Recherche von SRF Investigativ, SRF Data und dem Onlinemagazin Republik.

Im Zentrum der Recherche steht Mspy, nicht die einzige, aber eine der bekanntesten Apps zur privaten Handyüberwachung. Diese wird laut Eigenangaben von Prag aus verantwortet, wobei eine ukrainische Firma namens Brainstack dahinterstehen dürfte. Mspy sieht sich laut Website als «beste Mobiltelefonverfolgung für die Kindersicherung». Sprich: Die Anwendung richtet sich nach Eigenangaben in erster Linie an Eltern, die wissen wollen, was ihre Kinder anstellen – scheinbar zumindest.

Chats zeigen, wie App illegal verwendet wird

Denn die Realität ist eine andere: Mspy wird immer wieder illegal verwendet. Von Arbeitgebern, die ihre Mitarbeiter überwachen, vor allem aber in Beziehungen: von Partnern oder Ex-Freundinnen, die ihre jetzigen oder verflossenen Liebschaften überwachen wollen – und dafür widerrechtlich in ihre Privatsphäre eindringen.

Das zeigen interne Daten von Mspy, welche die Schweizer Hackerin Maia Arson Crimew veröffentlicht hat. Auf ihrem Blog schreibt sie, sie habe den Datensatz, bestehend aus Millionen Nachrichten, von einer anonymen Quelle erhalten. Es sind Nachrichten, die mitunter einen tiefen Einblick ins Innere von Mspy geben, denn darin finden sich Chatverläufe zwischen dem Mspy-Kundensupport und Personen, welche die Überwachungsapp nutzen oder sich für ein Abo interessieren. Darunter etliche Schweizerinnen und Schweizer.

SRF und Republik haben in den Daten rund 2500 Personen mit Bezug zur Schweiz identifiziert. Entweder, weil sie von einer Mailadresse mit einer .ch-Endung oder von der Schweiz aus mit Mspy kommuniziert haben. Die Daten zeigen: Mspy weiss von der illegalen Verwendung, unterstützt sie sogar. Und: Die App ist quer durch die Bevölkerung verbreitet.

Im Datensatz finden sich unter anderem folgende Chatverläufe zwischen dem Mspy-Kundensupport und Schweizerinnen und Schweizern:

• Ein Arzt und Professor aus dem Kanton Zürich will sein Geld zurück, weil er sein Abo nicht mehr brauche.
• Mehrere Bundesangestellte schreiben Mspy, weil sie die Überwachungsapp privat nutzen wollen.
• Ein ehemaliger Chef einer Regionalpolizei, der die App für eigene Zwecke genutzt hat, teilt dem Kundendienst mit: «Produkt hat unsere Erwartungen nicht erfüllt.»
• Und ein Mann aus dem Kanton Luzern erkundigt sich, ob man Mspy auf ein neues Handy laden kann, das er anschliessend verschenken will.

Jan wollte seine Freundin überwachen

Jeder Eintrag erzählt seine eigene Geschichte. Und während der Datensatz im Grossen zeigt, dass private Spionage in der Schweizer Gesellschaft angekommen ist, wirft er im Kleinen Fragen auf, die sich erst beantworten lassen, wenn man mit Betroffenen spricht: Wie geht es Menschen, die eine solche Überwachung erlebt haben – oder Angst hatten, sie werden überwacht?

Und: Was geht im Kopf von jemandem vor, der einen anderen Menschen auf diese Weise kontrollieren will; der dorthin vordringt, wo die tiefsten Geheimnisse schlummern? An einen Ort, wo er oder sie nichts verloren hat.

In Jans Fall war der Auslöser seine Unsicherheit. Jan heisst eigentlich anders, will anonym bleiben und ist einer der Schweizer im Datensatz, die Mspy eingesetzt oder sich den Einsatz überlegt haben.

Wir haben rund zehn von ihnen kontaktiert, Jan war als Einziger bereit, über seine Beweggründe zu sprechen – auch wenn er kein Mspy-Abo abgeschlossen und die App nirgends installiert habe. Aber er habe es tun wollen. Um seine damalige Partnerin zu überwachen: «Ich war sehr unsicher und bin in meiner Vergangenheit schon einmal betrogen worden. Das macht etwas mit einem», sagt Jan.

Vor zwei Jahren hat er Mspy kontaktiert und sich über die App erkundigt. Seine damalige Freundin habe mit anderen Männern auf Dating-Apps geschrieben. Das habe ihn unsicher gemacht. Vor allem, weil er nach seiner Pensionierung in ihr Heimatland ziehen wollte.

Er habe wissen wollen, woran er sei, und zunächst keine andere Möglichkeit gesehen, als seine Partnerin zu überwachen. Wieso hat er es nicht getan? «Ich habe mir gesagt, wenn sie bei mir bleiben will, dann soll das auf einem natürlichen Weg passieren und nicht wegen einer App, die mir Sicherheit gibt.»

Das Selbstexperiment

Die App dringt tief in die Intimsphäre einer Person ein. Um zu verstehen, wie tief genau, haben wir sie auf einem Handy installiert und dieses einer SRF-Mitarbeiterin in die Ferien mitgegeben. Sie wusste, dass sie überwacht wird und war damit einverstanden.

Es müssen schöne Ferien gewesen sein. Zuerst verbrachte sie einige Tage in einem Küstenörtchen unterhalb von Genua. Vom Hotel aus war es ein Katzensprung an den Strand auf der anderen Strassenseite, wobei sie diesen am 3. Oktober links liegen liess und den Nachmittag um die Halbinsel wanderte.

Zwei Tage später führte die Reise über La Spezia und Livorno weiter in eine 12’000-Einwohnergemeinde in einem Oliven-Gebiet. Dort hielt sie sich eine Woche lang auf, wobei sie die meiste Zeit ausserhalb des Ortes blieb. Am 12. Oktober reiste sie über Florenz, Bologna und Mailand zurück in die Schweiz.

Dass ihr die Ferien gefielen, zeigen auch die SMS- und Whatsapp-Nachrichten, die sie mit eingeweihten SRF-Mitarbeiterinnen und Mitarbeitern schrieb. So schrieb unsere Kollegin am Morgen des 6. Oktober nach Zürich: «Hoi Liebe, wie geht’s dir? Hier ist’s wunderbar und heute startet die Olivenernte.»

Fazit: Wir waren ohne Weiteres in der Lage, SMS und Whatsapp-Nachrichten unserer Kollegin mitzulesen und waren fast durchgehend über ihren genauen Standort im Bild.

Gleichzeitig haben mehrere Features nicht funktioniert, die Mspy anpreist:

• Wir konnten keine Fotos sehen.
• Wir haben nicht gesehen, welche Bilder unsere Kollegin verschickt oder bekommen hat.
• Und wir konnten weder Handykamera noch Mikrophon aus der Ferne aktivieren, wofür wir extra ein teureres Zusatzangebot gelöst hatten.

Ob das an uns an oder der App gelegen hat, wissen wir nicht. In den Chatnachrichten mit dem Kundensupport beschweren sich allerdings viele Kundinnen und Kunden darüber, dass die App nicht wie versprochen funktioniere.

Trotzdem: Der Eingriff in die Privatsphäre unserer Kollegin war massiv. Immerhin hat sie gewusst, dass sie überwacht wurde. Wie aber fühlt es sich an, wenn einen das diffuse Gefühl überkommt, nicht alleine zu sein, wenn man das eigene Handy nutzt?

Luisa: «Man wird paranoid»

«Irgendwann hat mein Handy von selbst gescrollt. Da habe ich gedacht: Jesses Gott, etwas stimmt hier nicht.» Als Luisa vor wenigen Wochen ihre Geschichte erzählt, kann sie noch immer nicht mit Gewissheit sagen, ob der Verdacht zutrifft, der seit Jahren an ihr nagt: Dass ihr Handy vor einigen Jahren überwacht wurde. Doch die Zeichen, da ist sie sicher, gab es: Ihr Handy sei heissgelaufen, der Akku habe sich schneller geleert, gewisse Funktionen seien ohne Grund plötzlich gesperrt gewesen.

Als sie googelt, heisst es, auf ihrem Telefon könnte eine Überwachungsapp laufen: «Zuerst hatte ich meinen Partner im Verdacht. Ich hätte es ihm zwar nicht zugetraut, aber es wäre naheliegend gewesen und er hat zu Eifersucht geneigt», sagt Luisa heute.

Damals kam ihr eine Idee: Sie spricht sich mit einem Kollegen ab und bedankt sich bei diesem in einer Nachricht für eine gemeinsame Nacht. Sie will ihren Freund aus der Reserve locken, herausfinden, ob er hinter der vermuteten Überwachung steckt.

Doch der habe sich nicht geregt, stattdessen habe sich eine Person aus ihrem beruflichen Umfeld gemeldet und sich erkundigt, ob alles in Ordnung sei. Da wird Luisa skeptisch: «Ein Freund hat mir geraten, ich solle durchblicken lassen, dass ich die Polizei hinzugezogen habe und diese schnell herausfinden wird, wer mich überwacht», so Luisa.

Was dann passiert sei, habe ihr die Gewissheit gegeben: «Kaum habe ich der Person das gesagt, hat alles wieder funktioniert, das zuvor gesperrt war. Innert Minuten.»

Merkt man, ob das Handy mit einer Stalker-App infiziert ist?

Auf mehreren Online-Portalen wird beschrieben, wie sich Stalkerware auf die Funktion eines Handys auswirken könne. So sollen ein erhitztes Gerät oder eine kürzere Akkulaufzeit Hinweise darauf sein, dass Stalkerware auf einem Handy läuft.

Doch für Hannes Spichiger, Dozent für digitale Forensik an der Hochschule Luzern, sind diese Anzeichen keine verlässlichen Hinweise auf Stalkerware: «Bei älteren Geräten ist es normal, dass der Akku nachlässt. Und ein Handy kann auch ohne ersichtlichen Grund zwischendurch Macken haben, da sollte man nicht als Erstes Stalkerware befürchten.»

Spichiger rät, Fachleute beizuziehen, wenn man das Gefühl hat, ein Handy könnte infiziert sein: «Sei es eine technisch versierte Person aus dem Bekanntenkreis. Oder dann bleibt immer noch der Gang zur Polizei.»

Forensiker würden in den seltensten Fällen hinzugezogen, wenn ein Handy etwas Komisches mache: «Meist kommt ein Verdacht auf, weil eine Person immer wieder an unerwarteten Orten auftaucht. Oder weil sie Dinge weiss und mitteilt, die sie eigentlich gar nicht wissen kann. Das kann ein Grund sein, um sich ein Handy genauer anzuschauen.»

Dennoch nennt der Fachmann zwei Szenarien, bei denen man skeptisch werden müsse: Wenn sich ein unbekanntes Gerät in einen eigenen Account eingeloggt hat.

Und: «Wenn bei einem Android-Gerät die Kameraleuchte angeschaltet ist, ohne dass man die Kamera-App geöffnet hat. Dann stimmt etwas ganz sicher nicht.»

Involviert ist die Polizei tatsächlich, allerdings nicht offiziell, sondern in Person eines befreundeten Polizisten: Dieser erkundigt sich bei Mspy, ob man die App sperren könne, die mutmasslich auf Luisas Handy läuft. In der Nachricht steht ihre E-Mail-Adresse, die jetzt mit dem Datenleck veröffentlicht wurde.

Nicht nur wegen des Lecks holt die Geschichte Luisa immer wieder ein. Zwar lebe sie nicht in der anhaltenden Angst, überwacht zu werden. Aber: «Es ist halt doch immer noch irgendwie da. Wenn zum Beispiel eine Seite nicht lädt oder mein Handy sonst etwas Komisches macht, dann sind die Gedanken sofort wieder zurück.»

App-Nutzer können sich strafbar machen

Hätte Jan seinen Plan umgesetzt, hätte er sich strafbar gemacht. Das habe er gewusst – und doch habe ihn diese Aussicht damals «völlig kalt» gelassen.

«In dem Moment, in dem man ein ungerechtfertigt erlangtes Passwort verwendet, macht man sich strafbar.»

Monika Simmler, Professorin für Straf- und Strafprozessrecht an der Universität St. Gallen

Dabei können die Folgen weitreichend sein. Laut Monika Simmler, Professorin für Straf- und Strafprozessrecht an der Universität St. Gallen, drohen im Extremfall bis zu viereinhalb Jahre Freiheitsstrafe.

Denn: Wer Stalkerware gegen den Willen einer anderen Person nutzt, Daten absaugt und dafür ein Passwort oder einen Handycode knackt, kann mehrere Tatbestände erfüllen: «In dem Moment, in dem man eine Zugriffsschranke überwindet, also ein ungerechtfertigt erlangtes Passwort verwendet, macht man sich strafbar», so Simmler.

Auch Mspy riskiere, strafrechtlich belangt zu werden, indem es ein Hackingtool vertreibe. Zwar stellen sich die Verantwortlichen auf den Standpunkt, eine App zur Kinderüberwachung anzubieten.

Allerdings zeigen die geleakten Daten, dass der Mspy-Kundensupport weiss, dass die App auch in Beziehungen verwendet wird – und dass Mspy einen Service anbietet, um die Software aus der Ferne auf den Zielgeräten zu installieren. Damit würde die Firma, so Simmler, eine illegale Verwendung ermöglichen, was besonders dann heikel werde, wenn diese im Vordergrund stehe, also das eigentliche Geschäftsmodell darin bestehe, ein Hackingtool anzubieten. Hinzu komme: «Wenn Mitarbeitende Unterstützung beim Installieren der App liefern, könnte Gehilfenschaft vorliegen.»

Kinderüberwachung legal? Nicht immer

Mspy gibt an, eine «vollständig legale (…) Kindersicherungsapp» zu sein. Laut Strafrechtsprofessorin Monika Simmler ist es in der Schweiz aber auch nicht zulässig, seine Kinder gegen deren Willen zu überwachen.

«Auch Kinder haben ihre Privatsphäre, die es zu respektieren gilt», so Simmler. Allerdings sei die Überwachung faktisch in den meisten Fällen zulässig: Da es sich bei den einschlägigen Straftatbeständen um Antragsdelikte handelt, können Kinder ihre Eltern in den meisten Fällen nicht anzeigen.

«Anders sieht es aber etwa bei Jugendlichen aus, die in Bezug auf das Geschehene schon rechtlich urteilsfähig sind», sagt Simmler. Aufgrund ihrer Urteilsfähigkeit sei es denkbar, dass ein 17-jähriger Sohn seine Eltern anzeigen könne, wenn diese ihn gegen seinen Willen mit Stalkerware ausspionieren.

Was sagt Mspy zum Vorwurf, eine Dienstleistung anzubieten, die in der Schweiz verboten ist? Und was dazu, dass die Firma bewusst in Kauf nimmt, dass ihr Produkt illegal verwendet wird, dass das Geschäftsmodell darin besteht, nicht Kinder, sondern Erwachsene zu überwachen?

Nichts. Weder die Medienabteilung von Mspy noch die Firma Brainstack haben auf mehrere Anfragen von SRF Investigativ reagiert.

Mspy rät Kunden, Anwalt beizuziehen

Auf der Website von Mspy heisst es, es handle sich um eine «vollständig legale» Kinderüberwachungsapp. Allerdings sei man wegen der «rechtlichen Differenz zu keiner weltweiten Rechtsberatung berechtigt», weshalb Mspy seine Kundinnen und Kunden auffordert, bei Fragen zur Nutzung einen Anwalt beizuziehen.

Jan hat keinen Anwalt gebraucht. Er hat sich dagegen entschieden, seine frühere Freundin zu überwachen. Heute sagt er: «Wenn ich einer Partnerin nicht vertraue – dann lasse ich es lieber ganz sein und lasse sie nicht so nahe an mich, dass sie mir wehtun könnte.»

Das sind die offenen Fragen

SRF und das Onlinemagazin Republik stellten Mspy und der Firma Brainstack, die hinter der App stehen dürfte, einen detaillierten Fragenkatalog zu. Unter anderem wollte SRF wissen, wieso Mspy die Überwachung von Tinderprofilen anbietet, wenn die App der Kinderüberwachung dienen soll.

Eine weitere Frage war, wie Mspy und Brainstack zum Vorwurf stehen, ein Tool zu vertreiben, das illegal verwendet werden kann. Und: Was sie dazu sagen, möglicherweise Gehilfenschaft zu einer Straftat zu leisten, indem Mspy via Kundensupport Unterstützung bietet, die Software zu installieren.

Weder Mspy noch Brainstack haben auf die Anfrage reagiert. Als diesen Sommer das Datenleck bekannt wurde, berichteten diverse Medien und Blogs darüber, auch sie erhielten keine Antworten von Mspy oder Brainstack. Dafür machte der isländische Techblog Flokinet, der Mspy-Daten veröffentlicht hat, vor wenigen Monaten eine sogenannte Take-Down-Notice bekannt. Mspy hatte den Blog aufgefordert, die Daten vom Netz zu nehmen.

Wie Flokinet schreibt, habe man beschlossen, die Aufforderung zu ignorieren – unter anderem, weil ein öffentliches Interesse an Transparenz in der Sache bestehe.