Zero-Click-Angriffe aufs iPhone: Pegasus, Predator und der Lockdown-Modus

Kurz gesagt: Die gefährlichsten Angriffe auf Smartphones brauchen keinen Klick. Eine präparierte Nachricht oder Datei genügt, und ein Fehler in der automatischen Verarbeitung öffnet das Gerät für Spionagesoftware wie Pegasus oder Predator. Solche Angriffe kosten viel Geld und treffen gezielt wenige Menschen — meist Journalistinnen, Aktivisten, Politiker. Apple antwortet mit schnellen Updates, Warnungen an Betroffene, dem Lockdown-Modus und neuer Hardware-Absicherung. Für dich als normalen Nutzer ist das Wichtigste unspektakulär: Updates sofort installieren.

Was „Zero-Click“ bedeutet #

Bei den meisten Angriffen musst du mithelfen: einen Link öffnen, einen Anhang starten, eine App installieren. Ein Zero-Click-Exploit kommt ohne das aus. Er nutzt aus, dass dein Telefon viele Dinge von selbst erledigt — eingehende Nachrichten vorbereiten, Bilder für die Vorschau entschlüsseln, Dateien einlesen. Steckt in diesem Code ein Fehler, etwa ein Pufferüberlauf (ein Programm schreibt über den Rand eines Speicherbereichs hinaus), kann ein Angreifer eigenen Code einschleusen.

Ein einzelner Fehler reicht dafür selten. Moderne iPhones sperren jede App in eine Sandbox, einen abgeschotteten Bereich. Angreifer brauchen deshalb eine Exploit-Kette: mehrere Lücken hintereinander, vom ersten Einstieg bis zum Systemkern. Weil es solche Ketten so selten gibt und sie mit jedem Update unbrauchbar werden können, sind sie extrem wertvoll.

Ein gut dokumentiertes Beispiel: 2023 fing das Citizen Lab der Universität Toronto eine Kette namens BLASTPASS ab, die über iMessage präparierte Bilder in Wallet-Anhängen verschickte und damals selbst iPhones mit der aktuellen iOS-Version 16.6 ohne jedes Zutun mit Pegasus infizieren konnteBelegt.

Wer dahintersteckt: Söldner-Spyware #

Hinter solchen Angriffen stehen meist keine Hobby-Hacker, sondern Firmen, die Überwachungssoftware an Regierungen verkaufen. Apple nennt das „mercenary spyware“, also Söldner-Spyware. Die bekanntesten Namen sind Pegasus der israelischen NSO Group und Predator aus dem Umfeld des Intellexa-Konsortiums.

Das US-Finanzministerium belegte im März 2024 Gründer und Firmen des Intellexa-Konsortiums mit Sanktionen; nach seiner Darstellung kann Predator Geräte per Zero-Click infizieren und danach Kontakte, Anrufliste, Nachrichten, Standort, Mikrofonaufnahmen und Fotos auslesenBelegt. Wer ein Gerät kontrolliert, umgeht damit auch jede Ende-zu-Ende-Verschlüsselung — er liest einfach dort mit, wo die Nachricht wieder im Klartext steht.

Wichtig für die Einordnung: Wer eine Spyware herstellt, ist nicht automatisch derjenige, der sie einsetzt. Forschungsgruppen wie das Citizen Lab weisen eine Infektion technisch nach und ordnen sie einem Produkt zu. Wer der Auftraggeber war, bleibt oft eine begründete Vermutung, kein Beweis.

Aktuelle Fälle 2026 #

Das Jahr 2026 zeigt, dass das Thema nicht abgeschlossen ist:

• Serbien, September und Oktober 2026. Das Citizen Lab wies auf dem iPhone eines Mitglieds der serbischen Studentenbewegung eine Pegasus-Infektion aus dem Zeitraum Dezember 2025 bis Januar 2026 nach, eingeschleust über eine Zero-Click-Lücke in iMessage, die Apple inzwischen geschlossen hatBelegt. Im Oktober 2026 folgte mit hoher Sicherheit der Nachweis einer weiteren Pegasus-Infektion per Zero-Click beim Rektor einer Belgrader Universität; insgesamt zählt das Citizen Lab mindestens 16 öffentlich bekannte Betroffene aus der serbischen ZivilgesellschaftBelegt. Das Citizen Lab ordnet die Fälle als Teil staatlicher Repression ein, weist für die Pegasus-Infektionen aber keinen konkreten Auftraggeber nach.
• Notfall-Updates von Apple. Mit iOS 26.3 schloss Apple im Februar 2026 eine von Googles Threat Analysis Group gemeldete Lücke im Systembaustein dyld, die laut Apple möglicherweise in einem „extrem ausgeklügelten Angriff“ gegen gezielt ausgewählte Personen ausgenutzt wurdeHerstellerangabe. Ende September 2026 folgte mit iOS 26.7.1 die Korrektur einer Lücke in der Bildverarbeitung CoreGraphics, über die präparierte Dateien Code ausführen konnten; auch sie wurde laut Apple vermutlich gezielt ausgenutzt, und zwar auf Versionen vor iOS 27Herstellerangabe.
• Werbung als Einfallstor. Im Oktober 2026 dokumentierte das Citizen Lab erstmals technisch einen Zero-Click-Angriff, der über zielgerichtete Online-Werbung ausgeliefert wurde: Ausgewählte Nutzer bekamen über eine Werbefirma Schadcode in Browser oder App geschickt; betroffen waren unter anderem Geräte beim Sender Al JazeeraBelegt. Welche Geräteplattformen genau betroffen waren, lässt die Zusammenfassung offen — der Fall zeigt aber, dass auch Werbenetzwerke als Zustellweg taugen.

Wie Apple reagiert #

Lockdown-Modus #

Apple beschreibt den Lockdown-Modus als optionalen Schutz für die sehr wenigen Menschen, die Ziel hochentwickelter Angriffe werden könnten; er blockiert die meisten Anhänge in Nachrichten, Links und Link-Vorschauen, komplexe Webtechniken, FaceTime-Anrufe von Kontakten, die du nicht kürzlich selbst angerufen hast, Kabelverbindungen bei gesperrtem Gerät und das Installieren von KonfigurationsprofilenHerstellerangabe. Die Idee: weniger Funktionen, weniger Angriffsfläche. Gerade der Code, der Anhänge und Webseiten automatisch verarbeitet, ist das bevorzugte Ziel.

Dass das wirkt, ist zumindest im Einzelfall belegt: Laut Citizen Lab blockierte der Lockdown-Modus den BLASTPASS-Angriff, was Apples Sicherheitsteam bestätigteBelegt.

Bedrohungsbenachrichtigungen #

Seit 2021 warnt Apple Nutzer, die nach eigener Einschätzung mit hoher Wahrscheinlichkeit individuell von Söldner-Spyware angegriffen wurden; solche Hinweise gingen inzwischen an Menschen in über 150 LändernHerstellerangabe. Die Warnung erscheint auf dem Sperrbildschirm, per E-Mail und nach der Anmeldung auf account.apple.com. Das Citizen Lab rät, ein so gewarntes Gerät als vermutlich infiziert zu behandeln und sofort Expertenhilfe zu suchen.

Memory Integrity Enforcement #

Die meisten dieser Angriffe beruhen auf Speicherfehlern. Genau dort setzt Apples neueste Abwehr an. Mit dem iPhone 17 und dem iPhone Air führte Apple im September 2025 „Memory Integrity Enforcement“ ein: Speicher wird dabei mit Markierungen versehen, die der Chip bei jedem Zugriff prüft, sodass typische Fehler wie Pufferüberläufe sofort auffallen. Apple gibt an, bekannte Exploit-Ketten in eigenen Tests nicht so umbauen zu können, dass sie diesen Schutz umgehenHerstellerangabe. Das ist eine Herstellerangabe; eine unabhängige Prüfung im Ernstfall steht noch aus, und ältere iPhones haben diese Hardware nicht.

Was heißt das für dich? #

Die gute Nachricht: Zero-Click-Ketten sind so teuer, dass sie fast nie an zufällige Menschen verschwendet werden. Trotzdem lohnt sich ein bisschen Disziplin:

• Updates sofort installieren und automatische Updates einschalten. Nach dem Patch sind die genannten Lücken nutzlos. Bis dahin ist jeder offen, danach nur noch, wer nicht aktualisiert.
• Altes iPhone nicht ewig behalten. Geräte, die keine aktuellen Sicherheitsupdates mehr bekommen, bleiben für bekannte Lücken offen.
• Lockdown-Modus, wenn du zur Zielgruppe gehörst: Journalismus, Aktivismus, Politik, Anwaltschaft, Verwaltung mit sensiblen Aufgaben. Das kostet Komfort, nimmt aber genau die Angriffsflächen weg, die Söldner-Spyware bevorzugt.
• Echte Warnungen von falschen unterscheiden. Apple fordert dich nach eigenen Angaben nie per Mail oder Telefon auf, Links zu öffnen, Dateien oder Profile zu installieren oder Passwort und Codes zu nennenHerstellerangabe. Prüfe Warnungen, indem du account.apple.com selbst im Browser aufrufst.
• Grundschutz für das Apple-Konto: Code-Sperre, Zwei-Faktor-Anmeldung und den Schutz für gestohlene Geräte aktivieren.
• Backup vor dem Ernstfall: Wer betroffen ist, muss das Gerät oft zurücksetzen oder untersuchen lassen. Mit einer aktuellen Sicherung nach der Backup-Strategie für zuhause verlierst du dabei nichts.
• Werbung im Heimnetz reduzieren: Ein DNS-Filter wie Pi-hole oder AdGuard Home im Homelab blockiert viele Werbenetzwerke für alle Geräte und verkleinert so die Angriffsfläche, über die zuletzt auch Spyware ausgeliefert wurdeEvidenz: Theorie — gegen einen gezielten Angriff ist das aber kein verlässlicher Schutz, und unterwegs im Mobilfunknetz wirkt er nicht. Welcher Filter passt, zeigt Pi-hole vs. AdGuard Home.

Morgen: Was Zero-Day und Patchday bedeuten — und warum Updates auch im Homelab zählen.