Ein Staat in der Hosentasche – Wie Smartphones zur Achillesferse westlicher Sicherheit wurden

Es beginnt mit einem Absturz. Kein lauter, kein spektakulärer – sondern ein stiller, beinahe unscheinbarer Fehler in einem System, das längst kein technisches Spielzeug mehr ist, sondern ein geopolitischer Resonanzkörper. Als Cybersicherheits-Analysten der Firma iVerify Ende 2024 vermehrt unerklärliche Softwareabstürze auf den Smartphones westlicher Regierungsmitarbeiter registrieren, ahnt noch niemand, wie tief der digitale Riss tatsächlich reicht. Was wie ein technischer Defekt aussieht, entpuppt sich bald als hochentwickelte, „zero-click“-fähige Spionageoperation: Eine unbekannte Gruppe hatte Smartphones infiltriert – ohne einen einzigen Klick der Betroffenen. Betroffen sind Menschen in Politik, Tech, Medien – und alle verbindet eines: Sie waren bereits Ziel chinesischer Cyberaktivitäten.

Es ist ein Muster, das sich verdichtet. Wer glaubt, das Hauptschlachtfeld moderner Spionage sei der Rechencluster oder der Regierungssatellit, irrt. Die neue Front verläuft direkt in der Jackentasche – auf Geräten, die Aktien handeln, Macht verteilen, Wahlen steuern und Kriegsszenarien kalkulieren können. Und das alles, während sie gleichzeitig vernetzt sind mit Kinderspielzeugen, veralteten Apps und Mikrofonen, die keiner mehr im Blick hat. „Die Welt befindet sich in einer mobilen Sicherheitskrise“, sagt Rocky Cole, ehemaliger NSA-Mitarbeiter, heute COO bei iVerify. Und das nicht nur in den USA. Auch Deutschland weiß längst, dass die Bedrohung nicht theoretisch ist. Im März 2024 wurde ein vertrauliches Gespräch der Luftwaffe über Waffenlieferungen an die Ukraine mitgeschnitten – über WebEx, ausgerechnet von Singapur aus. Die Aufzeichnung landete beim russischen Propagandasender RT, die Bundesregierung war blamiert, das Sicherheitsversagen offensichtlich. In einem Land, das sich auf Exporttechnologie verlässt, wurde ausgerechnet militärische Kommunikation über ein kommerzielles Videotool geführt – und das mitten in einem europäischen Krieg.

China? Bestreitet alles. Die Regierung in Peking verweist auf angebliche US-Doppelmoral, spricht von „despektierlichen Methoden des Westens“ und lässt durch Außenamtssprecher Lin Jian erklären, dass nicht sie es sei, die spioniere – sondern der Westen, der lüge, unterwandere und „Spione mit CIA-Siegel“ rekrutiere. Und während sich diese Schuldzuweisungen austauschen wie Drohgebärden aus einem alten Kalten Krieg, läuft im Hintergrund eine digitale Operation, leise und tief – gestützt von Künstlicher Intelligenz, Desinformationsnetzwerken und präzise abgestimmter Infrastruktur.

Dass Deutschland Teil dieses Spiels ist, zeigt sich spätestens in der Pegasus-Affäre. Auch wenn keine nachgewiesene Infektion deutscher Spitzenpolitiker vorliegt: Das BKA hatte die Spionagesoftware 2020 selbst angeschafft, wenn auch später eingeschränkt verwendet. Menschenrechtsaktivisten und Journalist:innen in Deutschland waren nachweislich unter den global Ausgespähten. Die Botschaft ist klar: Spionage kennt keine Grenzen – und keinen Unterschied zwischen innen und außen. Doch während staatliche Akteure mit immer präziserer Software operieren, werden die Sicherheitslücken oft von jenen geöffnet, die eigentlich geschützt werden sollen. Das Weiße Haus musste jüngst einräumen, dass sich jemand als Susie Wiles – Trumps Stabschefin – ausgegeben hat und mit ihren Kontakten kommunizierte. Die Anrufe kamen nicht von ihrer Nummer. Aber vermutlich von jemandem, der Zugriff auf ihr Telefonbuch hatte.

Auch in Deutschland war es nicht nur der externe Angriff, der gefährlich wurde – sondern die strukturelle Nachlässigkeit im Innern. Der Bundesverfassungsschutz warnte mehrfach vor der Nutzung chinesischer IT-Komponenten in sicherheitsrelevanter Infrastruktur – und dennoch fanden sich Huawei-Router und Überwachungskameras noch 2023 in Polizeibehörden, Ministerien und sogar im Bundestag. Während die USA chinesische Firmen aus ihren Netzwerken verbannten, diskutierte man hierzulande noch über „Verhältnismäßigkeit“.

Die Gefahr sitzt längst in den Schaltkreisen. Der „Cyberbunker“ in Traben-Trarbach – ein stillgelegter NATO-Bunker, der zur Heimat für Botnets, Darknet-Shops und Kinderpornografie wurde – zeigte, wie leicht deutsche Infrastruktur zum globalen Angriffsvektor mutieren kann. Europol war schockiert, das BKA fassungslos. Und doch blieb die Einsicht folgenlos: Noch immer werden smarte Geräte millionenfach verkauft, mit Mikrofonen, Kameras und Chips, die selten aktualisiert werden – dafür aber ständig zuhören.

Die US-Regierung versucht zu reagieren: mit dem „Cyber Trust Mark“, einem Sicherheitssiegel für vernetzte Geräte. Doch wie lange schützt ein Aufkleber, wenn ein vernetzter Barbie-Kopf Mikrofone eingebaut hat? „Sie finden Hintertüren selbst in Spielzeugpuppen“, warnt Snehal Antani, Ex-CTO des Pentagon. Was naiv klingt, ist bittere Realität. Es geht längst nicht mehr um eine Technologiefrage. Es geht um Staatsräson. Als Pete Hegseth, Trumps Verteidigungsminister, eine Internetverbindung an der Pentagon-Sicherheit vorbei einrichten ließ – nur um auf seinem privaten Rechner Signal zu nutzen – zeigte sich, wie tief das Vertrauen in Bequemlichkeit reicht. Und wie flach das Verständnis für Verantwortung geworden ist. Dass sein Kollege Mike Waltz aus Versehen den Chefredakteur des Atlantic in eine Chatgruppe für militärische Einsatzplanung einlud, passt da nur allzu gut ins Bild.

All das zeigt: Die größte Schwachstelle in der Cybersicherheit ist nicht die Technologie. Es ist der Mensch. Und sein Bedürfnis, Kontrolle gegen Komfort zu tauschen. Wir müssen aufhören, das Smartphone als bloßes Werkzeug zu betrachten. Es ist längst ein sicherheitspolitischer Akteur. Es entscheidet darüber, wer zuhört, wer spricht – und wer stillgelegt wird.

Und wenn wir nicht anfangen, diese Realität ernst zu nehmen, wird nicht der nächste Angriff uns überraschen. Sondern die Tatsache, wie einfach er war.