Eine Bedrohungsbenachrichtigung von Apple hat in Bremen eine Prüfmaschinerie in Gang gesetzt: Das Diensthandy von Bürgermeister Andreas Bovenschulte (SPD) ist ausgetauscht und wird forensisch ausgewertet. Der Senat bestätigt die Warnung, lässt aber offen, ob das Gerät tatsächlich kompromittiert wurde und ob Daten abgeflossen sind. Der Fall fällt in eine bundesweite Warnwelle vor möglicher Söldner-Spyware – und trifft eine Verwaltung, deren Zuständigkeiten für IT-Sicherheit seit Jahren als geteilt gelten.
Zwischen Amtsübergabe und Spionageverdacht
Der Zeitpunkt ist bemerkenswert: Am Donnerstagnachmittag der vergangenen Woche, also am 29. Oktober, ging auf dem Diensthandy von Bremens Bürgermeister Andreas Bovenschulte (SPD) eine Benachrichtigung von Apple ein, die vor einem möglichen Spähangriff warnte 1. Es war derselbe Tag, an dem das Bundesamt für Sicherheit in der Informationstechnik (BSI) nach eigenen Angaben mehrere deutsche Politikerinnen und Politiker über solche Apple-Warnungen informierte 1 3. Bovenschulte war zu diesem Zeitpunkt noch Präsident des Bundesrates; seine Amtszeit endete wenige Tage später 1.
Die Senatskanzlei bestätigte den Vorgang auf Anfrage. Ob und inwiefern Angreifer tatsächlich Zugriff auf brisante Daten hatten, ließ sie offen: „Das steht nicht fest“, sagte ein Sprecher 2. Zuerst hatte das Regionalmagazin „buten un binnen“ berichtet 2.
Aus dem BSI-Schreiben, das dem ARD-Hauptstadtstudio vorliegt, geht hervor, dass iPhones seit dem 29. Oktober Bedrohungsbenachrichtigungen von Apple erhalten hatten, wonach ein Angriff mit sogenannter Mercenary Spyware erkannt worden sei 3. Apple bezeichnet solche Warnungen nach Darstellung des BSI als sehr zuverlässige Hinweise darauf, dass eine Person gezielt angegriffen wurde. Ob der Angriff erfolgreich war, lässt sich daraus nicht ableiten 3.
Wer die Prüfung veranlasst hat
Die Initiative ging vom Betroffenen selbst aus. Nach Angaben des Senatssprechers schaltete Bovenschulte sein Gerät in den „Blockierungsmodus“, den Apple und das BSI als Sofortmaßnahme empfehlen, und informierte den IT-Dienstleister der Verwaltung, Dataport 1. Am Dienstag dieser Woche wurde das Handy laut Rathaus sicherheitshalber ausgetauscht, das alte Gerät wurde Dataport übergeben 1 2. Für die forensische Auswertung ist die Zentralstelle für Cybersicherheit bei der Innenbehörde zuständig 1. Bovenschulte erhielt nach Angaben der Senatskanzlei zusätzlich ein Briefing zu Datensicherheit 1.
Eingebunden ist damit eine föderale Kette: das BSI, das die Betroffenen auf Bundesebene schriftlich informierte 3 4, der Landesdienstleister Dataport und die 2023 geschaffene Cybersicherheits-Zentralstelle des Ressorts Inneres 1 7. Von Landesverfassungsschutz oder Staatsanwaltschaft ist in den bisherigen Angaben von Senat und Behörden nicht die Rede; eine Beteiligung dieser Stellen ist öffentlich bislang nicht bestätigt.
Was die Apple-Warnung tatsächlich bedeutet
Ob auf dem Gerät überhaupt Schadsoftware lag, ist offen. Spuren einer Manipulation wurden bislang nicht öffentlich bekannt 1. Das ist typisch für solche Fälle: Apples Benachrichtigungen sind zwar ein Indiz, jedoch noch kein Nachweis. „Nur weil eine Meldung da ist, ist das Gerät nicht zwingend kompromittiert“, sagt Kevin Hofius von der Berliner Cybersicherheitsstelle 6.
Das BSI rät Betroffenen dennoch, vorsorglich von einem Befall auszugehen, und empfiehlt im Zweifel ein neues Telefon mit neuer Rufnummer 1 3. Der Grund ist die Wirkungstiefe kommerzieller Spähsoftware: Sie kann Nachrichten auch aus verschlüsselten Messengern mitlesen, Standortdaten abgreifen sowie Mikrofon und Kamera unbemerkt aktivieren 1 3. Anders als bei Erpressungstrojanern zielt solche Software auf einzelne Personen, nicht auf Masse.
Welche dienstlichen Informationen auf Bovenschultes Gerät gespeichert waren, hat der Senat bislang nicht mitgeteilt. Die Nutzungsdauer des Handys fällt in die Schlussphase der Bundesratspräsidentschaft – eine Phase mit vielen Abstimmungs- und Koordinierungsterminen. Ob daraus ein besonderes Risiko folgt, lässt sich ohne forensischen Befund nicht beantworten.
Teil einer bundesweiten Warnwelle
Der Bremer Fall ist kein Einzelfall. Bundesdigitalminister Karsten Wildberger (CDU) bestätigte am Sonntagabend in der ARD, dass Bundestagsabgeordnete und Mitglieder der Bundesregierung entsprechende Benachrichtigungen erhalten hätten. Es gebe „eine Meldung von Apple, dass bestimmte Geräte gegebenenfalls kompromittiert wurden mit sogenannter Spyware“; das BSI habe „superschnell reagiert“ und alle Betroffenen angeschrieben 5. Zu Details wollte er sich nicht äußern: „Das ist jetzt rein spekulativ, um was es sich hier konkret handelt“ 5.
Wer hinter der Welle steckt, ist zumindest offiziell noch unklar. Apple ordnet Angriffe nach eigener Darstellung keinem bestimmten Akteur zu 3. Das Bundesinnenministerium teilte mit, für den aktuellen Fall sei ein staatlicher Auftraggeber nicht belegt 6. Auffällig ist die Reichweite: Die Berliner Cybersicherheitsstelle berichtet von Anfragen auch von Unternehmen, die dieselbe Warnung auf ihren Diensthandys erhalten hätten. „Wenn sie jetzt auch auf Wirtschaftsunternehmen zielen, ist das eine größere Bedrohung“, sagte Hofius 6.
Bremen kennt laute Angriffe, nicht diese Art
Für die Hansestadt ist der Vorfall Teil einer längeren Geschichte – allerdings einer anderen. Die Bremer Staatsanwaltschaft ermittelt in elf Verfahren wegen Computersabotage gegen die kremlnahe Gruppierung NoName057(16); zu den bestätigten Zielen zählen die Polizei, die BSAG, der Verkehrsverbund VBN und die Gesundheitsenatorin. Das Bundeskriminalamt zählt seit November 2023 bundesweit 25 Angriffswellen der Gruppe 7. Diese Attacken sind Überlastungsangriffe auf Webseiten, bei denen nach Einschätzung von Fachleuten in der Regel keine Daten abfließen 7. Anhaltspunkte für einen Zusammenhang mit der aktuellen Apple-Warnung gibt es bislang nicht.
Bemerkenswert ist gleichwohl, wo der Fall die Verwaltung selbst trifft. Der IT-Sicherheitsexperte Dennis-Kenji Kipker von der Hochschule Bremen sieht in der Bremer Zuständigkeitsordnung ein strukturelles Problem: Die Zentralstelle Cybersicherheit koordiniere beim Innenressort die Strategie, während die IT-Sicherheit der Landesverwaltung weiterhin beim Finanzressort liege. Diese Aufteilung erschwere im Ernstfall schnelle, eindeutige Entscheidungswege 7. Nun ist der Regierungschef selbst betroffen – ein Praxistest für genau diese Struktur.
Wann mit einem forensischen Ergebnis zu rechnen ist, hat der Senat nicht mitgeteilt. Offen ist auch, ob und wann die Bürgerschaft über den Stand informiert wird. Bis dahin gilt für den Regierungschef, was das BSI allen Betroffenen empfiehlt: von einem möglicherweise kompromittierten Gerät auszugehen und die Kommunikation neu aufzusetzen 1 3.
