mSpy-Leak: Vom Partner verwanzt

Ich vertraue meiner Freundin nicht, ich muss unbedingt ihr snapchat sehen.

Wir möchten gerne Zugriff auf Whatsapp (unseres Sohnes) erhalten.

Gerne möchte ich das Telefon von meiner Freundin checken, Android. Sie wird davon gar nichts mitbekommen.

Diese Nachrichten sollten niemals öffentlich werden. Menschen aus Deutschland haben sie an mSpy geschrieben, ein Unternehmen, das Spionagesoftware an Privatpersonen verkauft. Sie wollen mit mSpy ihre Partner:innen oder Kinder überwachen.

Nicht nur Sicherheitsbehörden beäugen unseren Datenverkehr. Auch viele Privatpersonen nutzen digitale Spionage-Tools. Das belegen geleakte Nachrichten aus dem Kundensupport-System des Unternehmens, die netzpolitik.org gemeinsam mit dem SWR ausgewertet hat.

Anrufe, E-Mails, Chats, Kontakte, Kalender, Bilder, Videos, die Browser-Historie, der Standort, die Tastenanschläge: All das soll sich mit mSpy verfolgen lassen. Sogar das Mikrofon und die Kamera können aus der Ferne aktiviert werden, verspricht mSpy.

Die Überwachten sollen davon nichts mitbekommen. Die App läuft im Hintergrund und bleibt auf dem Handy für sie unsichtbar, wirbt das Unternehmen. Das Telefon wird zur Wanze.

Tausende Anfragen aus Deutschland

Auf den ersten Blick ist mSpy eine App für Eltern, die das Handy ihres Kindes im Blick behalten wollen. Und solange erwachsene Zielpersonen der Überwachung zustimmten, sei mSpy auch „völlig legal“. So steht es zumindest auf der Website des Unternehmens.

Doch aus den Nachrichten wird schnell klar: Viele Nutzer:innen wollen mit der App Partner:innen unbemerkt überwachen. Das ist in Deutschland illegal.

3,6 Millionen Supportickets mit E-Mails und Chatnachrichten an den Kundenservice umfasst der Datensatz, den wir ausgewertet haben. Dazu zahlreiche angehängte Dateien. Die Schweizer Hackerin Maia Arson Crimew übergab das Paket der Organisation DDoSecrets, die es im Mai 2024 veröffentlichte. Sie sagt, die Daten wurden ihr zugespielt. Das Rechercheteam hat mit mehreren Personen Kontakt aufgenommen, deren Nachrichten sich darin fanden. Sie haben bestätigt, dass die Daten echt sind.

Die ältesten Nachrichten stammen aus dem Jahr 2014, die jüngsten von Mai 2024. Darunter sind mehr als 24.000 Mailwechsel mit Menschen mit einer .de-Mailadresse. Insgesamt mehr als 42.000 Nachrichten sind in deutscher Sprache verfasst.

Die Nutzer:innen bitten um Hilfe bei der Installation, erkundigen sich, wie man mit mSpy andere verdeckt ausspähen kann, beschweren sich, wenn mal die Verbindung zu einem überwachten Gerät ausfällt. Und der Kundendienst hilft engagiert.

Vom Taxifahrer bis zur Staatsanwältin

Die Menschen, die sich für Spionagesoftware interessieren, kommen aus der gesamten Gesellschaft. Anwält:innen für Strafrecht sind darunter ebenso wie Fitness-Trainer oder Taxifahrer. Ein Versicherungsmakler. Ein BMW-Händler. Ein Maurermeister. Ein Airbus-Ingenieur. Der Betreiber einer Reinigungsfirma. Ein Polizist. Eine Staatsanwältin.

In den Nachrichten stehen auch Kontaktdaten von Menschen, die glauben, mit mSpy überwacht zu werden, so wie Ulla*. Sie hatte Anzeige gegen ihren damaligen Mann erstattet, weil er sie ausgespäht haben soll. Ein Ermittler schrieb daraufhin an mSpy.

Ulla ist Mitte 50, trägt Designerbrille und einen eleganten Kurzhaarschnitt. Im Videotelefonat wirkt sie ruhig, wenn sie über die Ereignisse spricht. Vielleicht liegt es daran, dass ihre Geschichte schon Jahre zurückliegt, sagt sie. Sie lebt inzwischen getrennt von ihrem Ex-Mann, hat neu geheiratet.

Angefangen habe die Überwachung im Jahr 2014. Ihr Ex-Mann war schon immer kontrollierend, berichtet Ulla. Arbeiten durfte sie nicht, sie sollte zu Hause bleiben bei den Kindern. Sie hatte kein eigenes Konto. Zu Arztterminen durfte sie nur in seiner Begleitung. „Er hat mit Gewalt versucht, mich klein zu halten“, sagt sie.

Nachdem Ulla ausgesprochen hatte, sich trennen zu wollen, sei die Kontrollwut des Mannes eskaliert. „Er wusste von Arztterminen, von Verabredungen mit Freunden und von Telefonaten, die ich geführt hatte.“ Dabei sei er beruflich viel unterwegs gewesen. „Ich dachte: Der ist doch gerade gar nicht in der Stadt. Woher weiß der das?“

„Ich mache das für dich, kein Ding“

Ulla fragt ihren Bruder. Der warnt, dass ihr Mann eine Spionage-App auf ihrem Handy installiert haben könnte. Ulla fällt ein, dass ihr Mann stundenlang ihr neues Samsung-Handy eingerichtet hatte, nachdem sie daran gescheitert war. „Er hat gesagt: Komm, ich mach das für dich, kein Ding.“ Sie habe sich damals nichts dabei gedacht.

Später wird Ulla jedoch misstrauisch. Sie kauft sich ein zweites Gerät, „so ein Prepaid-Ding, ohne Schnickschnack“, und versteckt es. „Um mit meiner Mutter zu telefonieren oder mit dem Anwalt.“ In dieser Zeit schläft sie mit dem Handy unter dem Kopfkissen. Die Tür zum Zimmer schließt sie ab.

Als Ulla mit ihren Kindern in eine eigene Wohnung zieht, legt sie sich ein neues Telefon mit einer neuen Nummer zu. Sie fährt auf einen Autobahnrastplatz und wirft das alte Handy dort in den Müll.

Ulla weiß nicht, ob ihr Ex-Mann tatsächlich mSpy auf ihrem Handy installiert hat. Die Polizei, bei der sie damals Anzeige erstattete, fand auf ihrem Gerät keine Spuren der App. Ullas Vermutung basiert auf ihrer eigenen Netzrecherche zu Handyspionage. mSpy ist dabei stets der erste Treffer.

Der Mann verwaltet die Geräte

Dass der Mann die Geräte und Accounts verwaltet, sei typisch für eine heterosexuelle Beziehung, obwohl sich die Männer gar nicht zwangsläufig besser auskennen, sagt Leonie Tanczer. Sie ist Professorin am University College in London und erforscht dort den Zusammenhang zwischen Geschlecht und Technologie.

So wie auch Ulla denken sich die Betroffenen meist nichts dabei. Sie freuen sich über die Hilfestellung. „So können Täter, und manchmal Täterinnen, das ausnutzen“, sagt Tanczer.

Guten Tag, ich will meinen Mann überwachen.

Könnte er das herausfinden das ich ihn beobachte?

In den Daten finden sich auch Nachrichten von Männern, die befürchten, ausspioniert zu werden. Eine dieser Nachrichten schrieb Dieter. Er hatte 2016 in Unterhaltungen mit seiner damaligen Frau das Gefühl, dass sie mehr über ihn weiß, als sie sollte. Sie erwähnte Details aus Telefonaten, wusste, wann er wo war, kannte Inhalte seiner Mails, sagt der heute 67-Jährige.

Ein Bekannter mit technischem Sachverstand untersuchte daraufhin sein Telefon und fand ein Schadprogramm. „Das war schon ein Hammer. Und wir kriegten das Programm auch nicht von dem Handy runter, das ließ sich nicht deinstallieren.“ Ein großer Schreck für Dieter. „Aber dann auch erlösend, weil mir klar wurde, warum meine Frau so viele Dinge wusste“.

„Werde ich immer noch abgefiltert?“

Dieter hat nach der Entdeckung den Hersteller angeschrieben, dessen Spionagesoftware sein Bekannter auf seinem Telefon vermutete: mSpy. Mit einer neuen E-Mail-Adresse, damit seine Frau nichts davon mitbekommt. mSpy möge ihm bitte helfen, den Betrieb der App auf seinen Geräten zu unterbinden.

„Die Situation ist so verfahren, dass auch Deinstallationsversuche mich nicht weitergebracht haben, da meine Frau wiederholt in der Lage ist, sich meines Handys zu bemächtigen, um dann erneut Spyware zu installieren“, schreibt er. Mit dieser Nachricht haben wir ihn im Datenleak des mSpy-Kundenservices gefunden. mSpy hat, so Dieter, nicht darauf reagiert.

Dieter hat sich letztlich einen neuen Computer, ein neues Handy und eine neue SIM-Karte organisiert. Um zu vermeiden, dass er beim Umzug auf die neuen Geräte die Schadsoftware mitnimmt, hat er die Telefonnummern seiner Kontakte einzeln abgetippt, erzählt er.

Von der Frau ist er inzwischen geschieden. Aber selbst jetzt, acht Jahre später, hat Dieter immer noch ein ungutes Gefühl. „Ist mein Handy wirklich sauber oder werde ich immer noch abgefiltert?“, fragt er sich. Er sei durch den Vorfall „in einer Phobie gelandet“.

So stoppt man Spionage-Apps

Der Spion im eigenen Haushalt

Fachleute bezeichnen die heimliche Überwachung, wie mSpy sie ermöglicht, als digitale Gewalt. Programme wie mSpy nennen sie Spyware oder Stalkerware: Software für Stalking. mSpy ist nur eines von vielen Produkten auf diesem Markt. Sicherheitsforscher:innen sprechen von einer ganzen Industrie.

In den meisten Fällen werden solche Apps zur Überwachung in der Familie oder in der Beziehung eingesetzt. Gerade bei Paaren, die in einem Haushalt leben, sind die Voraussetzungen für den Zugriff ideal, sagt Forscherin Leonie Tanczer. Denn die App lässt sich nicht aus der Ferne installieren. Man muss das Handy in der Regel selbst in der Hand haben – zumindest für einige Minuten. „Wenn man zusammen wohnt, ist es viel einfacher, so ein Programm zu installieren, als wenn man nur datet“, sagt Tanczer.

Auch Passwörter würden in einer Beziehung viel eher miteinander geteilt. Aus praktischen Gründen, sagt Tanczer. Problematisch werde es, wenn das Vertrauensverhältnis missbraucht wird. Erst teilen sich die Partner:innen bestimmte Accounts, dann wird dieses Wissen eingesetzt, um den anderen heimlich zu überwachen.

Spionage als digitale Beziehungsgewalt

„Ich glaube, wir brauchen eine große Diskussion über Zustimmung“, sagt Tanczer und zieht eine Parallele zu den Debatten, die in vergangen Jahren um Einvernehmlichkeit beim Sex geführt wurden. Wie beim Sex jedes Mal neu die Zustimmung des anderen abgefragt werden müsse, bedeute auch ein weitergegebenes Passwort nicht, dass man es ein weiteres Mal verwenden dürfe.

In den Beziehungen, die sie untersucht hat, sei digitale Gewalt nie allein aufgetreten, sagt Tanczer. „Sie ist immer Teil eines größeren Gewaltzirkels“. In allen Fällen fand sie die technische Überwachung gemeinsam mit Faktoren wie physischer, sexueller oder psychischer Gewalt. „Wir reden von Tech Abuse oder digitaler Gewalt nicht als separates Phänomen. Es ist nur eine Ausweitung in eine andere Sphäre.“

„Wie eine Vergewaltigung“

Um Einvernehmlichkeit ging es auch Manuel*, der sich etwa ein Jahr lang mit mSpy ausspionieren ließ. Als submissiver Part einer BDSM-Beziehung hat er seiner Partnerin erlaubt, ihn zu überwachen. In den Fällen, die das Rechercheteam in den Nachrichten an den Kundenservice findet, ist diese offene und besprochene Überwachung ein Einzelfall.

„Es war ein Kick, solange ich das Gefühl hatte, die Person, die mich überwacht, geht gut mit mir um“, sagt Manuel, aber: „Hätte ich eine stinknormale Beziehung gehabt und hintenraus festgestellt, die hat mir so eine App draufgeladen, das wäre ein massiver Vertrauensbruch gewesen.“

Es sei vergleichbar mit Bondage und anderen BDSM-Spielen: „Im Fall von Einvernehmen kann sich das gut anfühlen. Aber wenn das Gegenüber nicht zustimmt, ist das wie eine Vergewaltigung.“

Anfragen von Ermittler:innen

Die Person installierte Ihr Produkt auf einem fremden Handy und kontrollierte den Handybesitzer und stalkte die Person.

Hier liegt eine Strafanzeige wegen des Ausspähens von Daten vor. Es wurde bekannt, dass der Mann eines Ehepaares seine Frau mithilfe Ihrer Software mSpy ausspionierte.

Wir möchten Sie daran erinnern, dass mSpy eine völlig legale Anwendung ist und dass alle unsere Kunden die Zustimmung der Zielpersonen haben müssen, um mSpy zu installieren. Sollten Sie den Verdacht haben, dass jemand Ihr Gerät illegal überwacht, empfehlen wir Ihnen dringend, sich direkt mit der Person in Verbindung zu setzen, die eine solche Anwendung gegen Sie verwenden könnte. Wir ermutigen unsere Kunden nicht, unsere Software illegal zu nutzen.
– Antwort des Kundensupports auf eine Ermittlungsanfrage wegen Betrug und Stalking

Dass mSpy regelmäßig zur nicht-einvernehmlichen Überwachung in Beziehungen eingesetzt wird, geht auch aus den Anfragen hervor, die deutsche Polizeibehörden an den Kundenservice schickten. In mindestens fünf Fällen ermittelten Behörden wegen Stalking und des Ausspähens von Daten. Immer ging es dabei um Beziehungsgewalt: Frauen, die angaben, von ihrem Partner oder Ex-Partner überwacht zu werden.

Die Ermittler:innen schildern die Fälle und bitten mSpy um Informationen zu den Beschuldigten. Unternehmen sind in solchen Fällen laut Strafprozessordnung dazu verpflichtet, Auskunft zu geben.

In einem Fall kann der Ermittler die Kundennummer angeben, mSpy nennt daraufhin Details zum Nutzerkonto der beschuldigten Personen und des Telefons, das überwacht wurde – etwa das Gerätemodell und die Seriennummer.

In der Regel folgt aber eine Standardabsage: Man möge bitte genauere Informationen schicken. mSpy schütze die Privatsphäre seiner Nutzer:innen. Ohne die Kundennummer, die Bestellnummer, das Bestelldatum und die Registrierungs-Email könne mSpy keine Information zu einzelnen Konten erteilen. Es ist allerdings möglich, dass mSpy den Behörden auf Wegen geantwortet hat, die sich im Datensatz nicht nachvollziehen lassen.

netzpolitik.org hat die Unternehmen hinter mSpy um Stellungnahme gebeten – auch zur Frage, wie mSpy mit Anfragen von Ermittlungsbehörden umgeht. Eine Antwort haben wir nicht erhalten.

Kundenservice gibt Tipps für Straftaten

Überwachung verpackt als Fürsorge

Wir haben viele Personen angeschrieben, die sich in den Nachrichten als Kund:innen oder Interessenten für mSpy zu erkennen geben. Wir wollten wissen: Warum wollten sie andere heimlich überwachen? Ist ihnen klar, dass sie sich damit womöglich strafbar machen?

Geantwortet hat uns nur Dimitri*. Er wollte sicherstellen, dass sein Teenager auf dem Handy nicht nach Pornografie und Drogen sucht, sagt er. Er schloss ein Abo ab, habe die Spionage-App jedoch am Ende nicht einsetzen können. Das Android-Handy seines Kindes habe die Installation verhindert.

Leonie Tanczer spricht für ein aktuelles Forschungsprojekt auch mit Täter:innen, die in Großbritannien wegen Partnerschaftsgewalt an einem Rehabilitationsprogramm teilnehmen müssen. „Interessant fand ich die Ähnlichkeit in der Erklärungshaltung von Täter:innen und Eltern, warum sie überwachen“, sagt sie. „In beiden Kontexten wird die Sicherheit hervorgehoben.“

In ihrer Selbstwahrnehmung tun die Menschen, die Partner:innen überwachen, nichts Falsches, sagt Tanczer. „‚Ich will für dich da sein.‘ Oder: ‚Ich will nur sicher sein, dass du sicher bist.‘ So wird das häufig von den Tätern verpackt.“

Misstrauen und Eifersucht

In ihren Anfragen an den Kundenservice schildern die Nutzer:innen allerdings weniger das Bedürfnis nach Fürsorge. Stattdessen dominiert vor allem ein Motiv: Eifersucht. Viele fürchten, betrogen zu werden, wollen Partner:innen überführen, hoffen auf „Klarheit“ oder „Antworten“.

Ihre Nachrichten formulieren sie mit einer großen Dringlichkeit. Eine Frau schreibt zum Beispiel: „Ich will, dass bitte jetzt alles funktioniert, weil ich das unbedingt brauche.“ Wir haben einige derart getriebene Menschen im Datensatz gefunden.

Viele kommunizieren mit den Supportmitarbeiter:innen, als seien diese engste Vertraute: völlig distanzlos. Ein Mann schreibt, seine Frau habe wahrscheinlich ein Verhältnis mit ihrem Kollegen. „Ich habe keine Beweise, mein Gefühl sagt mir, dass sie mich betrügt.“

Ein Strauß an Straftaten

Egal wie Nutzer:innen selbst ihre Tat bewerten: Wer heimlich eine Spionage-App auf dem Gerät eines Partners installiert, macht sich in Deutschland in der Regel strafbar, erklärt Nico Kuhlmann, Rechtsanwalt bei der Hamburger Kanzlei Hogan Lovells International.

Gleich mehrere Staftaten könnten hier zusammenkommen. Zunächst einmal müsse man sich unbefugt Zugang zu einem in der Regel passwortgeschützten Gerät verschaffen – nach deutschem Recht gilt das als Ausspähen von Daten. Außerdem kann die heimliche Überwachung als Stalking strafbar sein.

Werden dann aus der Ferne zusätzlich noch das Mikrofon oder die Kamera aktiviert, kommen laut Kuhlmann weitere Straftatbestände dazu wie die Verletzung der Vertraulichkeit des Wortes oder des höchstpersönlichen Lebensbereichs durch Bildaufnahmen. Je nach Vorstrafen und Kontext drohen dann bis zu drei Jahre Haft.

Eine Ausnahme davon gäbe es nur, wenn die Zielperson der Überwachung zugestimmt hat. Allerdings sagt Kuhlmann: „Die erste Frage, die ich mir dann stellen würde: War die Zustimmung freiwillig oder wurde sie erzwungen?“ Eine Zustimmung, die aus einer Zwangslage erfolgt – etwa, weil jemand die Partnerin sonst nicht aus dem Haus lässt –, sei rechtlich wertlos.

Wer ein Handy überwacht, überwacht viele Personen

Kuhlmann gibt noch einen weiteren Punkt zu bedenken: Selbst wer ein Handy mit der Zustimmung der Zielperson ausspäht, wie im Fall von Manuel geschehen, bekommt stets auch die Nachrichten und Bilder von Dritten zu sehen. Diese hätten in der Regel nicht zugestimmt, sagt Kuhlmann. Womit deren Überwachung wiederum strafbar wird. Das heißt: Auch Manuels Partnerin hat sich strafbar gemacht, wenn sie seine Kommunikationspartner:innen ausspähte.

Die Anfragen von deutschen Ermittlungsbehörden zeigen, dass zumindest einige der Betroffenen Anzeige erstatten. Viele Betroffene tun dies aber nicht, weil sie es als belastend empfinden und eine Anzeige auch nicht immer erfolgreich ist, sagt Elizabeth Ávila González vom Bundesverband der Frauenberatungsstellen. Zudem würden Betroffene oft davor zurückscheuen, ihr Telefon bei der Polizei zur Analyse abzugeben, weil sie dann keinen Kontakt mehr zu ihrem Unterstützungsnetzwerk hätten.

Zum Tracking von Kindern ungeeignet

Und was ist mit der Überwachung eigener minderjähriger Kinder: dem legalen Anwendungsfall, den mSpy bewirbt? Im Datensatz finden sich viele Anfragen von Eltern, die mit mSpy die Geräte ihrer Kinder heimlich überwachen wollen oder das bereits tun.

Juristisch ist das ein Graubereich, denn auch Kinder haben ein Recht auf Privatsphäre, betont Anwalt Nico Kuhlmann. Außerdem sei auch in so einem Fall immer die Kommunikation von Dritten als Beifang mit dabei.

Die Anwältin Olivia Alig weist in ihren Handreichungen für Eltern auf dieses Spannungsverhältnis hin: Im Zweifel müssten Eltern ihre rechtlich verankerte Aufsichtspflicht gegen die Rechte des Kindes abwiegen. Diese ergeben sich aus der UN-Kinderrechtskonvention, etwa das Recht auf informationelle Selbstbestimmung.

Ein massiver Vertrauensbruch

Die Schweizer Hackerin Maia Arson Crimew beschäftigt sich seit Jahren mit Spionage-Apps und warnt: „Auch die Überwachung von eigenen Kindern mit Tools wie mSpy ist ein weitreichender Eingriff in die Privatsphäre und meist ein massiver Vertrauensbruch.“

Spionage-Apps seien zudem nicht gut gesichert, so dass die Daten regelmäßig nicht nur bei den Kund:innen landeten, sondern offen im Internet. Laut einer Recherche von TechCrunch wurden seit 2017 mehr als 20 solcher Anbieter gehackt oder sie haben aufgrund von Nachlässigkeit selbst die Daten ihrer Kund:innen öffentlich gemacht.

Allein mSpy wurde bereits dreimal gehackt. Das erste Mal landeten 2015 Daten von Nutzer:innen im Darknet. Die größte Panne wurde 2018 bekannt: Ein Sicherheitsforscher hatte damals Einsicht in Nachrichten und Standortdaten der Überwachten. Im Mai 2024 folgte der dritte Leak: der Datensatz, den netzpolitik.org gemeinsam mit dem SWR für diese Recherche untersucht hat.

Forscherin Leonie Tanczer ist noch aus einem weiteren Grund besorgt. „Ich verstehe natürlich, dass viele Eltern Unsicherheiten haben, was die Kinder online machen. Aber ich glaube, als Gesellschaft haben wir nicht wirklich eine Diskussion darüber geführt, wo die Grenzen für eine Überwachung liegen sollten.“

Eine technologische Lösung würde das Vertrauensproblem nicht beheben, sagt Tanczer. „Wenn man der Meinung ist, man muss das hinterrücks installieren, dann ist schon von vornherein irgendwas nicht richtig, oder?“

Diese Recherche entstand in Kooperation mit dem SWR. Mitarbeit bei der Datenauswertung: Matthias Mehldau. Mit * markierte Namen haben wir geändert.