Pegasus und NoviSpy gegen serbische Studierende: Zero-Click-Angriff auf iPhones bestätigt

Ein Vertreter der serbischen Studierendenbewegung wurde über einen Zero-Click-Exploit in iMessage mit Pegasus infiziert. Der Angriff erforderte weder das Öffnen von Anhängen noch das Anklicken von Links oder eine Antwort auf eine Nachricht: Es genügte, dass der schädliche Inhalt das Gerät erreichte.

Citizen Lab bestätigte die Kompromittierung gemeinsam mit der SHARE Foundation durch die Untersuchung forensischer Artefakte auf dem iPhone. Die Analyse begann, nachdem Apple den Besitzer vor einem möglichen Angriff mit kommerzieller Spyware gewarnt hatte.

Die Infektionsindikatoren konnten mit hoher Wahrscheinlichkeit dem Zeitraum zwischen Dezember 2025 und Januar 2026 zugeordnet werden. Der kürzlich bekannt gewordene Fall scheint Teil einer deutlich größeren Kampagne gegen serbische Studierende, Aktivisten und Vertreter der Opposition zu sein.

Auf Apples Warnung folgt die forensische Bestätigung

Apples Bedrohungsbenachrichtigungen richten sich an Nutzer, die nach Einschätzung der Systeme des Unternehmens von Betreibern kommerzieller Spyware ins Visier genommen worden sein könnten, die mit staatlich unterstützten Aktivitäten in Verbindung stehen. Es handelt sich nicht um allgemeine Warnungen, und sie weisen nicht auf eine gewöhnliche Malware-Infektion hin.

Der Erhalt einer solchen Benachrichtigung beweist jedoch für sich allein nicht, dass das Telefon kompromittiert wurde. Dafür ist eine forensische Analyse erforderlich, die Prozesse, Dateien, Protokolle und weitere Spuren des Exploits oder der Spyware rekonstruiert.

Im Fall des serbischen Studenten führte diese Überprüfung zu einer Bestätigung: Auf dem Gerät befanden sich Indikatoren, die mit einer Pegasus-Infektion vereinbar waren. Citizen Lab schloss weitere Kompromittierungen nicht aus, deren Anzahl wurde jedoch nicht bestimmt.

Das iPhone-Modell, die zum Zeitpunkt des Angriffs installierte iOS-Version und die technische Kennung des Exploits wurden nicht bekannt gegeben. Daher lässt sich der gesamte Bereich der betroffenen Versionen nicht bestimmen. Bekannt ist jedoch, dass Apple den spezifischen Angriffsvektor mit den ab iOS 18.4.1 verteilten Sicherheitsupdates neutralisiert hat.

Für den Exploit wurde keine CVE-Kennung genannt. Auch liegen keine Informationen darüber vor, ob er in den KEV-Katalog der CISA aufgenommen wurde.

Seit Anfang 2026 mindestens 14 Personen im Visier

Die SHARE Foundation hat seit Anfang 2026 mindestens 14 Personen dokumentiert, die Ziel von Operationen mit fortschrittlicher Spyware wurden. Die Betroffenen gehören politisch sensiblen Gruppen an:

• Mitglieder der Studierendenbewegung;
• Aktivisten der Zivilgesellschaft;
• ein Abgeordneter der Opposition;
• ein Kommunalpolitiker.

Zwölf Personen wandten sich im August an das forensische Analyseteam der Stiftung, nachdem sie Bedrohungsbenachrichtigungen von Apple erhalten hatten. Elf Geräte gelten weiterhin als potenziell infiziert und müssen weiter untersucht werden.

Diese Unterscheidung ist entscheidend. Bislang betrifft die durch eine forensische Analyse bestätigte Pegasus-Infektion ein iPhone; die übrigen Warnungen weisen auf ein konkretes Risiko hin, entsprechen aber nicht automatisch elf bereits nachgewiesenen Kompromittierungen.

Nach Angaben der SHARE Foundation handelt es sich um die bislang umfassendste dokumentierte Überwachungswelle in Serbien. Die Auswahl der Ziele deutet eher auf eine Operation hin, die sich an den politischen und organisatorischen Verbindungen der Protestbewegung orientiert, als auf eine wahllose Kampagne.

Schon die Kompromittierung eines einzigen Mitglieds eines Netzwerks kann zahlreiche weitere Personen gefährden. Nachrichten, Kontakte, Kalender, Fotos und Kommunikationsverläufe können Kontakte, Treffen, Quellen und interne Strukturen einer Organisation offenlegen.

Wie eine Zero-Click-Infektion über iMessage funktioniert

Zero-Click-Angriffe nutzen Komponenten aus, die empfangene Daten automatisch verarbeiten. Im untersuchten Fall lag die Angriffsfläche bei iMessage: Das System konnte den schädlichen Inhalt verarbeiten, ohne dass der Empfänger ihn öffnen oder mit ihm interagieren musste.

Damit entfällt eines der wichtigsten Warnsignale für Nutzer. Es gibt möglicherweise keinen verdächtigen Link, den sie erkennen, keinen ungewöhnlichen Anhang, den sie vermeiden, und keine Aufforderung zur Eingabe von Zugangsdaten, die sie zurückweisen könnten.

Nach der Installation kann Pegasus dem Betreiber ermöglichen, Nachrichten, Fotos, Notizen und andere auf dem Telefon gespeicherte Daten auszuleiten. Darüber hinaus kann die Spyware auf Inhalte zugreifen, die der Nutzer durch Verschlüsselung geschützt glaubt, weil sie direkt auf dem Gerät arbeitet, auf dem diese Informationen angezeigt oder erstellt werden.

Zu den Pegasus zugeschriebenen Funktionen gehört auch die heimliche Aktivierung von Mikrofon und Kamera. Das Smartphone kann dadurch zu einem Umgebungssensor werden, mit dem Gespräche abgehört oder Vorgänge im Umfeld des Opfers beobachtet werden können.

Das Fehlen sichtbarer Symptome bedeutet nicht, dass das Gerät sicher ist. Spyware dieser Klasse ist darauf ausgelegt, operative Spuren zu minimieren, auffällige Benachrichtigungen zu vermeiden und Verhaltensweisen zu begrenzen, die den Besitzer misstrauisch machen könnten.

NoviSpy auf beschlagnahmtem Android-Telefon entdeckt

Pegasus ist nicht das einzige im Rahmen der Untersuchungen aufgetauchte Werkzeug. In einem separaten Fall entdeckten die SHARE Foundation und Amnesty Tech eine neue Version von NoviSpy auf dem Android-Telefon eines studentischen Aktivisten.

Die serbischen Behörden hatten das Gerät während eines Polizeiverhörs beschlagnahmt. Die verfügbaren forensischen Details deuten darauf hin, dass die Spyware installiert wurde, während sich das Telefon unter der Kontrolle der Behörden befand.

Das Gerätemodell, die betroffene Android-Version und eine vollständige Liste der Funktionen der neuen Variante wurden nicht mitgeteilt. NoviSpy wird als lokal entwickelte Spyware beschrieben.

Donncha Ó Cearbhaill, Leiter des Security Lab von Amnesty International, stellte die Ergebnisse in den Zusammenhang mit der Fortsetzung der Überwachungskampagnen gegen Studierende. Technisch unterscheidet sich der Fall vom Pegasus-Angriff: Der mögliche Angriffsvektor ist hier kein entfernter Zero-Click-Exploit, sondern der physische Zugriff auf ein beschlagnahmtes Telefon.

Es wäre kein Einzelfall. Citizen Lab hatte in Serbien bereits den Einsatz von Cellebrite-Tools dokumentiert, um auf Geräte zuzugreifen und NoviSpy auf den Telefonen von Aktivisten zu installieren. Cellebrite und NoviSpy erfüllen unterschiedliche Aufgaben: Das erste kann den Zugriff auf das Gerät erleichtern, während das zweite die anschließende Überwachung ermöglicht.

Eine Kampagne im Zentrum der politischen Auseinandersetzung

Die Operationen finden während der Studentenproteste gegen die Regierung und Korruption statt. Die dokumentierten Vorfälle fallen zudem in den Zeitraum um die Kommunalwahlen am 29. März 2026 und gehen den für Oktober erwarteten vorgezogenen Parlamentswahlen voraus.

Die Zusammensetzung der Zielgruppe ist aufschlussreich. Studierende, Aktivisten, lokale Mandatsträger und Oppositionsabgeordnete teilen eine politische Sichtbarkeit, die ihre interne Kommunikation besonders wertvoll machen kann.

Die verfügbaren Daten nennen öffentlich nicht den einzelnen Betreiber, der für die Pegasus-Infektion verantwortlich ist. Die Apple-Benachrichtigungen weisen auf eine wahrscheinliche, staatlich unterstützte Aktivität mit kommerzieller Spyware hin; die technische und institutionelle Zuordnung des Angriffs wurde jedoch nicht bekannt gegeben.

In Serbien waren bereits Fälle bekannt geworden, in denen Pegasus gegen Vertreter der Zivilgesellschaft eingesetzt wurde. Der neue Vorfall reiht sich daher in eine Folge dokumentierter Operationen ein, zu denen nun auch der lokale Einsatz von NoviSpy hinzukommt.

Updates, Sperrmodus und forensische Unterstützung

Apple-Nutzer sollten auf allen Geräten die neuesten Updates installieren. Der bei dem Angriff beobachtete iMessage-Exploit wurde mit den in iOS 18.4.1 und späteren Versionen enthaltenen Updates behoben.

Für Journalisten, Politiker, Aktivisten und Menschenrechtsverteidiger, die gezielten Risiken ausgesetzt sind, empfiehlt Apple außerdem den Sperrmodus. Diese Funktion reduziert die von Exploits nutzbaren Angriffsflächen, indem sie bestimmte Funktionen für Nachrichten, Surfen und Kommunikation einschränkt.

Wer eine Apple Threat Notification erhält, sollte das Telefon als potenziell kompromittiert betrachten. Das sofortige Zurücksetzen des Geräts oder Löschen seiner Inhalte kann für die Untersuchung wichtige Elemente vernichten. Vor weiteren Maßnahmen sollte daher möglichst spezialisierte Hilfe eingeholt und sollten Beweise gesichert werden.

In Serbien ist die SHARE Foundation die genannte Anlaufstelle. In anderen Ländern können sich besonders gefährdete Mitglieder der Zivilgesellschaft an die Digital Security Helpline von Access Now wenden.

Die Priorität sollte nicht darin liegen, nach Verlangsamungen, ungewöhnlich hohem Akkuverbrauch oder unbekannten Apps zu suchen. Bei einem professionellen Zero-Click-Angriff können solche Anzeichen vollständig ausbleiben. Eine gezielte Warnung von Apple erfordert dagegen eine schnelle, koordinierte und forensisch fundierte Reaktion.