Man nutzt es völlig selbstverständlich. Es liegt auf dem Nachttisch, steckt in der Hosentasche, liegt in der Mittelkonsole des Autos. Das Smartphone ist der am engsten mit dem eigenen Leben verwobene Gegenstand, den die meisten Menschen besitzen — und gleichzeitig das am besten dokumentierte Überwachungsinstrument der Gegenwart. Dieser Artikel verzichtet auf Spekulation. Er stützt sich ausschließlich auf Gerichtsurteile, Behördenverfahren, forensische Untersuchungen und offengelegte Datensätze.
BELEGTDass ein Mobiltelefon aus der Ferne in ein Abhörgerät verwandelt werden kann, ist keine Behauptung, sondern forensisch nachgewiesen. Die Spyware Pegasus der israelischen Firma NSO Group kann ohne jede Interaktion des Nutzers installiert werden — über sogenannte Zero-Click-Exploits, bei denen allein der Empfang einer Nachricht genügt.
Einmal installiert, verschafft Pegasus dem Angreifer Zugriff auf Textnachrichten, verschlüsselte Chats, Standortdaten — und kann Mikrofon sowie Kamera des Geräts unbemerkt aktivieren.
Das „Pegasus Project" — eine internationale Rechercheallianz aus 17 Medienpartnern, koordiniert von Forbidden Stories und Amnesty International — deckte 2021 auf, dass eine Leak-Liste von 50.000 potenziellen Zielpersonen existierte und Pegasus in über 50 Ländern gegen Journalisten, Anwälte und Politiker eingesetzt wurde.
Die rechtliche Aufarbeitung ist inzwischen weit fortgeschritten: Ein US-Gericht stellte im Dezember 2024 fest, dass NSO Group durch das Hacken von 1.400 WhatsApp-Nutzern gegen den Computer Fraud and Abuse Act verstoßen hatte. Im Mai 2025 wurde das Unternehmen zur Zahlung von 167 Millionen US-Dollar Schadenersatz an WhatsApp verurteilt — das erste Mal, dass ein Spyware-Hersteller für die Ausnutzung von Smartphone-Sicherheitslücken juristisch zur Verantwortung gezogen wurde.
BELEGTEin Mobiltelefon muss nicht gehackt werden, um ein detailliertes Bewegungsprofil seines Besitzers zu erzeugen. Es genügt, dass es eingeschaltet ist. Jedes Gerät bucht sich fortlaufend in die jeweils nächstgelegene Funkzelle ein — ein Vorgang, der unabhängig von Anrufen oder Nachrichten stattfindet.
Der bekannteste dokumentierte Fall in Deutschland: Der Politiker Malte Spitz klagte seinen eigenen, bei der Deutschen Telekom gespeicherten Datensatz aus Vorratsdatenspeicherungs-Beständen ein. Die Auswertung zeigte, dass sein Standort alle zwei Minuten über einen Zeitraum von sechs Monaten aufgezeichnet worden war — ausreichend für ein lückenloses Bewegungsprofil.
Auch außerhalb der Strafverfolgung fließen Bewegungsdaten in großem Stil ab: Während der Corona-Pandemie übermittelte die Deutsche Telekom dem Robert Koch-Institut anonymisierte Funkzellendaten von 46 Millionen Mobilfunkkunden, um Bewegungsströme bis auf Kreisebene zu modellieren. Der damalige Bundesdatenschutzbeauftragte Ulrich Kelber erklärte die Maßnahme für datenschutzrechtlich vertretbar, da keine Rückschlüsse auf Einzelpersonen möglich seien.
EXTRAPOLATIONDie Trennlinie zwischen „anonymisiert" und „re-identifizierbar" ist technisch fließend. Mehrere Studien zu Bewegungsprofilen zeigen: Bereits vier räumlich-zeitliche Datenpunkte genügen häufig, um eine Person in einem anonymisierten Datensatz eindeutig zu identifizieren — ein Befund, der in der Datenschutzliteratur regelmäßig zitiert wird, auch wenn er im vorliegenden RKI-Fall nicht spezifisch geprüft wurde.
BELEGTEin verbreiteter Trugschluss lautet: Wenn das Handy in der Mittelkonsole liegt oder das Autoradio läuft, sei man „draußen" unbeobachtet. Tatsächlich verlagert sich das Problem nur — vom Smartphone auf das Fahrzeug selbst, das inzwischen ein eigenständiges Überwachungsinstrument ist.
Moderne Infotainmentsysteme verfügen über eingebaute Mikrofone für Sprachsteuerung („Hey Mercedes", „OK Google" u.ä.), die im Normalbetrieb permanent aktiv sind, um auf ein Aktivierungswort zu warten. Zusätzlich schreibt die EU seit 2024 für bestimmte Fahrerassistenzsysteme (etwa Müdigkeitswarner DDAW/ADDW) Innenraumkameras vor.
Dass diese Systeme kein rein theoretisches Risiko darstellen, zeigen dokumentierte Sicherheitsvorfälle: Sicherheitsforscher konnten bei Audi- und VW-Modellen über WLAN-Schwachstellen im Infotainmentsystem Fernzugriff erlangen. Der ADAC bestätigt in eigenen Fahrzeugtests, dass die Mikrofonsysteme unterschiedlich stark abgeschottet sind — teilweise unauffällig aktiv, ohne dass Fahrende dies bemerken.
Ein Auto der Mercedes B-Klasse übermittelte laut einer 2016 im Auftrag des ADAC durchgeführten Untersuchung alle zwei Minuten Statusdaten wie Tankfüllung, Kilometerstand und Reifendruck an den Hersteller — ein früher, mittlerweile durch deutlich umfangreichere Datensammlung überholter Beleg dafür, wie lange dieses Geschäftsmodell schon etabliert ist.
BELEGTEin Großteil der Bewegungsprofile entsteht nicht durch Geheimdienste oder Polizei, sondern durch ein ziviles Geschäftsmodell: den Handel mit Standortdaten, die scheinbar harmlose Apps im Hintergrund erfassen und an Datenhändler weiterreichen.
Bereits im Dezember 2024 — vor dem Hack bekannt geworden — leitete die US-Handelsaufsicht FTC ein Verfahren gegen Gravy Analytics und Venntel ein, weil sensible Standortdaten zu Kirchenbesuchen, Gewerkschaftshäusern und Militärstützpunkten verkauft worden waren, ohne dass Nutzer informiert eingewilligt hatten. Ähnliche Verfahren traf zuvor bereits Kochava (2022, Standortdaten zu Kliniken für reproduktive Gesundheit), X-Mode (2024) und In-Market (2024).
Zu den Abnehmern solcher Datenbestände zählen laut Berichterstattung neben kommerziellen Kunden auch staatliche Institutionen — die auf diesem Weg Standortdaten erwerben können, ohne dafür einen richterlichen Beschluss vorlegen zu müssen, wie es bei einer direkten behördlichen Anfrage erforderlich wäre.
EXTRAPOLATIONDie FTC-Anordnung, künftig keine sensiblen Standortdaten mehr zu verkaufen, scheint laut den nach dem Hack veröffentlichten Datenproben zum Zeitpunkt des Leaks nicht vollständig umgesetzt gewesen zu sein — ein Befund, der auf strukturelle Durchsetzungsprobleme in der Datenhandelsbranche hindeutet, ohne dass daraus ein einzelnes Motiv unterstellt werden soll.
Dieses Kapitel unterscheidet sich bewusst von den vorherigen: Es beschreibt keine abgeschlossenen Fälle, sondern belegte technologische Entwicklungen, deren Reichweite noch offen ist. Die Kennzeichnung erfolgt entsprechend transparent.
BELEGTDer Zulieferer Continental stellte auf der CES 2025 ein Cockpit-Display mit integrierten biometrischen Sensoren vor, das Gesundheitsdaten der Insassen erfassen und zugleich zur Authentifizierung nutzen kann. OFFENWie diese Daten langfristig verarbeitet und ob sie an Dritte weitergegeben werden, ist bislang nicht abschließend reguliert.
EXTRAPOLATIONDie Kombination aus Standort-, Bewegungs-, Sprach- und biometrischen Daten schafft die technische Grundlage für automatisiert erstellte Verhaltens- und Persönlichkeitsprofile. Dass Datenhändler bereits heute aus Standortdaten „persönliche Eigenschaften" ableiten und weiterverkaufen, ist im Fall Gravy Analytics/Venntel dokumentiert. Die Ausweitung auf umfassendere KI-Modelle ist naheliegend, aber zum jetzigen Zeitpunkt keine belegte Einzeltatsache, sondern eine Fortschreibung bestehender, dokumentierter Trends.
BELEGTDie seit 2024 EU-weit vorgeschriebenen Innenraumkameras für Müdigkeits- und Ablenkungserkennung (DDAW/ADDW) erzeugen kontinuierliche Bildaufnahmen des Fahrzeuginnenraums. OFFENOb und in welchem Umfang diese Aufnahmen über den gesetzlich vorgeschriebenen Zweck hinaus gespeichert oder verarbeitet werden, unterscheidet sich je nach Hersteller und ist nicht einheitlich einsehbar — genau das kritisieren Verbraucherschutzorganisationen seit Jahren an der Branche insgesamt.
Kein einziger der genannten Fälle beruht auf Vermutung. Jeder ist gerichtlich, behördlich oder forensisch dokumentiert. Die eigentliche Frage lautet nicht, ob das Handy „mithört" — sondern wer in welchem Fall dazu in der Lage ist, unter welcher Rechtsgrundlage, und was das für ein Gerät bedeutet, das die meisten Menschen nie mehr als eine Armlänge von sich entfernt haben.