--- id: CP-139 slug: pegasus-nso-forcedentry-iphone lang: de title: Pegasus und FORCEDENTRY auf dem iPhone description: "Was die Quellen zu Pegasus auf dem iPhone sagen: ausgenutzte Sicherheitslücken, Apple-Korrekturen vom September 2021 und einfache Reflexe für Beschäftigte." canonical_url: https://startbrain.io/cyberpedia/de/articles/pegasus-nso-forcedentry-iphone/ markdown_url: https://startbrain.io/cyberpedia/de/articles/pegasus-nso-forcedentry-iphone.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Pegasus und FORCEDENTRY auf dem iPhone“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/pegasus-nso-forcedentry-iphone/ (CC BY 4.0) wing: 2 theme: understand_hacking reflex: cr-012 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/pegasus-nso-forcedentry-iphone/ fr: https://startbrain.io/cyberpedia/fr/articles/pegasus-nso-forcedentry-iphone/ en: https://startbrain.io/cyberpedia/en/articles/pegasus-nso-forcedentry-iphone/ es: https://startbrain.io/cyberpedia/es/articles/pegasus-nso-forcedentry-iphone/ sources: - "n": 1 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 2 title: Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1456/ accessed: "2026-11-03" - "n": 3 title: Multiples vulnérabilités dans les produits Apple - CERT-FR publisher: CERT-FR (ANSSI) url: https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ published: "2021-09-14" accessed: "2026-11-03" - "n": 4 title: Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1476/ accessed: "2026-11-03" - "n": 5 title: Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1428/ accessed: "2026-11-03" - "n": 6 title: Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1474/ accessed: "2026-11-03" --- # Pegasus und FORCEDENTRY auf dem iPhone Pegasus steht im MITRE-ATT&CK-Referenzwerk als „Pegasus for iOS“, eine Software, die Schwachstellen in iOS ausnutzt, um ihre Berechtigungen zu erweitern [1]. Für Beschäftigte ist die Folge einfach: Ein aktuelles Telefon lässt sich schwerer kompromittieren. Dieser Beitrag beschränkt sich auf das, was die hier zitierten Quellen belegen. Sie beschreiben die allgemeine Logik von Angriffen über Sicherheitslücken auf Mobilgeräten, eine Verbreitung von Pegasus für iOS über eine Website und ein Bündel von Apple-Korrekturen vom September 2021. Sie enthalten weder die technische Analyse von FORCEDENTRY noch Einzelheiten zu einer Infektion ohne Klick über eine Nachricht noch die Recherchen von 2021 zu den Zielen von Pegasus. Diese Punkte werden hier daher nicht behandelt. ## In 30 Sekunden - Wo es vorkommt: auf iPhone und Android, über Lücken im System oder im Browser [1][2]. - Was der Angreifer will: eigenen Code auf dem Gerät ausführen und dann von einem eingeschränkten Zugriff zu erweiterten Rechten gelangen [1]. - Der Reflex: Updates sofort installieren, denn sie enthalten häufig Korrekturen für Sicherheitslücken [1]. - Wenn es schon passiert ist: sofort die Sicherheitsabteilung des Unternehmens informieren und nicht versuchen, das Telefon selbst zu bereinigen. ## Direkte Fragen ### Was ist Pegasus für iOS? In MITRE ATT&CK ist „Pegasus for iOS“ eine Software, die Schwachstellen in iOS ausnutzt, um ihre Berechtigungen zu erweitern [1]. Es gibt auch eine Version für Android: Sie versucht aus demselben Grund, bekannte Android-Lücken auszunutzen [1]. ### Muss man klicken, um infiziert zu werden? Die hier zitierten Quellen sagen das für Pegasus nicht. Sie beschreiben einen Fall, in dem das Opfer eine Website besucht: Pegasus für iOS wurde über eine Website verbreitet, die Lücken im Browser Safari ausnutzte [2]. Sie halten fest, dass bei dieser Art von Angriff der Nutzer manchmal mithelfen muss, indem er Skripte aktiviert oder Warnhinweise in Dialogfenstern ignoriert [2]. ### Was ist CVE-2021-30860? Es ist eine Kennung für eine Sicherheitslücke, die das CERT-FR in seiner Warnmeldung vom 14. September 2021 zu Apple-Produkten nennt, zusammen mit CVE-2021-30858 [3]. Die Meldung ordnet diese Schwachstellen dem Risiko „Exécution de code arbitraire à distance“ (Ausführung von beliebigem Code aus der Ferne) zu [3]. Der Text des CERT-FR bringt diese Kennung nicht mit Pegasus in Verbindung. ### Welche Geräte betrifft die Warnmeldung des CERT-FR? Betroffen sind iOS und iPadOS vor Version 14.8, macOS Big Sur vor 11.6, Safari vor 14.1.2, watchOS vor 7.6.2 und Catalina vor 2021-005 [3]. ### Wie schützt man sich? MITRE gibt an, dass Sicherheitsupdates häufig Korrekturen für Schwachstellen enthalten [1]. Zu Angriffen über Websites schreibt es, dass sie häufig Korrekturen für bekannte Exploits enthalten [2]. ## In der Haut des Angreifers Ein Angreifer, der ein Telefon ins Visier nimmt, beginnt mit wenigen Rechten. MITRE beschreibt diesen Ausgangspunkt: Der Angreifer läuft zunächst in einem Prozess mit geringen Berechtigungen, der ihm den Zugriff auf bestimmte Ressourcen verwehrt [1]. Es gibt Lücken, meist in Komponenten des Systems und in Anwendungen, die mit hohen Rechten laufen, und sie erlauben den Wechsel von der Benutzerebene zu Root-Rechten [1]. Sicherheitsmechanismen wie Berechtigungsstufen erschweren den Zugriff auf Daten. Um sie zu umgehen, muss der Angreifer wahrscheinlich eine Softwarelücke ausnutzen [1]. Diese Rolle weist MITRE Pegasus für iOS zu [1]. Wird das Ziel als Mitglied einer Gemeinschaft ausgewählt, kann der Angreifer eine Website wählen, die diese Gemeinschaft besucht: Behörden, eine Branche oder eine Region. MITRE nennt das eine strategische Kompromittierung von Websites oder Watering-Hole-Angriff [2]. ## Was Sie auf dem Bildschirm sehen In dem Szenario, das MITRE für einen Angriff über eine Website beschreibt, laufen Skripte automatisch ab und suchen nach der Version des Browsers und seiner Erweiterungen [2]. Wird eine verwundbare Version gefunden, wird der Exploit-Code an den Browser gesendet. Gelingt die Ausnutzung, erhält der Angreifer die Ausführung von Code auf dem Gerät, sofern keine weiteren Schutzmaßnahmen greifen [2]. In manchen Fällen ist ein zweiter Besuch der Website nötig, bevor der Code gesendet wird [2]. Die hier zitierten Quellen beschreiben nicht, was der Bildschirm eines infizierten iPhones zeigt oder nicht zeigt. Sie erlauben daher nicht die Aussage, dass kein Anzeichen erscheint. Ein anderer möglicher Weg, der andere Schadprogramme betrifft: ein Link zu einer Anwendung, verschickt per E-Mail, SMS, iMessage oder WhatsApp oder auch über einen QR-Code [4]. MITRE hält fest, dass sich diese Technik mit vorbeugenden Kontrollen nicht leicht umgehen lässt, weil sie normale Funktionen des Systems zweckentfremdet [4]. ## Unter der Haube Der Mechanismus läuft in zwei Schritten ab. Zuerst ein erster Zugriff, zum Beispiel über den Browser [2]. Danach eine Rechteausweitung über eine Lücke im System oder in einer Komponente, die mit hohen Rechten läuft [1]. MITRE nennt mehrere verwandte Programme auf iOS. INSOMNIA nutzt eine Lücke in WebKit, um Root-Zugriff zu erlangen [1]. Bei der Operation Triangulation nutzten die Angreifer eine Lücke im Kernel, um Root-Rechte zu erlangen [1]. Ein Telefon, das mit dem Firmennetz verbunden ist, lokal oder über ein VPN, kann ebenfalls als Einstiegspunkt dienen. Der Angreifer nutzt dann Dienste aus der Ferne, um weitere interne Systeme zu erreichen [5]. Zu den genannten Maßnahmen gehört, ein VPN pro Anwendung statt für das ganze Gerät einzurichten: Das beschränkt den Zugriff auf interne Ressourcen auf zugelassene Anwendungen [5]. Das Telefon kann auch betroffen sein, bevor es beim Nutzer ankommt. MITRE beschreibt die Kompromittierung der Lieferkette, zu der Softwareabhängigkeiten, Entwicklungswerkzeuge und Hardware gehören [6]. Sicherheitsupdates können Korrekturen für Geräte enthalten, die auf dieser Ebene kompromittiert wurden [6]. Auf der Abwehrseite kann die Geräteattestierung ein entsperrtes (Jailbreak) oder gerootetes Telefon oft erkennen, und Produkte für mobile Sicherheit können das ebenfalls [1]. ## Fallanalysen ### 13. und 14. September 2021: die vom CERT-FR erfassten Apple-Korrekturen Am 13. September 2021 veröffentlicht Apple fünf Sicherheitsbulletins, von HT212804 bis HT212808 [3]. Am folgenden Tag leitet das CERT-FR daraus eine Warnmeldung mit dem Titel „Multiples vulnérabilités dans les produits Apple“ ab [3]. Sie gibt an, dass diese Lücken es einem Angreifer erlauben, beliebigen Code aus der Ferne auszuführen [3]. Als Lösung wird vorgeschlagen, die Bulletins des Herstellers heranzuziehen, um die Korrekturen zu erhalten [3]. Die beiden genannten CVE-Kennungen sind CVE-2021-30858 und CVE-2021-30860 [3]. Für Beschäftigte ist die praktische Lehre die der Warnmeldung: Versionen vor iOS 14.8 und iPadOS 14.8 waren betroffen, und das Update war die Antwort [3]. ### Pegasus für iOS: eine Verbreitung über eine Website MITRE berichtet, dass Pegasus für iOS über eine Website verbreitet wurde, mithilfe von Lücken im Browser Safari auf iOS [2]. Die hier zitierten Quellen nennen für diesen Fall kein Datum. ## Quellen 1. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1404/ (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1456/ (abgerufen am 3. November 2026) 3. CERT-FR (ANSSI), „Multiples vulnérabilités dans les produits Apple - CERT-FR“, 14. September 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1476/ (abgerufen am 3. November 2026) 5. MITRE ATT&CK, „Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1428/ (abgerufen am 3. November 2026) 6. MITRE ATT&CK, „Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1474/ (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/pegasus-nso-forcedentry-iphone/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.