Pegasus und FORCEDENTRY auf dem iPhone
Was die Quellen zu Pegasus auf dem iPhone sagen: ausgenutzte Sicherheitslücken, Apple-Korrekturen vom September 2021 und einfache Reflexe für Beschäftigte.
In 30 Sekunden
- Was der Angreifer will
- Eigenen Code auf dem Gerät ausführen und dann von einem eingeschränkten Zugriff zu erweiterten Rechten gelangen1.
- Der Reflex
- Updates sofort installieren, denn sie enthalten häufig Korrekturen für Sicherheitslücken1.
- Wenn es schon passiert ist
- Sofort die Sicherheitsabteilung des Unternehmens informieren und nicht versuchen, das Telefon selbst zu bereinigen.
Worum es geht
Pegasus steht im MITRE-ATT&CK-Referenzwerk als „Pegasus for iOS“, eine Software, die Schwachstellen in iOS ausnutzt, um ihre Berechtigungen zu erweitern1. Für Beschäftigte ist die Folge einfach: Ein aktuelles Telefon lässt sich schwerer kompromittieren.
Dieser Beitrag beschränkt sich auf das, was die hier zitierten Quellen belegen. Sie beschreiben die allgemeine Logik von Angriffen über Sicherheitslücken auf Mobilgeräten, eine Verbreitung von Pegasus für iOS über eine Website und ein Bündel von Apple-Korrekturen vom September 2021. Sie enthalten weder die technische Analyse von FORCEDENTRY noch Einzelheiten zu einer Infektion ohne Klick über eine Nachricht noch die Recherchen von 2021 zu den Zielen von Pegasus. Diese Punkte werden hier daher nicht behandelt.
Direkte Fragen
Was ist Pegasus für iOS?
In MITRE ATT&CK ist „Pegasus for iOS“ eine Software, die Schwachstellen in iOS ausnutzt, um ihre Berechtigungen zu erweitern1. Es gibt auch eine Version für Android: Sie versucht aus demselben Grund, bekannte Android-Lücken auszunutzen1.
Muss man klicken, um infiziert zu werden?
Die hier zitierten Quellen sagen das für Pegasus nicht. Sie beschreiben einen Fall, in dem das Opfer eine Website besucht: Pegasus für iOS wurde über eine Website verbreitet, die Lücken im Browser Safari ausnutzte2. Sie halten fest, dass bei dieser Art von Angriff der Nutzer manchmal mithelfen muss, indem er Skripte aktiviert oder Warnhinweise in Dialogfenstern ignoriert2.
Was ist CVE-2021-30860?
Es ist eine Kennung für eine Sicherheitslücke, die das CERT-FR in seiner Warnmeldung vom 14. September 2021 zu Apple-Produkten nennt, zusammen mit CVE-2021-308583. Die Meldung ordnet diese Schwachstellen dem Risiko „Exécution de code arbitraire à distance“ (Ausführung von beliebigem Code aus der Ferne) zu3. Der Text des CERT-FR bringt diese Kennung nicht mit Pegasus in Verbindung.
Welche Geräte betrifft die Warnmeldung des CERT-FR?
Betroffen sind iOS und iPadOS vor Version 14.8, macOS Big Sur vor 11.6, Safari vor 14.1.2, watchOS vor 7.6.2 und Catalina vor 2021-0053.
1In der Haut des Angreifers1 min
Ein Angreifer, der ein Telefon ins Visier nimmt, beginnt mit wenigen Rechten. MITRE beschreibt diesen Ausgangspunkt: Der Angreifer läuft zunächst in einem Prozess mit geringen Berechtigungen, der ihm den Zugriff auf bestimmte Ressourcen verwehrt1. Es gibt Lücken, meist in Komponenten des Systems und in Anwendungen, die mit hohen Rechten laufen, und sie erlauben den Wechsel von der Benutzerebene zu Root-Rechten1.
Sicherheitsmechanismen wie Berechtigungsstufen erschweren den Zugriff auf Daten. Um sie zu umgehen, muss der Angreifer wahrscheinlich eine Softwarelücke ausnutzen1. Diese Rolle weist MITRE Pegasus für iOS zu1.
Wird das Ziel als Mitglied einer Gemeinschaft ausgewählt, kann der Angreifer eine Website wählen, die diese Gemeinschaft besucht: Behörden, eine Branche oder eine Region. MITRE nennt das eine strategische Kompromittierung von Websites oder Watering-Hole-Angriff2.
2Was Sie auf dem Bildschirm sehen1 min
In dem Szenario, das MITRE für einen Angriff über eine Website beschreibt, laufen Skripte automatisch ab und suchen nach der Version des Browsers und seiner Erweiterungen2. Wird eine verwundbare Version gefunden, wird der Exploit-Code an den Browser gesendet. Gelingt die Ausnutzung, erhält der Angreifer die Ausführung von Code auf dem Gerät, sofern keine weiteren Schutzmaßnahmen greifen2. In manchen Fällen ist ein zweiter Besuch der Website nötig, bevor der Code gesendet wird2.
Die hier zitierten Quellen beschreiben nicht, was der Bildschirm eines infizierten iPhones zeigt oder nicht zeigt. Sie erlauben daher nicht die Aussage, dass kein Anzeichen erscheint.
Ein anderer möglicher Weg, der andere Schadprogramme betrifft: ein Link zu einer Anwendung, verschickt per E-Mail, SMS, iMessage oder WhatsApp oder auch über einen QR-Code4. MITRE hält fest, dass sich diese Technik mit vorbeugenden Kontrollen nicht leicht umgehen lässt, weil sie normale Funktionen des Systems zweckentfremdet4.
3Unter der HaubeIT-Teams1 min
Der Mechanismus läuft in zwei Schritten ab. Zuerst ein erster Zugriff, zum Beispiel über den Browser2. Danach eine Rechteausweitung über eine Lücke im System oder in einer Komponente, die mit hohen Rechten läuft1.
MITRE nennt mehrere verwandte Programme auf iOS. INSOMNIA nutzt eine Lücke in WebKit, um Root-Zugriff zu erlangen1. Bei der Operation Triangulation nutzten die Angreifer eine Lücke im Kernel, um Root-Rechte zu erlangen1.
Ein Telefon, das mit dem Firmennetz verbunden ist, lokal oder über ein VPN, kann ebenfalls als Einstiegspunkt dienen. Der Angreifer nutzt dann Dienste aus der Ferne, um weitere interne Systeme zu erreichen5. Zu den genannten Maßnahmen gehört, ein VPN pro Anwendung statt für das ganze Gerät einzurichten: Das beschränkt den Zugriff auf interne Ressourcen auf zugelassene Anwendungen5.
Das Telefon kann auch betroffen sein, bevor es beim Nutzer ankommt. MITRE beschreibt die Kompromittierung der Lieferkette, zu der Softwareabhängigkeiten, Entwicklungswerkzeuge und Hardware gehören6. Sicherheitsupdates können Korrekturen für Geräte enthalten, die auf dieser Ebene kompromittiert wurden6.
Auf der Abwehrseite kann die Geräteattestierung ein entsperrtes (Jailbreak) oder gerootetes Telefon oft erkennen, und Produkte für mobile Sicherheit können das ebenfalls1.
4FallanalysenReale Fälle1 min
13. und 14. September 2021: die vom CERT-FR erfassten Apple-Korrekturen
Am 13. September 2021 veröffentlicht Apple fünf Sicherheitsbulletins, von HT212804 bis HT2128083. Am folgenden Tag leitet das CERT-FR daraus eine Warnmeldung mit dem Titel „Multiples vulnérabilités dans les produits Apple“ ab3. Sie gibt an, dass diese Lücken es einem Angreifer erlauben, beliebigen Code aus der Ferne auszuführen3. Als Lösung wird vorgeschlagen, die Bulletins des Herstellers heranzuziehen, um die Korrekturen zu erhalten3. Die beiden genannten CVE-Kennungen sind CVE-2021-30858 und CVE-2021-308603.
Für Beschäftigte ist die praktische Lehre die der Warnmeldung: Versionen vor iOS 14.8 und iPadOS 14.8 waren betroffen, und das Update war die Antwort3.
Pegasus für iOS: eine Verbreitung über eine Website
MITRE berichtet, dass Pegasus für iOS über eine Website verbreitet wurde, mithilfe von Lücken im Browser Safari auf iOS2. Die hier zitierten Quellen nennen für diesen Fall kein Datum.
Merkblatt
- Kennung
- CP-139
- Flügel
- 2. Malware und Fallanalysen
- Brain-Kompetenz
- Hacking verstehen (understand_hacking)
- Brain-Reflex
- cr-012
- Schema
- G3 · Anatomischer Schnitt
- Sprachen
- de, en, fr
- Quellen
- 6 Quellen geprüft am 3. November 2026
Quellen6 Quellen
- MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1404/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Drive-By Compromise, Technique T1456 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1456/ (abgerufen am 3. November 2026)
- CERT-FR (ANSSI), „Multiples vulnérabilités dans les produits Apple - CERT-FR“, 14. September 2021. https://cert.cyber.gouv.fr/avis/CERTFR-2021-AVI-698/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Deliver Malicious Application via Other Means, Technique T1476 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1476/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Exploitation of Remote Services, Technique T1428 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1428/ (abgerufen am 3. November 2026)
- MITRE ATT&CK, „Supply Chain Compromise, Technique T1474 - Mobile | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1474/ (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „Pegasus und FORCEDENTRY auf dem iPhone“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp139_de_2026,
author = {Brain},
title = {Pegasus und FORCEDENTRY auf dem iPhone},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/pegasus-nso-forcedentry-iphone/},
note = {CC BY 4.0}
}