Angst vor der Hamas: Eralps Feind im eigenen Bett – Wie eine Trojaner-App deutsche Smartphones kapert

**Lead**

Eine bislang unbekannte Android-Trojaner-Familie mit dem Codenamen „Eralp“ verbreitet sich seit Wochen rasant in Deutschland und anderen deutschsprachigen Ländern. Die Schadsoftware tarnt sich als offizielle App des fiktiven Gesundheitsdienstes „GesundheitPlus“ und gelangt über gefälschte Werbeanzeigen in sozialen Netzwerken auf die Smartphones der Opfer. Nach einer Analyse mehrerer unabhängiger Sicherheitslabore handelt es sich um eine hochentwickelte Spionagesoftware, die in der Lage ist, den gesamten digitalen Datenverkehr des Nutzers mitzulesen – inklusive Nachrichten aus Ende-zu-Ende-verschlüsselten Diensten wie WhatsApp, Signal und Telegram.

**Contexto**

Die ersten Infektionen wurden Mitte Oktober 2026 von Forschern des Bundesamtes für Sicherheit in der Informationstechnik (BSI) registriert. Die App „GesundheitPlus“ verspricht eine zentrale Verwaltung von Impfzertifikaten, Arztterminen und Rezepten – ein Angebot, das angesichts der anhaltenden Digitalisierung des Gesundheitswesens auf großes Interesse stößt. Nach der Installation fordert die App umfangreiche Berechtigungen: Zugriff auf Kontakte, Mikrofon, Kamera, SMS und vor allem auf den „Barrierefreiheit“-Dienst von Android. Diese Berechtigung erlaubt es der Malware, den Bildschirminhalt in Echtzeit auszulesen und Tastatureingaben zu protokollieren.

Sicherheitsforscher des Fraunhofer-Instituts für Sichere Informationstechnologie haben den Code analysiert und festgestellt, dass Eralp eine bisher unbekannte Methode nutzt, um die Ende-zu-Ende-Verschlüsselung gängiger Messenger zu umgehen. Statt die Verschlüsselung selbst zu knacken, liest die Software den Klartext direkt vom Bildschirm ab, bevor er überhaupt verschlüsselt wird. Das BSI bestätigte gegenüber der Presse, dass man die Schadsoftware auf dem Radar habe und mit den Mobilfunkanbietern an Gegenmaßnahmen arbeite. Eine offizielle Warnung des BSI soll in Kürze veröffentlicht werden.

Die Verbreitung erfolgt primär über sogenannte „Malvertising“-Kampagnen. Kriminelle schalten auf seriösen Nachrichtenportalen und Social-Media-Plattformen Anzeigen, die auf eine gefälschte Download-Seite der App führen. Die Anzeigen sind geografisch gezielt auf Nutzer in Deutschland, Österreich und der Schweiz ausgerichtet. Ersten Schätzungen von Branchenkennern zufolge könnten bereits mehrere zehntausend Geräte betroffen sein – die Dunkelziffer wird als deutlich höher eingeschätzt.

**Analise**

Die Eralp-Kampagne markiert einen Wendepunkt in der Bedrohungslandschaft für mobile Endgeräte. Bislang galt die Ende-zu-Ende-Verschlüsselung von Messengern als Goldstandard für Privatsphäre. Dass nun eine Schadsoftware diesen Schutz durch simples Bildschirm-Auslesen umgeht, stellt das Sicherheitsversprechen vieler Dienste grundlegend in Frage. Die technische Hürde für solche Angriffe ist gesunken: Jede App, die den Barrierefreiheit-Dienst missbraucht, kann potenziell denselben Trick anwenden. Google hat zwar in den letzten Jahren die Vergabe dieser Berechtigung erschwert, doch die Eralp-Entwickler haben einen Weg gefunden, die Prüfmechanismen zu umgehen, indem sie die Berechtigung erst nach der Installation über eine scheinbar harmlose Systemeinstellung nachfordern.

Die wirtschaftlichen und gesellschaftlichen Folgen sind erheblich. Betroffen sind nicht nur Privatpersonen, sondern auch Berufstätige, die dienstliche Kommunikation über dieselben Messenger abwickeln. Unternehmensgeheimnisse, Anwaltskorrespondenz oder medizinische Daten könnten in die Hände der Angreifer gelangen. Bislang ist unklar, wer hinter Eralp steckt. Die Code-Struktur und die verwendeten Command-and-Control-Server deuten auf eine professionell organisierte Gruppe hin, möglicherweise mit Verbindungen zu staatlichen Akteuren. Die Namensgebung „Eralp“ – ein türkischer Vorname, der „tapferer Held“ bedeutet – könnte ein Ablenkungsmanöver sein, um die Ermittlungen in eine falsche Richtung zu lenken.

**Fontes**

- Bundesamt für Sicherheit in der Informationstechnik (BSI), Pressemitteilung vom 28. Oktober 2026 - Fraunhofer-Institut für Sichere Informationstechnologie SIT, Analysebericht „Eralp: Bildschirmauslesen als neue Bedrohungsklasse“ - Berichte der Nachrichtenagenturen dpa und Reuters zur aktuellen Malware-Welle - Stellungnahmen von Google-Sicherheitsteam zur Missbrauchsprävention des Barrierefreiheit-Dienstes