Passwörter als Screenshot auf dem Handy: Warum die Malware SparkKitty deine Fotogalerie nach Seed Phrase und Zugangsdaten durchsucht

Dein Passwort kannst du ändern. Deine Kreditkarte kannst du sperren. Deine Seed Phrase nicht. Wer die zwölf oder vierundzwanzig Wörter hat, hat dein Krypto-Vermögen – endgültig, unwiderruflich, ohne Support-Hotline. Und genau danach sucht eine Schadsoftware, die es bis in den offiziellen App Store und zu Google Play geschafft hat.

Sie heißt SparkKitty, und sie interessiert sich weder für deine Tastatureingaben noch für deine Zwischenablage. Sie interessiert sich für deine Fotogalerie. Denn dort liegt bei Millionen Menschen genau das, was sonst nirgends liegen dürfte: das Bildschirmfoto vom Passwort, die abfotografierten Wiederherstellungscodes, der Screenshot der Seed Phrase, den man „nur kurz" gemacht hat und seit zwei Jahren nicht mehr angesehen hat.

Der unangenehme Teil daran: Die Schadsoftware kam nicht über eine dubiose Installationsdatei aus einem Forum. Sie kam als Beiladung in Apps aus dem Apple App Store und aus Google Play. Das Sicherheitsversprechen der offiziellen Stores hat hier nicht gehalten – und die entscheidende Schwachstelle war ohnehin eine andere: eine Gewohnheit.

Was SparkKitty ist – und warum diese Malware anders funktioniert als klassische Handy-Trojaner

Die klassische mobile Schadsoftware arbeitet an den Punkten, an denen Daten entstehen oder bewegt werden. Ein Keylogger protokolliert Eingaben. Ein Clipper überwacht die Zwischenablage und tauscht kopierte Wallet-Adressen gegen eigene aus. Ein Banking-Trojaner legt eine gefälschte Eingabemaske über die echte App. All diese Ansätze setzen voraus, dass der Nutzer im entscheidenden Moment aktiv ist.

SparkKitty dreht die Logik um. Die Schadsoftware wartet nicht auf den Moment der Eingabe, sondern durchsucht das, was längst gespeichert ist. Nach der Installation fordert die Wirts-App Zugriff auf die Fotogalerie an – eine Berechtigung, die in einer Messenger-, Krypto- oder Kamera-App völlig unauffällig wirkt. Wird sie erteilt, beginnt der eigentliche Diebstahl: Bilder werden erfasst, an eine fremde Infrastruktur übertragen und dort in Ruhe ausgewertet. Der Angreifer muss nicht in Echtzeit reagieren. Er sichtet das Material, wann es ihm passt.

Genau das macht den Angriff so wirksam. Ein gestohlener Screenshot altert nicht. Ein Passwort lässt sich zurücksetzen, eine Kreditkarte sperren – eine Seed Phrase nicht. Es gibt keine Rückabwicklung, keinen Support, keine Sperrfrist. Deshalb ist ein Foto der Wiederherstellungswörter kein Backup, sondern ein unbefristeter Schlüssel, der auf einem Gerät mit ständiger Internetverbindung liegt.

Die Verbindung zu SparkCat

SparkKitty steht nicht allein. Die Forscher ordnen die Familie als Weiterentwicklung von SparkCat ein – jener Kampagne, die als erster bekannter OCR-gestützter Krypto-Dieb auf iOS beschrieben wurde. Gemeinsame Code-Muster, ähnliche Texterkennungs-Logik und vergleichbares Verhalten der Steuerserver sprechen dafür, dass hier derselbe Täterkreis weiterarbeitet. Das Thema ist damit ausdrücklich nicht abgeschlossen: Noch im April 2026 wurde eine neue SparkCat-Variante in zwei App-Store-Apps und einer Google-Play-App beschrieben. Die Masche wird gepflegt, nicht aufgegeben.

Wie die Infektion abläuft: von der harmlosen App bis zum Bild auf dem fremden Server

Der Ablauf ist in fast allen beschriebenen Fällen gleich – und er kommt ohne spektakuläre Sicherheitslücke aus. Es ist kein Exploit, der das Betriebssystem knackt. Es ist eine Kette aus ganz normalen Schritten, die jeder von uns täglich abnickt.

1. Tarnung als nützliche App. Die Schadfunktion steckt in einer App, die tatsächlich funktioniert – ein Krypto-Portfolio-Tool, ein Messenger, eine Glücksspiel-App. Weil sie ihren Zweck erfüllt, entstehen gute Bewertungen und stabile Vertrauenssignale.
2. Der Weg in den Store. Die Verbreitung lief über den offiziellen Apple App Store und über Google Play, zusätzlich über Fake-Websites, direkt installierte Android-Pakete und manipulierte TikTok-Varianten.
3. Die Berechtigungsabfrage. Nach dem Start meldet sich die App bei ihrer Steuerinfrastruktur und fragt den Zugriff auf die Fotogalerie ab – im Kontext der App meist plausibel begründbar.
4. Das Auslesen. Ist der Zugriff erlaubt, werden vorhandene Bilder erfasst und übertragen, teils zusammen mit Gerätekennungen und Metadaten. Neu hinzukommende Aufnahmen werden ebenfalls berücksichtigt.
5. Die Auswertung. Auf den Servern der Angreifer wird das Material gesichtet. Bei Varianten mit eingebauter Texterkennung passiert die Vorauswahl schon auf dem Gerät: Bilder ohne verwertbaren Text werden gar nicht erst hochgeladen.

Technische Tarnung auf iOS und Android

Auf iOS wurde die Schadfunktion unter anderem in einer Krypto-App namens „币coin" gefunden, die über den regulären App Store verfügbar war und später entfernt wurde. Der schädliche Code versteckte sich in manipulierten Frameworks, die gängige Entwicklerbibliotheken nachahmten – Namen im Stil von AFNetworking oder Alamofire wecken bei einer flüchtigen Prüfung keinen Verdacht. Andere Varianten legten die Nutzlast in einer verschleierten Datei namens libswiftDarwin.dylib ab.

Auf Android traten Java- und Kotlin-Varianten auf, teilweise auch als Xposed-Modul auf gerooteten Geräten. Ein konkretes Beispiel ist eine Messenger-App mit Krypto-Börsenfunktionen namens SOEX, die in Google Play über 10.000 Installationen erreichte, bevor sie nach der Meldung der Forscher entfernt wurde. Ob die jeweiligen Entwickler den Schadcode bewusst eingebaut haben oder selbst auf eine kompromittierte Bibliothek hereingefallen sind, ließ sich nicht in allen Fällen klären.

Warum ausgerechnet OCR: eine Technik der Barrierefreiheit als Werkzeug für Datendiebstahl

OCR steht für optische Zeichenerkennung – Software liest Buchstaben aus Bildern heraus und macht sie durchsuchbar. Die Technik hat eine überwiegend nützliche Geschichte. Ihren Durchbruch im Alltag verdankt sie unter anderem Vorlesegeräten für blinde Menschen, die gedruckten Text in gesprochene Sprache umwandelten; heute steckt sie in jedem Smartphone, wenn du Text aus einem Foto kopierst, eine Rechnung scannst oder einen Screenshot durchsuchst.

Ein wichtiges Detail wird in der Berichterstattung oft verwischt, und es lohnt sich, hier genau zu sein: Die Schadsoftware kapert nicht die Bedienungshilfen deines Betriebssystems. Sie bringt ihre eigene Texterkennung mit. Bei einem Teil der beobachteten Aktivität kam Googles ML Kit zum Einsatz, um JPEG- und PNG-Dateien nach Text zu untersuchen und nur passende Bilder hochzuladen. Diese Bibliothek ist ein ganz normales, frei verfügbares Entwicklerwerkzeug. Das Missbrauchsmuster ist damit nicht „Barrierefreiheit wurde zur Waffe", sondern das ältere und unangenehmere Muster: Eine breit verfügbare, gut funktionierende Technologie steht allen zur Verfügung – auch denen mit schlechten Absichten.

Und ehrlicherweise ist die Texterkennung für den Angreifer nur Komfort, nicht Voraussetzung. Bei vielen SparkKitty-Varianten wurde beobachtet, dass sie wahllos alle erreichbaren Bilder abziehen und die Auswertung komplett auf die Serverseite verlagern. Die Rechenleistung, um hinterher Millionen Bilder maschinell zu durchsuchen, ist heute billig. Wer sich damit beruhigt, dass seine Seed Phrase ja handschriftlich auf einem Zettel steht, den er nur „mal eben" abfotografiert hat, unterschätzt genau das: Auch Handschrift ist längst maschinenlesbar.

Warum der Screenshot die eigentliche Schwachstelle ist – nicht die App

Es wäre bequem, den Fall als reines App-Store-Problem abzulegen. Apple und Google haben die betroffenen Apps entfernt, die Prüfprozesse werden nachgeschärft, Haken dran. Das greift aber zu kurz. Die Schadsoftware war deshalb so wirksam, weil sie auf eine massenhaft verbreitete Nutzergewohnheit traf, für die es eine bessere Alternative gibt, die nur unbequemer wirkt.

Ein Screenshot in der Fotogalerie hat vier Eigenschaften, die ihn für sensible Daten disqualifizieren:

• Er ist unverschlüsselt. Die Galerie ist kein Tresor. Jede App mit Galerie-Berechtigung kann ihn lesen.
• Er synchronisiert sich stillschweigend. iCloud, Google Fotos oder ein Backup-Dienst ziehen das Bild in die Cloud. Aus einer Kopie werden fünf, verteilt über Geräte, die du längst nicht mehr benutzt.
• Er ist maschinenlesbar. Ein Bild mit Text ist für eine Software genauso auswertbar wie eine Textdatei – nur dass es sich für den Menschen wie ein harmloses Foto anfühlt.
• Er wird vergessen. Der Screenshot, der „nur kurz" gedacht war, liegt drei Jahre später noch zwischen Urlaubsfotos. Niemand räumt seine Galerie systematisch auf.

Damit ist die Fotogalerie faktisch ein unverschlüsseltes, cloud-synchronisiertes, durchsuchbares Langzeitarchiv – und für viele Menschen der ungeplante Aufbewahrungsort ihrer wichtigsten Geheimnisse. Wie schnell aus einem einzelnen kompromittierten Gerät ein Totalschaden wird, zeigt sich besonders deutlich, wenn Wallet-App, Zwei-Faktor-Codes, das E-Mail-Konto für Passwort-Resets und ein Foto der Seed Phrase auf demselben Telefon liegen. Dann reicht ein Zugriff, um alles gleichzeitig zu verlieren.

Was in deiner Fotogalerie sonst noch liegt – das unterschätzte Zweitrisiko

Selbst wer nie eine Seed Phrase fotografiert hat, sollte diesen Abschnitt nicht überspringen. Denn die Varianten, die alles hochladen, machen aus einem Krypto-Angriff einen allgemeinen Datenabfluss. Was in einer durchschnittlichen deutschen Fotogalerie tatsächlich liegt, ist erschreckend vollständig:

Typischer Inhalt der Galerie	Was ein Angreifer damit anfangen kann
Foto von Personalausweis oder Reisepass (für eine Verifizierung hochgeladen)	Identitätsmissbrauch, Kontoeröffnungen auf deinen Namen, Umgehung von Verifizierungsprozessen
Screenshot vom Online-Banking oder Kontoauszug	Kenntnis von Bankverbindung, Vermögenslage und Zahlungsgewohnheiten – die Grundlage für glaubwürdiges Phishing
Backup-Codes für die Zwei-Faktor-Anmeldung	Umgehung des zweiten Faktors, obwohl du alles „richtig" abgesichert hast
Foto der Rückseite einer Kreditkarte oder einer TAN-Liste	Direkte Zahlungsmissbrauchsversuche
Screenshot einer Wallet-Adresse oder eines Wallet-Backups	Zuordnung deiner Adressen und deiner Bestände zu deiner Person
Private, sehr persönliche Aufnahmen	Erpressungsversuche – ein Motiv, das bei wahlloser Bilderbeschaffung ausdrücklich mitgedacht werden muss

Die Zielregion der beschriebenen Kampagne lag schwerpunktmäßig in China und Südostasien. Das ist eine Momentaufnahme der Verbreitung, keine Entwarnung für Deutschland. Das Vorgehen ist regional beliebig übertragbar: Eine App, eine Berechtigung, eine Galerie. Wer bis zur nächsten deutschsprachigen Welle wartet, hat die einfache Vorsichtsmaßnahme, um die es hier geht, aus reiner Trägheit ausgelassen.

Sofortmaßnahmen: Was du in den nächsten zwanzig Minuten erledigen kannst

Diese Liste ist bewusst kurz und in der Reihenfolge der Wirkung sortiert. Sie ersetzt keine forensische Prüfung, deckt aber den größten Teil des realen Risikos ab.

1. Galerie durchsuchen. Nutze die Suchfunktion deiner Fotos-App nach Begriffen wie „Passwort", „Recovery", „Seed", „Wallet", „Code", „IBAN" oder „Ausweis". Die Texterkennung, die den Angreifern nützt, arbeitet hier für dich.
2. Sensible Bilder löschen – und den Papierkorb leeren. Gelöschte Fotos liegen bei iOS und Android noch etwa 30 Tage in „Zuletzt gelöscht". Solange sind sie weiterhin auslesbar.
3. Cloud-Kopien prüfen. Kontrolliere iCloud-Fotos, Google Fotos und andere Backup-Dienste. Auf dem Telefon gelöscht heißt nicht in der Cloud gelöscht.
4. Galerie-Berechtigungen aufräumen. Entziehe jeder App den Fotozugriff, die ihn für ihre Kernfunktion nicht braucht. Das ist die einzige Maßnahme aus dieser Liste, die auch künftige Angriffe dieser Bauart ins Leere laufen lässt.
5. Betroffene Zugangsdaten austauschen. Jedes Passwort, das je auf einem Screenshot stand, gilt als kompromittiert. Neu vergeben, nicht „nur zur Sicherheit merken".
6. Bei Seed-Phrase-Fotos: Wallet migrieren. Eine Seed Phrase lässt sich nicht ändern. Wenn sie je als Bild auf einem internetfähigen Gerät lag, ist der einzige saubere Weg eine neu erzeugte Wallet mit frischer Seed – und die Übertragung der Bestände dorthin.
7. App-Bestand ausmisten. Alles deinstallieren, was du seit Monaten nicht geöffnet hast. Jede installierte App ist eine offene Tür, auch eine ungenutzte.

Galerie-Berechtigungen richtig setzen: Android und iOS im direkten Vergleich

Beide Systeme bieten heute deutlich feinere Abstufungen als noch vor wenigen Jahren. Genutzt werden sie selten, weil die Standardeinstellung bequemer ist. Hier lohnt sich der eine Klick.

Ziel	iOS (iPhone)	Android
Fotozugriff einer App prüfen	Einstellungen > Datenschutz & Sicherheit > Fotos	Einstellungen > Apps > betroffene App > Berechtigungen
Zugriff nur auf einzelne Bilder	„Ausgewählte Fotos" – die App sieht ausschließlich die von dir markierten Aufnahmen	„Nur ausgewählte Fotos zulassen" (ab Android 13/14 verfügbar)
Zugriff komplett sperren	„Keine" – für die meisten Apps völlig ausreichend	„Nicht zulassen"
Berechtigungen automatisch entziehen	App löschen entzieht sie mit	„Berechtigungen bei Nichtnutzung der App entfernen" aktivieren
Zusätzliche Schutzschicht	Keine unbekannten Konfigurations- oder Enterprise-Profile installieren; Installationen nur aus dem App Store	Play Protect aktiviert lassen; „Unbekannte Apps installieren" für alle Quellen deaktivieren

Die Option „Ausgewählte Fotos" ist dabei der eigentliche Gewinner. Sie kostet dich beim ersten Mal fünf Sekunden zusätzlich, lässt aber genau den Angriff ins Leere laufen, um den es hier geht: Eine App, die nur das Bild sieht, das du ihr gerade gibst, kann keine Galerie durchsuchen – ganz gleich, wie gut ihre Texterkennung ist.

Woran du eine getarnte App im Store erkennst

Kein Prüfverfahren der Welt fängt alles ab. Der Fall zeigt, dass die offizielle Herkunft aus App Store oder Google Play ein Indiz für Vertrauenswürdigkeit ist, aber kein Beweis. Ein paar Signale lassen sich in dreißig Sekunden prüfen:

Warnsignal	Warum es zählt
Wenige Downloads, aber auffällig viele Bestbewertungen	Klassisches Muster gekaufter Rezensionen; echte Nutzerbasis und Bewertungsbild passen nicht zusammen
Entwickler ohne Historie oder mit nur einer einzigen App	Wegwerf-Entwicklerkonten sind billig; ein gewachsenes Portfolio ist schwerer zu fälschen
Berechtigungen ohne Bezug zur Funktion	Ein Taschenrechner, der die Fotogalerie will, hat dafür keinen legitimen Grund – die Frage ist immer: Wofür genau?
Rezensionen ohne inhaltlichen Bezug zur App	Generisches Lob in gleicher Satzstruktur deutet auf Bewertungskauf hin
Aufforderung, ein Profil oder eine Zusatzkomponente zu installieren	Auf iOS ein starkes Warnsignal – der reguläre Weg braucht keine Konfigurationsprofile
Bekannte App, aber über Link, Werbung oder „Mod-Version" bezogen	Manipulierte Nachbauten beliebter Apps waren ein zentraler Verbreitungsweg dieser Kampagne

Was du statt Screenshots nutzt: die sicheren Alternativen je Datentyp

Der Verzicht auf das Bildschirmfoto funktioniert nur, wenn der Ersatz mindestens so bequem ist. Sonst hält niemand die Regel durch. Für jeden der typischen Fälle gibt es eine Lösung, die im Alltag trägt:

Was du sichern willst	Der sichere Weg	Warum
Passwörter	Passwortmanager mit verschlüsseltem Tresor	Verschlüsselt gespeichert, automatisch ausgefüllt, für jeden Dienst ein eigenes Passwort – bequemer als jeder Screenshot
Zwei-Faktor-Codes	Authenticator-App, idealerweise nicht auf demselben Gerät wie das Hauptkonto	Codes werden lokal erzeugt und laufen nach Sekunden ab; ein abgezogenes Bild nützt niemandem
Backup-Codes für 2FA	Ausdruck an einem festen physischen Ort	Papier synchronisiert sich nicht in die Cloud und wird von keiner App ausgelesen
Seed Phrase / Recovery Phrase	Ausschließlich analog: handschriftlich auf Papier oder in Metall gestanzt, mehrfach, an getrennten Orten	Der einzige Schlüssel, der sich nicht zurücksetzen lässt – er darf nie digital existieren, auch nicht „nur kurz"
Ausweisdokumente für Verifizierungen	Sofort nach dem Upload löschen, inklusive Papierkorb und Cloud	Der Nutzen endet mit der Verifizierung, das Risiko bleibt jahrelang bestehen
Große Krypto-Bestände	Hardware-Wallet, Schlüssel offline, Bestätigung am Gerätedisplay	Der private Schlüssel verlässt das Gerät nicht – ein infiziertes Smartphone bleibt folgenlos

Vom Einzeltipp zum System: So sieht eine Verwahrung aus, der du wirklich vertrauen kannst

Jede einzelne Maßnahme auf dieser Seite ist richtig. Trotzdem greifen viele Menschen nach ein paar Wochen wieder zum Screenshot – und zwar aus einem sehr nachvollziehbaren Grund: Sie trauen ihrem eigenen Backup nicht. Wer nie geprüft hat, ob die notierte Seed vollständig und lesbar ist, ob die Wiederherstellung tatsächlich funktioniert und wer im Notfall herankommt, sichert sich unbewusst doppelt ab. Das Foto ist dann kein Leichtsinn, sondern ein Misstrauensvotum gegen die eigene Vorbereitung.

Die Lösung ist deshalb nicht ein weiterer Tipp, sondern ein durchdachtes Konzept, das einmal sauber steht. Konkret heißt das: eine klare Wallet-Struktur, die zwischen Alltagsbeträgen und Langfristbeständen trennt. Backups, die mehrfach existieren, räumlich getrennt liegen und mindestens einmal getestet wurden. Festgelegte Regeln für Verlust, Defekt, Diebstahl, Einbruch und Todesfall. Und ein ehrlicher Blick darauf, wo dein Setup heute tatsächlich steht – nicht dort, wo du es gerne hättest.

Der Unterschied ist am Ende genau dieser: Wer nur den Screenshot löscht, hat ein Symptom behoben und wird beim nächsten unbequemen Moment rückfällig. Wer sein Verwahrkonzept einmal sauber aufsetzt, reduziert das Risiko dieser gesamten Angriffsklasse auf ein beherrschbares Maß – bei SparkKitty, bei SparkCat und bei dem, was danach kommt.

Verdacht auf Infektion: die richtige Reihenfolge beim Aufräumen

Wenn du befürchtest, eine betroffene App installiert gehabt zu haben, hilft Aktionismus wenig. Entscheidend ist die Reihenfolge, denn manche Schritte machen andere wirkungslos.

1. Zuerst die verdächtige App entfernen – und sie nicht „nur schließen". Solange sie installiert ist, kann sie weiter übertragen.
2. Dann Bestände in Sicherheit bringen. Wenn eine Seed Phrase betroffen sein könnte, hat die Migration auf eine neue Wallet Vorrang vor allem anderen. Erst Werte sichern, dann aufräumen.
3. Danach Zugangsdaten erneuern – beginnend beim E-Mail-Konto, weil daran alle Passwort-Resets hängen, anschließend Banking, Börsen und soziale Konten.
4. Zwei-Faktor-Anmeldung neu aufsetzen, wo Backup-Codes als Bild vorlagen. Alte Codes ungültig machen, neue erzeugen, diesmal auf Papier.
5. Erst danach die Galerie bereinigen und die Berechtigungen neu setzen. Dieser Schritt schützt die Zukunft, nicht die Vergangenheit.
6. Gerät beobachten. Ungewöhnlicher Datenverbrauch, spürbare Akkuentladung im Leerlauf oder unbekannte Profile sind Anlass für einen vollständigen Reset mit anschließend selektiver Neuinstallation – nicht für ein Backup-Rückspiel, das die App gleich wieder mitbringt.

Was der Fall über die Sicherheit offizieller App-Stores lehrt

Die wichtigste Erkenntnis ist keine technische, sondern eine über Vertrauen. Offizielle Stores sind eine gute Filterstufe – sie sind messbar sicherer als das freie Herunterladen von Installationsdateien. Aber sie sind eine Wahrscheinlichkeitsaussage, keine Garantie. Prüfprozesse sind automatisiert, arbeiten mit Stichproben und werden gezielt umgangen, etwa indem eine App zunächst harmlos veröffentlicht und die Schadfunktion später über eine Bibliothek oder ein Update nachgeliefert wird.

Daraus folgt keine Panik, sondern eine schlichte Umstellung der Denkweise: Sicherheit entsteht nicht dadurch, dass man nur „vertrauenswürdige" Software installiert, sondern dadurch, dass man den Schaden begrenzt, den eine beliebige App anrichten kann. Wenig Berechtigungen, wenig installierte Apps, keine Geheimnisse in der Galerie, große Werte auf getrennter Hardware. Wer so aufgestellt ist, für den ist die nächste SparkKitty eine Meldung – und kein Vorfall.

Und die eigentliche Lehre gilt weit über diese eine Malware-Familie hinaus: Jede Technologie, die gut genug funktioniert, um bequem zu sein, funktioniert auch gut genug, um gegen dich verwendet zu werden. Die Texterkennung, die dir eine Rechnung durchsuchbar macht, macht deiner Seed Phrase dasselbe an. Das ist kein Argument gegen die Technik – es ist ein Argument dafür, sie bei der eigenen Risikoplanung ernst zu nehmen.

Häufige Fragen zu SparkKitty, Screenshots und Fotogalerie-Malware

Ist mein Handy infiziert, wenn ich Passwörter als Screenshot gespeichert habe?

Nein. Ein Screenshot allein infiziert gar nichts. Er wird nur dann zum Problem, wenn eine App mit Galerie-Zugriff auf dem Gerät liegt, die die Bilder abzieht. Der Screenshot ist also nicht die Ursache, sondern die Beute. Entscheidend ist deshalb die Kombination aus gespeichertem Geheimnis und erteilter Berechtigung – und genau diese Kombination lässt sich in wenigen Minuten auflösen.

Reicht es, den Screenshot einfach zu löschen?

Für die Zukunft ja, für die Vergangenheit nein. Lag das Bild auf einem bereits kompromittierten Gerät, muss man davon ausgehen, dass es längst kopiert wurde. Zusätzlich liegen gelöschte Fotos bei iOS und Android noch rund 30 Tage im Papierkorb und häufig weiterhin in der Cloud-Sicherung. Löschen ist deshalb Schritt eins von zwei – Schritt zwei ist der Austausch der betroffenen Zugangsdaten beziehungsweise die Migration der Wallet.

Betrifft SparkKitty auch Nutzer in Deutschland?

Die beschriebene Kampagne zielte schwerpunktmäßig auf Nutzer in China und Südostasien. Das ist eine Aussage über die konkrete Verbreitung, nicht über die technische Machbarkeit. Das Angriffsmuster ist ohne Anpassung auf jeden Markt übertragbar, weil es nur eine App, eine erteilte Berechtigung und eine gefüllte Fotogalerie braucht. Die Schutzmaßnahmen sind ohnehin dieselben und kosten nichts.

Wie erkenne ich eine getarnte App im App Store oder bei Google Play?

Sichere Erkennung ist von außen nicht möglich – deshalb kam die Software überhaupt durch die Prüfprozesse. Verdächtig sind aber wenige Downloads bei auffällig vielen Bestbewertungen, Entwicklerkonten ohne Historie, generisch klingende Rezensionen und vor allem Berechtigungen, die nichts mit der Funktion zu tun haben. Auf iOS ist die Aufforderung, ein zusätzliches Konfigurationsprofil zu installieren, ein deutliches Warnsignal.

Schützt ein Virenscanner auf dem Smartphone davor?

Ein mobiles Sicherheitspaket kann bekannte Schadsoftware erkennen und warnen, wenn eine App als schädlich eingestuft wurde. Gegen eine frisch veröffentlichte, noch unbekannte Variante hilft es aber nur begrenzt. Die zuverlässigere Verteidigung ist strukturell: keine Geheimnisse in der Galerie, restriktive Fotoberechtigungen und wenige installierte Apps. Software ergänzt diese Grundlage, sie ersetzt sie nicht.

Was mache ich, wenn meine Seed Phrase als Foto auf dem Handy lag?

Behandle sie als kompromittiert, auch wenn kein konkreter Verdacht besteht. Eine Seed Phrase lässt sich nicht ändern, nicht sperren und nicht zurücksetzen – wer sie hat, hat die Wallet. Der einzige saubere Weg ist deshalb: eine neue Wallet erzeugen, deren Seed ausschließlich analog sichern und die Bestände dorthin übertragen. Anschließend das alte Foto samt Papierkorb und Cloud-Kopien löschen.

Ist iOS bei dieser Angriffsart sicherer als Android?

Bei dieser Kampagne nicht. Beide Plattformen waren betroffen, beide Stores wurden als Verbreitungsweg genutzt. Der Angriff nutzt keine Systemlücke, sondern eine regulär erteilte Berechtigung – und die gibt es auf beiden Systemen. Beide bieten allerdings auch die Gegenmaßnahme: den Zugriff auf einzelne, ausgewählte Fotos zu beschränken statt auf die gesamte Galerie.

Was ist der Unterschied zwischen SparkCat und SparkKitty?

SparkCat war die zuvor beschriebene Kampagne und gilt als erster bekannter OCR-gestützter Krypto-Dieb auf iOS; sie suchte gezielt nach Bildern mit Wiederherstellungsphrasen. SparkKitty gilt als Weiterentwicklung desselben Täterkreises, erkennbar an geteilten Code-Mustern und ähnlichem Serververhalten. Der praktische Unterschied: SparkKitty geht deutlich breiter vor und zieht in vielen Varianten die komplette Galerie ab, statt nur gefilterte Treffer.

Weiterlesen

Den vollständigen Rahmen für alles, was hier nur angerissen werden konnte, liefert der Leitfaden Krypto-Vermögen schützen – dein Krypto-Vermögen ist nur so sicher wie deine Vorbereitung. Der Screenshot in der Fotogalerie ist nämlich selten ein Einzelfehler, sondern das Symptom eines fehlenden Verwahrkonzepts: Wer nie festgelegt hat, wo die Seed Phrase liegt, wie viele Kopien es gibt und wer im Ernstfall herankommt, improvisiert – und improvisiert wird digital. Der Leitfaden führt vom ersten Backup über Wallet-Struktur und Notfallregeln bis zur Nachlassplanung und macht daraus eine Reihenfolge, die man tatsächlich abarbeiten kann. Genau das ist der Unterschied zwischen „ich habe den Screenshot gelöscht" und „mein Vermögen hängt nicht mehr an einem einzelnen Gerät".

Wie schnell aus einem einzelnen Gerät ein vollständiger Kontrollverlust wird, zeigt der Beitrag was nach einem iPhone-Diebstahl wirklich passiert. Dort geht es um denselben Grundfehler in anderer Verpackung: Wallet-App, Zwei-Faktor-Codes, E-Mail-Konto und notierte Wiederherstellungswörter liegen gebündelt auf einem einzigen Telefon. Während SparkKitty die Bilder aus der Ferne abgreift, holen sich die Täter dort den Zugang über gezielte Phishing-Nachrichten nach dem Diebstahl. Beide Wege enden am selben Punkt – und beide scheitern, wenn die Schlüssel gar nicht erst auf dem Smartphone liegen.

Der Grundsatz hinter der ganzen Debatte ist älter als jede Malware-Familie: was „Not your keys, not your coins" wirklich bedeutet erklärt, warum die Kontrolle über die privaten Schlüssel der eigentliche Eigentumsnachweis ist – und welche Pflichten damit auf dich übergehen. Genau diese Pflichten sind der Grund, warum ein Screenshot so verlockend wirkt: Er nimmt dir gefühlt die Verantwortung für die Aufbewahrung ab. Tatsächlich verlagert er sie nur auf ein Gerät, das jede Woche neue Apps installiert. Wer den Grundsatz zu Ende denkt, kommt zwangsläufig bei der analogen Sicherung an.

Was passiert, wenn das Gerät verschwindet, aber die Sicherung sauber angelegt war, beschreibt der Ratgeber zur Frage, wie du nach Verlust oder Defekt der Hardware-Wallet wiederherstellst. Er ist die konstruktive Gegenseite dieses Artikels: Hier erfährst du, warum du kein Foto brauchst, weil eine getestete Wiederherstellungsstruktur den Ernstfall besser abdeckt als jedes Bildschirmfoto. Besonders relevant ist der Teil zum Testen der Wiederherstellung – die häufigste Ursache dafür, dass Menschen aus Unsicherheit doch wieder zum Screenshot greifen, ist ein Backup, dem sie selbst nicht trauen.

Dass Zugangsdaten längst massenhaft im Umlauf sind, macht der Beitrag zu den 24 Milliarden Zugangsdaten aus dem Infostealer-Leak deutlich. Er passt hier direkt an, weil er den zweiten Teil der Rechnung liefert: Ein abgegriffenes Passwort entfaltet seine Wirkung erst dort, wo kein zweiter Faktor davorsteht. Wenn du also gerade deine Galerie aufräumst, ist das der richtige Moment, auch die Zwei-Faktor-Anmeldung dort nachzurüsten, wo sie noch fehlt. Beides zusammen kostet einen Abend und entwertet den größten Teil dessen, was Angreifer über dich einsammeln können.

Wie oft sensible Daten nicht beim Nutzer, sondern beim Anbieter verloren gehen, dokumentiert die laufend gepflegte Übersicht zu Krypto-Datenlecks und den Anbietern, die Kundendaten verloren haben. Der Bezug zu diesem Artikel ist unmittelbar: Ein Angreifer, der über eine Fotogalerie deinen Ausweis und über ein Anbieter-Leak deine Adresse und Bestände kennt, kann außerordentlich glaubwürdig auftreten. Erst die Kombination aus mehreren Quellen macht Angriffe wirklich gefährlich – und deshalb lohnt es sich zu wissen, welche Daten über dich bereits im Umlauf sein könnten.

Wer nach dem Aufräumen grundsätzlicher werden möchte, findet in der Einordnung zu Open-Source- oder Closed-Source-Wallets und der Frage, worauf Vertrauen wirklich beruht das passende Denkwerkzeug. Der Text erklärt, warum offener Code Nachprüfbarkeit ermöglicht, aber keine Prüfung garantiert – exakt dieselbe Unterscheidung, die auch bei App-Stores greift. Vertrauenswürdige Bezugsquelle, aktive Pflege und Transparenz des Anbieters sind die Kriterien, die in beiden Fällen zählen. Wer sie einmal verinnerlicht hat, bewertet auch die nächste unbekannte App deutlich schneller richtig.

Weitere Analysen zu Schadsoftware, Datenschutz und digitaler Selbstverteidigung findest du in der Rubrik Sicherheit.

Hinweis: Dieser Beitrag dient der Information und ist keine individuelle Anlage-, Rechts- oder Sicherheitsberatung. Eine vollständige Sicherheit kann niemand garantieren – Ziel ist die deutliche Reduktion vermeidbarer Risiken. Quellenlage: Analyse und Veröffentlichung der SparkKitty-Kampagne durch Kaspersky (Securelist, 23. Juni 2025) sowie darauf aufbauende Fachberichterstattung. Technische Details können sich mit neuen Varianten ändern.