Physische Abhörsicherheit: Eine unterschätzte Lücke im Sicherheitskonzept: Sie verschlüsseln alles – und reden trotzdem ins Mikrofon

Die Tagesordnung der Unternehmenssicherheit ist gut gefüllt. Mit der NIS-2-Richtlinie, die im Dezember 2025 in deutsches Recht überführt wurde, sind zehntausende Unternehmen neu in die Pflicht genommen: Risikomanagement, Meldeketten und Härtung der Systeme.

Daneben stehen die etablierten Pflichten aus einem Informationssicherheits-Managementsystem (ISMS) nach ISO 27001, dazu Zero-Trust-Architekturen, Netzwerksegmentierung und Verschlüsselung. Diese Agenda ist richtig und sie ist anspruchsvoll.
Sie hat nur eine systematische Schlagseite: Sie priorisiert die Information, die in einem System liegt oder durch ein Netz wandert.

Informationen entstehen nicht erst im Dateisystem. Sie entstehen im Gespräch: in der Vorstandssitzung, im Vier-Augen-Gespräch vor einer Transaktion und in der Teeküche. Diese Ebene fällt durch das Raster der meisten Sicherheitskonzepte, und der Grund dafür ist nachvollziehbar: Ein kompromittierter Besprechungsraum verhält sich anders als ein kompromittiertes Netzwerk. Er erzeugt keinen Logeintrag, löst einen Alarm im Security Operations Center (SOC) aus und taucht in keiner Metrik auf. Ein Mikrofon, das unter einem Konferenztisch mithört, hinterlässt schlicht keine Datenspur, die ein Werkzeug der digitalen Forensik zu fassen bekäme.

Es bleibt unsichtbar, bis jemand den Raum mit der richtigen Technik aktiv untersucht. Genau deshalb fällt die akustische Angriffsfläche durch das Raster der üblichen Risikoanalyse. Nicht, weil das Risiko so gering gewesen wäre, sondern weil die gängigen Instrumente der Risikoerfassung dafür schlicht nie ausgelegt waren. Sie sollen Datenabflüsse, Zugriffsverletzungen und Systemausfälle erkennen, also Ereignisse, die sich in vorhandenen Strukturen messen und dokumentieren lassen. Ein gesprochener Satz, der einen Raum verlässt, fällt in keine dieser Kategorien.

Auch NIS-2 ändert daran weniger als man hoffen könnte. Die Richtlinie fordert zwar einen gefahrenübergreifenden Ansatz, und die zugehörigen Konkretisierungen nennen den Schutz vor physischen Bedrohungen ausdrücklich. Formal wäre der Raum für Lauschabwehr also vorhanden. Genutzt wird er allerdings kaum, denn in der Praxis wird „physische Sicherheit“ fast durchgängig als Zutrittskontrolle, Schließanlage und Videoüberwachung gelesen. Ob in einem Raum bereits etwas installiert ist, das dort nicht hingehört, ist in keinem Standardprozess vorgesehen. Die Regulierung verbietet die Lauschabwehr nicht, sie übersieht sie nur, so wie die betriebliche Umsetzung sie oft übersieht. Die Lücke ist damit eine Frage des Blickwinkels, nicht des Wollens.

Digitale Härtung verschiebt den Angriff auf die physische Ebene

Hier liegt der eigentliche Kern: Sicherheitsinvestitionen verschieben den Angriff. Beseitigen können sie ihn nicht. Wer eine Videokonferenz mit starker Ende-zu-Ende-Verschlüsselung absichert, das Netz segmentiert und Zugriffe nach dem Zero-Trust-Prinzip kontrolliert, macht den digitalen Weg für einen Angreifer teuer, riskant und langwierig. Ein rational handelnder Angreifer reagiert darauf wie jeder rational handelnde Akteur auf eine Kostensteigerung: Er weicht auf den günstigeren Weg aus.

Dieser günstigere Weg führt durch die Tür, nicht durch die Firewall. Ein Mikrofon im Besprechungsraum greift das gesprochene Wort schon an seiner Quelle ab, bevor irgendein System es verarbeiten, verschlüsseln oder schützen könnte. Selbst die beste kryptografische Architektur sichert nur die Übertragung, nicht aber den Moment, in dem der Satz fällt. Wer hier ansetzt, umgeht die digitale Sicherheitsarchitektur, ohne sie je zu berühren.

Das ist keine Schwäche der IT-Sicherheit, vielmehr ihre paradoxe Nebenwirkung: Je dichter die digitale Mauer wird, desto rationaler wird der Griff zur physischen Ebene. Diese Logik ist auch dem Digitalverband Bitkom vertraut. Dessen Präsident Ralf Wintergerst hat es so formuliert: „Wenn ein Videocall praktisch unangreifbar verschlüsselt ist, kann die Wanze im Hotelzimmer das Mittel der Wahl sein.“ Die Wanze ist damit kein Relikt aus der Zeit vor der Verschlüsselung. Sie ist ihre logische Folge, sobald die digitale Ebene gut verteidigt ist.

Was heute an Abhörtechnik im Umlauf ist

Die Technik, um die es geht, ist längst kein Spezialwerkzeug für Geheimdienste mehr. Moderne Abhörtechnik ist klein, billig und unauffällig. Ein Rekorder von der Größe einer Zwei-Euro-Münze, eine präparierte Steckdosenleiste oder ein manipuliertes Ladegerät: all das ist im freien Handel für zweistellige bis niedrige dreistellige Beträge zu haben. Die Platzierung dauert Minuten und technischen Sachverstand braucht es dafür nicht, nur einen unbeobachteten Moment.

Die Bauformen unterscheiden sich erheblich und damit auch das Verhalten. Ein Teil dieser Geräte überträgt das Gesprochene per Funk an einen Empfänger in der Nähe. Ein anderer Teil verzichtet auf jede Übertragung und zeichnet ausschließlich lokal auf, um später ausgelesen zu werden. Hinzu kommen leitungsgebundene Varianten, die vorhandene Verkabelung anzapfen.

Neben dieser akustischen Überwachung steht die optische, in Form von Minikameras. Für die Sicherheitsbetrachtung ist diese technische Vielfalt zunächst zweitrangig. Entscheidend ist, dass alle diese Geräte dasselbe tun: Sie greifen Informationen dort ab, wo sie entstehen. Und das ist nicht auf den Besprechungsraum beschränkt.

Vertrauliche Gespräche finden ebenso im Geschäftsfahrzeug statt, in dem unterwegs telefoniert wird, oder im Hotelzimmer auf Geschäftsreise. An diesen Orten kann die Technik so klein und so gut versteckt sein, dass eine flüchtige Sichtkontrolle sie nicht erfasst.

Praxisfälle von Ford bis zum EU-Ratsgebäude

Eine Abhörwanze muss jemand platzieren, und das setzt einen Zugang voraus. Für ein Unternehmen ist es deshalb weniger entscheidend, ob seine Räume technisch perfekt verriegelt sind. Wichtiger ist die Frage, an welchen Stellen überhaupt die Gelegenheit besteht, unbeobachtet etwas zu verstecken. Solche Gelegenheiten sind zahlreicher als die meisten Sicherheitskonzepte abbilden.

Genau hier stoßen die physischen Schutzmaßnahmen, die ein ISMS vorsieht, an ihre Grenze. Zutrittskontrolle und Videoüberwachung sind darauf ausgelegt, den unberechtigten Zutritt zu verhindern und zu dokumentieren. Sie greifen nicht gegen diejenigen, die berechtigt im Raum sind. Da sind externe Dienstleister, Reinigungskräfte und Wartungstechniker, die für ihre Arbeit selbstverständlich Zutritt zu sensiblen Räumen erhalten.

Da ist die Besuchsdelegation, die einen Konferenzraum für mehrere Tage nutzt. Da ist die Phase nach einer Konflikttrennung, in der ein ausscheidender Mitarbeiter noch Zugang hatte und ein Interesse daran haben könnte, den früheren Arbeitgeber im Blick zu behalten. Und da ist der Innentäter, der gar keine Hürde überwinden muss, weil er ohnehin im Raum sitzt. Die Zugangskontrolle hat ihn ordnungsgemäß registriert; an der Tat ändert das nichts.

Dass selbst ein hohes Schutzniveau keine Garantie ist, zeigt ein Fall beim US-Autohersteller Ford. 2014 entdeckte die Unternehmenssicherheit am Standort Dearborn Abhörtechnik in mehreren Besprechungsräumen. Presseberichten zufolge hatte eine Ingenieurin mehrere Audiorekorder in den Räumen platziert. Auf Bitten des Unternehmens ermittelte das FBI. Zu einer Anklage kam es am Ende nicht, denn ihr Anwalt erklärte, die Geräte hätten lediglich der eigenen Protokollführung gedient.

Gerätetypen und ihre Tarnung

• Aktiv sendende Funkwanze: überträgt das Gesprochene per Funk (HF, WLAN, Bluetooth, Mobilfunk) an einen Empfänger in der Nähe; verräterisches Signal, aber oft nur bei Sprache aktiv oder im omnipräsenten Funkrauschen versteckt.
• Passives Aufzeichnungsgerät: speichert lokal, sendet nichts, wird später ausgelesen; hinterlässt im Funkspektrum keine Spur; häufig getarnt in Alltagsgegenständen wie Steckdosenleisten, Ladegeräten oder Kugelschreibern.
• Leitungsgebundene Abhörtechnik: greift Gespräche oder Telefonie über vorhandene Verkabelung ab, ohne eigenes Funksignal.
• Optische Überwachung: Minikameras, oft in Rauchmeldern, Uhren oder Ladegeräten verbaut oder in der perforierten Decke über dem Schreibtisch.

Gemeinsamer Nenner: Je unauffälliger das Gerät, desto weniger reicht ein einzelnes Suchverfahren aus, um es zu finden.

Für die Sicherheitsbetrachtung ist der strafrechtliche Ausgang zweitrangig. Entscheidend ist, dass die Technik in den Räumen eines Konzerns lag, der erheblichen Aufwand für den Schutz seines geistigen Eigentums betreibt, und dort aufzeichnete, bis eine Prüfung sie sichtbar machte. Wo niemand gezielt sucht, bleibt Abhörtechnik liegen, unabhängig davon, wie gut das Unternehmen im Übrigen gesichert ist.

Wie wenig der Angreifer dabei von außen kommen muss, zeigt ein Vorgang bei Volkswagen. Zwischen 2017 und 2018 zeichnete ein Mitarbeiter über mehr als dreißig interne Sitzungen hinweg vertrauliche Gespräche auf, in denen es um die Strategie im Streit mit einem Zulieferer ging. Insgesamt kamen rund fünfzig Stunden Material zusammen, das später an die Presse gelangte. Der Konzern sprach von einer illegalen Abhör-Attacke und erstattete Strafanzeige.

Aufgezeichnet wurde mit der mitgebrachten Technik eines regulär anwesenden Teilnehmers, nicht mit einem versteckten Fremdgerät. Eine Untersuchung des Raums vor oder nach der Sitzung hätte hier nichts ergeben.

Der Fall macht zweierlei deutlich. Erstens ist der physische Angriff auf das gesprochene Wort in der deutschen Unternehmenslandschaft kein theoretisches Konstrukt. Zweitens endet wirksamer Schutz nicht bei der Raumprüfung; er schließt Zugangsregeln und den Umgang mit mitgebrachter Technik ein.

Dass die klassische, von außen eingebrachte Wanze ein Dauerbrenner ist, zeigt bereits ein Vorgang aus dem Jahr 2003 im Umfeld der Bremer CDU. Berichten zufolge wurden dort in Parteibüros aktive, professionell eingebaute Abhörgeräte in Steckdosen gefunden. Den Ermittlungen zufolge installiert im Auftrag einer Sicherheitsfirma. Bemerkenswert ist der Ausgang: Zwar wurde der ausführende Techniker belangt, doch das Verfahren gegen die mutmaßlichen Hintermänner scheiterte, obwohl der Tathergang weitgehend rekonstruiert werden konnte.

Das ist kein Einzelfall, sondern Ausdruck eines strukturellen Problems. Die heimliche Verletzung der Vertraulichkeit des Wortes ist ein Antragsdelikt, Beweise werden beim Zugriff auf ein Gerät leicht kontaminiert, und der eigentliche Auftraggeber bleibt selten greifbar. Ein älteres Forschungsprojekt des Bundeskriminalamts zur Wirtschaftsspionage hat diese Schwäche dokumentiert: In der großen Mehrheit der untersuchten Gerichtsentscheidungen kam es zur Einstellung des Verfahrens oder zum Verweis auf den Privatklageweg. Nur in einem kleinen Bruchteil kam es zu einer Anklage oder zu einem Strafbefehl. Vom Strafrecht geht hier also wenig Abschreckung aus.

Die Dimension reicht bis in den staatlichen Bereich. Im EU-Ratsgebäude in Brüssel wurden 2003 bei einer Sicherheitsüberprüfung in den Büros mehrerer nationaler Delegationen hochwertige aktive Abhöreinrichtungen entdeckt, die offenbar während früherer Bau- und Einrichtungsphasen in Kommunikationsinfrastruktur und Mobiliar integriert worden waren.

Gerade dieser Fall zeigt den Wert einer fachlichen Untersuchung: Selbst tief integrierte, professionell installierte Technik wurde gefunden, weil gezielt danach gesucht wurde. Wo niemand sucht, arbeitet sie unbemerkt weiter.

Dass es sich um ein verbreitetes und nicht um ein exotisches Risiko handelt, stützen auch aktuelle Behördenzahlen. Der Verfassungsschutz hat über die Jahre eine erhebliche Zahl von Spionageverdachtsfällen mit Bezug auf deutsche Unternehmen untersucht, und der jährliche Wirtschaftsschutz-Bericht des Bitkom weist den Schaden durch Spionage, Sabotage und Datendiebstahl zuletzt mit einem dreistelligen Milliardenbetrag aus.

Laut dieser Erhebung für 2025 berichteten 32 Prozent der von solchen Angriffen betroffenen Unternehmen vom mutmaßlichen oder sicheren Abhören von Vor-Ort-Besprechungen. Der Verband führt das Abhören mit Wanzen dabei ausdrücklich als analogen Angriff, abgegrenzt vom digitalen Ausspähen der Kommunikation. Es geht also nicht um abgefangene E-Mails, es geht um das physisch kompromittierte Gespräch im Raum.

Die Methodik professioneller Lauschabwehr

An dieser Stelle entsteht oft ein Missverständnis. Wenn die Gefahr real ist und Messgeräte im freien Handel verfügbar sind, dann liegt der Gedanke nahe, sich selbst einen Detektor zu beschaffen und den Raum abzugehen. Genau hier trennt sich die Laienprüfung von einer fachlichen Maßnahme. Neben der Hardware zählen dabei ebenso die praktische Methodik, die Dokumentation und die Integrationsmöglichkeit in festgelegte Prozesse.

Eine seriöse technische Lauschabwehr-Untersuchung, im Fachgebrauch Technical Surveillance Countermeasures (TSCM) genannt, ist kein Ergebnis auf Knopfdruck mit einem einzelnen Gerät. Die Maßnahme kombiniert mehrere Verfahren, und das aus einem einfachen Grund: Kein Messverfahren allein deckt alle Gerätetypen ab. Eine Spektrumanalyse erfasst aktiv sendende Technik über einen definierten Frequenzbereich.

Ein Non Linear Junction Detector (NLJD) reagiert auf die Halbleiterstrukturen elektronischer Bauteile, und zwar unabhängig davon, ob ein Gerät sendet oder überhaupt eingeschaltet ist; er erreicht damit auch passive, rein lokal speichernde Geräte. Hinzu kommen die thermografische Prüfung für aktive Geräte mit messbarer Wärmesignatur, die Untersuchung der Strom- und Datenleitungen sowie eine gründliche visuelle und physische Absuche.

Ein rein frequenzbasiertes Vorgehen findet passive Aufzeichnungsgeräte nicht, und selbst aktive Sender entgehen einer oberflächlichen Prüfung leicht. Erst die Kombination dieser Verfahren erlaubt eine belastbare Aussage über den tatsächlichen Zustand der geprüften Räume, weil jedes einzelne Verfahren nur einen Ausschnitt liefert.

Doch selbst der vollständige „Gerätepark“ führt nicht automatisch zu einem belastbaren Ergebnis. Der entscheidende Punkt, der über die reine Technik hinausgeht, ist die Einordnung der Messwerte. Ein NLJD schlägt prinzipbedingt auf jede Elektronik an, auf den Taschenrechner ebenso wie auf eine Wanze. Eine Geräteanzeige ist damit zunächst nur ein Signal, das interpretiert werden muss, und noch kein Befund.

Ohne methodische Einordnung produziert auch hochwertige Messtechnik vor allem eines: falsch-positive Befunde. Deswegen sollte jedes auffällige Messergebnis durch ein zweites, unabhängiges Messverfahren verifiziert werden, bevor es als gesichert gilt. Ergänzend trennt eine Differenzanalyse, also der Abgleich der Messwerte im geprüften Raum mit Referenzwerten aus dem Umfeld, tatsächliche Funde von harmlosen externen Störquellen. Erst dieser Abgleich macht ein Ergebnis belastbar.

Wer in der IT-Sicherheit nach dem Zero-Trust-Prinzip arbeitet, wird diese Haltung wiedererkennen: Kein Zugriff gilt als vertrauenswürdig, nur weil er aus einem vertrauten Umfeld stammt. Vertrauen muss bei jedem Zugriff neu geprüft werden. Das Funkbild einer Büroumgebung aus WLAN, Bluetooth und Mobilfunk ist seit Jahren Teil des Inventars und wird selten hinterfragt.

Doch dass ein Signal erwartbar wirkt, heißt nicht, dass es legitim ist; gerade in diesem vertrauten Rauschen tarnt sich aktive Abhörtechnik. Ein bekanntes Signal ist eben noch kein geprüftes Signal. Die Lauschabwehr wendet auf den Raum dieselbe Verifikationsdisziplin an, die Zero Trust für den digitalen Zugriff verlangt.

Was am Ende steht, ist eine nachvollziehbare Dokumentation: welche Bereiche geprüft wurden, mit welcher Methodik, mit welchem Ergebnis. Bei einem unauffälligen Befund ist das der Nachweis, dass die Räume zum Zeitpunkt der Prüfung frei von auffindbarer Abhörtechnik waren. Bei einem Fund wird das Gerät nach forensischen Standards dokumentiert, sodass das Ergebnis für rechtliche Schritte verwendet werden kann.

Prüfpunkt im Sicherheitskonzept

Physische Abhörsicherheit ergänzt die IT-Sicherheit, statt mit ihr zu konkurrieren. Die beiden Ebenen schließen unterschiedliche Lücken. Ein Sicherheitskonzept, das die digitale Seite mit großem Aufwand härtet, den Raum aber ausblendet, in dem die schützenswerten Informationen überhaupt erst entstehen, bleibt unvollständig, und zwar an genau der Stelle, an die ein rational vorgehender Angreifer als Nächstes ausweicht.

Die gute Nachricht ist, dass die physische Ebene sich mit derselben Logik integrieren lässt, die ohnehin den Kern jeder Sicherheitsstrategie bildet. Die Frage ist risikobasiert zu beantworten: Welche Räume verarbeiten regelmäßig vertrauliche Informationen, die nicht in Systemen, sondern in Gesprächen entstehen, und welche Zugangsfenster bestehen für diese Räume? Wer sich diese Frage stellt, hat den blinden Fleck schon zur Hälfte beseitigt.

Entscheidend ist nur, dass die Prüfung nicht erst dann kommt, wenn bereits Informationen abgeflossen sind. Ein physischer Lauschangriff meldet sich nicht von selbst, er hinterlässt keine Spur. Gerade weil der Abfluss oft unbemerkt bleibt, entfaltet die regelmäßige, vorbeugende Prüfung sensibler Räume ihren eigentlichen Wert.

Konkret heißt das, die physische Abhörsicherheit als eigenen Prüfpunkt im Maßnahmenkatalog zu verankern, überall dort, wo regelmäßig schützenswerte Gespräche stattfinden. Aus dem blinden Fleck wird so eine dokumentierte, nachvollziehbare Position im Sicherheitskonzept, und damit genau das, was die akustische Angriffsfläche bisher nicht war: eine bewusst betrachtete Lücke statt einer übersehenen.