„Dein Bildschirm wird beobachtet“ auf dem Mac: was die Meldung wirklich bedeutet

Diese Antwort ist der einfache Teil. Der schwierige Teil, und der Grund, warum du wahrscheinlich nach drei anderen Anleitungen hier gelandet bist, ist, dass der übliche Rat der Realität nicht standhält. Du schaltest die Bildschirmfreigabe aus, entziehst ein paar Berechtigungen, startest neu, und die Meldung bleibt entweder bestehen oder taucht zwei Tage später wieder auf. Dieser Artikel erklärt den Mechanismus dahinter, und genau der lässt dich den Übeltäter in etwa zwei Minuten finden.

Was die Meldung wirklich bedeutet#

macOS zeigt diesen Hinweis auf dem Sperrbildschirm, wenn etwas den Inhalt deines Displays aufzeichnet. Apples eigene Dokumentation ist eindeutig, was die Absicht angeht: Wenn Software deinen Bildschirm freigibt oder aufzeichnet, sagt dir der Sperrbildschirm genau das. Die Meldung erscheint gerade dort, weil das der eine Moment ist, in dem du die Menüleiste nicht siehst, in der sonst die aktiven Datenschutz-Anzeigen sitzen. Du gehst weg, der Mac sperrt sich, und macOS sorgt dafür, dass das Letzte, was du siehst, ein Hinweis darauf ist, dass dich noch etwas beobachtet.

Die dahinterliegende Berechtigung findest du unter Systemeinstellungen > Datenschutz & Sicherheit > Bildschirm- und Systemaudio-Aufnahme. Jede App, die die Pixel deines Displays haben will, muss in dieser Liste auftauchen und eingeschaltet sein. Es gibt keinen Weg daran vorbei, kein Schlupfloch und keine Altlasten-Ausnahme: Seit macOS Catalina wird das auf Systemebene für jede App durchgesetzt, signiert oder nicht.

Der Unterschied, den jede andere Anleitung übergeht: eine Berechtigung zu besitzen heißt nicht, sie zu nutzen#

Genau hier geht die meiste Fehlersuche schief. Eine App kann achtzehn Monate lang mit eingeschaltetem Schalter in deiner Liste für Bildschirm- und Systemaudio-Aufnahme stehen, ohne auch nur einmal die Sperrbildschirm-Meldung auszulösen. Die Berechtigung ist eine dauerhafte Freigabe. Die Meldung erfasst etwas Konkreteres: einen Prozess, der genau jetzt tatsächlich einen Aufnahme-Stream öffnet.

Die praktische Konsequenz daraus ist wichtig. Wenn dir eine Anleitung rät, jede App in dieser Liste zu widerrufen, verschwindet die Meldung meistens, und du schließt daraus, dass die zuletzt umgeschaltete App die Schuldige war. Wahrscheinlich war sie es nicht. Du hast elf Berechtigungen auf einmal widerrufen, eine davon war zufällig die aktiv aufnehmende, und jetzt hast du ein kaputtes Screenshot-Tool, eine Videokonferenz-App, die kein Fenster mehr freigeben kann, und keine Ahnung, welche Änderung was bewirkt hat.

Geh den umgekehrten Weg. Finde zuerst heraus, was gerade aufnimmt, und entscheide dann, ob das so sein soll. Das dauert ein paar Minuten und lässt den Rest deines Mac unangetastet.

So findest du die App, die deinen Bildschirm gerade wirklich beobachtet#

Der Reihe nach, die günstigste Prüfung zuerst. Hör auf, sobald einer dieser Schritte die App benennt, denn die späteren Schritte lohnen sich nur, wenn die früheren nichts ergeben.

• Öffne das Kontrollzentrum und schau oben im Panel nach. Wenn etwas deinen Bildschirm oder deinen Systemton aufnimmt, listet macOS dort die verantwortliche App auf. Auf aktuellen macOS-Versionen sitzt während einer laufenden Aufnahme ein farbiger Indikator neben dem Kontrollzentrum-Symbol in der Menüleiste. Das ist die mit Abstand schnellste Antwort, und die meisten Anleitungen erwähnen sie nicht einmal.
• Prüf die Freigabedienste. Systemeinstellungen > Allgemein > Freigabe. Bildschirmfreigabe, Remote Management und Remote-Login sind die drei, auf die es ankommt. Vor allem Remote Management ist der Dienst, der vor Jahren einmal für eine Support-Sitzung eingeschaltet und nie wieder ausgeschaltet wurde.
• Prüf AirPlay und die Bildschirmspiegelung. Systemeinstellungen > Allgemein > AirDrop & Handoff für AirPlay-Empfänger, dazu die Kachel Bildschirmspiegelung im Kontrollzentrum. Eine Spiegelung auf einen Fernseher oder einen zweiten Mac ist nach jeder vernünftigen Definition eine Beobachtung, und macOS meldet sie auch so.
• Lies die Liste Bildschirm- und Systemaudio-Aufnahme als Verdachtsliste, nicht als Abschussliste. Du widerrufst nicht alles. Du suchst nach dem einen oder zwei Einträgen, die du dir nicht erklären kannst, und nach allem, was du in der Woche installiert hast, in der die Meldung zum ersten Mal auftauchte.
• Öffne die Aktivitätsanzeige und sortiere nach CPU. Ein Prozess, der still und ständig dein Display aufnimmt, steht selten bei null. Gleiche alles Unbekannte mit der Berechtigungsliste aus dem vorigen Schritt ab.
• Prüf, was sich von selbst startet. Systemeinstellungen > Allgemein > Anmeldeobjekte & Erweiterungen deckt sowohl Anmeldeobjekte als auch Hintergrunddienste ab, die gar kein Fenster mehr zeigen. Hier läuft manchmal noch ein Helferprogramm eines Tools, das du vor Monaten deinstalliert hast.

"Your Screen Is Being Observed on Mac": Is Someone Really Watching?Moonlock by MacPawYouTube

Warum aktuelles macOS immer wieder neu fragt (und warum das kein Fehler ist)#

Wenn dein Mac dich neuerdings in einem festen Rhythmus wegen der Bildschirmaufnahme-Berechtigung nervt, ist das Absicht. Seit macOS Sequoia lässt Apple Bildschirmaufnahme-Freigaben ablaufen: Apps, die dein Display aufnehmen, müssen regelmäßig neu fragen, statt die Berechtigung für immer zu behalten. Die ersten Betas fragten wöchentlich nach, was breite Kritik auslöste, und Apple pendelte sich vor dem Release bei ungefähr monatlich ein.

Das zu verstehen lohnt sich, weil es ändert, was eine wiederkehrende Abfrage bedeutet. Eine monatliche Anfrage von einer App, die du täglich nutzt, zeigt nur, dass das System funktioniert. Eine Abfrage von einer App, die du nicht wiedererkennst, oder eine, die deutlich häufiger als monatlich erscheint, ist die zwei Minuten Nachforschung von oben wert. Sicherheitsforscher haben sich damals klar gegen die Häufigkeit ausgesprochen, mit dem Argument, dass Abfrage-Müdigkeit Menschen dazu erzieht, „Erlauben“ zu klicken, ohne zu lesen, und diese Kritik war berechtigt. Genau deshalb solltest du den App-Namen auf der Abfrage lesen, statt sie reflexartig wegzuklicken.

Verursacht KeepingYouAwake das? Nein, und so kannst du dir sicher sein#

Das kommt ständig vor, denn sobald man anfängt, die eigene Menüleiste zu durchleuchten, wird man bei jedem kleinen Tool dort misstrauisch. KeepingYouAwake, Amphetamine und der eingebaute Befehl `caffeinate` sind die üblichen Verdächtigen. Sie sind unschuldig, und der Grund dafür lohnt sich zu kennen.

Eine App, die deinen Mac wach hält, arbeitet über Power Assertions: Sie bittet macOS, das Display nicht einschlafen zu lassen. Das ist eine Anfrage an die Energieverwaltung. Sie rührt niemals den Inhalt deines Bildschirms an, braucht dafür keine Berechtigung für Bildschirm- und Systemaudio-Aufnahme und kann deshalb auch nicht die Meldung „Dein Bildschirm wird beobachtet“ auslösen. Wenn du das lieber selbst nachprüfst, als mir zu glauben: Öffne Datenschutz & Sicherheit > Bildschirm- und Systemaudio-Aufnahme und schau nach. Eine Wachhalte-App taucht dort gar nicht erst auf, weil sie nie einen Grund hatte zu fragen.

Die Verwechslung ist verständlich. Beide Kategorien sind unsichtbare Menüleisten-Tools, die etwas mit deinem Mac machen, das du nicht siehst, und beide tauchen in derselben panischen Such-Session auf. Wenn du aber die Quelle der Meldung jagst, ist eine Wachhalte-App eine Sackgasse, und du kannst sie sofort streichen. Einen genaueren Blick verdienen diese Apps eher beim umgekehrten Problem: Eine App, die ein MacBook wach hält, lässt dein Display bereitwillig den ganzen Nachmittag über an, und das ist eine Frage von Akku und Augenbelastung, keine Frage des Datenschutzes.

Warum sagt mein MacBook, dass mein Bildschirm beobachtet wird?#

Technisch gesehen ist es identisch: Ein MacBook ist ein Mac, und die Meldung kommt aus derselben Berechtigung. Laptops bringen aber vier zusätzliche Auslöser mit, die ein Desktop-Rechner selten sieht, und wenn du gezielt nach der MacBook-Formulierung suchst, ist wahrscheinlich einer davon deiner.

• Externe Displays und Clamshell-Modus. Andocken, Abdocken und Spiegeln auf einen Monitor oder Fernseher betreffen alle die Display-Pipeline, und vor allem die Spiegelung wird als Beobachtung gemeldet.
• Sidecar und Continuity. Ein iPad als zweites Display zu nutzen ist eine legitime, von Apple gebaute Form der Bildschirmfreigabe, und sie meldet sich entsprechend.
• Ein Firmen-Laptop mit Geräteverwaltung. Das ist der große Punkt, um den andere Anleitungen einen Bogen machen. Wurde dein MacBook von einem Arbeitgeber ausgegeben, prüf Systemeinstellungen > Allgemein > Geräteverwaltung. Ein MDM-Profil kann eine Bildschirmbeobachtung aus der Ferne erlauben, und die Sperrbildschirm-Meldung ist womöglich das einzige sichtbare Zeichen dafür. Das ist keine Fehlfunktion, und es ist nichts, was du zu deaktivieren versuchen solltest: Das ist ein Thema für deine IT-Abteilung, und in vielen Ländern hat dein Arbeitgeber dazu sogar Informationspflichten.
• Reisegewohnheiten. Ein MacBook verbindet sich mit mehr Netzwerken und mehr Meetings als ein Desktop-Rechner, was schlicht heißt, dass über seine Lebenszeit mehr Videokonferenz-Apps um Aufnahmerechte gebeten haben.

Wann es wirklich ernst zu nehmen ist#

Fast jeder Artikel zu diesem Thema endet mit der Empfehlung eines Malware-Scans, meistens von genau dem Anbieter, der ihn verkauft. Seien wir ehrlich, was die Basisraten angeht: Die überwältigende Mehrheit dieser Meldungen führt zurück auf eine Videokonferenz-App, ein Screenshot-Tool, eine Spiegelungs-Sitzung oder eine vergessene Freigabe-Einstellung. Malware ist die seltene Erklärung, nicht die naheliegende, und genau die als Standardfall zu behandeln ist es, was Cleanup-Software verkauft.

Trotzdem: selten heißt nicht nie. Nimm es ernst, wenn mehrere der folgenden Punkte gleichzeitig zutreffen:

• Die Meldung erscheint auf einem Mac, bei dem du die obigen Prüfungen durchgegangen bist und dir wirklich keinen Eintrag in der Aufnahme-Berechtigungsliste erklären kannst.
• Du findest unter Anmeldeobjekte & Erweiterungen eine App, die du nie installiert hast und die du dem Namen nach nicht zuordnen kannst.
• Remote Management ist auf einem privaten Mac aktiviert, der nie von einem Arbeitgeber oder einer Reparaturwerkstatt verwaltet wurde.
• Der Mac wurde von jemand anderem eingerichtet, gebraucht gekauft oder war eine Zeit lang nicht unter deiner Kontrolle (eine Reparatur, ein gemeinsamer Haushalt, ein Ex-Partner mit dem Passwort).
• Es begann unmittelbar, nachdem du Software installiert hast, die weder aus dem App Store noch von der eigenen Website eines Entwicklers stammt, besonders wenn sie als kostenlos beworben wurde, obwohl sie normalerweise Geld kostet.

Trifft das auf deine Situation zu, sind das die sinnvollen Reaktionen: Widerrufe jeden Eintrag unter Bildschirm- und Systemaudio-Aufnahme und gib nur das wieder frei, was du aktiv nutzt, schalte jeden Dienst unter Allgemein > Freigabe aus, ändere dein Apple-Account-Passwort von einem anderen Gerät aus, und prüf Allgemein > Geräteverwaltung auf ein Profil, das du nicht selbst installiert hast. Wenn jemand physischen Zugriff auf den Mac gehabt haben könnte und einen Grund hatte, dich zu überwachen, vor allem wenn es sich um eine häusliche Situation handelt, behandle es als Sicherheitsfrage und nicht als technisches Problem: Ein Werksreset von einem Gerät, das du kontrollierst, und Unterstützung durch eine spezialisierte Organisation schlagen jedes Cleanup-Tool.

„Beobachtet“ heißt nicht „irgendwohin geschickt“#

Noch eine letzte Unterscheidung, denn sie ist es, die den meisten unnötigen Alarm auslöst. macOS meldet, dass dein Bildschirm gelesen wird. Es sagt absolut nichts darüber, wohin diese Pixel gehen. Das sind zwei völlig verschiedene Fragen, und die System-Anzeige beantwortet nur die erste.

Jede Menge legitimer Software liest deinen Bildschirm und schickt niemals ein einziges Byte davon irgendwohin. Ein Screenshot-Tool liest deinen Bildschirm. Ein Farbwähler liest deinen Bildschirm. Ein Fenster-Manager liest deinen Bildschirm. Genauso unsere eigene App: Pausr taucht in dieser Berechtigungsliste auf, weil sie lokal anschaut, was auf deinem Display zu sehen ist, um herauszufinden, ob du in einem Meeting, in einem Anruf oder mitten in einem Spiel steckst, damit sie deine Pause zurückhalten kann, statt ein Vollbild-Overlay über deine Präsentation zu legen. Dieses Lesen passiert auf deinem Mac und bleibt dort. Kein Konto, kein Upload, kein Server, der es durchsickern lassen könnte.

Wir erwähnen das an dieser Stelle im Artikel nicht, um dir etwas zu verkaufen, sondern weil es das klarste Beispiel für das Prinzip ist: Die richtige Frage zu einer App in deiner Aufnahme-Berechtigungsliste lautet nicht „warum kann sie meinen Bildschirm sehen“, sondern „was macht sie mit dem, was sie sieht, und kann ich das überprüfen“. Eine App, die lokal verarbeitet, und eine, die deinen Desktop zu einem Server streamt, sehen für die Sperrbildschirm-Meldung identisch aus. Sie sind alles andere als dasselbe.

Pausr