Mouse Jiggler erkennen – und warum die Jagd darauf das eigentliche Problem verfehlt

Wenn Ihr Monitoring-Dashboard zeigt, dass Maus oder Tastatur selbst in der Mittagspause nie zur Ruhe kommen, sehen Sie die klassische Signatur eines Mouse Jigglers. Dieses Muster ist leicht zu erkennen. Schwieriger ist die Frage, warum jemand überhaupt Aktivität vortäuschen wollte – und genau diese zweite Frage ist die wichtigere.

Ein Mouse Jiggler (auch „Mausbeweger“ genannt) ist ein kleines Gerät oder Programm, das den Cursor in Abständen bewegt oder Tastendrücke simuliert, damit der Rechner nicht als inaktiv gilt. Manche sind kleine USB-Geräte, andere kleine Plattformen, auf die man die Maus legt, wieder andere reine Software. Das Ziel ist immer dasselbe: Der Status bleibt grün, obwohl niemand arbeitet. Gerade im Homeoffice taucht das Thema regelmäßig auf – und wird in Deutschland schnell mit dem Stichwort Arbeitszeitbetrug verknüpft.

Dieser Leitfaden behandelt beide Seiten des Problems. Zuerst die Technik: wie diese Tools funktionieren und was tatsächlich sichtbar wird. Dann – wichtiger – warum die Erkennung nur die einfachen 10 % der Aufgabe sind, wie die übrigen 90 % aussehen und was Arbeitgeber in Deutschland dabei rechtlich beachten müssen.

Was ein Mouse Jiggler tatsächlich macht

Ein Hardware-Jiggler ist meist ein USB-Gerät, das wie ein kleiner Dongle aussieht. Es meldet sich beim Betriebssystem als Human Interface Device (HID) an, also als dieselbe Geräteklasse wie jede Tastatur oder Maus, und sendet in festen Abständen kleine Bewegungs- oder Klicksignale. Software-Jiggler erledigen dasselbe ohne Hardware: Ein Skript im Hintergrund verschiebt den Cursor um ein Pixel oder drückt in festen Intervallen eine harmlose Taste. Daneben gibt es rein mechanische Modelle, die die Maus physisch anstoßen und gar nicht als eigenes Gerät auftauchen.

Alle Varianten existieren aus einem Grund: Sie sollen die Inaktivitätserkennung aushebeln. Ein „Abwesend“-Status in Teams oder Slack, die automatische Bildschirmsperre und manche Monitoring-Tools reagieren erst, wenn eine Weile keine Eingabe erfolgt. Ein Jiggler entfernt genau dieses Signal – ohne dass dabei gearbeitet wird.

Mouse Jiggler erkennen: Signale, die einen zweiten Blick wert sind

Kein einzelnes Signal beweist, dass jemand einen Jiggler nutzt. Einige Muster sind aber einen genaueren Blick wert, bevor Sie Schlüsse ziehen.

• Gleichmäßiger Takt. Echte Mausbewegungen sind unregelmäßig: Phasen intensiver Arbeit, Pausen, Korrekturen. Ein Cursor, der sich in auffällig gleichen Abständen – etwa alle 30 bis 60 Sekunden – um denselben kleinen Betrag bewegt, wirkt mechanisch. Verräterisch ist nicht die Bewegung, sondern ihre Regelmäßigkeit.
• Bewegung ohne Ergebnis. Der Cursor bewegt sich, aber kein Fenster wechselt, kein Dokument scrollt, kein Klick landet irgendwo. Bewegung ohne jede Wirkung ist das stärkste Einzelindiz.
• Aktivität ohne jeden Einbruch. Jeder Arbeitstag hat natürliche Lücken – ein Telefonat, eine Kaffeepause, die Mittagspause. Ein Status, der über acht Stunden ununterbrochen aktiv ist, ist auffälliger als einer mit normalen Pausen.
• Widersprüchliche Kanäle. Es gibt Cursoraktivität, aber Programmwechsel, Webseiten- oder Messenger-Aktivität zeigen kaum Ausschläge. Echte Arbeit hinterlässt fast immer Spuren in mehreren Kanälen gleichzeitig.

Keines dieser Signale taugt für sich genommen als Vorwurf. Sie sind ein Anlass für ein Gespräch – nicht für eine Abmahnung.

Wo die technische Erkennung an Grenzen stößt

Diesen Teil überspringen die meisten Ratgeber. Er ist aber wichtig, weil er zeigt, was technische Erkennung realistisch leisten kann.

Betriebssysteme wurden nicht dafür gebaut, Jiggler zu erkennen. Windows protokolliert zwar, wann ein neues Gerät angeschlossen wird (etwa in der Ereignisanzeige), und per Gruppenrichtlinie oder über die Gerätesteuerung von Microsoft Defender lässt sich einschränken, welche USB-Geräte installiert werden dürfen. Das zeigt aber Geräte – nicht, ob eine Eingabe von einem Menschen stammt –, und im Task-Manager ist davon nichts zu sehen. Unter macOS lassen sich laufende Prozesse in der Aktivitätsanzeige und beim Start geladene Hintergrundobjekte in den Systemeinstellungen oder mit dem Kommandozeilen-Tool sfltool prüfen; damit findet man bestenfalls ein Jiggler-Programm, aber nie einen Hardware-Jiggler. Einen eingebauten Jiggler-Detektor bietet keines der gängigen Betriebssysteme.

Hardware-Jiggler machen es zusätzlich kompliziert. Weil sie sich als Standard-HID-Geräte anmelden, lassen sie sich grundsätzlich über Hersteller- und Produkt-IDs identifizieren. Die IT kann die Installation von Software auf Administratoren beschränken, nur registrierte Eingabegeräte zulassen oder sich benachrichtigen lassen, wenn ein neues USB-Eingabegerät angeschlossen wird. Eine Sperrliste stoppt aber nur Geräte, die schon eingetragen sind – und rein mechanische Jiggler unter der Maus tauchen gar nicht als Gerät auf. Software-Jiggler sind noch schwieriger: Ein Skript, das den Cursor um ein Pixel verschiebt, ist auf Eingabeebene kaum von einem Menschen zu unterscheiden, der seine Maus kurz anstößt. Windows kennzeichnet per Software erzeugte Eingaben intern zwar als „injiziert“, doch dieselbe Kennzeichnung tragen auch legitime Werkzeuge wie Fernwartung oder Bedienungshilfen, und sie lässt sich umgehen – für sich genommen beweist sie nichts.

Hier liegt die praktische Grenze: Erkennung allein auf Eingabeebene erzeugt immer Fehlalarme ebenso wie übersehene Fälle, weil das Betriebssystem „eine Maschine hat das bewegt“ nicht sicher von „ein Mensch hat die Maus kaum berührt“ unterscheiden kann. Einen Jiggler-Alarm als Beweis zu behandeln, ist deshalb auf jeder Plattform ein Fehler.

Warum Kontext mehr zählt als Maus-Protokolle – und was in Deutschland erlaubt ist

Wenn Cursor- und Tastaturprotokolle die Frage nicht klären können – was dann? Kontext. Ein Screenshot aus dem auffälligen Zeitraum zeigt, ob tatsächlich ein Dokument geöffnet war und bearbeitet wurde, ob eine Anwendung im Vordergrund aktiv genutzt wurde oder ob die ganze Zeit ein Sperrbildschirm oder ein leerer Desktop zu sehen war, während der Jiggler den Status grün hielt.

Genau hier scheitert die Simulation: Ein Jiggler kann einen Inaktivitäts-Timer täuschen, aber er kann nicht vortäuschen, dass ein Dokument bearbeitet wird oder ein Browser-Tab aktiv ist, wenn beides nicht stimmt. Eingabedaten zeigen Bewegung, Programmaktivität und Screenshots zeigen Inhalt – die beiden Quellen beantworten unterschiedliche Fragen.

In Deutschland gilt dabei ein klarer Rahmen: Eine lückenlose Dauerüberwachung ist grundsätzlich unzulässig – und auch automatische Screenshots in kurzen Abständen über den ganzen Arbeitstag kommen ihr nahe und sind entsprechend riskant. Das Bundesarbeitsgericht hat entschieden, dass der verdeckte Einsatz eines Keyloggers ohne konkreten Verdacht einer Straftat oder schweren Pflichtverletzung rechtswidrig ist; die so gewonnenen Erkenntnisse durften im Kündigungsschutzprozess nicht verwertet werden (BAG, Urteil vom 27.07.2017 – 2 AZR 681/16). Screenshots und Aktivitätsdaten sollten deshalb anlassbezogen und verhältnismäßig ausgewertet werden, mit einer klaren Rechtsgrundlage nach DSGVO. Gibt es einen Betriebsrat, hat er bei technischen Einrichtungen, die zur Verhaltens- oder Leistungskontrolle geeignet sind, ein Mitbestimmungsrecht (§ 87 Abs. 1 Nr. 6 BetrVG) – in der Praxis regelt das eine Betriebsvereinbarung.

Mit CleverControl kann eine Führungskraft den fraglichen Zeitraum im geschützten Webkonto prüfen und die Screenshots mit der Programm- und Webseitenaktivität aus demselben Zeitfenster abgleichen. Bewegt sich der Cursor, während der Bildschirm stundenlang einen leeren Desktop oder eine unberührte Anwendung zeigt, sagt diese Kombination mehr als jedes Cursor-Protokoll. Welche Module aktiv sind, lässt sich für jeden Computer einzeln festlegen – so passt die Konfiguration zu dem, was Ihre Betriebsvereinbarung vorsieht.

Die eigentliche Frage: Warum greift jemand zum Jiggler?

Das ist der wichtigste Abschnitt – und genau der, den eine rein technische Antwort auslässt. Ein Jiggler ist keine Ursache. Er ist eine Reaktion auf etwas, meist auf ein System, das jemand als unfair, unklar oder nicht ehrlich erfüllbar empfindet.

Wofür das Auftauchen eines Jigglers tatsächlich spricht:

• Eine KPI, die Anwesenheit misst statt Ergebnisse. Wenn die Kennzahl, nach der jemand produktiv wirkt, „hat sich die Maus bewegt?“ lautet, haben Sie einen Anreiz geschaffen, Mausbewegung vorzutäuschen. Das ist keine Unehrlichkeit im luftleeren Raum, sondern eine vorhersehbare Reaktion auf eine schlecht gewählte Messgröße.
• Ein Missverhältnis bei der Arbeitslast. Wer für seine Aufgaben vier Stunden am Tag braucht, aber acht Stunden sichtbare Aktivität zeigen soll, hat einen Anreiz, die übrigen vier zu „produzieren“. Der Jiggler ist die Folge eines Gesprächs über Arbeitslast, das niemand geführt hat.
• Misstrauen gegenüber dem Monitoring selbst. Wenn Beschäftigte glauben, jede Inaktivität werde bestraft – egal, ob die Arbeit erledigt ist –, wird das Vortäuschen von Aktivität zur rationalen Strategie, selbst für Menschen, die ihren Job eigentlich gut machen.
• Echte Täuschungsabsicht. Auch das kommt vor: Jemand arbeitet schlicht nicht und will das verbergen. Das ist real – aber eine Erklärung unter mehreren, nicht die Standardannahme.

Wer jeden Jiggler-Alarm als Beweis für die letzte Erklärung behandelt und die ersten drei übergeht, löst nichts. Schlimmer: Das restliche Team lernt, dass die sicherste Antwort auf eine fehlerhafte KPI darin besteht, sich besser zu tarnen – statt das Problem anzusprechen. Wie Sie Zeitdiebstahl am Arbeitsplatz erkennen, ohne in diese Falle zu laufen, lesen Sie in unserem separaten Leitfaden.

Verhältnismäßig reagieren: Was konkret zu tun ist

Ein praktikabler Ablauf, sobald ein auffälliges Muster vorliegt:

1. Das Muster bestätigen, bevor Sie eine Ursache benennen. Sehen Sie sich – im Rahmen dessen, was Ihre Regelungen erlauben – den Kontext für den fraglichen Zeitraum an. Schließen Sie technische Fehlalarme aus: eine geplante Aufgabe, ein hängendes Skript, eine legitime Bedienungshilfe.
2. Die KPI prüfen, nicht nur die Person. Fragen Sie, ob die Ziele der Rolle über sichtbare Aktivität, über Ergebnisse oder über beides gemessen werden. Lautet die Antwort „vor allem Aktivität“, haben Sie Ihre wahrscheinliche Ursache gefunden – und sie betrifft das ganze Team, nicht eine Person.
3. Erst das Gespräch, dann die Konsequenzen. Beginnen Sie mit der Beobachtung, nicht mit einem Urteil: „Mir ist aufgefallen, dass die Protokolle durchgehende Eingaben zeigen, während der Bildschirm inaktiv wirkt – können Sie mir erklären, was da los war?“ Das bringt Informationen. Ein Vorwurf bringt nur eine Verteidigung.
4. Die beiden Fälle trennen. Zeigt sich ein Problem bei Arbeitslast oder KPI, ist das eine Frage der Regeln: Kennzahl anpassen, Arbeit umverteilen, klären, was „produktiv“ für die Rolle bedeutet. Zeigt sich ein Pflichtverstoß, ist das ein arbeitsrechtliches Thema – in der Regel zunächst mit einer Abmahnung, im Verhältnis zu dem, was sich tatsächlich belegen lässt. Vor jeder Kündigung ist ein vorhandener Betriebsrat anzuhören (§ 102 BetrVG).
5. Den Anreiz korrigieren, nicht nur den Einzelfall. Taucht ein Jiggler auf, weil Ihr System belohnt, beschäftigt auszusehen, wird ein einzelnes Gespräch die nächste Person nicht davon abhalten. Überprüfen Sie, was Ihr Monitoring eigentlich misst.

Hier leistet Transparenz mehr als jede Erkennung. Beschäftigte, die wissen, was gemessen wird und was eine Führungskraft sehen kann und was nicht, unterstellen seltener das Schlimmste und sprechen ein Arbeitslastproblem eher direkt an, statt es still zu umgehen. Wie das in der Praxis gelingt, zeigen unsere Beiträge dazu, wie Sie Mitarbeiter über die Überwachung informieren, und zu den ethischen Aspekten der Mitarbeiterüberwachung. Eine unklare Regelung ist genau die Lücke, die Jiggler ausnutzen.

Eine Kultur, die keine Jiggler braucht

Die dauerhafteste Lösung ist keine bessere Erkennungsmethode. Sie besteht darin, den Grund zu beseitigen, warum jemand einen Jiggler wollen könnte.

• Ergebnisse messen, wo es geht. Arbeitsergebnisse, Reaktionszeiten, erledigte Aufgaben – alles, was näher an echter Leistung liegt als an Cursorbewegung.
• Die Monitoring-Regelung offenlegen. Sagen Sie klar, was erfasst wird und warum, und stellen Sie sicher, dass es um das Überprüfen von Ergebnissen und das Unterstützen des Teams geht – nicht darum, Menschen zu ertappen.
• Die Prüfenden prüfen. Kontrollieren Sie regelmäßig, ob Führungskräfte Aktivitätsdaten verhältnismäßig nutzen, statt jede Leerlaufphase als verdächtig zu behandeln. Wer auf normale Pausen überreagiert, bringt Menschen bei, sie zu verstecken.
• Pausen normalisieren. Wenn Ihre Regeln stillschweigend jeden Einbruch der Aktivität bestrafen, haben Sie genau den Anreiz geschaffen, auf den ein Jiggler antwortet.

Hinzu kommt ein deutscher Sonderfall: Seit dem Beschluss des Bundesarbeitsgerichts vom 13.09.2022 (1 ABR 22/21) sind Arbeitgeber verpflichtet, die Arbeitszeit ihrer Beschäftigten zu erfassen. Eine saubere, transparente Arbeitszeiterfassung ist ein deutlich besserer Maßstab als ein grüner Statuspunkt – und nimmt dem Jiggler seinen Zweck.

Ein Team, das der Kennzahl vertraut, muss sie nicht fälschen. Dieses Problem ist billiger zu lösen, als jede neue Jiggler-Variante zu jagen, die auf den Markt kommt. Dafür braucht es eine Regelung, die benennt, was gemessen wird und warum, eine KPI, die echte Leistung abbildet statt bloßer Anwesenheit, und Führungskräfte, die bei einem auffälligen Muster mit einer Frage beginnen statt mit einem Urteil. Stehen diese drei Dinge, verliert das technische Wettrüsten um die Erkennung weitgehend an Bedeutung.

Häufige Fragen

Ist ein Mouse Jiggler verboten?
Das Gerät selbst ist nicht verboten. Entscheidend sind Arbeitsvertrag, Arbeitszeitregelung und Monitoring-Regelung im Unternehmen. Wird ein Jiggler genutzt, um Arbeitszeit vorzutäuschen, die nicht geleistet wurde, kann das als Arbeitszeitbetrug gewertet werden. Das Bundesarbeitsgericht hält bei vorsätzlichem Arbeitszeitbetrug in schweren Fällen sogar eine fristlose Kündigung für möglich (vgl. BAG, Urteil vom 26.09.2013 – 2 AZR 682/12). Ob das im Einzelfall zutrifft, hängt von den Umständen und der Beweislage ab.

Kann Monitoring-Software einen Mouse Jiggler automatisch erkennen?
Manche Programme markieren ungewöhnliche Aktivitätsmuster automatisch, und Aktivitätsübersichten machen Auffälligkeiten sichtbar – eine Auffälligkeit ist aber keine bestätigte Antwort. Eine Führungskraft muss weiterhin den Kontext prüfen, um zu beurteilen, ob das Muster tatsächlich mechanisch ist oder nur ein ungewöhnlich ruhiger, aber echter Arbeitstag. Wer einen Alarm als automatischen Beweis behandelt, überspringt genau den Schritt, der klärt, was passiert ist.

Darf der Arbeitgeber einen Keylogger einsetzen, um einen Jiggler zu entlarven?
In aller Regel nicht. Nach der Rechtsprechung des Bundesarbeitsgerichts ist die verdeckte Erfassung aller Tastatureingaben ohne konkreten Verdacht einer Straftat oder schweren Pflichtverletzung unzulässig, und die Ergebnisse sind im Prozess nicht verwertbar (BAG, Urteil vom 27.07.2017 – 2 AZR 681/16). Ein bloßer Jiggler-Verdacht rechtfertigt eine solche Maßnahme nicht.

Was sage ich einem Mitarbeiter, wenn ich einen Jiggler vermute?
Beginnen Sie mit dem, was Sie beobachtet haben, nicht mit einer Schlussfolgerung – beschreiben Sie das konkrete Muster und bitten Sie um eine Erklärung. So erhalten Sie Informationen statt einer Abwehrreaktion, und es bleibt Raum dafür, dass die Antwort ein Arbeitslastproblem statt Unehrlichkeit ist.

Lassen sich Hardware-Jiggler leichter blockieren als Software-Jiggler?
Etwas leichter, ja. USB-Jiggler melden sich als Eingabegeräte mit identifizierbaren Hersteller- und Produktkennungen, die die IT grundsätzlich sperren oder per Positivliste ausschließen kann – neue Geräte tauchen aber schneller auf, als Sperrlisten gepflegt werden. Rein mechanische Modelle sind technisch gar nicht sichtbar, und Software-Jiggler simulieren Eingaben auf einer Ebene, die kaum von leichter echter Mausnutzung zu unterscheiden ist.

Woran erkenne ich, ob das eigentliche Problem meine KPI ist und nicht der Mitarbeiter?
Wenn die Kennzahl, an der jemand gemessen wird, sichtbare Aktivität statt erledigter Arbeit belohnt, ist das ein starkes Signal, dass zuerst der Anreiz korrigiert werden muss. Prüfen Sie, ob andere Personen mit derselben Kennzahl ähnliche Muster zeigen: Ein teamweites Muster weist auf das System hin, nicht auf die Person.

Muss ich Beschäftigte und Betriebsrat vorher informieren?
Ja. Die DSGVO verlangt, dass Beschäftigte transparent darüber informiert werden, welche Daten zu welchem Zweck verarbeitet werden. Gibt es einen Betriebsrat, ist die Einführung einer Überwachungssoftware nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Einen Überblick bietet unser Beitrag zu den DSGVO-Anforderungen an die Mitarbeiterüberwachung. Klären Sie die konkreten Anforderungen für Ihr Unternehmen vor der Einführung mit einer fachkundigen Beratung.

Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und ersetzt keine Rechtsberatung im Einzelfall.