Massenhaft Smartphones ausgespäht: Neue Dimensionen der Überwachung

Hunderte Journalist*innen und Oppositionelle weltweit sind offenbar von ihren Regierungen ausgespäht worden. Das Unternehmen NSO streitet das ab.

Buchstaben springen aus einem Smartphone heraus

Das Smartphone: Gerät für grenzenlose Kommunikation – und Totalüberwachung Foto: Daniel Grizelj/Stone/getty

Das Unternehmen besteht darauf, nur Gutes zu tun: Die Mission der NSO-Gruppe sei es, Leben zu retten. Alleiniger Zweck ihrer Spionagesoftware – so ist auf der Webseite des israelischen Unternehmens seit Sonntag zu lesen – sei der Kampf gegen Verbrechen und Terror. Auffällig spitz ist das Statement formuliert. Von Diskreditierungsversuchen ist die Rede, von einer „kompletten Lüge“.

Keine Entschuldigung, kein Bedauern. NSO hat sich entschieden, in die Offensive zu gehen, nachdem am Sonntag ein internationaler Zusammenschluss von Journalist*innen und IT-Expert*innen schwere Vorwürfe gegen den Überwachungssoftware-Anbieter veröffentlicht hat. NSO-Produkte, lautet der Vorwurf, werden nicht ausschließlich gegen Kriminelle eingesetzt, sondern auch gezielt gegen Journalist*innen, Menschenrechtler*innen sowie gegen Oppositionelle in autoritären Staaten. Die Recherchen legen nahe, dass die Kunden von NSO staatliche Stellen sind – etwa Geheimdienste – in Aserbaidschan, Indien, Kasachstan, Mexiko, Marokko, Ruanda, Togo, Saudi-Arabien, Bahrain und den Emiraten. Pikant: Auch das EU-Mitgliedsland Ungarn könnte Pegasus gegen Journalist:innen eingesetzt haben.

Die NSO Group, die ihren Hauptsitz im israelischen Herzlia hat, steht schon seit Jahren in der Kritik. Dabei geht es vor allem um ihr Hauptprodukt, die hochmoderne Spionagesoftware Pegasus. Um es kurz zu machen: Pegasus kann fast alles, sobald ein Smartphone erfolgreich attackiert worden ist. Mitlesen, mithören, mitgucken: Chat-Nachrichten, E-Mails, Telefongespräche, Fotos. Selbst das Mikrofon und die Kamera des Smartphones können gesteuert werden, ohne dass der oder die Nutzer*in davon etwas mitbekommt. Das Opfer kann also in Echtzeit ausspioniert werden.

Was die Software kann, ist zwar seit Langem bekannt – doch die Dimension des Pegasuseinsatzes war es bislang nicht. Nun haben der in Paris ansässige Rechercheverein Forbidden Stories und die Menschenrechtsorganisation Amnesty International zusammen mit Medienpartnern aus zehn Ländern einen Datensatz von mehr als 50.000 Telefonnummern ausgewertet, der an sie geleakt worden war. Die Nummern stammen den Berichten zufolge von potenziellen Ausspähzielen, es handelt sich also um eine Art Wunschliste, die von NSO-Kunden erstellt worden sein soll. Die Kunden sind, wie das Unternehmen selbst schreibt, „ausschließlich staatliche Nachrichtendienste und Strafverfolgungsbehörden“, die mit der „Bekämpfung von Kriminalität und Terror“ befasst sind.

Oppositionspolitiker in Indien betroffen

Auf der Liste stehen jedoch nicht nur Terroristen und Mafiosi. Laut Amnesty International, das das Rechercheprojekt mit technischer Expertise unterstützt hat, wurden mindestens 180 Journalist*innen in zwanzig Ländern identifiziert, deren Namen gelistet waren. Zwischen 2016 und Juni 2021 sollen sie für eine potenzielle Zielerfassung mit NSO-Software ausgewählt worden sein, unter anderem in Aserbaidschan, Ungarn, Indien und Marokko. Darunter waren Mitarbeitende namhafter Medien wie Reuters, New York Times, Al Jazeera oder CNN. Telefonnummern deutscher Journalist*innen fänden sich nicht auf der Liste.

Pegasus kann fast alles – mitlesen, mithören, mitgucken: Chatnachrichten, E-Mails, Telefongespräche, Fotos

Auf 37 Smartphones von Medienschaffenden und Menschenrechtler*innen sowie deren Familienangehörigen fanden IT-Expert*innen darüber hinaus konkrete Hinweise darauf, dass die Geräte auch tatsächlich angegriffen worden sind. Unter den konkret Ausgespähten seien beispielsweise zwei Journalisten des ungarischen Investigativmediums Direkt36.

Die indische Zeitung The Wire, ebenfalls Partnerin des Rechercheprojekts, enthüllte am Montag, das auch der indische Oppositionspolitiker Rahul Gandhi sowie dessen direktes Umfeld unter den ausgewählten Spionagezielen waren. Gandhi ist der mächtigste Herausforderer des indischen Premierministers Narendra Modi. Unter den 50.000 geleakten Telefonnummer waren mehr als 1.000 indische Kontakte. Laut dem britischen Guardian deutet ein genauer Blick auf diese Nummern „darauf hin, dass Geheimdienste innerhalb der indischen Regierung hinter der Auswahl standen“.

„Wenn Ihre Informationen korrekt sind, geht das Ausmaß und die Art der Überwachung über einen Angriff auf die Privatsphäre von Einzelpersonen hinaus“, sagte Ghandi gegenüber The Wire. „Es ist ein Angriff auf die demokratischen Grundlagen unseres Landes.“

NSO Group steitet alles ab

Auch aus Europa kamen am Montag Reaktionen: EU-Kommissionspräsidentin Ursula von der Leyen sagte über die Enthüllungen: „Wenn dies der Fall ist, dann ist das völlig inakzeptabel und ein Verstoß gegen alle Werte und Regeln, die wir in der EU in Bezug auf Medienfreiheit haben.“

In Ungarn forderten Oppositionspolitiker*innen eine Untersuchung des mutmaßlichen Einsatzes der Spionagesoftware. Mehrere Mitglieder des Parlamentsausschusses für nationale Sicherheit beantragten eine Sondersitzung, um die Regierung zu ihrer möglichen Verwicklung in die Schnüffelei zu befragen. Eine Untersuchung kündigte auch Frankreichs Regierung an, ohne allerdings konkret zu werden. „Wir hängen sehr an der Pressefreiheit“, sagte Sprecher Gabriel Attal, man sei „extrem schockiert“ über die mutmaßlichen Abhöraktionen.

In Deutschland erklärte die Vorsitzende der Deutschen Journalistinnen- und Journalisten-Union (DJU), Monique Hofmann, am Montag: „Die Ergebnisse der Recherchen belegen eindeutig den Zusammenhang zwischen den Ausspäh-Angriffen und der Unterdrückung der Zivilgesellschaft. Autoritäre Staaten nutzen Pegasus, um kritische und oppositionelle Stimmen zum Schweigen zu bringen.“

Die NSO Group bleibt derweil bei ihrem Dementi. Die Berichte seien „voller falscher Annahmen und unbestätigter Theorien, die ernsthafte Zweifel an der Zuverlässigkeit und den Interessen der Quellen aufkommen lassen“, heißt es in dem Statement des Unternehmens. „Es scheint, als hätten die ‚nicht identifizierten Quellen‘ Informationen geliefert, die keine faktische Grundlage haben und weit von der Realität entfernt sind.“