So lief die Projekt-Pegasus-Recherche

Das Pegasus-Projekt ist eine internationale Recherche zur israelischen NSO Group, kurz: NSO, einem der weltweit führenden Hersteller von Überwachungssoftware. Wichtigstes Produkt der Firma ist ein System namens Pegasus. Die investigative Non-Profit-Redaktion Forbidden Stories mit Sitz in Paris und die Menschenrechtsorganisation Amnesty International bekamen Zugang zu mehr als 50 000 Telefonnummern, die von Kunden der NSO seit 2016 offenbar als Ziele für Überwachungsmaßnahmen ausgewählt wurden. Diesen Zugang hat Forbidden Stories mit 16 weiteren Medien geteilt, darunter auch der Rechercheverbund von Süddeutscher Zeitung, WDR und NDR. Das Leak gibt einen noch nie da gewesenen Einblick in die Arbeit der Überwachungsindustrie und ihrer Kunden.

Obwohl die NSO oft erklärt, dass mit ihrem Spähprogramm Pegasus im Grunde nur zuvor identifizierte mutmaßliche Kriminelle und Terroristen angegriffen würden, fand das Recherchekollektiv unter den potenziellen Zielpersonen auch mehr als 180 Journalistinnen und Journalisten, außerdem zahlreiche Menschenrechtsaktivisten, Oppositionelle, Anwälte und Politiker - darunter auch 13 derzeitige und frühere Premierminister und Staatsoberhäupter. Damit belegt die Recherche einen gezielten und massiven Missbrauch des Überwachungswerkzeugs. Diese Analyse bleibt auch dann bestehen, wenn der überwiegende Teil der Nummern legitimerweise zur Fahndung nach Verbrechern genutzt würde, was im Rahmen dieser Recherche nicht zu klären war.

Die geleakten Telefonnummern - die ohne Namen in den Daten stehen - stellen nach Informationen des Pegasus-Projekts potenzielle Ziele für Überwachungsmaßnahmen dar. Diese Nummern müssen zuvor herausgesucht oder herausgefunden worden sein, weil sie Personen zugeordnet wurden, die offenbar von Interesse für eine Behörde waren. Aus den Daten allein wird jedoch nicht ersichtlich, ob die Telefone tatsächlich mit der Spähsoftware infiziert wurden. Diesen Part der Beweisführung übernahmen die Experten des Amnesty International Security Lab: Sie haben 67 Geräte untersucht, deren Nummern in den Daten zu finden waren. Auf 37 davon fanden sich Spuren von Pegasus-Software; bei 23 Telefonen davon konnte eine Infektion nachgewiesen werden, bei den übrigen 14 zumindest Spuren eines Versuchs. Klar ist, dass längst nicht alle 50 000 Telefonnummern auch angegriffen wurden, zumal auf der Liste auch Nummern von Telefonen stehen, die aus technischen Gründen gar nicht mit Pegasus infiziert werden können - etwa Festnetzanschlüsse oder US-amerikanische Nummern. Die NSO erklärt, dass Telefone in den USA mit Pegasus nicht ausgespäht werden können. Forensische Untersuchungen belegen zumindest nicht das Gegenteil.

Das Rechercheteam hat zuerst einen großen Teil der vorliegenden Telefonnummern, die nach Erkenntnissen des Pegasus-Projekts zur Ausspähung vorausgewählt worden waren, ihren Besitzern zuordnen können. Dutzende Betroffene wurden vorsichtig auf den Verdacht angesprochen, dass ihr Smartphone von einer früheren oder gar laufenden Abhörmaßnahme betroffen sein könnte. Etliche von ihnen stimmten zu, ihr Handy von den Forensik-Experten von Amnesty International auf Spuren der Spähsoftware untersuchen zu lassen. Dafür reichte es im Normalfall, den Technikern eine Kopie des Back-ups zur Verfügung zu stellen. Um sicherzugehen, dass die Methode nicht fehlerhaft ist, bat das Pegasus-Projekt-Team noch das Expertenteam des Citizen Lab der Universität von Toronto dazu. Die kanadischen Wissenschaftler stellten die Ergebnisse von Amnesty International im „Blind Test“-Verfahren auf die Probe: Sie erfuhren nicht, was die Amnesty-Leute herausgefunden hatten. In allen Fällen bestätigten die Forscher am Citizen Lab die Ergebnisse von Amnesty.

Zur Herkunft der Daten macht die SZ aus Gründen des Quellenschutzes keine Angaben, das Gleiche gilt für die internationalen Partner.

Die NSO Group entwickelt, vermarktet und verkauft unter anderem Software zur Überwachung von Telefonen. Ihr Spitzenprodukt ist das Spähprogramm Pegasus, das aus der Ferne auf so gut wie jedes Handy gespielt werden kann. Die NSO hat ihren Hauptsitz in Israel, operiert aber fast auf der ganzen Welt. Die Firma wurde 2010 gegründet, hat etwa 750 Mitarbeiter und ist mehrheitlich im Besitz einer Investmentfirma aus London. Das Pegasus-Projekt ist nicht die erste Recherche, die der NSO vorwirft, autoritäre Regime mit ihrer Überwachungssoftware zu stützen - zuletzt hatte die Recherchegruppe Forensic Architecture ein aufwendiges Digitalprojekt dazu veröffentlicht.

Nach eigenen Angaben hat die NSO 60 Kunden in 40 Ländern. Beliefert werden demnach ausschließlich Behörden, etwa Geheimdienste, Polizeien oder das Militär. Welche Länder genau die Software nutzen, verrät die NSO nicht. Das Pegasus-Projekt konnte nach Analyse der Daten aber Aserbaidschan, Bahrain, Kasachstan, Mexiko, Marokko, Ruanda, Saudi-Arabien, Ungarn, Indien und die Vereinigten Arabischen Emirate als Kunden identifizieren.

Nach allem, was bisher bekannt ist: nein. Zwar besuchten NSO-Vertreter verschiedene Behörden – etwa das Bundeskriminalamt oder den Bundesnachrichtendienst – und führten die Software vor; aber offenbar griff bisher niemand zu. Der Grund: Pegasus kann viel mehr, als das Gesetz in Deutschland den Behörden bei Überwachungen erlaubt.

Die NSO Group hat sämtliche Vorwürfe in mehreren Stellungnahmen zurückgewiesen. Man werde aber alle „glaubwürdigen Behauptungen“ untersuchen und „angemessene Maßnahmen“ ergreifen. „Dies schließt auch das Abschalten von Kundensystemen ein – etwas, wozu NSO, wie in der Vergangenheit bereits mehrfach unter Beweis gestellt, sowohl fähig als auch bereit ist und etwas, das NSO wieder tun würde, wenn die Situation es erfordert“.

Die Spähsoftware kann aus der Ferne und heimlich installiert werden. Einmal auf dem Mobiltelefon, erlaubt sie es den Überwachern, alles mitzuhören und mitzulesen, auch wenn es sich um verschlüsselte Kommunikation handelt. Zudem kann der Standort des Handys festgestellt und das Mikrofon oder die Kamera angeschaltet werden, sodass selbst Gespräche, die nur in der Nähe des Handys stattfinden, überwacht werden können.

Keines der getesteten Geräte von Redaktionsmitgliedern der SZ im In- und Ausland wies Spuren von Spähsoftware auf. Allerdings waren mehrere Reporter der SZ in telefonischem Kontakt mit Personen, deren Telefonnummern sich auf der Liste der 50 000 Nummern fanden. Unklar ist, ob zu dieser Zeit jeweils noch eine Infektion mit Spähsoftware aktiv war, also Dritte mitgehört oder -gelesen haben könnten. Mindestens ein SZ-Reporter traf eine Person, deren Telefon am Tag des Treffens mit Pegasus infiziert war. Das ergab eine spätere Analyse des Smartphones durch IT-Forensiker von Amnesty International.

Zwar zeigen die Recherchen des Pegasus-Projekts, dass die Geräte Zehntausender Personen mit der Software ins Visier genommen wurden, es sind aber - neben Kriminellen, deren Verfolgung der eigentliche Zweck des Programms ist - Aktivistinnen, Journalisten und Politiker. Also hauptsächlich Menschen, die in irgendeiner Weise in der Öffentlichkeit stehen oder wirken. Es ist daher unwahrscheinlich, dass „Normalbürger“ jemals mit solcher Technologie in Kontakt kommen.

Wer mit Pegasus ausgespäht werden soll, ist weitgehend schutzlos. „Es gibt keine wirksame technische Möglichkeit für einen Benutzer, gegen diese Art von Angriffen vorzugehen“, warnt der IT-Sicherheitsexperte Claudio Guarnieri vom Amnesty International Security Lab. Man kann Angreifern zwar die Arbeit erschweren, etwa indem man den iMessage-Service von Apple sowie die App Facetime deaktiviert. Bei vertraulichen Gesprächen ist es am besten, das Handy in einen anderen Raum zu legen oder gleich ganz daheim zu lassen.

Journalisten und Menschenrechtsaktivisten, die den Verdacht haben, mit Pegasus ausgespäht zu werden, können sich an das Amnesty International Security Lab wenden: www.amnesty.org/tech.

Die Non-Profit-Initiative wird von verschiedenen Geldgebern finanziert, zu den wichtigsten Spendern zählen die von Ebay-Gründer Pierre Omidyar ins Leben gerufene Stiftung Luminate, die niederländische Veronica-Stiftung und die von US-Investor George Soros gegründete Organisation Open Society Foundations (OSF). Geldgeber werden von Forbidden Stories vorab weder über geplante Recherchen noch über Recherche-Ergebnisse informiert. Spender haben nach Angaben der Organisation keinerlei Einfluss auf die Auswahl der Themen, denen sich Forbidden Stories widmet, oder auf andere inhaltliche Belange der Redaktion.