Auslöser der Ermittlungen gegen Finfisher war eine Strafanzeige von der Gesellschaft für Freiheitsrechte (GFF), Reporter ohne Grenzen und anderen Organisationen im Juli 2019. Sie hatten Hinweise gefunden, dass Finfisher seine Überwachungssoftware ohne Genehmigung in die Türkei exportiert haben könnte, wo eine derartige Software zur Überwachung von Regierungskritikern eingesetzt worden sein soll. Zuerst von den Durchsuchungen berichtet hatte BR24.
Finfisher ist einer der weltweit bekanntesten Hersteller von Spionagesoftware. Mit ihrem Produkt Finspy können Angreifer Telefonate abhören, Chat-Nachrichten mitlesen und Fotos oder andere gespeicherte Dateien sehen. Weil das ein sehr schwerwiegender Eingriff in die Privatsphäre der Menschen ist, darf auch die Polizei in Deutschland derartige Programme nur in besonders begründeten Fällen gegen mutmaßliche Kriminelle einsetzen. Für den Export solcher Software gelten seit 2014 strenge Ausfuhrvorschriften. Gegen diese soll Finfisher nun möglicherweise verstoßen haben.
Ganz überraschend kommen die Durchsuchungen, die laut dem BR bereits in den vergangenen Wochen stattgefunden haben sollen, nicht. Schon 2018 hatte es Hinweise gegeben, dass Finspy bei der Bespitzelung von Regierungsgegnern in der Türkei zum Einsatz gekommen sein könnte.
Im Dezember 2019 hatte der Chaos Computer Club (CCC) eine Reihe von Anhaltspunkten öffentlich gemacht, die diese These unterstützen. So hatte der CCC unter anderem deutsche Redewendungen im Programmcode der in der Türkei genutzten Software gefunden. Auch wies das vom CCC untersuchte Programm deutliche Überschneidungen mit einer bereits bekannten Version von Finspy auf. Seit 2015 muss jeder Export von derartiger Software durch das Bundesamt für Wirtschaft und Ausfuhrkontrolle genehmigt werden. Bislang wurde dem Wirtschaftsministerium zufolge keine solche Genehmigung erteilt.
NDR und BR haben Hinweise gefunden, dass Finfisher versucht haben könnte, die Exportbeschränkungen zu umgehen, indem die Firma unter einem anderen Namen eine Vertriebsstruktur für ihre Produkte im Ausland aufbaute. So gebe es zwischen der in Malaysia registrierten Firma Raedarius M8 und Finfisher deutliche Überschneidungen. Bei Raedarius M8 hatte unter anderem die brasilianische Regierung für 850 000 Dollar eingekauft.
"Seit Jahren entziehen sich Finfisher und andere europäische Produzenten ihrer Verantwortung, indem sie sich hinter komplizierten transnationalen Firmenstrukturen verstecken", sagt Christian Mihr, Geschäftsführer bei Reporter ohne Grenzen und Mit-Initiator der Strafanzeige. "Eine Verurteilung der Geschäftsführer in München wäre ein längst überfälliges Signal an die gesamte Branche, dass sie die europäischen Exportvorgaben nicht länger ignorieren kann."