Spionagesoftware: Die wichtigsten Informationen zu Pegasus und NSO

Pegasus ist der Name einer Spionagesoftware des israelischen Herstellers NSO, die an staatliche Akteure (Geheimdienste, Strafverfolgungsbehörden) verkauft wird.

Die  Software ermöglicht den Zugriff auf Daten von Mobilgeräten wie Smartphones (sowohl mit iOS als auch Android) , um Beweismittel zu sichern. Ist das Programm  installiert, hat die auftraggebende Behörde unbegrenzten Zugriff auf alle auf dem Gerät gespeicherten Daten. Auch das Einschalten von Kamera oder Mikrofon aus der Ferne wird damit möglich.

Nach eigenen Angaben verkauft NSO an staatliche Stellen. Die sagen mit Vertragsabschluss zu, die Software ausschließlich zur Terrorismus- und Verbrechensbekämpfung zu nutzen. Nach bisherigen Erkenntnissen sind allerdings auch andere Personen mit Pegasus überwacht und ausspioniert worden. Darunter befinden sich beispielsweise regimekritische Stimmen, Angehörige der politischen Opposition, Journalistinnen und Journalisten, sowie Personen, die Menschen- und Bürgerrechtsbewegungen nahestehen oder diese unterstützen. Die NSO Group hingegen bestreitet die Vorwürfe entschieden.

Die Entwickler von Pegasus nutzen unter anderem Sicherheitslücken in Betriebssystemen aus, um unbemerkt die Spionagesoftware auf Geräten zu platzieren. Im Falle von iOS wurde zuletzt ein so genannter „Zero Click Exploit“ verwendet, bei dem keinerlei Interaktion des Anwenders oder der Anwenderin erforderlich ist. Das heißt, die Installation erfolgte, ohne dass man auf etwas klicken oder eine Datei öffnen musste.
Es gab jedoch auch Fälle, in denen mittels Social Engineering eine Installation erfolgt ist – etwa durch speziell präparierte Nachrichten.

Es ist sehr unwahrscheinlich, dass „Normalbürger“ massenhaft zum Ziel von Spionageangriffen mit dem NSO-Werkzeug werden. Bereits die Kosten für die Software wären zu hoch. Die Sicherheitslücke, die eine Installation von Pegasus auf iOS-Geräten ermöglichte, betrifft iOS bis mindestens Version 14.6.
Sobald ein Software-Update zur Verfügung steht, das die Lücke schließt, sollte dies umgehend installiert werden.

Normalerweise übt sich NSO in Zurückhaltung wenn es um die Öffentlichkeit geht. Doch nun hat sich der Geschäftsführer des Unternehmens erstmals öffentlich zu den Vorwürfen um Pegasus geäußert. Er weist die Anschuldigungen in aller Deutlichkeit zurück, dass Menschenrechtsaktivisten und Journalisten dutzendweise auspioniert wurden. In einem Interview mit dem israelischen Technologiemagazin CTech macht er deutlich, dass für NSO "Journalisten, Menschenrechtsaktivisten und Bürgerrechtsorganisationen absolut tabu" seien.
Die Liste mit den Telefonnummern, die laut Amnesty International und der Journalistenorganisation "Forbidden Stories" Personen darstellt, die mit Pegasus überwacht wurden, ist der Hauptkritikpunkt von NSO-Geschäftsführer Shalev Hulio. Er rechnet vor, dass schon die Zahl von 50.000 überwachten Personen nicht stimmen könne. Laut Hulio hat NSO derzeit 45 Kunden weltweit, die jährlich im Schnitt 100 Ziele mit Pegasus überwachen. Selbst wenn man die gesamte Zeit seit Gründung von NSO (2010) mit einrechne, komme man nicht auf diese Zahl an überwachten Personen, so Hulio. Darüber hinaus sei der Ursprung der Liste völlig unklar und habe keinen Bezug zu NSO.

Bisher gilt es in 37 Fällen als sicher, dass Pegasus auf Mobilgeräten installiert ist, bzw. war. Hulio dazu: "Selbst wenn wir für den Moment einmal annehmen, dass diese Zahl stimmt [...] - das wären 37 von 50.000. Mit dieser Liste stimmt also eindeutig etwas nicht." Er relativiert die Erkenntnisse von Amnesty International und sagt: "Ich kann ihnen gerne eine Liste mit 50.000 zufälligen Telefonnummern geben. Da sind dann bestimmt auch welche dabei, die mit Pegasus überwacht wurden." Auf die Frage, wie er sich erkläre, dass die Erkenntnisse von anderen unabhängigen Stellen bestätigt wurden, erwidert Hulio: "Es wird immer mein Wort gegen die Beweise und deren [Amnesty International und Citizen Lab; Anm. d. Verf.] Wort stehen."

Eine Erklärung, warum die Spionagesoftware auf Geräten von Journalisten gefunden wurde (wie etwa das Smartphone des ungarischen Journalisten Szabolcs Panyi), obwohl Journalisten seiner Aussage nach tabu seien, liefert Hulio jedoch nicht und verweist auf die Bestimmungen zur Verwendung von Pegasus: "Wenn wir erfahren, dass einer unserer Bestandskunden Pegasus gegen Journalisten einsetzt, wird er nicht mehr zu unseren Kunden gehören".