Oxygen Forensics: Manager wegen Russland-Bezügen angeklagt

Das US-Justizministerium (DOJ) hat zwei führende Köpfe von Oxygen Forensics festnehmen lassen. Das Unternehmen ist auf digitale Forensik und Datenextraktion spezialisiert, seine Software wurde von mehreren Bundesbehörden gekauft. Die Staatsanwaltschaft wirft der Firma vor, verschleiert zu haben, dass sie von russischen Staatsbürgern kontrolliert wurde und ihre Technik in Russland entwickelt worden war.

Oxygen verkauft Werkzeuge, mit denen Ermittler Daten von Mobilgeräten, aus Cloud-Diensten und von Drohnen auslesen und auswerten. Das Unternehmen ist ein direkter Konkurrent von Cellebrite. Polizei und Geheimdienste setzen solche Software häufig ein, um Handys zu knacken. Berichten zufolge hat Oxygen fast 10.000 Verträge in mehr als 150 Ländern.

Zu den Kunden gehörten das Verteidigungsministerium (DOD) und das Heimatschutzministerium (DHS). Innerhalb des DHS nutzten mehrere Stellen Produkte von Oxygen:

• der Secret Service
• Homeland Security Investigations
• das Office of the Inspector General
• das National Computer Forensics Institute (NCFI), ein Bundeszentrum, das Strafverfolger im Umgang mit digitalen Beweismitteln schult

Zwei Festnahmen, 57 Domains beschlagnahmt

CEO Lee Reiber (55) aus Boise, Idaho, wurde am Sonntag festgenommen und gegen Kaution freigelassen. Am selben Tag wurde Technikchef Oleg Sergejewitsch Dawydow (52), wohnhaft in Moskau, in London festgenommen. Die US-Behörden wollen seine Auslieferung beantragen.

Beiden Männern wird Verschwörung zum Betrug mittels elektronischer Kommunikation vorgeworfen, worauf bis zu 20 Jahre Haft stehen. Am 20. September beschlagnahmten die Behörden rund 57 Domains sowie Cyber-Infrastruktur und Geschäftskonten des Unternehmens. Die Website von Oxygen ist inzwischen nicht mehr erreichbar.

Eine eidesstattliche Erklärung des DOJ beschreibt, was Reiber Behörden erzählt haben soll, die einen Vertragsabschluss prüften. Er habe angegeben, die Software sei in den USA entwickelt worden, „obwohl in Wahrheit fünf russische Staatsbürger, darunter Dawydow, das Unternehmen besaßen und kontrollierten und seine Software in Russland entwickelt wurde“.

Offiziell hat Oxygen seinen Sitz in Virginia. Laut Staatsanwaltschaft versteckten Dawydow und vier weitere Russen ihre Eigentümerschaft hinter einer Holdinggesellschaft auf Zypern. Eine separate Firma Dawydows soll dieselbe Software unter anderem Namen an den russischen Inlandsgeheimdienst FSB, das Ermittlungskomitee Russlands und das russische Innenministerium verkauft haben.

Das DOJ betont, es werfe nicht vor, dass die Software genutzt wurde, um unbefugt auf Daten oder Systeme von Kunden zuzugreifen. Hinweise auf Schadcode in der Software habe man ebenfalls nicht gefunden.

Sanktionen lösten die Verschleierung aus

Nach Darstellung der Staatsanwaltschaft begann das Vorgehen, nachdem Russland in die Ukraine einmarschiert war und die USA neue Sanktionen verhängt hatten. Das Unternehmen strich daraufhin die Namen der russischen Eigentümer aus seinen Firmenunterlagen. Reiber wurde im März 2022 CEO, Präsident und Vorsitzender des Verwaltungsrats, kurz bevor diese Unterlagen geändert wurden.

Laut DOJ trafen die russischen Eigentümer auch nach seiner Ernennung weiterhin wichtige Entscheidungen. Sie legten Reibers Vergütung fest, setzten sich bei Zahlungen über ihn hinweg und besaßen die Zeichnungsberechtigung für die Bankkonten des Unternehmens.

Im November 2023 fragte ein Journalist Reiber nach den Verbindungen nach Russland. Daraufhin soll er Dawydow geschrieben haben, die Aufmerksamkeit der Medien „könnte diese ganze Chance zunichtemachen“. Die Staatsanwaltschaft geht davon aus, dass damit ein anstehender Vertrag mit dem NCFI gemeint war.

Das NCFI schloss im September 2024 einen Fünfjahresvertrag mit Oxygen. In der Anklageschrift heißt es, Reiber habe bescheinigt, dass das Unternehmen keinen „unmittelbaren oder übergeordneten Eigentümer“ habe. Fast ein Jahr später soll Oxygen gegenüber dem DOD versichert haben, dass „keine ausländische Person die Befugnis hatte, die Ernennung der Direktoren oder Manager des Unternehmens zu kontrollieren oder dessen sonstige Entscheidungen oder Aktivitäten zu steuern“. 2026 soll Reiber DHS-Vertretern gesagt haben, an der Entwicklung der Software seien keine Russen beteiligt.

Bürgerrechtler: Die Verbindungen waren kein Geheimnis

Organisationen für digitale Rechte beobachten Oxygen seit Jahren. Ihrer Ansicht nach waren die Verbindungen nach Russland ein offenes Geheimnis.

„Kein Überwachungswerkzeug sollte auch nur in die Nähe einer US-Ermittlung kommen, solange wir nicht wissen, wem es gehört, wer es entwickelt und an wen es sonst noch verkauft wird“, sagte Natalia Krapiva, leitende Rechtsberaterin für Technologiefragen bei Access Now.

„Dieselbe Software, die an US-Strafverfolgungsbehörden verkauft wurde, hat der FSB benutzt, um Daten von den Handys russischer Kriegsgegner abzuziehen und daraus Strafanzeigen zu machen“, fügte sie hinzu.

Unsere Einschätzung

Das ist ein Betrugsfall, kein Spionagefall. Das DOJ hat nach eigenen Angaben weder Schadcode noch unbefugte Zugriffe gefunden. Trotzdem legen die Vorwürfe eine Schwachstelle bei der Beschaffung offen. Die Behörden scheinen sich weitgehend auf die Selbstauskünfte des Anbieters zu den Eigentumsverhältnissen verlassen zu haben – auch bei Werkzeugen, die mit einigen der sensibelsten Beweismittel umgehen, die Ermittler sammeln.

Forensik-Software braucht tiefen Zugriff auf beschlagnahmte Geräte. Das spricht dafür, dass Eigentümer und Entwicklungsstandort eine Rolle spielen sollten, selbst wenn keine Hintertür gefunden wird. Der Fall reiht sich in eine breitere Debatte über Software-Lieferketten und ausländische Kontrolle von Anbietern ein.

Einiges bleibt abzuwarten. Zum einen, ob Dawydow aus Großbritannien ausgeliefert wird. Zum anderen, ob Behörden die Eigentumsverhältnisse anderer Forensik-Anbieter künftig genauer prüfen. Offen ist auch, wie mit Verfahren umgegangen wird, die auf Beweisen beruhen, die mit Oxygen-Werkzeugen ausgelesen wurden.