Pegasus in Polen: NSO hatte Zugriff auf Spionagedaten

Laut polnischen Staatsanwälten hat die NSO Group die Kontrolle über zentrale Teile des Pegasus-Spähsystems behalten, das Polens frühere Regierung eingesetzt hat. Außerdem seien die mit dem Werkzeug gesammelten Daten über Server außerhalb des Landes ins Ausland geflossen.

Die Erkenntnisse stammen aus einer Analyse der polnischen Agentur für Innere Sicherheit (ABW), der Spionageabwehr des Landes. Die Landesstaatsanwaltschaft hat sie öffentlich gemacht. Ministerpräsident Donald Tusk, der die Ermittlungen angeordnet hatte, nannte die Spähoperation unter der früheren Regierungspartei am Montag "einen der größten Skandale der polnischen Geschichte seit dem Fall des Kommunismus". Zudem warf er dem israelischen Spyware-Hersteller vor, mit israelischen Geheimdiensten zusammenzuarbeiten.

Dem Betreiber fehlte die volle Kontrolle

Betrieben wurde Pegasus vom Zentralen Antikorruptionsbüro (CBA), einer polnischen Strafverfolgungsbehörde, die Korruption untersucht. Nach Angaben der Staatsanwaltschaft hatte das CBA "keine vollständige Kontrolle über das Pegasus-System".

Die wichtigste Lücke betraf den Teil des Systems, der die Handys tatsächlich kompromittiert. "Das Servermodul, das für die Infektion mobiler Geräte zuständig ist, blieb unter der ausschließlichen Kontrolle des Herstellers", teilte die Staatsanwaltschaft in ihrer Pressemitteilung mit.

Außerdem fehlten dem CBA die Passwörter für viele Konten mit Administratorrechten. Das habe nach Angaben der Staatsanwälte "eine vollständige Überprüfung der ordnungsgemäßen Funktion einzelner Systemmodule verhindert, einschließlich jener, die für die Übertragung und Speicherung von Daten zuständig sind".

Daten liefen über Server im Ausland

Die Ermittler stellten fest, dass die von der Spähsoftware gesammelten Daten Polen über ein Anonymisierungsnetz verließen, das auf Servern im Ausland aufgebaut war. Die polnischen Ermittlungen verfolgten die Übertragungen bis zu ausländischen IP-Adressen.

Daraus schlossen die Staatsanwälte, dass NSO "technischen Zugriff" auf Informationen hatte, die bei operativen Kontrollen gesammelt wurden. So bezeichnen die polnischen Behörden verdeckte Überwachungsmaßnahmen.

Das Unternehmen lieferte den polnischen Beamten zudem Updates und technischen Support über eine Fernverbindung. Die Überwachung lief dabei weiter. "Während dieser Arbeiten wurden die operativen Kontrollen nicht unterbrochen, und der Hersteller hatte vollen Zugriff auf das System, einschließlich der Möglichkeit, Änderungen an dessen Software und Konfiguration vorzunehmen", hieß es in der Pressemitteilung.

In einem Punkt blieben die Staatsanwälte vorsichtig. Sie können nicht sagen, ob NSO "tatsächlich Zugriff auf Material aus einer bestimmten operativen Kontrolle erlangt hat". Die Ermittlungen zeigen, dass der Zugriff technisch möglich war, nicht aber, dass er in einem bestimmten Fall genutzt wurde.

Die NSO Group reagierte nicht auf eine Anfrage von The Record.

Ein Skandal, der sich über Jahre aufgebaut hat

Die neuen Erkenntnisse ergänzen einen Fall, der sich schon länger aufbaut. Im Februar 2024 erklärte Tusks Regierung, die Ermittler hätten bestätigt, dass Pegasus gegen eine "sehr lange" Liste von Opfern eingesetzt wurde. Tusk sagte, seine eigene Frau und seine Tochter seien ausspioniert worden. Außerdem seien Geräte von mehr als 500 weiteren Personen ins Visier genommen und einige davon infiziert worden.

Mehreren ehemaligen Geheimdienst- und Sicherheitsbeamten wird inzwischen vorgeworfen, den Missbrauch ermöglicht zu haben. Die Spähsoftware soll mit Geld aus einem staatlichen Fonds bezahlt worden sein, der eigentlich für Opfer von Straftaten gedacht war.

Tusk sagte Berichten zufolge, die früheren Beamten hätten "Geld für ein System bezahlt, das de facto alle möglichen Daten über polnische Bürger, polnische Oppositionsführer und unabhängige polnische Staatsanwälte ... an die israelische Seite weitergegeben hat".

"Das ist kein [bloßer] Skandal mehr ... Wir sprechen von einem Verbrechen gegen den Staat", fügte er hinzu.

Forscher sehen ein größeres Risiko für Käufer

John Scott-Railton, Forscher beim Citizen Lab, sagte Recorded Future News, die Erkenntnisse zeigten, dass Staaten, die Spähsoftware einsetzen, sich um ihre eigene operative Sicherheit sorgen müssen.

NSO versichert seinen Regierungskunden seit Langem, keinen Zugriff auf die von Pegasus gesammelten Daten zu haben. Laut Scott-Railton stützen Unterlagen aus dem Beweisverfahren, die in einer Klage von WhatsApp gegen das Unternehmen aus dem Jahr 2019 öffentlich wurden, die Angaben der polnischen Regierung.

Regierungen, die solche Werkzeuge einsetzen, müssten sich fragen, ob ihre "sensiblen Informationen, darunter Informationen darüber, wen sie möglicherweise ins Visier nehmen, und auch die Informationen ihrer Bürger, ausländischen Stellen offengelegt werden", sagte er.

"Das trifft nicht nur den Kern dessen, was der Kauf ausländischer Spähsoftware überhaupt bringen soll, sondern auch die Risiken für die Regierung, die sie einsetzt", so Scott-Railton.

Unsere Einschätzung

Die Debatte um Pegasus hat sich bisher vor allem um die Überwachten gedreht: Journalisten, Oppositionelle, Aktivisten und ihre Familien. Die polnischen Erkenntnisse lenken einen Teil der Aufmerksamkeit auf den Kunden. Wenn der Hersteller die Infektionsserver allein kontrollierte, Admin-Zugänge besaß, die der Käufer nicht nutzen konnte, und während laufender Operationen Updates aus der Ferne einspielte, dann war die Regierung nicht die einzige Partei mit Einblick in die Überwachung.

Das deutet darauf hin, dass kommerzielle Spähsoftware nicht nur ein Datenschutzproblem ist, sondern auch ein Lieferkettenproblem. Ein Staat, der ein solches Werkzeug kauft, gewährt womöglich auch einem ausländischen Unternehmen und vielleicht einem ausländischen Staat einen Blick auf seine Ziele und Methoden. Dieses Risiko kennen Sicherheitsteams bereits von anderer Fremdsoftware mit tiefem Fernzugriff.

Die Grenzen der Beweislage sind allerdings wichtig. Die Staatsanwälte sagen, dass der Zugriff bestand, nicht, dass NSO ihn in bestimmten Fällen genutzt hat. Es lohnt sich zu beobachten, ob die polnischen Ermittlungen noch Konkreteres zutage fördern, wie NSO reagiert und ob andere Länder, die Pegasus gekauft haben, sich dieselben Fragen stellen, wer sonst noch ihre Daten einsehen konnte.