Pegasus traf EU-Ermittler

Stelios Kouloglou sollte eigentlich derjenige sein, der Fragen stellt. Der griechische Journalist und Europaabgeordnete saß im PEGA-Ausschuss des Europäischen Parlaments, der untersuchen sollte, wie EU-Regierungen kommerzielle Spähsoftware gegen eigene Bürger einsetzen. Der Ausschuss konnte Beamte laden, Dokumente verlangen und Empfehlungen formulieren. Nationale Nachrichtendienste zur Zusammenarbeit zwingen konnte er nicht. Genau diese Lücke ist nun der Kern des Falls.

Nach einem neuen Bericht des Citizen Lab wurde Kouloglous iPhone um Oktober 2022 heimlich mit jener Software infiziert, deren Missbrauch er untersuchte: Pegasus der israelischen NSO Group (The Guardian, Le Monde). Im März 2023, während der Ausschuss besonders intensiv an seinem Bericht arbeitete, sei es zu einer weiteren Infektion gekommen. Mindestens ein Angriff war demnach ein sogenannter Zero-Click-Angriff: Die Spähsoftware nutzte eine verborgene Sicherheitslücke in Apples Software, die der Konzern noch nicht entdeckt oder geschlossen hatte, und drang in das Gerät ein, ohne dass der Besitzer auf etwas klicken musste (The Straits Times).

Europa kann inzwischen oft nachweisen, dass ein Telefon infiziert wurde. Es scheitert aber regelmäßig daran, belastbar zu belegen, wer den Auftrag gab. Genau darum geht es in diesem Fall.

Was ein infiziertes Telefon für einen Ausschuss bedeutet

Verschlüsselte Kommunikation funktioniert wie ein versiegelter Brief: Dienste wie Signal schützen die Nachricht auf dem Weg. Pegasus versucht nicht, den Brief unterwegs abzufangen. Die Software sitzt gewissermaßen im Raum, in dem der Brief geöffnet und gelesen wird (Indian Express). Ist sie aktiv, kann sie Nachrichten, Kontakte und Standortdaten auslesen und Mikrofon oder Kamera einschalten (Al Jazeera).

Während der mutmaßlichen Infektionszeiträume koordinierte Kouloglou die Ausschussarbeit zwischen Athen und Brüssel, kommunizierte mit Kollegen und Quellen und arbeitete an Berichtsentwürfen (NDTV). Ist ein Telefon kompromittiert, werden Kontaktlisten sichtbar. Damit kann auch das Netzwerk aus Hinweisgebern, Zeugen und politischen Ansprechpartnern offengelegt werden. Werden Entwürfe ausgelesen, kann der Auftraggeber einer Überwachung die Schlussfolgerungen des Ausschusses kennen, bevor sie veröffentlicht sind. Öffentlich belegt ist bislang nicht, welche Daten tatsächlich von Kouloglous Gerät kopiert wurden (The Guardian). Doch wenn ein Ausschuss, der Spähsoftware untersucht, die Geräte seiner eigenen Mitglieder nicht schützen kann, wird seine Unabhängigkeit an der empfindlichsten Stelle getroffen.

Citizen Lab verband die Operation mit einer bereits dokumentierten Pegasus-Kampagne gegen exilierte russisch- und belarussischsprachige Journalisten und Aktivisten in Europa. Damit reicht der Fall über einen rein griechischen Innenpolitikrahmen hinaus (The Times of Israel). Die Forscher schrieben den Angriff keiner bestimmten Regierung zu. Hinweise darauf, dass Griechenland der Betreiber gewesen sei, gibt es nach den vorliegenden Berichten nicht (Al Jazeera).

Das ist das strukturelle Problem. Die Infektion lässt sich technisch nachweisen. Die Zuschreibung verlangt Belege, die fast nie freiwillig auftauchen: staatliche Beschaffungsunterlagen, Serverprotokolle oder richterliche Anordnungen, die Nachrichtendienste gegenüber ausländischen Ausschüssen eben nicht offenlegen müssen.

Spanien und Ungarn zeigen, was nach der Entdeckung kommt

In Spanien hat ein Berufungsgericht in Barcelona den Pegasus-Fall um katalanische Politiker jüngst wieder aufgenommen. Es ordnete neue Auskunftsersuchen an den spanischen Nachrichtendienst an, nachdem ein Richter eine Beschwerde zwei Jahre lang nicht bearbeitet hatte (elDiario.es). Das Muster ist bekannt: bestätigte Infektion, umstrittene Zuschreibung, extrem langsame Justiz.

Ungarn zeigt eine andere Variante. Ein führender Fidesz-Abgeordneter räumte öffentlich ein, der Staat habe Pegasus erworben. Die Datenschutzbehörde untersuchte den Fall, kam aber zu dem Schluss, sie habe kein rechtswidriges Verhalten festgestellt. Ein großer Teil ihrer Begründung bleibt geheim (Portfolio). Formale Kontrolle ohne öffentliche Transparenz schafft dann zwar einen Abschluss, aber keine öffentlichen Antworten.

Beide Fälle belegen, was Kouloglous Infektion nun auf EU-Ebene sichtbar macht: Die technische Forensik funktioniert. Die politische Rechenschaftspflicht funktioniert nicht.

Die vorhandenen Instrumente und das fehlende

Das Europäische Parlament gibt an, seinen Abgeordneten seit 2022 Unterstützung bei der Überprüfung ihrer Geräte auf Spähsoftware anzubieten (European Parliament via upday). Die EU hat zudem den Cyber Resilience Act verabschiedet, der Sicherheitsstandards für vernetzte Produkte setzt, also Regeln, die Software und Geräte widerstandsfähiger gegen Angriffe machen sollen (European Commission). Zivilgesellschaftliche Gruppen fordern seit längerem, Anbieter von Spähsoftware über Sorgfaltspflichten stärker haftbar zu machen, wenn ihre Werkzeuge gegen Journalisten oder Abgeordnete eingesetzt werden (Business & Human Rights Resource Centre).

Diese Instrumente behandeln die Ränder des Problems. Geräteprüfungen sind reaktiv: Sie finden Infektionen, nachdem sie stattgefunden haben. Produktsicherheitsregeln machen Angriffe schwieriger, doch Pegasus ist kein Unfall schlechter Softwareentwicklung. Es ist der gezielte Missbrauch durch autorisierte Käufer. Exportkontrollen setzen voraus, dass der exportierende Staat sie konsequent durchsetzt. Keines dieser Instrumente beantwortet die entscheidende Frage, wer den Auftrag erteilt hat.

Kouloglous Anwalt hat rechtliche Schritte in Griechenland und im Ausland angekündigt (in.gr). Abgeordnete mehrerer Fraktionen fordern verbindliche EU-Maßnahmen gegen den illegalen Einsatz von Spähsoftware (The Times of Israel).

Schließen ließe sich die Lücke nur mit Instrumenten, die über freiwillige Kooperation hinausgehen: unabhängigen forensischen Laboren mit grenzüberschreitender Befugnis, durchsetzbaren Transparenzpflichten für Anbieter, die protokollieren müssen, welche Regierung welche Lizenz erworben hat, und einer justiziellen Zusammenarbeit, die in Monaten arbeitet, nicht in Jahren. Solange es das nicht gibt, dürfte sich das Muster wiederholen. Der Ermittler wird zum Ziel. Und die Untersuchung läuft weiter, ohne zu wissen, wer mitliest.