Es gibt einen neuen Skandal rund um die kommerzielle Smartphone-Spyware, die von der israelischen NSO Group entwickelt und an Staaten in aller Welt verkauft wird. Dieser Beitrag fasst das Wichtigste zu «CatalanGate» zusammen.
Die in Israel entwickelte und in die ganze Welt exportierte iPhone-Spyware Pegasus sorgt erneut für Schlagzeilen. In Katalonien sind mehr als 60 Smartphones – im Besitz von katalanischen Politikern, Anwälten und Aktivisten in Spanien und in ganz Europa – mit Pegasus angegriffen worden.
Dies sei laut «The New Yorker» die grösste forensisch dokumentierte Häufung solcher Angriffe und Infektionen, die jemals verzeichnet wurde. Zu den identifizierten Opfern gehörten drei katalanische Europaabgeordnete.
Untersucht wurden die Fälle von Citizen Lab, einer Forschungsgruppe an der Universität von Toronto, die sich auf High-Tech-Menschenrechtsverletzungen konzentriert. Betroffen waren iPhones und Android-Smartphones.
Die Hackerangriffe erfolgte über gefälschte WhatsApp- und SMS-Nachrichten, die von bekannten Kontakten zu stammen schienen. Einige Angriffe erforderten einen Klick auf einen Link, andere funktionierten ohne jegliche Aktion der Betroffenen – mit sogenannter «Zero-Click»-Schadsoftware.
Sehr wahrscheinlich der spanische Geheimdienst.
Das Citizen Lab schreibt, man sei «nicht in der Lage, die Verantwortung für diese Hacks mit Sicherheit einer bestimmten Regierung zuzuschreiben», aber eine Reihe von Indizien deute auf eine oder mehrere Stellen innerhalb der spanischen Regierung hin. Die Betroffenen seien alle von «offensichtlichem Interesse für die spanische Regierung» gewesen. Und auch der Zeitpunkt der Hackerangriffe entsprach Ereignissen, die für die Behörden von besonderem Interesse waren.
Die betroffenen Personen wurden laut der unabhängigen Untersuchung mithilfe von kommerzieller Smartphone-Spyware ausspioniert. Die Rede ist von «Söldner-Spyware».
Konkret waren es zwei Firmen, die offenbar dem spanischen Staat ihre Software verkauft haben:
Die NSO Group hat sich wiederholt damit verteidigt, Pegasus werde «ausschliesslich an Strafverfolgungsbehörden und Geheimdienste von geprüften Regierungen verkauft, mit dem alleinigen Ziel, durch Verhinderung von Verbrechen und Terrorakten Menschenleben zu retten».
Dass israelische Techfirmen wie die NSO Group schwer zu entdeckende Spyware entwickeln und an Abnehmer in aller Welt verkaufen, ist seit vielen Jahren bekannt.
Im Juli 2021 enthüllte ein internationales Medien-Konsortium, dass die Software der NSO Group von einem Dutzend Ländern eingesetzt wurde, um politische Gegner, Journalisten oder Anwälte zu überwachen und diplomatische Spionage sowie Wirtschaftsspionage zu betreiben.
«Fast alle Regierungen in Europa nutzen unsere Tools», zitiert der «New Yorker» den NSO-Mitgründer Shalev Hulio.
Wie die jüngsten Untersuchungen in Spanien nun zeigen, wurden dort mehrere Personen nicht wegen ihrer politischen Aktivitäten gehackt, sondern wegen persönlicher Verbindungen zu gewählten katalanischen Amtsträgern.
Die grosse Mehrheit der bestätigten Spyware-Infektionen fand in den Jahren 2019 und 2020 statt. Ein Dutzend hochrangige katalanische Politikerinnen und Politiker waren damals in Spanien Gegenstand von Gerichtsverfahren wegen «Rebellion», fast alle wurden aber im September 2021 begnadigt.
In einem schriftlichen Dementi liess das spanische Innenministerium verlauten, dass kein Sicherheitsdienst unter seiner Verantwortung «jemals eine Beziehung oder einen Vertrag mit NSO, dem Herausgeber von Pegasus, hatte». In Spanien werde «jegliches Abhören von Kommunikation im Rahmen eines richterlichen Beschlusses und in Übereinstimmung mit dem Gesetz durchgeführt», sagte das Ministerium.
Dazu muss man wissen, dass die NSO ihre Spyware nur an ausländische Kunden verkaufen darf, wenn eine schriftliche Genehmigung der israelischen Regierung vorliegt.
In der Schweiz ansässige Organisationen und Schweizer Unternehmen waren indirekt in die Fälle involviert, so etwa die Swisscom und Swiss International Air Lines.
Dazu muss man wissen, dass die Angreifer auf besonders raffiniert gefälschte Textnachrichten setzen, um die Opfer dazu zu bringen, einen Link anzuklicken und den eigentlichen Hackerattacke auf das Smartphone auszulösen. Bei diesem Ansatz wird das Gerät über einen Pegasus-Exploit-Server infiziert, sobald der Link aufgerufen wurde.
Mehrere Betroffene wurden ausserhalb von Katalonien mit Pegasus-Infektionsversuchen ins Visier genommen, einschliesslich SMS-Nachrichten, die an Nummern mit nicht-spanischen Ländervorwahlen gesendet wurden.
Die Generalsekretärin der katalanischen Partei ERC, die Anwältin und Politikerin Marta Rovira, wurde laut Bericht über ihre Schweizer Mobilfunknummer angegriffen: Bei zwei gefälschten SMS-Nachrichten verwendeten die Angreifer eine offizielle SMS-Sender-ID aus der Schweiz, um die Empfängerin zu täuschen. So wurde ihr vorgegaukelt, die Nachrichten stammten von NGOs in der Schweiz.
Der katalanische Aktivist und IT-Experte Jordi Baylina war das Ziel von Smartphone-Infektionsversuchen, die sich als Tweet der deutschen NGO European Digital Rights und als Tweet des Schweizer Mobilfunkanbieters Swisscom tarnten.
Baylina erhielt auch eine SMS, die sich als Bordkarten-Link für die Fluggesellschaft Swiss ausgab, und zwar für einen Flug, den er tatsächlich gekauft hatte. Bei der unabhängigen Untersuchung durch das Citizen Lab zeigte sich, dass die Angreifer möglicherweise Zugriff auf offizielle Fluggast-Daten hatten. Wie das im Detail ablief, ist nicht bekannt.
Das ist nicht öffentlich bekannt.
Die NSO Group sagt, sie habe keinen Zugriff auf die Daten, die ein Staat mithilfe ihrer Handy-Spyware sammle.
Wenn ein Kunde Pegasus kaufe, reist ein NSO-Team an, um zwei Server zu installieren, einen für die Speicherung und eines für den Betrieb der Software. Das System laufe dann mit nur eingeschränkter Anbindung an NSO in Israel.
Die NSO-Ingenieure räumen laut «New Yorker» jedoch ein, dass es eine Echtzeitüberwachung der Systeme gebe, um unbefugte Manipulationen oder den Diebstahl der Überwachungs- und Spionage-Technologie zu verhindern.
Ein früherer NSO-Angestellter, der nicht namentlich genannt wird, sagte hingegen, dass es einen Fernzugriff gebe:
Derweil argumentieren die NSO-Verantwortlichen, die Spyware-Konkurrenz sei «viel beängstigender». Ein Teil der Technologie, mit der die israelische Firma konkurriert, stamme von staatlichen Akteuren, darunter China und Russland.
Der «New Yorker» zitiert aus einem Bericht des Carnegie Endowment for International Peace, wonach China Überwachungsinstrumente an 63 Länder liefere: Oft durch private Firmen, die mit dem Regime in Peking verbandelt seien.
Das Citizen Lab konstatiert:
Kommerzielle Spyware hat sich laut Bericht des «New Yorker» zu einer Industrie entwickelt, deren Wert auf zwölf Milliarden Dollar geschätzt wird. Der Handel mit solchen Tools sei weitgehend unreguliert und zunehmend umstritten.
Damit sich etwas ändert, müsste es in der Europäischen Union (EU) einen politischen Konsens geben, den Einsatz solcher Smartphone-Hackerwerkzeuge zu verbieten. Doch danach sieht es trotz wiederholter Skandale nicht aus.
Die Fraktion der Grünen im EU-Parlament, der zwei der drei bespitzelten Abgeordneten angehören, forderte sofortige neue Ermittlungen und ein Spyware-Verbot.
Grüne Europaabgeordnete gehören seit Jahren zu den grössten Kritikern solcher Spionage-Software. Hingegen werden Spyware-Einsätze von Geheimdiensten als unverzichtbar erachtet, selbst wenn sie Missbrauch ermöglichen.
Die NSO Group sieht sich mit zahlreichen juristischen Klagen in vielen Ländern konfrontiert, zu den Klägern gehören der Meta-Konzern (früher Facebook), Apple und Einzelpersonen, die mithilfe von Handy-Spyware bespitzelt wurden.
Die US-Regierung hat ebenfalls reagiert: Im November 2021 fügte das Handelsministerium die NSO Group mit mehreren anderen Spyware-Herstellern auf eine schwarze Liste von Firmen, die dazu gezwungen werden sollen, in den USA entwickelte Technik nur noch mit Bewilligung zu kaufen.
Offensichtlich hat die NSO Group mit finanziellen Turbulenzen zu kämpfen: Kürzlich habe das Finanzdienstleistungsunternehmen Moody's die Kreditwürdigkeit von NSO auf «schlecht» herabgestuft. Und Bloomberg berichtete, die Aktie werde mittlerweile von Wall-Street-Händlern gemieden.
Zwei hochrangige NSO-Führungskräfte sind laut Bericht von Bord gegangen, und die Beziehungen zwischen der Firma und ihren Geldgebern hätten sich verschlechtert.
Allerdings bleibt daran zu erinnern, dass es weitere aufstrebende Spyware-Entwicklerfirmen in Israel gibt. Bei vielen gibt es personelle Verbindungen zur Unit 8200, das ist eine dem Militärgeheimdienst zugerechnete Cyber-Einheit.
Abschliessend schreibt Citizen Lab:
