Das Cyber-Unternehmen NSO versuchte, seine Spähsoftware auch in Deutschland zu verkaufen. Sogar einem Innenminister führten die Israelis vor, was sie alles können.
An einem Montagmorgen Ende Oktober 2017 empfängt das Bundeskriminalamt (BKA) in Wiesbaden eine Delegation aus Israel. Die deutschen Kriminalisten suchen eine technische Lösung, um Verdächtige abhören zu können – und sie wollen Nachrichten lesen können, bevor sie von Apps wie Telegram, Signal oder WhatsApp verschlüsselt werden. Die effizienteste Lösung am Markt stammt von der israelischen NSO Group. Ein paar Wochen zuvor, im August 2017, ist in Deutschland ein neues Gesetz in Kraft getreten, das dem BKA die heimliche Infiltration von Handys erlaubt. Nun wollen die Kriminalisten sehen, was die Israelis technisch draufhaben.
Kurz nach der Mittagspause, so erinnern sich Beteiligte, hätten die Gäste losgelegt und auf mehreren Handy demonstriert, was ihre Software Pegasus kann: WhatsApp-Chats auslesen, das Mikrofon aktivieren, Fotos heimlich herunterladen zum Beispiel. Pegasus, davon sind die Ermittler schnell überzeugt, kann viel, sehr viel.
Aber wie viel ist zu viel?
Die Ermittler von Polizei und Verfassungsschutz sind zu diesem Zeitpunkt allerdings schon an eine höchstrichterliche Rechtsprechung gebunden, die den Sicherheitsbehörden enge Fesseln anlegt. 2008 hatte das Bundesverfassungsgericht in einem wegweisenden Urteil zur so genannten Onlinedurchsuchung ein neues „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ eingeführt. Computer und Handys sind seitdem zwar nicht tabu – aber sie dürfen nur dann infiltriert werden, wenn „tatsächliche Anhaltspunkte einer konkreten Gefahr“ etwa für Leib und Leben bestehen. Das, was Pegasus besonders gut kann, nämlich die Infiltration von Handys, ist seitdem in Deutschland nur in Ausnahmefällen erlaubt.
Hinzu kommt, dass die Richter fordern, dass die Ermittler den „Kernbereich privater Lebensgestaltung“ schützen. Auch ein Verdächtiger hat demnach ein Anrecht darauf, nicht bis ins Liebesleben hinein ausgespäht zu werden.
Trotzdem hat das BKA die Israelis eingeladen. Offenbar wollen die Beamten herausfinden, ob sich deren Software auch in Deutschland nutzen lässt.
Bei jenem Besuch im Oktober 2017 hat das BKA auch seine Hausjuristen mitgebracht. Während die IT-Experten begeistert sind, sind die Juristen besorgt, so schildern es mehrere Teilnehmer im Gespräch mit der ZEIT. Ob Pegasus garantieren könne, dass die Daten auf den ausgespähten Handys technisch unversehrt blieben, wie es die deutsche Rechtsprechung verlangt? Ob man die Spähsoftware so zähmen könne, dass intimste Details, Nacktbilder etwa, nicht erfasst würden? Das sind die Fragen, die sich die Juristen stellen. Und die sie auch ihren Gästen aus Israel stellen.
Wie entscheidend diese Fragen sind, zeigt sich spätestens seit ein Recherchekonsortium von 17 internationalen Medien, das von dem Verein Forbidden Stories koordiniert wurde und dem auch die ZEIT angehört, enthüllt hat, wie Pegasus in vielen Ländern systematisch missbraucht wird, um Menschenrechtsaktivisten, Journalistinnen, Rechtsanwälte und Politikerinnen auszuspionieren. Die Enthüllungen basieren auf Listen potenzieller Überwachungsziele, die von NSOs Kunden stammen und mehr als 50.000 Telefonnummern aufführen. Sie wurden Forbidden Stories und Amnesty International zugespielt.
„Das ist nicht mehr die Schmuddelecke“
Für die Israelis ist Deutschland ein wichtiger Markt. Ein Vertrag mit einer europäischen Demokratie, in der weltweit anerkannte Standards für Bürgerrechte gelten, käme einem Gütesiegel gleich. Dem Vernehmen nach ist das Unternehmen damals bereit, dem BKA einen Vorzugspreis zu machen. Ein paar Millionen soll die Software kosten. Das ist viel für das BKA, aber wenig für Staaten wie Saudi-Arabien. Das Königreich soll für Pegasus 55 Millionen Dollar gezahlt haben. NSO-Chef Shalev Hulio will sich zu den Verhandlungen mit deutschen Behörden gegenüber der ZEIT nicht äußern. Auch das BKA lehnt eine Stellungnahme ab.
Neben dem BKA interessieren sich auch die Geheimdienste für diese Art der Spähsoftware. Die großen internationalen Akteure wie die US-amerikanische NSA, das britische GCHQ oder der chinesische Nachrichtendienst haben eigene Programme entwickelt. Aber schon Mittelmächte im Geheimdienstmilieu wie etwa Franzosen oder Spanier schaffen es kaum noch, die ständigen technischen Neuerungen eines Handymarktes nachzuvollziehen, der mittlerweile Tausende verschiedener Telefonmodelle umfasst. Sie haben einerseits eigene Labore, in denen IT-Experten nach Schwachstellen forschen. Weil das aber nicht ausreicht, kaufen sie andererseits Wissen auf dem Graumarkt ein. Eine dieser Mittelmächte ist der Bundesnachrichtendienst (BND).
Der BND zählt zu den Diensten, die beides tun: Spähprogramme selbst entwickeln – und Informationen über Schwachstellen zu kaufen. Durchschnittlich, heißt es in der Branche, kommt beim Programmieren auf 700 technische Neuerungen in einem Betriebssystem eine Schwachstelle. Wenn ein neues Betriebssystem veröffentlicht wird, untersuchen es viele IT-Fachleute. Manche bieten gefundene Einfallstore auf dem Graumarkt an. In besonderen Fällen können diese bis zu eine Millionen Dollar kosten. „In den vergangenen Jahren hat es einen rapiden Preisverfall gegeben“, sagt ein deutscher Sicherheitsexperte. Deshalb kaufen sich vermehrt auch die Geheimdienste von kleineren Ländern mit schmalerem Budget in das Geschäft mit den Hintertüren ein.
NSOs Programm Pegasus ist in der Szene bekannt dafür, gleich drei oder vier Schwachstellen hintereinander auszunutzen, es ist so leistungsfähig und ausgefeilt wie kaum eine andere Lösung auf dem Markt. Eine Superwaffe. Aber der Versuch der Israelis, dem BND die komplette Pegasus-Suite zu verkaufen, war dem Vernehmen nach nicht erfolgreich. Auch im Bundesamt für Verfassungsschutz blitzen die Verkäufer demnach ab.
Den Markt für Anbieter von Spähsoftware gibt es überhaupt erst seit rund 15 Jahren. Glaubt man Insidern, dann hat das Geschäft eine tiefgreifende Wandlung durchlaufen. Lange galten viele Anbieter als halbseiden, ihre Programme als unpräzise Schrotflinten. „Aber in den vergangenen Jahren hat sich das Gewerbe extrem professionalisiert“, sagt ein Geheimdienstler. „Das ist nicht mehr die Schmuddelecke.“ Dass NSO über einen Börsengang nachdenkt und inzwischen mit 1,5 bis 2 Milliarden Dollar bewertet wird, bestätigt diese Einschätzung.
Heute bieten mehr als ein Dutzend Firmen weltweit derartige Spähsoftware an. Regelmäßig sprechen sie bei den deutschen Behörden in einer Art Roadshow vor, vermittelt von der Zentralstelle für Informationstechnik im Sicherheitsbereich, kurz ZITiS.
Besuch in Bayern
Die Behörde in München gibt es seit 2017, sie wird von dem ehemaligen BND-Mann Wilfried Karl geleitet. ZITiS‘ Auftrag lautet, der Polizei und den Verfassungsschutzbehörden bei IT-Sicherheitsfragen zu helfen. Karl legt Wert auf „digitale Souveränität“: Ein Staat wie Deutschland müsse die sogenannte Quellen-Telekommunikationsüberwachung, also die Überwachung der Kommunikation auf Handys und Computern, selbst meistern können. Deshalb mischt ZITiS im Markt der Schwachstellen mit, in einer eigenen Abteilung hat die Behörde Exemplare von mehr als 1.600 unterschiedlichen Handy-Modellen gesammelt, das kleinste davon ein Miniatur-Telefon in der Größe eines Fingers. Zu den Firmen, die bei ZITiS ein- und ausgingen, zählt auch NSO.
Der Deal mit dem BKA, auf den die Israelis Ende Oktober 2017 gehofft hatten, kam allerdings nicht zustande: Für die Deutschen konnte Pegasus schlicht zu viel. Eine Schmalspurversion wiederum wollte NSO nicht verkaufen. Zudem hatte die Bundesregierung Bedenken, ob heimlich der israelische Geheimdienst Mossad mitlesen kann, was das BKA alles überwacht. NSO dementiert das. Aber in der deutschen Regierung überwogen die Bedenken.
Ein paar Monate danach sprachen die Israelis auch bei den Cyber-Experten im bayerischen Landeskriminalamt (LKA) vor, ein zweiter Besuch folgte nach Angaben des bayerischen Innenministeriums im Sommer 2019. Schließlich empfing der bayerische Innenminister Joachim Herrmann (CSU) am 24. September 2019 eine NSO-Delegation. „Zielrichtung des Gesprächs war die Vorstellung des Portfolios der NSO Group“, sagte Herrmanns Sprecher. Aber am Ende kaufte auch die bayerische Polizei nicht.
Die ZEIT und die Süddeutsche Zeitung haben sämtliche Innenministerien der Länder und des Bundes angefragt, ob sie Pegasus einsetzen. Die Bundesländer gaben an, NSOs Software nicht bei den Polizeibehörden zu benutzen. Für die Verfassungsschutzbehörden verweigerten die Landesregierungen grundsätzlich jede Antwort.
Das BKA hat sich mittlerweile seinen eigenen Bundestrojaner gebastelt, eine Art Pegasus ultralight. Die deutsche Version hat im Vergleich zum fliegenden Pferd aus Israel nur einen Flügel und hinkt etwas – aber dafür ist sie rechtsstaatlich einwandfrei.
