DIE NEUSTEN ENTWICKLUNGEN

Die neusten Entwicklungen

Die wichtigsten Fragen zu Pegasus

Was ist Pegasus?

Pegasus ist eine Software, die zur Überwachung von Mobiltelefonen dient. Die Herstellerfirma NSO verkauft das Produkt laut eigenen Angaben nur an staatliche Behörden wie Polizeien, Geheimdienste oder das Militär.

Pegasus lässt sich auf den meisten Geräten mit Android oder iOS über das Internet installieren, ohne dass es der Besitzer merkt. Daraufhin kann man auf praktisch alle wichtigen Funktionen des Telefons zugreifen. Konkret kann die Überwachungssoftware zum Beispiel die Konversationen in Messenger-Diensten wie Signal, Whatsapp oder Telegram mitlesen oder Telefongespräche abhören.

Pegasus kann aber auch auf gespeicherte Dateien zugreifen, das Adressbuch kopieren oder Standortdaten des Geräts auslesen. Zudem lassen sich mit der Software die Kamera und das Mikrofon eines Smartphones aktivieren. Das Smartphone wird so unbemerkt zur Wanze, mit der sich zum Beispiel ein Gespräch in einem Raum abhören lässt.

Warum ist der Einsatz von Pegasus problematisch?

Pegasus wird laut Angaben der israelischen Herstellerfirma NSO in 40 Ländern eingesetzt. Die Vorgabe der Firma dabei lautet, dass die Überwachungssoftware nur auf einer gesetzlichen Grundlage, zum Beispiel für die Verbrechensbekämpfung oder zur Terrorabwehr, eingesetzt werden darf.

In der Praxis halten sich aber nicht alle Staaten, die Pegasus einsetzen, an diese Vorgabe. Bereits 2016 hatte die kanadische Forschungsgruppe Citizen Lab der Universität Toronto erstmals über eine missbräuchliche Überwachung berichtet. Die Zielperson war der Menschenrechtsaktivist Ahmed Mansoor aus den Vereinigten Arabischen Emiraten.

Später wurden zahlreiche missbräuchliche Überwachungen in Mexiko bekannt, bei denen Pegasus eingesetzt wurde. Das Ziel waren Anwälte, Journalisten oder oppositionelle Politiker. Laut der «Washington Post» wurde Pegasus auch dazu genutzt, Personen auszuspionieren, die dem saudischen Oppositionellen Jamal Khashoggi nahestanden. Dieser wurde 2018 mutmasslich von Mitarbeitern des saudischen Königshauses ermordet.

Weltweite Beachtung fand eine internationale Recherche, die im Juli 2021 publiziert wurde. Im Zentrum stand eine Liste von 50 000 Telefonnummern, die Ziel einer Pegasus-Überwachung gewesen sein sollen. Darunter konnte das Recherchenetzwerk unter der Leitung der Menschenrechtsorganisation Amnesty International und der Journalistenorganisation Forbidden Stories auch Nummern von Journalisten, Menschenrechtsaktivisten, Politikern und Regierungsmitgliedern identifizieren.

Die Kritik richtet sich zum einen an jene Staaten, die Pegasus missbräuchlich eingesetzt haben. Ungarn etwa soll Oppositionelle abgehört haben. Zum anderen steht aber auch die israelische Herstellerfirma von Pegasus in der Kritik, weil sie die Kunden und deren Verwendung der Spionagesoftware zu wenig streng kontrolliere.

In Israel muss das Verteidigungsministerium den Verkauf von Überwachungssoftware ans Ausland genehmigen. Sie darf nur an staatliche Behörden und nur zum Zweck der Bekämpfung von Verbrechen und Terrorismus verkauft werden. «Israel behauptet, es gebe Exportkontrollen», sagte der Gründer von Citizen Lab, Ron Deibert, 2018 im Gespräch mit der NZZ. «Aber offensichtlich gibt es hier Probleme.»

Grundsätzlich ist es schwierig, den Einsatz von Software nach dem Verkauf zu kontrollieren – ähnlich wie dies bei herkömmlichen Waffen oder Dual-Use-Gütern der Fall ist. Allerdings braucht es für den Betrieb von Pegasus ein ganzes System von Servern zur Infektion der Zielgeräte und zur Steuerung der Spyware. Dieses System betreiben die Kunden vermutlich nicht völlig unabhängig von der Herstellerfirma, weshalb eine Kontrolle der Einsätze durch die NSO grundsätzlich möglich erscheint.

Wer wurde mit Pegasus ausspioniert?

Auf der Telefonliste, zu der das internationale Recherchenetzwerk 2021 Zugang erhalten hat, sollen sich mindestens tausend Nummern befinden, die Journalisten, Menschenrechtsaktivisten, Geschäftsleuten und Politikern zugeordnet werden konnten. Zu den prominentesten Zielen auf der Liste gehörten drei Staatspräsidenten, zehn Regierungschefs und ein König, wie die «Washington Post» schreibt.

Mögliche Ziele einer Pegasus-Überwachung waren laut dem Bericht Frankreichs Präsident Emmanuel Macron und seine Amtskollegen im Irak und in Südafrika, amtierende oder ehemalige Regierungschefs in Belgien, Jemen oder Kasachstan sowie der König von Marokko, Mohammed VI. Insgesamt konnte das Recherchenetzwerk in 37 Fällen Spuren der Spionagesoftware Pegasus auf Smartphones feststellen. Ob die genannten hochrangigen Politiker auch mit der Software ausspioniert wurden, ist unklar, weil ihre Handys für das Investigativteam nicht zugänglich waren.

Wer hinter den Überwachungsaktionen steckt, ist meist nicht offiziell bekannt. Die NSO Group hält ihre Kunden geheim. Sie sagt nur, dass man mit insgesamt 60 Behörden aus 40 Ländern im Geschäft sei. Laut Amnesty International gibt es Hinweise auf mindestens 11 Staaten, die Pegasus eingesetzt hätten: Aserbaidschan, Bahrain, Ungarn, Indien, Kasachstan, Mexiko, Marokko, Rwanda, Saudiarabien, Togo und die Vereinigten Arabischen Emirate.

Die angeschuldigten Regierungen haben die Spionage via Pegasus abgestritten oder schweigen dazu. Die Herstellerfirma NSO Group schrieb in einer Stellungnahme, dass man die Vorwürfe des Recherchenetzwerks bestreite.

Wer ist die Firma hinter Pegasus?

Entwickelt wird Pegasus von der NSO Group, einem israelischen Unternehmen, das Überwachungssoftware für Behörden herstellt. NSO wurde 2010 gegründet und soll inzwischen rund 800 Mitarbeiter zählen. Die Firma operiert heute auch aus Bulgarien und Zypern heraus.

Pegasus dürfte zu den Marktführern im Bereich Überwachungssoftware gehören. Generell gelten Firmen aus Israel als führend bei Spionagesoftware, weil sie von einer starken Verknüpfung zwischen Militär und Wirtschaft im Lande profitieren.

Die NSO Group steht seit Jahren in der öffentlichen Kritik, weil immer wieder Fälle von missbräuchlichen Einsätzen ihrer Software Pegasus bekanntwerden. Die Firma versucht, diese Vorwürfe zu entkräften. Seit gut einem Jahr verfügt der Betrieb über einen Prozess, mit dem Fälle von möglichem Missbrauch seiner Software überprüft werden können.

Ende Juni hat die NSO Group zudem erstmals einen Transparenzbericht über ihre Tätigkeit veröffentlicht. Laut dem Bericht hat die NSO Group bisher auf Geschäfte im Wert von insgesamt über 300 Millionen Dollar verzichtet, weil die Beurteilung des potenziellen Kunden im Bereich Menschenrechte negativ ausgefallen war.

Wie gelangt Pegasus auf ein Telefon?

Überwachungssoftware wird heimlich auf dem Smartphone installiert, ohne dass der Benutzer dies merkt. In dieser Hinsicht verhält sich diese Software gleich wie Schadsoftware, die zum Beispiel von Kriminellen oder staatlichen Angreifern verwendet wird.

Über die Jahre hat Pegasus unterschiedliche Wege genutzt, um sich auf dem Zielgerät einzunisten. Im September 2021 etwa wurde eine Schwachstelle bei Apple-Geräten bekannt, die den Messenger-Dienst iMessage betraf und von Pegasus ausgenutzt wurde. Es handelte sich dabei um eine sogenannte «zero-click»-Schwachstelle, wobei der Handybesitzer keinen Link anklicken musste, damit die Software sie ausnutzen konnte.

Bereits vor einigen Jahren war bekanntgeworden, dass Pegasus eine Lücke in Whatsapp ausgenutzt hatte. Für die Installation reichte ein Anruf mit Whatsapp, ohne dass dieser angenommen werden musste. Dokumentiert sind auch frühere Methoden zur Infektion, bei denen die Zielperson einen Link etwa in einer SMS anklicken musste, um Pegasus zu installieren.

Wie kann man sich gegen Spionagesoftware schützen?

Wenn Angreifer eine unbekannte «zero-click»-Schwachstelle ausnützen, ist es praktisch unmöglich, sich zu schützen. Das gilt unabhängig davon, ob hinter der Infektion eine staatliche Polizeibehörde oder Cyberkriminelle stehen.

Wer Links in SMS, Chat-Nachrichten oder E-Mails erhält, sollte diese nur zurückhaltend anklicken. Besondere Vorsicht ist angebracht, wenn der Absender unbekannt ist oder der Text seltsame Formulierungen oder Schreibfehler enthält. Das Gleiche gilt für Dateien wie Word- oder PDF-Dokumente, die man zugeschickt erhält.

Wichtig ist es zudem, die Software auf dem Smartphone oder dem Computer aktuell zu halten. Sicherheitsupdates sollten so rasch als möglich installiert werden.