ISS World: Die Überwachungsbranche trifft sich in Prag
Klagen von Facebook und Apple wegen Spionageangriffen auf ihre Nutzer, von der US-Regierung mit Handelssanktionen belegt, weil Journalisten und Aktivisten ausgeforscht wurden – das Image der israelischen Firma NSO Group als “angeschlagen” zu bezeichnen, wäre stark untertrieben. Apple nannte die Firma Mitarbeiter in der Klageschrift “amoralische Söldner”. Trotzdem tritt das Unternehmen derzeit als Hauptsponsor einer der größten Überwachungsmessen weltweit auf. Neben NSO sind auch weitere Anbieter elektronischer Überwachungstechnik auf der Sponsoren- und Gästeliste zu finden, die wegen Gesetzesverstößen bereits in den Schlagzeilen standen.
Die Messe findet vom 7. bis 9 Dezember in Prag statt. Der Veranstalter TeleStrategies beschreibt sie als “die weltweit größte Zusammenkunft von regionalen Strafverfolgungs-, Geheimdienst- und Heimatschutzanalysten, Telekommunikations- und Finanzkriminalitätsermittlern, die für die Untersuchung von Cyberkriminalität, elektronische Überwachung und die Sammlung von Informationen zuständig sind”.
Auf der Agenda stehen Präsentationen und Workshops von Sicherheitsforschern, Strafverfolgern und Anbietern von Überwachungstechnologien. Viele Vorträge sind nur für Strafverfolger und Behörden zugelassen und dienen dazu, die Beamten an die Produkte und Dienstleistungen der 120 Aussteller heranzuführen. Einige der übergeordneten Themen: “Rechtmäßiges Abhören”, “Überwachung sozialer Netzwerke” und “Untersuchung von DarkWeb, Bitcoin, Altcoin und Blockchain-Transaktionen”.
Gemeinsam gegen Grundrechte
Brisant wird das Branchentreffen nicht nur durch seinen Hauptsponsor NSO. Auch unter den weiteren Sponsoren finden sich umstrittene Unternehmen wie FinFisher, Candiru und Voyager Labs. Abgesehen davon, dass es sich bei ihnen um Branchengrößen handelt, sind ihnen Vorwürfe gemeinsam, Grund- und Menschenrechte verletzt oder gegen Exportgesetze verstoßen zu haben.
In den Kundenlisten der Firmen finden sich autoritär regierte Länder wie Saudi-Arabien und Thailand, aber auch EU-Staaten wie Deutschland. Geheimdienste und Sicherheitsbehörden nutzen die Produkte weltweit nicht nur zur Strafverfolgung, sondern auch, um Journalisten, Oppositionelle, Politiker und Aktivisten auszuforschen und zu überwachen.
NSO Group
Die NSO Group steht derzeit wie kein ein anderes Unternehmen der Branche im Rampenlicht. Ihre Software Pegasus wurde unter anderem dazu verwendet, Aktivisten und Journalisten aus Ungarn, Bahrain, Mexiko und vielen weiteren Ländern unbemerkt zu überwachen. Auf einer im Juli bekannt gewordenen Liste mit 50.000 potenziellen Ausspähzielen für Pegasus fanden sich neben zahlreichen Oppositionellen und Medienmachern auch hochrangige Politiker und gar Staatsoberhäupter aus aller Welt. Wie am vergangenen Wochenende bekannt wurde, wurden auch Mitarbeiter des US-Außenministeriums ausspioniert.
Auf der Webseite der ISS World klingt das Firmenprofil deutlich harmloser: NSO biete ein “Portfolio an hochwertigen operativen und analytischen Tools” zur “Aufklärung und Verhinderung von Verbrechen und Terror sowie zur Wahrung der nationalen Sicherheit”. Auf der Messe gibt NSO das Seminar “Eine neue Ära: strategische Drohnenangriffe”. NSO bietet mit “Eclipse” ein Drohnenabwehrsystem an, das fremde Drohnen orten und die Kontrolle über sie übernehmen können soll.
Zumindest die US-Regierung zog aus den Enthüllungen inzwischen Konsequenzen und setzte NSO auf ihre Sanktionsliste. Zur Begründung hieß es, die Aktivitäten von NSO liefen “den nationalen Sicherheits- oder außenpolitischen Interessen der Vereinigten Staaten” zuwider. Ohne eine Sondergenehmigung ist es US-Unternehmen somit verboten, bestimmte Technologien an NSO zu verkaufen.
Das Bundeskriminalamt ist hingegen weiterhin NSO-Kunde, es kaufte erst im Herbst 2020 eine modifizierte Pegasus-Version ein. Nach eigenen Angaben hatte das BKA den Kauf der Spionagesoftware auch mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) abgestimmt.
Ebenfalls Sponsor: Candiru
Zusammen mit NSO landete die ebenfalls aus Israel stammende Firma Candiru auf der US-Sanktionsliste – auch sie ein Sponsor der ISS World. Die Firma bietet laut Beschreibung auf der Messe-Website “Hochwertige Technologien zur Cyber-Aufklärung” an und wirbt: “Unser Produktportfolio ermöglicht die strategische Extraktion wertvoller Datenpunkte von Zielgeräten auf allen wichtigen Betriebssystemen”. Das Unternehmen hat sich nach einem bluttrinkenden Parasitenfisch benannt.
Candiru bietet Spyware für alle gängigen (Mobil-)Betriebssysteme an. 2020 berichtete die israelische Zeitung Haaretz über interne Dokumente des Unternehmens, die Aufschluss über die Produkte gaben: Demnach können Programme wie “Sherlock” PCs und Android-Telefone unbemerkt infiltrieren und Daten extrahieren. Unter anderem sollen Mikrofon und Kamera angezapft werden können. Auch Informationen aus Social-Media-Accounts und Apps soll die Software auslesen können.
Forscher des Citizen Labs an der Universität Toronto fanden die Programme von Candiru auf mehr als 750 gefälschten Webseiten. Sie waren Internetauftritten von Nichtregierungsorganisationen wie Amnesty International oder Black Lives Matter nachempfunden. Die gefälschten Seiten imitierten die Internetpräsenzen von Frauenrechtsorganisationen, Aktivistengruppen, Gesundheitsorganisationen sowie Nachrichtenmedien und trugen irreführende Bezeichnungen wie “Amnesty Reports”, “Refugee International”, “Woman Studies”, “Euro News” und “CNN 24-7”. Beim Aufruf der Webseiten wurden die Systeme der Nutzer mit der Spyware von Candiru infiziert. Der Guardian schrieb damals: “Die Ergebnisse deuten darauf hin, dass ein geheimnisvolles und wenig bekanntes Unternehmen mit einer großen globalen Reichweite Regierungen dabei helfen könnte, Menschen in der Zivilgesellschaft zu hacken und zu überwachen.”
Candiru verkauft seine Produkte nur an staatliche Kunden, zu denen unter anderem Behörden in Usbekistan, den Vereinigten Arabischen Emiraten und Saudi Arabien zählen sollen. Mithilfe von Candiru-Software wurden Angriffe auf Personen in Israel, Spanien, England, dem Iran und anderen Ländern unternommen, wie Microsoft bei einer gemeinsamen Untersuchung mit dem Citizen Lab nachweisen konnte. Unter den mehr als 100 Opfern, die Microsoft identifizieren konnte, fanden sich Menschenrechtsaktivisten, Dissidenten, Journalisten, Politiker und Botschaftsangestellte.
Auf der Messe gibt Candiru das Seminar “Zero-Click-Angriffe: Der Heilige Gral”.
Falsche Facebook-Konten und Massenüberwachung
Weitere Bekannte auf der Sponsoren-Liste sind Voyager Labs, FinFisher und Trovicor:
Voyager Labs gelangte Ende November zu zweifelhafter Berühmtheit, weil interne Dokumente der Polizei von Los Angeles (LAPD) eine Zusammenarbeit mit der Firma belegten. Die von der Behörde getestete Voyager-Labs-Software kann Social-Media-Konten unbemerkt überwachen und will sogar voraussagen können, welche Personen zukünftig eine Straftat begehen könnten.
Dabei durchleuchtet das Programm aber nicht nur Verdächtige, sondern auch deren Kontakte. Dadurch geraten massenhaft Unbeteiligte ins Visier und werden ausspioniert.
Das Spionageprogramm reagiert dem Bericht des Brennan Centers for Justice zufolge besonders auf – eigentlich gewöhnliche – religiöse beziehungsweise muslimische Themen und wertet diese pauschal als Indikator für Gewaltbereitschaft. An der Analyse der Dokumente beteiligte Experten bezweifelten die Zuverlässigkeit des Programms und unterstellten Diskriminierung und Vorverurteilung bestimmter Gruppen.
Dass das Überwachungsprogramm dazu auch falsche Facebook-Konten anlegt, verärgerte den Facebook-Mutterkonzern Meta. Dieser wandte sich nach den Enthüllungen in einem offenen Brief an LAPD-Chef Michel Moore und forderte die Behörde dazu auf, alle Aktivitäten auf Facebook einzustellen, die die Verwendung von gefälschten Konten, das Nachahmen von Personen und das Sammeln von Daten für Überwachungszwecke einschließen.
Exportschlager FinSpy
FinFisher hilft laut Firmenbeschreibung “staatlichen Strafverfolgungsbehörden und Nachrichtendiensten bei der Identifizierung, Lokalisierung und Überführung von Schwerverbrechern”. Mit der Spionagesoftware “FinSpy” lassen sich beispielsweise Adressbücher auf Smartphones auslesen, aber auch Telefongespräche und Chats mitschneiden. Das Unternehmen stellt auch den sogenannten Staatstrojaner für das deutsche Bundeskriminalamt her. Für Exporte von Überwachungssoftware in Länder außerhalb der Europäischen Union ist seit 2015 allerdings eine Genehmigung erforderlich, ähnlich wie bei Waffenexporten. Die Software wurde in der Vergangenheit jedoch immer wieder in Ländern außerhalb der EU gefunden. So wurde die Software FinSpy 2017 gegen türkische Oppositionelle eingesetzt. Das hatten Sicherheitsexperten bei Software-Analysen festgestellt.
Organisationen wie die Gesellschaft für Freiheitsrechte, Reporter ohne Grenzen und das European Center for Constitutional and Human Rights klagten daraufhin 2019 gegen die Geschäftsführer. Seitdem ermitteln die Staatsanwaltschaft München I und das Zollkriminalamt gegen das Münchener Unternehmen und durchsuchten dessen Geschäftsräume im Oktober 2020.
Die Firma ist bereits wiederholt in die Schlagzeilen geraten, weil ihre Software von autoritären Regimen gegen Oppositionelle eingesetzt wurde – unter anderem in Ägypten unter Präsident Husni Mubarak und in Bahrain.
“Feind des Internets”
Auch für das auf Telekommunikationsüberwachung spezialisierte Münchner Unternehmen Trovicor ist negative Berichterstattung nicht Neues: Trovicor wurde in der Vergangenheit unter anderem vorgeworfen, in Bahrain Überwachungszentren zu pflegen, mit denen Online-Kommunikation überwacht und zensiert wird. Die Organisation Reporter ohne Grenzen erklärte die Firma im Jahr 2013 zu einem “Feind des Internets”. 2015 warf Privacy International Trovicor vor, der pakistanischen Regierung beim Aufbau von Überwachungsinfrastrukturen geholfen zu haben.
Die Berichterstattung fand ihren Höhepunkt im Jahr 2015, als bekannt wurde, dass die Münchener Firma am Ausbau der staatlichen Internetüberwachung in Äthiopien eine zentrale Rolle gespielt hatte.
Auf der ISS World präsentiert Trovicor unter anderem das Seminar “Erweiterte Analyse der Internet-Massenaktivität”. Die Firma wirbt damit, “mehr als 20 Jahre Erfahrung in der Zusammenarbeit mit Regierungen auf der ganzen Welt” zu haben und “Ende-zu-Ende-Überwachungs- und Aufklärungslösungen für mehr als 35 Regierungen auf der ganzen Welt” bereitzustellen.
Demokratische Staaten müssen reagieren
Die Liste der juristisch und ethisch umstrittenen Sponsoren und Teilnehmer der ISS Word Europe ließe sich noch weiterführen. Auf welche (potenziellen) Kunden diese Firmen treffen, ist für Außenstehende nicht eindeutig ersichtlich. Klar ist nur, dass es sich größtenteils um Vertreter staatlicher Sicherheitsbehörden und Geheimdienste handelt.
Währenddessen steigt der Druck auf demokratische Regierungen, gegen Unternehmen wie NSO, Candiru & Co. vorzugehen: Insgesamt 81 Organisationen – darunter Access Now, Amnesty International, Human Rights Watch und Reporter ohne Grenzen – sowie unabhängige Fachleute haben vergangene Woche die EU in einem offenen Brief aufgefordert, Sanktionen gegen NSO zu verhängen. Die EU müsse die Nutzung und den Handel mit Technologien von NSO verbieten, bis ein wirksamer Schutz der Menschenrechte gewährleistet ist. Eine Reaktion steht noch aus. (hcz)