Pegasus-Spähsoftware im Konflikt um Bergkarabach eingesetzt
Sicherheitsforscher konnten nachweisen, dass mindestens zwölf Personen des öffentlichen Lebens in Armenien mit der Überwachungssoftware Pegasus überwacht wurden. Einem Bericht der Organisation Access Now und weiteren NGOs zufolge zählen zu den Spionagezielen eine ehemalige Sprecherin des Außenministeriums, Medienschaffende, Menschenrechtler und ein Mitarbeiter der Vereinten Nationen.
Die am Donnerstag veröffentlichte Untersuchung wurde von Access Now gemeinsam mit dem Citizen Lab der Universität Toronto, dem Amnesty International Security Lab, der armenischen NGO CyberHUB-AM und einem unabhängigen Sicherheitsforscher durchgeführt.
Seit November 2021 warnt Apple iPhone-Nutzerinnen und -Nutzer, wenn der Konzern Hinweise auf Spähsoftware-Angriffe auf ihren Geräten entdeckt. Betroffene in Armenien hatten solche Warnungen erhalten und die Organisationen kontaktiert – die Sicherheitsforscher hatten daraufhin die Mobiltelefone forensisch untersucht.
Laut dem gemeinsamen Bericht wurden die Smartphones der Betroffenen zwischen Oktober 2020 und Dezember 2022 mit Pegasus infiziert. Indizien deuteten darauf hin, dass die Angriffe im Zusammenhang mit dem militärischen Konflikt zwischen Armenien und Aserbaidschan in der Region Bergkarabach gestanden haben. Es handle sich um den ersten dokumentierten Einsatz von Pegasus in einem Krieg zwischen zwei souveränen Staaten.
Die Pegasus-Infektionen fielen teils mit Ereignissen wie dem Bergkarabach-Krieg im Jahr 2020, Friedensgesprächen und einem Waffenstillstandsabkommen zusammen. Weitere Pegasus-Angriffe konnten die Sicherheitsforscher unter anderem nachweisen, als es im Jahr 2022 erneut zu Kämpfen in der Region gekommen war.
Ministeriumssprecherin überwacht
Zu den Spionagezielen zählt laut Bericht Anna Naghdalyan: Ihr Smartphone wurde zwischen Oktober 2020 und Juli 2021 mindestens 27-mal mit Pegasus infiziert. Naghdalyan hatte zu dieser Zeit als Sprecherin des armenischen Außenministeriums gearbeitet. Sie sei in ihrer Rolle in vertrauliche Verhandlungen eingebunden gewesen, darunter etwa Gespräche über einen Waffenstillstand. Naghdalyan sagte gegenüber Access Now, sie habe damals “alle Informationen über die Entwicklungen während des Krieges” auf ihrem Smartphone gespeichert. Seit sie mit Pegasus ausspioniert wurde, könne sie sich nicht mehr sicher fühlen.
Auch die beiden Journalisten Astghik Bedevyan und Karlen Aslanyan, die für das armenische Programm von Radio Free Europe/Radio Liberty arbeiten, wurden Anfang 2021 mit Pegasus ausgespäht. Beide hatten über die politische Krise in Armenien und die Folgen des Krieges in Bergkarabach berichtet.
Bedevyan erklärte gegenüber Access Now: “Ich hatte das Gefühl, dass meine Privatsphäre in grober Weise verletzt wurde.” Sie habe auf ihrem Mobiltelefon viele persönliche Daten gespeichert.
Das Telefon der damaligen armenischen Ombudsfrau für Menschenrechte, Kristinne Grigoryan, wurde auch mit der Spähsoftware infiziert – dem Bericht zufolge einen Monat, nachdem sie in der Sendung von Karlen Aslanyan zu Gast war. In ihrer Rolle als Ombudsfrau habe Grigoryan unter anderem mutmaßlich durch die aserbaidschanische Armee verübte Gräueltaten untersucht und internationale Diplomaten in Armenien darüber informiert.
Zu den weiteren Spionagezielen zählen auch ein Universitätsprofessor und der Gründer eines oppositionellen TV-Senders.
UN-Mitarbeiter betroffen
Fünf Betroffene wollten anonym bleiben. Dazu zählt ein Beamter der Vereinten Nationen, der laut Access Now keine Erlaubnis seines Arbeitgebers hat, öffentlich über den Vorfall zu sprechen. Auch zwei weitere Medienschaffende und ein Aktivist seien mit Pegasus überwacht worden.
John Scott-Railton, leitender Sicherheitsforscher des Citizen Labs, sagte gegenüber dem Guardian: “Dies wirft wichtige Fragen über die Sicherheit von internationalen Organisationen, Journalisten, humanitären Helfern und anderen Personen auf, die im Umfeld von Konflikten arbeiten. Es sollte auch jeder ausländischen Regierung, deren diplomatischer Dienst im Umfeld des Konflikts tätig war, einen Schauer über den Rücken jagen.”
Das Unternehmen NSO verkauft seine Spähsoftware Pegasus eigenen Angaben zufolge nur an staatliche Stellen. Die Sicherheitsforscher gehen davon aus, dass auch die in Armenien Betroffenen von einer staatlichen Einrichtung überwacht wurden – es könne aber nicht sicher gesagt werden, welche Regierung für die Angriffe verantwortlich ist.
Es gebe aber stichhaltige Beweise dafür, dass Aserbaidschan Pegasus einsetzt – und die Spionageziele wären für die dortige Regierung von großem Interesse gewesen. Bereits in der Vergangenheit hatten Sicherheitsforscher nachgewiesen, dass in dem Land unter anderem Medienschaffende mit der Spähsoftware überwacht wurden.
Die Sicherheitsforscher weisen aber auch darauf hin, dass ebenso Personen ausgespäht wurden, die der armenischen Regierung kritisch gegenüberstanden. Es gebe zum jetzigen Zeitpunkt aber keine Beweise dafür, dass die armenische Regierung zu den Kunden von NSO gehöre. Allerdings setzte die Regierung mit Predator vermutlich die Spähsoftware eines anderen Anbieters ein.
Kritik an NSO
Die an der Untersuchung beteiligten Organisationen kritisieren, trotz zahlreicher Skandale und sogar Sanktionen gegen NSO, ermögliche das Unternehmen weiterhin den Missbrauch von Pegasus. Es sei besonders alarmierend, dass die Spähsoftware in einem Konflikt eingesetzt wurde, in dessen Zusammenhang Menschenrechtsorganisationen beiden Parteien Kriegsverbrechen vorwerfen.
Mit der Lieferung von Pegasus im Rahmen eines gewaltsamen Konflikts werde riskiert, zu schweren Menschenrechtsverletzungen oder sogar Kriegsverbrechen beizutragen.
Natalia Krapiva, Rechtsberaterin bei Access Now, kommentierte: “Angriffe auf Menschen zu unterstützten, die bereits unter Gewalt leiden ist selbst für ein Unternehmen wie die NSO Group eine verabscheuungswürdige Tat.”
Giulio Coppi, Senior Humanitarian Officer von Access Now, erklärte, der Einsatz von Spähsoftware in einem “bereits durch schwere Verletzungen des Völkerrechts” gekennzeichneten Konflikt stelle eine eklatante Missachtung humanitärer Prinzipien dar. Zivilisten, Menschenrechtler und Medienschaffende dürften nicht ins Visier genommen werden.
Die Organisationen fordern Aserbaidschan und Armenien auf, den Einsatz von Spähsoftware zu beenden – und die nun aufgedeckten Fälle unabhängig und transparent zu untersuchen.
Zudem erneuern die Organisationen ihren Ruf nach einem sofortigen Moratorium für den Export, Verkauf, die Weitergabe und den Einsatz von digitalen Überwachungstechnologien. Donncha Ó Cearbhaill, Leiter des Security Labs von Amnesty International, sagte: “Wir fordern die Behörden weltweit auf, jetzt zu handeln, um die Spähsoftware-Krise zu bekämpfen. Die unkontrollierte Verbreitung von Spähsoftware-Technologie untergräbt die Grundlagen der Zivilgesellschaft, des Journalismus und der Menschenrechte.” (js)