Serbien: Behörden überwachen Aktivisten mit Spähsoftware
Die serbische Polizei sowie der Geheimdienst haben Journalisten und Aktivisten unrechtmäßig mithilfe von Spähsoftware überwacht. Das geht aus einem am Montag veröffentlichten Bericht von Amnesty International hervor. Demnach setzen die Behörden auch andere Produkte ein, um Daten von Smartphones auszulesen – und um die Spähsoftware heimlich installieren zu können.
Dinushika Dissanayake von Amnesty International sagte: “Unsere Untersuchung zeigt, wie serbische Behörden Überwachungstechnologien und weitere Digital-Taktiken als Instrument umfassender staatlicher Kontrolle und Repression gegen die Zivilgesellschaft einsetzen.”
Wie die Organisation berichtet, haben serbische Behörden eine eigene – bisher unbekannte – Spähsoftware namens NoviSpy entwickelt, um Smartphones mit dem Android-Betriebssystem zu überwachen. Sowohl die Polizei als auch der serbische Geheimdienst BIA sollen die Spionagesoftware einsetzen.
Laut dem Bericht ist NoviSpy technisch nicht so ausgefeilt wie etwa die bekannte Pegasus-Spähsoftware. Dennoch sei es den Behörden damit möglich, sensible persönliche Daten auszulesen, die auf einem Smartphone gespeichert sind. IT-Experten des Amnesty Security Labs stellten bei der Untersuchung von infizierten Geräten beispielsweise fest, dass die Software Screenshots von Chat-Verläufen erstellt und überträgt. Außerdem sei es möglich, Kamera und Mikrofon eines infizierten Smartphones aus der Ferne zu aktivieren.
Beamte umgehen Zugangscode
Während Angreifer Überwachungssoftware wie Pegasus sogar aus der Ferne ohne Zutun der Betroffenen installieren können, brauchen die serbischen Behörden offenbar physischen Zugriff auf ein Gerät, um es mit NoviSpy zu infizieren. In mindestens zwei Fällen konnte Amnesty nachvollziehen, wie dabei genau vorgegangen wurde.
So hatte die Polizei dem Bericht zufolge im Februar 2024 den serbischen Investigativjournalisten Slaviša Milanov unter dem Vorwand festgenommen, einen Alkoholtest durchführen zu wollen. Im Gewahrsam sei Milanov von Beamten in Zivil zu seiner journalistischen Arbeit befragt worden; er berichtet unter anderem zu Korruption. Vor dem Alkoholtest und der Befragung musste er sein Telefon abgeben. Dieses sei ausgeschaltet gewesen und er sei auch nicht nach dem Zugangscode gefragt worden. Als er das Gerät zurückbekommen habe, stellte er jedoch veränderte Einstellungen fest und bat Amnesty um Hilfe.
Die Sicherheitsexperten der Organisation konnten nachweisen, dass sein Smartphone mit Produkten von Cellebrite entsperrt wurde. Die israelische Firma bietet staatlichen Stellen Hard- und Software an, mit denen sich Smartphones entsperren und Daten kopieren lassen. Die Beamten hätten dann die Spähsoftware auf dem Smartphone von Slaviša Milanov installiert.
Die Sicherheitsforscher konnten zudem nachweisen, dass auch das Smartphone des Aktivisten Nikola Ristić von den Behörden mit Cellebrite-Produkten entsperrt wurde. Anschließend sei auch auf seinem Gerät die Spähsoftware installiert worden.
Ristić hatte im November Proteste in Belgrad nach dem Einsturz eines Bahnhofsvordachs in Novi Sad maßgeblich mitorganisiert. Bei dem Unglück waren mehrere Menschen getötet und verletzt worden. Die Demonstranten vermuteten Korruption bei der Auftragsvergabe für die Renovierung des Bahnhofs. Als er Anfang November zu einer Demonstration auf den Platz der Republik in Belgrad ging, wurde er dort von Beamten des Geheimdienstes BIA gestoppt und zu einem Verhör mitgenommen, während dem er auch sein Smartphone abgeben musste.
Unzureichende Gesetze
Dinushika Dissanayake von Amnesty sagte, die Untersuchung der NGO zeige, wie die “Forensik-Produkte von Cellebrite – die von Polizei und Geheimdiensten weltweit eingesetzt werden – ein enormes Risiko für diejenigen darstellen können, die sich für Menschenrechte, Umwelt und Meinungsfreiheit einsetzen, wenn sie außerhalb der strengen gesetzlichen Kontrolle und Aufsicht verwendet werden.”
Amnesty kritisiert, der Einsatz von Spähsoftware und ähnlichen Technologien sei in Serbien nur unzureichend reguliert. Dadurch werde viel Raum für potenziellen Missbrauch gelassen – auch zu politischen Zwecken.
Cellebrite erklärte am Montag in einer Reaktion auf den Bericht, das Unternehmen werde die Fälle untersuchen. In den vergangenen Jahren sei der Verkauf an einige Stellen bereits eingestellt worden. Bereits in der Vergangenheit hatten Menschenrechtsorganisationen dem Unternehmen vorgeworfen, seine Produkte auch an repressive Regime zu verkaufen – und damit zu Menschenrechtsverletzungen beizutragen.
Aktivisten überwacht
Von Amnesty gesammelte Beweise legten nahe, dass die serbischen Behörden mit ihrer NoviSpy-Überwachungssoftware Dutzende Geräte ausgespäht haben – es könne aber sogar Hunderte Betroffene in den vergangenen Jahren geben.
Die Experten konnten beispielsweise auch nachweisen, dass die Spähsoftware auf dem Smartphone eines Aktivisten der NGO Krokodil installiert wurde, während er von BIA-Beamten befragt wurde. Anlass der Befragung war ein Angriff auf das Belgrader Büro der Organisation, die sich für Dialog und Versöhnung in der Region Westbalkan einsetzt. Während der Befragung hatte der Aktivist sein Smartphone in seiner Jacke außerhalb des Verhörzimmers zurückgelassen und anschließend verdächtige Benachrichtigungen darauf entdeckt.
Zudem wurde versucht, NoviSpy auf dem Gerät eines Umweltaktivisten zu installieren. In anderen Fällen sollen die Cellebrite-Produkte verwendet worden sein, um Daten von Smartphones auszulesen, obwohl die Betroffenen nicht wegen einer vermeintlichen Straftat angeklagt wurden. In mindestens einem Fall wurde einem Aktivisten eine richterliche Genehmigung vorgelegt. Amnesty kritisiert allerdings, solche Forensik-Werkzeuge sollten nur bei schweren Anklagen wie beispielsweise Terrorismus zum Einsatz kommen – nicht wegen bloßer Meinungsäußerungen.
Das serbische Innenministerium und der Geheimdienst BIA wiesen die Vorwürfe als “unsinnig” und “falsch” zurück, berichtete das staatliche Fernsehen RTS.
Schon in der Vergangenheit wurden serbische Behörden allerdings mit Spähsoftware in Verbindung gebracht. Sicherheitsforscher vom Citizen Lab an der Universität Toronto hatten Serbien etwa im Jahr 2013 als Kunden des inzwischen insolventen deutschen Spähsoftware-Herstellers FinFisher identifiziert.
Die Sicherheitsforscher gehen außerdem davon aus, dass der BIA die Spähsoftware Predator verwendet, die im Mittelpunkt des griechischen Spionageskandals steht.
Im vergangenen Jahr konnten Menschenrechtler und IT-Experten zudem nachweisen, dass serbische Regierungskritiker mit Spähsoftware angegriffen wurden. Dabei kam wahrscheinlich Pegasus zum Einsatz – und es werden serbische Behörden hinter den Angriffen vermutet.
Eingeschränkte Meinungsfreiheit
Diese Angriffe finden laut Amnesty vor dem Hintergrund zunehmender staatlicher Repressionen und zunehmend eingeschränkter Meinungsfreiheit in Serbien statt. Seit dem Jahr 2021 sei es zu zahlreichen regierungskritischen Protesten gekommen – die von den Behörden jeweils mit hartem Vorgehen beantwortet wurden.
Nach den Protesten gegen den Lithiumabbau und ein Rohstoff-Abkommen mit der EU seien die Angriffe der Regierung auf die Zivilgesellschaft 2024 “eskaliert”. Aktivisten wurden beispielsweise verhaftet und angeklagt – auch wegen Straftatbeständen, die mit bis zu acht Jahren Haft bestraft werden können.
Amnesty kritisiert, digitale Überwachung greife nicht nur in das Recht auf Privatsphäre ein, sondern beeinträchtige auch die Rechte auf freie Meinungsäußerung, Vereinigungs- sowie Versammlungsfreiheit. Serbische Aktivisten berichteten gegenüber der NGO beispielsweise, dass sie ihr Verhalten geändert haben, nachdem sie erfahren haben, dass sie überwacht wurden. Sie würden sich etwa zurückhaltender zu kontroversen Themen äußern – oder hätten ihren Aktivismus vollständig eingestellt. Ein Aktivist beschrieb die Situation als “digitales Gefängnis”.
Auch der ausgespähte Journalist Slaviša Milanov äußerte Sorge, dass seine journalistischen Quellen kompromittiert worden sein könnten: “Ich kann nicht mehr telefonieren oder mailen und muss andere Wege finden, um mit den Leuten zu sprechen, auch persönlich.”
Amnesty fordert die serbische Regierung auf, den Einsatz “hochgradig invasiver Spähsoftware” sofort zu stoppen. Fälle von unrechtmäßiger Überwachung müssten untersucht werden. Außerdem sollte die Regierung sicherstellen, dass Digitaltechnik nicht für Menschenrechtsverletzungen missbraucht wird – beispielsweise durch eine gerichtliche Überprüfung der Maßnahmen. Unternehmen wie Cellebrite müssten ebenfalls sicherstellen, dass ihre Produkte nicht zu Menschenrechtsverletzungen beitragen. (js)