Ungarischer Investigativ-Journalist mit Pegasus ausspioniert
Die Smartphones des ungarischen Fotojournalisten Dániel Németh wurden mit der Überwachungssoftware Pegasus der israelischen Firma NSO ausgespäht. Das berichtet das ungarische Investigativmagazin Direkt36. Wie schon bei den zuvor in Ungarn bekannt gewordenen Fällen, sollen staatliche Akteure aus Ungarn für die Angriffe verantwortlich sein.
Németh dokumentiert seit Jahren den luxuriösen Lebensstil von ungarischen Regierungsmitgliedern und deren Vertrauten. Direkt36 berichtet, dabei habe er stets versucht, sich im Hintergrund zu halten und beispielsweise Fotos nicht unter seinem Namen veröffentlicht. Im vergangenen Sommer hatte er zu Lőrinc Mészáros recherchiert, einem Kindheitsfreund von Ungarns Ministerpräsident Viktor Orbán und einem der reichsten Menschen des Landes. Seine Unternehmen erhalten häufig den Zuschlag bei staatlichen Ausschreibungen.
Im Juli hatte Németh das Citizen Lab an der Universität Toronto kontaktiert, um überprüfen zu lassen, ob seine Smartphones ausspioniert wurden. Zuvor hatten die Organisationen Forbidden Stories und Amnesty International sowie mehrere internationale Medien aufgedeckt, wie mit Pegasus weltweit Medienschaffende, Menschenrechtler, Oppositionelle und Politiker überwacht wurden. An den Recherchen war auch Direkt36 beteiligt – auch zwei Mitarbeiter des Magazins wurden nachweislich mit der Spionagesoftware angegriffen.
Zwei iPhones, zwei Angriffe
Die Sicherheitsforscher des Citizen Lab konnten nachweisen, dass beide iPhones von Németh im Juli mit Pegasus infiziert wurden. Daraufhin informierte der Journalist Direkt36. Das Magazin ließ die Angriffe durch Sicherheitsexperten von Amnesty International bestätigen. Eines seiner Smartphones wurde demnach zwischen dem 1. und 9. Juli 2021 ausgespäht, das andere zwischen dem 5. und 9. Juli – nach einer Recherchereise hatte Németh sein Smartphone und seine Telefonnummer getauscht. Während er mit Pegasus überwacht wurde, hatte sich der Journalist in Ungarn befunden. Als er anschließend für eine Recherche nach Italien flog, war Pegasus den Untersuchungen zufolge nicht mehr aktiv.
NSO verkauft seine umstrittene Software an Strafverfolgungsbehörden und Geheimdienste. Direkt36 berichtet, die bislang gesammelten Beweise deuteten darauf hin, dass eine staatliche Stelle aus Ungarn hinter den Angriffen auf Németh steckt. Unklar ist aber, welche konkrete Stelle verantwortlich ist. Ein ehemaliger Geheimdienstmitarbeiter sagte dem Magazin, ungarische Behörden würden Pegasus seit 2018 einsetzen. Ein früherer NSO-Mitarbeiter habe die Zusammenarbeit mit Ungarn ebenfalls bestätigt.
Likhita Banerji, Sicherheitsforscherin bei Amnesty, nannte den Fall “ein weiteres empörendes Beispiel dafür, wie die Spionagesoftware der NSO Group als Werkzeug benutzt wird, um Journalisten zum Schweigen zu bringen”.
John Scott-Railton, leitender Sicherheitsforscher beim Citizen Lab, kritisierte: “Dieser Fall ist ein deutliches Warnzeichen dafür, dass der Überwachungsmissbrauch in Ungarn außer Kontrolle geraten ist.”
Pegasus übernimmt ein Gerät vollständig, kann beispielsweise die Kamera und das Mikrofon unbemerkt anschalten – oder sämtliche Daten kopieren. Auch Standortdaten lassen sich abrufen und Passwörter auslesen. Das Spionageprogramm wird von Angreifern aus der Ferne installiert – das ist auch möglich, ohne dass die Opfer aktiv werden müssen oder etwas von den Angriffen mitbekommen. In der vergangenen Woche hatte Apple ein Update auf die iOS-Version 14.8 veröffentlicht. Es schließt eine Sicherheitslücke in dem auf iPhones vorinstallierten Messaging-Dienst iMessage, die der Pegasus-Hersteller zur heimlichen Installation ausgenutzt hatte.
Unabhängige Untersuchung gefordert
Die Amnesty-Sicherheitsforscherin Banerji forderte die ungarischen Behörden auf, eine “unabhängige, transparente und unvoreingenommene Untersuchung aller durch das Pegasus-Projekt aufgedeckten Fälle von unrechtmäßiger Überwachung durchzuführen”. Die an den Recherchen beteiligten Organisationen und Medien hatten eine Liste mit potenziellen Ausspähzielen ausgewertet. Darauf standen auch ungarische Oppositionelle, zwei Staatssekretäre und Anwälte. Nach Angaben von Direkt36 hat die Orbán-Regierung den Einsatz von Pegasus nicht dementiert. Auf Anfragen von Direkt36 zum aktuellen Fall reagierte die Regierung jedoch nicht.
Nach den Enthüllungen hatte die ungarische Opposition eine Anhörung zu den Vorfällen im nationalen Sicherheitsausschuss angesetzt. Die regierende Fidesz-Partei hatte diese jedoch zunächst blockiert. Erst im September fand die Anhörung schließlich statt, berichtet Direkt36. Allerdings seien die Inhalte der Sitzung bis Ende 2050 als geheim eingestuft worden.
Im Juli hatte die Budapester Staatsanwaltschaft Ermittlungen zu Pegasus eingeleitet. Diese dauern weiter an. Seit August ermittelt zudem die ungarische Datenschutzbehörde.
EU-Kommissar verurteilt Angriffe
In der vergangenen Woche hatte der EU-Kommissar für Justiz und Rechtsstaatlichkeit, Didier Reynders, die Angriffe mit Pegasus “aufs Schärfste” verurteilt. Die EU verfolge die Ermittlungen in Ungarn. Die niederländische Abgeordnete im Europaparlament, Sophie In ‘t Veld, kündigte zudem eine Untersuchung des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres zum Einsatz von Pegasus innerhalb der EU an.
Inzwischen fordern mehrere UN-Menschrenrechtsexpertinnen und ‐experten ein Moratorium für den Verkauf und die Weitergabe von Überwachungstechnologien. Sie erklärten, durch Spionagesoftware würden die Rechte auf freie Meinungsäußerung und Privatsphäre verletzt – und die Technik sei “lebensbedrohlich”. Amnesty, Reporter ohne Grenzen und Edward Snowden, der im Jahr 2013 die NSA-Affäre aufgedeckt hatte, fordern ebenfalls ein weltweites Moratorium für den Verkauf, die Weitergabe und die Nutzung von Überwachungstechnologie.
Vor zwei Wochen war bekannt geworden, dass auch das deutsche Bundeskriminalamt eine modifizierte Pegasus-Version einsetzt. Hierzu hat inzwischen die Gesellschaft für Freiheitsrechte Beschwerde beim Bundesdatenschutzbeauftragten eingelegt. Sie erklärte, es sei zweifelhaft, dass diese modifizierte Version deutschem Recht genügt. (js)