Pegasus (Spyware)

Pegasus ist eine Spyware des israelischen Unternehmens NSO Group zum Ausspähen von iOS- und Android-Geräten. Die Software kann unbemerkt auf sämtliche Daten zugreifen und sie über das Internet versenden. Pegasus wurde im August 2016 durch die Sicherheitsfirma Lookout und durch Citizen Lab (Universität Toronto) entdeckt und analysiert. Sie gilt als eine der mächtigsten jemals entwickelten Cyberwaffen und wird in erster Linie an Staaten vermarktet. Laut den Entwicklern wird die Cyberware nur vertrieben, um Regierungen in der Bekämpfung von Terrorismus und Kriminalität zu unterstützen, jedoch wurden auch Journalisten, Menschenrechtler, Anwälte und Politiker mit Hilfe von Pegasus ausgespäht.

In den USA wurde das Unternehmen auf eine Verbotsliste gesetzt. Demnach ist eine Zusammenarbeit mit der US-Regierung, ihren Organisationen und Auftragnehmern untersagt.

Seit 2019 ist ein von WhatsApp angestrengtes Gerichtsverfahren gegen die NSO Group in den USA anhängig.

Entdeckung

Ahmed Mansoor, ein international bekannter Menschenrechtsaktivist aus den Vereinigten Arabischen Emiraten, erhielt am 10. und 11. August 2016 jeweils eine SMS auf seinem iPhone 6 (iOS-Version 9.3.3), die auf neue Hinweise zu Menschenrechtsverletzungen aufmerksam machte und einen Link zu einer Webseite enthielt, die angeblich neue Geheimnisse enthülle. Der einzige Zweck dieser SMS war es, den Benutzer zum Anklicken des Links zu bewegen (Drive-by-Download). Anstatt auf den Link zu klicken, sendete Mansoor die Nachricht an einen befreundeten Sicherheitsspezialisten von Citizen Lab, der den Link in einer geschützten Entwicklungsumgebung ausführte und so den versuchten Hack entdeckte.

Analyse

Während einer ersten Untersuchung stellte Citizen Lab fest, dass der Link zu einer sogenannten „Exploit-Infrastruktur“ der israelischen Firma NSO Group gehört, da die verwendete Domain sms.webadv.co und deren IP-Adresse bereits bei Analysen in anderen Fällen auffällig geworden war. Diese Firma vermarktet unter der Bezeichnung Pegasus ein iOS-Spyware-Produkt ausschließlich an Regierungseinrichtungen, Strafermittler und Geheimdienste als Softwaredienstleistung. Pro Ziel werden nach Angaben von Lookout geschätzt 25.000 USD berechnet.

Weitere gemeinsame Untersuchungen von Citizen Lab und Lookout führten zu einer Kette von sogenannten „Zero-Day“-Exploits – also noch nicht offiziell bekannten Sicherheitslücken in einem Softwareprodukt. Solche unbekannten Lücken sind selten und auf dem Schwarzmarkt entsprechend teuer (bis zu 1 Million Euro pro Lücke). Daher gilt ein professioneller Ursprung dieser Software als sicher. Bemerkenswert ist die Ausnutzung von gleich drei solcher „Zero-Day“-Exploits. Code-Fragmente lassen darauf schließen, dass Pegasus abwärts bis iOS-Version 7 einsetzbar ist.

Die Kette wurde „Trident“ getauft und besteht im Einzelnen aus folgenden Schwachstellen, die in angegebener Reihenfolge durchgeführt werden:

1. CVE-2016-4657: Eine Lücke im WebKit von iOS, die dazu führt, dass eine Webseite beim Öffnen aus der dafür vorgesehenen Umgebung (Sandbox) ausbrechen kann.
2. CVE-2016-4655: Eine Lücke im Betriebssystem-Kernel bis Version 9.3.5, über die der Exploit Speicheradressen ermitteln kann.
3. CVE-2016-4656: Ein Fehler in der Speicherverwaltung des iOS-Kernels bis Version 9.3.5, der einen Jailbreak ermöglicht. Konkret kann der Exploit darüber iOS-Schutzmechanismen außer Kraft setzen und Spionagesoftware mit uneingeschränkten Rechten auf dem Gerät installieren.

Infektionsweg

Am 15. Dezember 2021 veröffentlichte das renommierte Sicherheitsteam von Google Project Zero einen Fachartikel mit einer ausführlichen Analyse des Infektionswegs. Als Basis diente ein durch die Menschenrechtsorganisation Citizen Lab analysierter Infektionsversuch bei einem saudischen Menschenrechtsaktivisten.

1. Der Angriff erfolgt grundsätzlich über iMessage in Form einer Nachricht mit einem Link zum Anklicken
2. Nach dem Klick auf den Link wird eine PDF-Datei geladen, die vorgibt eine GIF-Grafik zu sein
3. In dieser PDF-Datei befindet sich Schadcode, der eine Lücke in einem Grafikformat ausnutzt, das in den 1990er Jahren als Bildkomprimierung in Fotokopierern verwendet wurde
4. Dieser Schadcode besteht aus über 70.000 Zeilen Code, der einen vollständigen Computer simuliert. Somit ist es den Angreifern möglich, aus dem PDF-Viewer auszubrechen und vollständige Systemrechte zu erhalten

Der leitende Ingenieur Samuel Groß bestätigte, dass es sich bei Pegasus um einen Angriffsweg auf höchstem technischen Niveau handele, dessen ausgefeilter Angriffsweg selbst erfahrene Sicherheitsforscher ins Staunen versetze.

Nachbesserung in iOS 9.3.5

Nachdem Apple am 15. August 2016 über die Sicherheitslücken informiert wurde, stellte das Unternehmen am 25. August 2016 mit iOS 9.3.5 ein Update bereit, das die Schwachstellen schloss. Aufgrund des hohen Preises pro Ziel (25.000 US-Dollar) ist nicht davon auszugehen, dass eine breite Masse an Benutzern mit Pegasus infiziert wurde.

Weitere Entwicklung

Ein im Juli 2021 durch Amnesty International veröffentlichter Report dokumentiert Spuren von erfolgreichen Pegasus-Angriffen auf iOS- und Android-Smartphones von 2014 bis Juli 2021. Betroffen waren Betriebssystemversionen bis iOS 14.6. Seit Mai 2018 wurden auch erfolgreiche „zero click“-Angriffe dokumentiert, bei denen keine Interaktion der Ausgespähten erforderlich ist. Pegasus benutzte dabei eine Vulnerabilität des JBIG2-Decoders auf iOS-Geräten. Dabei gelang es mit einer bitgenau vorbereiteten iMessage, innerhalb des Dekompressionslaufs im Speicher eine Art virtuellen Prozessor zu konstruieren, der dann als Bootloader für die Malware fungierte. So konnten iPhones völlig ohne Zutun („zero-click“) des Benutzers infiltriert werden. Google Project Zero beschrieb diesen unter der Bezeichnung „FORCEDENTRY“ bekanntgewordenen Hack als „einen der technisch ausgefeiltesten Exploits“, den sie je gesehen hätten. Er wurde im September 2021 mit iOS 14.8 versperrt.

Citizen Lab berichtete im April 2023, dass auch 2022 Angriffe über die iOS-Versionen 15.1.1, 15.6 und 16.0.3 dokumentiert werden konnten. Pegasus nutzte dabei in einem Fall die „Wo ist“-Funktion eines Gerätes aus („LATENTIMAGE“) und in weiteren Fällen diese in Kombination mit einer iMessage („FINDMYPWN“). Eine weitere Angriffskette konnte über HomeKit und iMessage („PWNYOURHOME“) nachgewiesen werden, welche mit iOS 16.3.1 im Februar 2023 geschlossen wurde.

Funktionen

Nach dem Anklicken des Links werden in oben genannter Reihenfolge die Schwachstellen ausgenutzt und ein sogenannter „versteckter Jailbreak“ durchgeführt. Für den Anwender öffnet sich kurz Safari und schließt sich dann selbstständig wieder, ohne dass irgendetwas auf die Infektion aufmerksam macht.

Die Spyware Pegasus prüft bei der Installation, ob bereits ein Jailbreak vorliegt, deaktiviert die Auto-Update-Funktion, um Sicherheitsupdates zu vermeiden, und nistet sich mit Root-Rechten in das Betriebssystem ein. Der Batteriestatus wird überwacht und die Art der Netzwerkverbindung, um ausspionierte Daten nur via WLAN an einen Command-&-Control-Server (C&C) verschlüsselt zu übermitteln (um verdächtigen Datenverbrauch im Mobilfunknetz zu vermeiden). Ebenfalls ist ein ausgefeilter Selbstzerstörungsmechanismus integriert, der Pegasus vollständig deinstalliert, wenn verdächtige Aktivitäten (Tracking) festgestellt werden.

Im Folgenden konnten die Forscher folgende Funktionen aufgrund der vorhandenen Bibliotheken ermitteln:

• Gesprächsaufzeichnung
• Kopieren des kompletten Adressbuches
• Abhören von Messengerkommunikation (SMS, iMessage, GMail, Viber, Facebook Messenger, Skype, Telegram, WhatsApp, Signal)
• Standortermittlung
• Batteriestatus
• Zugriff auf sämtliche Dokumente und Fotos
• Browserverlauf
• Gespeicherte Passwörter
• Gespeicherte WLAN-Passwörter und des Apple-Schlüsselbundes

Das Programm eröffnet damit alle Funktionen, die auch für staatliche Online-Durchsuchungen oder Quellen-Telekommunikationsüberwachung angewandt werden.

Die Financial Times berichtete im Juli 2019, Pegasus könne nicht nur auf die Geräte, sondern unbemerkt auch auf Daten in einer damit verbundenen Cloud zugreifen, indem es den Authentifizierungsschlüssel kopiere. Der Zugriff sei somit auch nach Entfernen des Programms vom Smartphone noch möglich.

Nutzung

Im Zuge eines Untersuchungsausschusses im Europaparlament im Juni 2022 gab die Herstellerfirma an, insgesamt „etwa 60 Kunden in 45 Ländern“ und davon 14 EU-Länder zu haben oder gehabt zu haben. Dabei werden „etwa 12.000 bis 13.000 Ziele“ pro Jahr angegriffen.

Ausspähung von Journalisten, Menschenrechtlern, Politikern, Anwälten und anderen

Im Jahr 2020 wurden Amnesty International und Forbidden Stories (letztere ist eine gemeinnützige Medienorganisation mit Sitz in Paris) eine Liste mit über 50.000 Telefonnummern zugespielt. Die beiden Organisationen nahmen an, dass es sich bei den Nummern um Ziele handelt, die von Kunden der israelischen Cyberwaffenfirma NSO Group ausgewählt worden waren. Diese zwei Organisationen teilten ihren Verdacht sowie alle erhaltenen Informationen mit 17 Medien: The Guardian (aus Großbritannien), Le Monde und Radio France (aus Frankreich), Die Zeit, Süddeutsche Zeitung, WDR und NDR (aus Deutschland), The Washington Post, CNN und Frontline (aus den USA), Haaretz (aus Israel), Aristegui Noticias und Proceso (aus Mexiko), Knack und Le Soir (aus Belgien), The Wire (Indien), Daraj (Syrien),[9] Direkt36 (Ungarn) und OCCRP (International). Daraufhin schlossen sich diese Medien zu einem Recherchennetzwerk unter dem Namen Project Pegasus zusammen und werteten die erhaltenen Informationen gemeinsam aus.

Bei ihren Recherchen im Skandal um die Pegasus-Software stellten sie fest, dass etwa 15.000 der 50.000 der Telefonnummern aus Mexiko stammen. Sie stellten außerdem fest, dass sich unter den Nummern die von hunderten Geschäftsleuten und Führungskräften aus der Wirtschaft, religiösen Persönlichkeiten, Journalisten und andere Medienschaffenden, Menschenrechtsaktivisten, NGO-Mitarbeitern, Gewerkschaftsfunktionären, Militärs, sonstigen Beamten und Politikern befinden. Im Juli 2021 gaben die an der Recherche beteiligten Medien schließlich bekannt, dass sich der Verdacht bestätigt hat. Das Recherchenetzwerk fand heraus, dass zu den Staaten, die Pegasus zur Überwachung verwendeten, Mexiko, Indien, Marokko, Indonesien, Saudi-Arabien, die Vereinigten Arabischen Emirate, Kasachstan, Aserbaidschan, Togo, Ruanda sowie das EU-Mitgliedsland Ungarn gehören.

Unter den überwachten Telefonadressen befinden sich mehrere Nummern von Politikern in den höchsten Ämtern: Emmanuel Macron (Präsident Frankreichs), Barham Salih (Präsident des Irak), Cyril Ramaphosa (Präsident Südafrikas), König Mohammed VI. von Marokko, Ahmed Obeid bin Daghr (Premierminister des Jemen), Saad Hariri (Premierminister des Libanon), Ruhakana Rugunda (Premierminister von Uganda), Edouard Philippe (Premierminister von Frankreich), Noureddine Bedoui (Premierminister von Algerien), Charles Michel (Präsident des Europäischen Rates), Imran Khan (Premierminister von Pakistan), Mustafa Madbuli (Ministerpräsident Ägyptens), Baqytschan Saghyntajew (Premierminister von Kasachstan), Romano Prodi (wurde ausspioniert, während er als UN-Sondergesandter arbeitete).

Bahrain

Rechercheergebnisse aus 2021 zeigen, dass Bahrain Pegasus seit 2017 für die Überwachung von Aktivisten, Oppositionellen und Dissidenten verwendet. So wurden zwischen Juni 2020 und Februar 2021, die Geräte von neun Personen mit Pegasus gehackt. Darunter waren Mitglieder der oppositionellen Gruppen al-Wifaq und Wa’ad, Personen des Bahrain Center for Human Rights und zwei Dissidenten im Exil. Eine weitere Veröffentlichung von Januar 2022 zeigt, dass die Menschenrechtsanwältin Ebtisam al-Saegh zwischen August und November 2019 insgesamt achtmal gehackt wurde. In dieser Zeit wurde al-Saegh unter anderem von der Polizei in Muharraq vorgeladen, verhört und bedroht, falls sie ihre Arbeit nicht einstellen würde. Im Februar 2022 wurden drei weitere Personen bekannt, deren Geräte im Juni und September 2021 mit Pegasus infiziert wurden. Ziele waren der Anwalt Mohammed Al-Tajer, die Psychotherapeutin Sharifa Swar und ein namentlich nicht genannter Online-Journalist.

Deutschland

Ende Oktober 2017 empfing das Bundeskriminalamt (BKA) Delegierte der NSO Group. Zuvor wurde im August 2017 ein Gesetz erlassen, das es dem BKA erlaubte, digitale Endgeräte heimlich zu infiltrieren. Jedoch kam es zu keiner Einigung, weil die Juristen des BKA den Gebrauch von Pegasus als verfassungswidrig einstuften. Es wurde dabei auf das Bundesverfassungsgericht, Urteil des Ersten Senats vom 27. Februar 2008 (1 BvR 370/07, Rn. 1–333), hingewiesen. Darin bekräftigt das Gericht, dass jeder Mensch ein „Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme“ besitzt. Das Hacken von Geräten ist somit nur in Ausnahmefällen erlaubt, nämlich wenn eine konkrete Gefahr besteht. Selbst beim Infiltrieren soll der „Kernbereich privater Lebensgestaltung“ geschützt werden.

Laut Informationen von Zeit Online war die NSO Group bestrebt, Deutschland als Kunden zu gewinnen, und ging auch im Preis deutlich herunter. Dies geschah, so Einschätzungen der Zeitung, um das Image des Unternehmens zu bessern, da es bis dahin seine Dienste nur an „dubiose“ Länder verkauft hatte. Jedoch kam es zu keinem Vertrag, weil Pegasus fast alle Daten der Gehackten ausspäht, was gegen die deutsche Verfassung verstößt – und die NSO weigerte sich, eine abgeschwächtere Form ihres Produkts zu verkaufen, welche die Privatsphäre der Betroffenen achtet.

Im Sommer 2019 sprachen Delegierte mit dem bayerischen Landeskriminalamt und am 24. September 2019 mit dem bayerischen Innenminister Joachim Herrmann (CSU). Jedoch soll die bayerische Polizei Pegasus nicht gekauft haben. Die Zeit hatte bei allen Ländern und dem Bund nachgefragt, ob Produkte der NSO eingesetzt würden. Alle bestritten den Einsatz von Pegasus bei der Polizei, verweigerten jedoch eine Auskunft über die Verfassungsschutzbehörden.

Nach Recherchen von Süddeutsche Zeitung, NDR, WDR und Die Zeit kaufte das Bundeskriminalamt (BKA) 2020 schließlich eine Variante der Pegasus-Spionagesoftware. Am Dienstag, den 7. September 2021 wurde der Innenausschuss des Deutschen Bundestages darüber unterrichtet. Das BKA bestätigte dem Innenausschuss des Bundestags lediglich, dass die Software schon im Einsatz ist. Konstantin von Notz, stellvertretender Grünen-Fraktionsvorsitzender, nannte Pegasus einen „Albtraum für den Rechtsstaat“, die FDP forderte die „Überwachung durch Staatstrojaner“ zu stoppen.

Anfang Oktober 2021 wurde schließlich öffentlich, dass auch der deutsche Auslandsgeheimdienst Bundesnachrichtendienst (BND), in einem als „geheim“ eingestuften Vorgang, eine angepasste Version der umstrittenen Software kaufte. Wie genau Pegasus überarbeitet wurde, war bis Oktober 2021 unklar. Dabei hat die Bundesregierung dem Parlamentarischen Kontrollgremium verschwiegen, dass auch der BND die Software längst einsetzt. Wie und wo genau der BND Pegasus im Ausland einsetzt, wurde nicht bekannt.

BND und BKA beteuerten, sie könnten ausschließen, dass Israel Einblick in die Überwachungsoperationen nehmen kann, aber nach Aussagen von ehemaligen NSO-Mitarbeitern fließen die erbeuteten Daten hingegen auch über Server von NSO.

El Salvador

Gemeinsame Ermittlungen von Access Now und Citizen Lab deckten Anfang 2022 den Einsatz von Pegasus gegen Journalisten und Personen der Zivilgesellschaft in El Salvador auf. Zwischen Juli 2020 und November 2021 seien 37 Geräte infiziert worden, darunter Geräte der Internetzeitung El Faro und der landesweiten Mediengruppe Gato Encerrado. Im November 2021 wurde zudem bekannt, dass Apple an 35 Journalisten eine offizielle Mitteilung schickte, in der vor einer möglichen Kompromittierung mit der Pegasus-Spyware gewarnt wurde. Nach Einschätzung von Amnesty International hat sich seit Amtsübernahme von Nayib Bukele im Jahr 2019, die Menschenrechtslage des zentralamerikanischen Landes rapide verschlechtert.

Finnland

Anfang Januar 2022 gab der finnische Minister für Informationssicherheit bekannt, dass Pegasus auf verschiedenen Geräten von Diplomaten seines Landes nachgewiesen werden konnte.

Frankreich

Der Gründer der französischen Enthüllungsplattform Mediapart soll überwacht worden sein.

Indien

Aus einer geleakten Pegasus-Liste mit Telefonnummern, tauchten mehr als 1000 Telefonnummern aus Indien auf, von denen etwa 300 identifiziert werden konnten. Unter den Telefonnummern befinden sich zahlreiche Politiker, Oppositionsführer, Wissenschaftler und Journalisten, darunter auch Rahul Gandhi und Stan Swamy. Es ist jedoch nicht bekannt, wie viele tatsächlich gehackt wurden und damit überwacht werden konnten. Forensiker untersuchten 22 Smartphones, deren Telefonnummern auf der Liste standen, und konnten Pegasus auf zehn Geräten nachweisen, von denen sieben erfolgreich gehackt wurden. Acht der zwölf nicht eindeutigen Analysen betrafen Android-Smartphones, die jedoch die notwendige Methode für die Aufdeckung einer Infektion mit Pegasus nicht aufzeichnen.

Israel

Im Januar 2022 wurde publik, dass Pegasus in Israel auch zur Ausspähung von politischen Aktivisten eingesetzt wurde.

Marokko

Es gibt Hinweise, dass Marokko die Pegasussoftware sehr weitreichend für Spionage nutzt. Die geleakte Liste enthielt etwa 10.000 Einträge, welche sich auf Marokko beziehen. Darunter fanden sich Nummern von der marokkanischen Königsfamilie, vom König (Mohammed VI.) selbst und von engen Kontakten des Königs. Dies löste Spekulationen aus, dass es Palastintrigen geben würde. Des Weiteren stehen auch einige französische Telefonnummern auf der Liste, welche etwa 2019 aufgenommen wurden. Unter diesen Nummern sind zahlreiche französische Politiker, konkret die Nummern des Präsidenten Emmanuel Macron, von Édouard Philippe und von François de Rugy. Weltweit sind noch weitere Politiker betroffen, welche Marokko ausspioniert haben könnte, darunter die beiden algerischen Politiker Noureddine Bedoui und Mostafa Madbouly, weiter Charles Michel (belgischer Premierminister 2014–2019), Barham Salih (irakischer Präsident 2018–2022), Bakitzhan Sagintayev (kasachischer Ministerpräsident), Saad Hariri (Premierminister des Libanon), Imran Khan (pakistanischer Premierminister u. a. 2013–2018), Cyril Ramaphosa, (südafrikanischer Präsident seit 2018), Ruhakana Rugunda (ugandischer Premierminister 2014–2021) und Ahmed Obaid Bin-Dagher (Premierminister des Jemen).

Mexiko

In Mexiko wurde Alejandro Solalinde überwacht. Außerdem wurde das Telefon von Cecilio Pineda Birto, einem mexikanischen Journalisten, der im März 2017 bei einem Attentat auf ihn ums Leben kam, überwacht. Des Weiteren wurden mindestens 50 Personen um den mexikanischen Präsidenten, Andrés Manuel López Obrador, ausgespäht, darunter seine Frau, seine Kinder und seine Ärzte. Nach Recherche des internationalen Recherchenetzwerk Forbidden Stories sollen zwischen 2012 und 2018 in Mexiko mutmaßlich bis zu 15.000 Personen überwacht worden sein.

Niederlande

Wie im Juni 2022 durch eine anonyme Quelle bekannt wurde, verwendete der niederländische Inlands- und Auslandsgeheimdienst AVID Pegasus für die Ermittlungen gegen den mutmaßlichen Bandenführer Ridouan Taghi, welcher 2019 von den Behörden festgenommen wurde.

Polen

Im Jahr 2017 kaufte Polens Justizministerium die Spionagesoftware für rund sieben Millionen Euro. Die dafür aufgewendeten Gelder waren eigentlich für die Resozialisierung von Straftätern sowie zur Opferhilfe gedacht und wurden daher rechtswidrig verwendet. Mit Pegasus wurden zahlreiche Oppositionelle überwacht. Zu den ausgespähten Regierungskritikern zählten der frühere Vizepremier und Rechtsanwalt Roman Giertych, die Staatsanwältin Ewa Wrzosek sowie der Senator Krzysztof Brejza, der vor den Parlamentswahlen 2019 Wahlkampfleiter der größten Oppositionspartei war, der proeuropäischen Bürgerplattform (PO). Gegen Roman Giertych hatte die von der Regierungspartei PiS kontrollierte Staatsanwaltschaft ein Verfahren wegen angeblicher Veruntreuung bei der Firma Polnord gestartet. Ewa Wrzosek wurde dadurch bekannt, dass sie sich öffentlich gegen die höchst umstrittene und auch von der EU-Kommission kritisierte polnische Justizreform geäußert hat; 2020 eröffnete sie ein Ermittlungsverfahren gegen Regierungsvertreter, in dem sie diesen eine Gefährdung der polnischen Bevölkerung wegen des Ansetzens der Präsidentschaftswahlen während der COVID-19-Pandemie vorwarf (dafür wurde sie disziplinarisch belangt). Im Falle von Senator Brejza wurden manipulierte Chats veröffentlicht und vom regierungstreuen öffentlich-rechtlichen Rundfunk verbreitet. Brejza beklagte, dies habe ihm erheblich im Wahlkampf geschadet.

Im Januar 2024 beschloss der neugewählte Sejm die Einsatzung eines Untersuchungsausschusses. Vertreter der neuen Regierungsmehrheit im Parlament beschuldigten den früheren Innenminister Mariusz Kamiński (PiS), der Drahtzieher der Bespitzelung von politischen Gegnern gewesen zu sein.

Saudi-Arabien

Im Herbst 2018 wurde der saudische Journalist Jamal Khashoggi in der Türkei von staatlichen Akteuren Saudi-Arabiens ermordet. Recherchen des Pegasus Project zeigten, dass viele Menschen aus seinem Umfeld mutmaßlich gezielt mit diesem Instrument ausgespäht wurden. Die ehemalige UN-Sonderberichterstatterin für außergerichtliche Hinrichtungen, Agnès Callamard, äußerte bereits früher den Verdacht, dass Mobiltelefone von Personen in Khashoggis Umfeld mit Pegasus infiziert worden seien. NSO dementierte wiederholt und Firmenchef Shalev Hulio erklärte dem US-Sender CBS, er könne „sehr klar“ sagen, dass man „nichts mit diesem schrecklichen Mord zu tun“ habe. Das Pegasus-Projekt zeigte jedoch, dass Familienangehörige, Freunde und Kollegen Kashoggis vor und nach der Tat Ziel der Spionage mittels Pegasus waren. Ihre Nummern sind auf einer Liste von Telefondaten, die NSO-Kunden als mögliche Ausspähziele eingegeben haben, verzeichnet. Auch das Handy des türkischen Chefermittlers in dem Mordfall, des Generalstaatsanwalts Irfan Fidan, ist angegeben. Khashoggi selbst taucht in der Liste allerdings nicht auf.

Eine Analyse des Security Lab von Amnesty International ergab, dass das Mobiltelefon der Verlobten von Khashoggi, Hatice Cengiz, vier Tage nach der Tat am 6. Oktober 2018 mit Pegasus infiziert wurde. Cengiz hatte Khashoggi zum saudischen Konsulat begleitet und stundenlang vor der Tür auf seine Rückkehr gewartet. Auch betroffen war der türkische Politiker Yasin Aktay, ein Berater des türkischen Staatspräsidenten Recep Tayyip Erdoğan und Freund Khashoggis. Cengiz rief ihn um 16:41 Uhr am Tattag an, weil ihr Verlobter nicht zurückkehrte. Die Liste enthält auch drei Telefonnummern von Wadah Khanfar, dem ehemaligen Chef des Fernsehsenders Al Jazeera und Freund Khashoggis. Khanfar setzt sich seit der Tat für die Aufklärung des Verbrechens ein.

Die Analyse der NSO-Daten durch Amnesty International legt nahe, dass die jeweilige Überwachung einiger Familienmitglieder und Freunde von einem engen Verbündeten Saudi-Arabiens, nämlich den Vereinigten Arabischen Emiraten bei NSO beauftragt wurde. Die Daten legen zudem nahe, dass es nach dem Mord eine Unterbrechung der Überwachung von Khashoggis Umfeld gab. Im Frühjahr 2019 setzte sie dann erneut ein. Die Wochenzeitung Die Zeit verweist auf zwei Quellen aus dem NSO-Umfeld, laut denen die Geschäftsbeziehung zu Saudi-Arabien 2018 gestoppt worden war, aber wenige Monate später aufgrund einer Bitte der israelischen Regierung unter Benjamin Netanjahu Pegasus für die Saudis wieder freigeschaltet wurde.

Zu den Abgehörten in Saudi-Arabien zählt auch die Frauenrechtlerin Loujain al-Hathloul.

Spanien

In Spanien gerieten Politiker der Unabhängigkeitsbewegung von Katalonien, darunter der Präsident des Parlaments von Katalonien Roger Torrent sowie Anna Gabriel i Sabaté (Ministerpräsidentin der Provinz Barcelona) und Ernest Maragall i Mira ins Visier der Spionage. In den von Citizen Lab im April 2022 veröffentlichten Analysen konnten Pegasus-Infektionen auf 51 Geräten bestätigt werden. Bei 12 weiteren konnte ein Versuch nachgewiesen, aber nicht eindeutig bestätigt werden. Die Organisation geht jedoch von einer hohen Dunkelziffer aus, da in Spanien der Marktanteil von Android-Geräten bei etwa 80 % liegt (Stand 2021) und die forensischen Werkzeuge, mit denen Citizen Lab arbeitet, für die Erkennung von Pegasus unter iOS entwickelt wurden.

Thailand

In Thailand wurden mit Pegasus mindestens 30 Personen aus Umfeld der pro-demokratischen- und Menschenrechts-Bewegung ausspioniert. Die Analysen wurden im Juli 2022 von Citizen Lab und den thailändischen NGOs iLaw und DigitalReach veröffentlicht, und zeigen, dass die Hacks zwischen Oktober 2020 und November 2021 stattgefunden haben. Unter den Opfern sind bekannte Personen wie der Pro-Demokratie-Aktivist Jatupat Boonpattararaksa, die Schauspielerin Inthira Charoenpura, der Anwalt für Menschenrechte Arnon Nampa und der Rapper Dechathorn „Hockhacker“ Bamrungmuang.

Ungarn

Ungarn unter Ministerpräsident Viktor Orbán soll Pegasus gegen investigative Medien genutzt haben, wie die geleakten Daten zeigten. Ungarns Regierung wird verdächtigt, Telefone von investigativen Journalisten zu hacken und Besitzer ins Visier zu nehmen. Ziele waren Journalisten und andere Personen mit oppositionellen Einstellungen. Untersuchungen des Mobiltelefons des Journalisten Szabolcs Panyi ergaben, dass darauf im Jahr 2019 für etwa sechs Monate eine Spähsoftware aktiv war. Auch András Szabó, wie Panyi ein Redakteur des ungarischen investigativen Rechercheteams Direkt36, wurde von Pegasus angegriffen. Vermutlich stand der Angriff in Zusammenhang mit einer Recherche zu einer russischen Investmentbank. Zudem wurden auch der Chefredakteur einer Lokalzeitung, David Dercsenyi, sowie Zoltán Varga, ein Geschäftsmann, der oppositionelle Medien fördert, überwacht.

Die Opfer berichten teilweise, dass Regierungsbeamte ihnen gesagt hätten, dass sie überwacht werden. Die ungarische Regierung hat die Aktivität zögernd dementiert.

Vereinigte Arabische Emirate (VAE)

In den VAE zählen unter anderem Haya bint al-Hussein und Latifa bint Muhammad Al Maktum sowie deren gesamtes Umfeld, darunter auch John Gosden, zu den Ausspionierten. Auch die Telefone der Menschenrechtsaktivisten Alaa al-Siddiq und Ahmed Mansoor und die Telefone von asiatischen und europäischen Menschenrechtsaktivisten sowie von 3000 Katarern sind auf Betreiben der VAE überwacht worden.

Vereinigtes Königreich

Im April 2022 bestätigte Citizen Lab, dass Geräte von Regierungsbeamten des Vereinigten Königreichs 2020 und 2021 Ziele der Pegasus-Spyware wurden. Betroffen waren Mitarbeiter im Amtssitz des Premierministers und im Außenministerium. Die Infektionen im Außenministerium werden in Verbindung mit Betreibern von Pegasus in den VAE, Indien, Zypern und Jordanien gebracht, die im Amtssitz des Premierministers werden auf die VAE zurückgeführt. In den Fällen des Außenministerium wird vermutet, dass die betroffenen Beamten ausländische SIM-Karten in ihren Telefonen im Einsatz hatten, da Pegasus nach NSO-Angaben unter anderem nicht mit der britischen Ländervorwahl +44 funktioniert.

Außerdem soll die heutige Chefredakteurin der Financial Times, Roula Khalaf, überwacht worden sein.

Vereinigte Staaten

In den Vereinigten Staaten offerierte Westbridge Technologies, eine US-Zweigniederlassung von NSO, eine mit Pegasus vergleichbare Spyware bereits im Jahr 2014 der Drogenbekämpfungsbehörde DEA. In einer E-Mail vom August 2014 sah die DEA von dem Erwerb aufgrund der hohen Kosten jedoch ab.

Zwischen 2015 und 2017 stand Westbridge in Kontakt mit mehreren kommunalen Polizeibehörden. Recherchen des Vice-Magazins belegen, dass Westbridge eine als „Phantom“ bezeichnete Spyware dem New York City Police Department (NYPD), Los Angeles Police Department (LAPD) und dem San Diego Police Department (SDPD) anbot. Nach Angaben eines ehemaligen NSO-Mitarbeiters handelt es sich bei Phantom um eine Version von Pegasus, welche für die USA angepasst wurde. Während das NYPD und LAPD keine Stellungnahmen abgaben, geht aus den SDPD-Dokumenten hervor, dass die Behörde den Kauf aufgrund fehlender Mittel für eine Projektumsetzung ablehnte.

Weitere Recherchen zeigen, dass 2016 auch der US Secret Service (USSS) für eine Produktdemonstration angeschrieben wurde. 2018 gab es eine erneute Kontaktaufnahme mit dem USSS, in dem die Spyware mit einem „Manufacturing Readiness Level 10“ (MRL 10) beworben wurde und der Besitzer nicht in der Lage sei, zu erkennen, dass sein Gerät angreifbar ist. Der USSS nahm zu den Recherchen keine Stellung.

Wie die New York Times Anfang 2022 auf Basis des Freedom of Information Act berichtete, kaufte das FBI 2018 „ein NSO-Tool“ für einen zweijährigen Testbetrieb und zahlte dafür 9 Mio. US$. Die Behörde habe im September und Oktober 2020 sowohl Pegasus als auch Phantom getestet, wobei Pegasus nicht in der Lage ist, Geräte mit US-amerikanischer Telefonnummer auszuspähen. In dieser Zeit wurden auch detaillierte Dokumente über die „potenziellen Vorteile und Risiken der Verwendung“ als auch „Vorschläge für spezifische Schritte des FBI oder Justizministeriums vor der Entscheidung“ für den Einsatz des NSO-Tools erstellt. Die stark geschwärzten Dokumente belegen, dass das FBI von Ende 2020 bis Sommer 2021 auf den Einsatz der Spyware für seine Ermittlungen drängte. So gehen aus einem 25-seitigen Memorandum vom 29. März 2021 Empfehlungen hervor, unter welchen Bedingungen diese eingesetzt werden sollte. Letztlich stellte das FBI am 22. Juli 2021 „alle Bemühungen hinsichtlich der möglichen Verwendung des NSO-Tools“ ein.

Reaktionen

NSO nahm zu den Vorwürfen der Journalisten Stellung, indem es beteuerte, die Menschenrechtsbilanz seiner Kunden rigoros zu überprüfen, bevor es ihnen erlaube, seine Spionagetools zu verwenden, und wies „falsche Behauptungen“ über die Aktivitäten seiner Kunden zurück, teilte aber mit, dass es „weiterhin alle glaubwürdigen Behauptungen über Missbrauch untersuchen und entsprechende Maßnahmen ergreifen“ werde. Amazon reagierte wenige Tage nach den Veröffentlichungen mit einer Verbannung der NSO Group Technologies von ihrer AWS-Cloud. Als Grund wurde angegeben, dass die Nutzungsbedingungen von AWS Hacking nicht erlauben.

Der Deutsche Journalisten-Verband (DJV) forderte Aufklärung. Die deutschen Sicherheitsbehörden und Geheimdienste sollten aufklären, ob auch deutsche Journalisten mit Pegasus ausgespäht wurden.

Edward Snowden forderte nach den Pegasus-Enthüllungen ein Handelsverbot für Spyware: „Wenn Sie nichts tun, um den Verkauf dieser Technologie zu stoppen, werden es nicht nur 50.000 Ziele sein. Es werden 50 Millionen Ziele sein, und es wird viel schneller passieren, als irgendjemand von uns erwartet.“ Im Vergleich zur NSA-Affäre 2013 analysierte er: „Es ist schockierend. (…) Es geht um Journalisten, es geht um Regierungsvertreter, es geht um Vertreter der Opposition, es geht um Menschenrechtsaktivisten. (…) Ich habe natürlich seit Langem den Verdacht, dass Missbrauch mit Überwachungsmöglichkeiten getrieben wird. Das haben wir 2013 gesehen. Aber damals waren es ausschließlich Regierungen, die größtenteils intern arbeiteten und Druck auf kommerzielle Anbieter ausübten. Das Ganze hatte noch eine Fassade von Legitimität oder Rechtmäßigkeit, Verfahren und Abläufen.“

Amazon gab an, dass sie bereits einige ihrer Geschäftsverbindungen mit NSO eingestellt hätten. Währenddessen fiel der Aktienkurs von Apple, da Kunden sich um die Sicherheit ihrer Daten sorgten. Apple verklagte im November 2021 den Hersteller von Pegasus, um zu erreichen, dass der NSO Group die Nutzung jeglicher Geräte und Software von Apple verboten wird.

Im November 2021 erklärten die USA, sie hätten „begründeten Anlass zu der Annahme, dass [NSO] an Aktivitäten beteiligt war, die der Außenpolitik und den nationalen Sicherheitsinteressen der USA zuwiderliefen“. Die Entscheidung gegen das Unternehmen spiegele die tiefe Besorgnis über die Auswirkungen der Spionagesoftware auf die nationalen Sicherheitsinteressen der USA wider. Die NSO Group wurde daher von der Biden-Administration auf eine schwarze Liste der USA gesetzt, da der israelische Spyware-Hersteller „gegen die Außenpolitik und die nationalen Sicherheitsinteressen der USA“ gehandelt habe.

Apple bietet seit Erscheinen von iOS- und iPadOS-Version 16 im September 2022, einen sogenannten „Blockierungsmodus“ (engl. Lockdown Mode) an, welcher in den Datenschutz- und Sicherheitseinstellungen aktiviert werden kann. Der Modus blockiert unter anderem bestimmte Dateiformate über Nachrichten-Apps, deaktiviert Link- und Dateivorschauen, verhindert „komplexe Webtechnologien“ und erlaubt keine Installation von Konfigurationsprofilen über Mobile-Device-Management-Systeme. Durch diesen Modus sollen Kompromittierungsversuche wie etwa durch Pegasus verhindert oder erschwert werden. Allerdings kann die Verwendung zu Komforteinschränkungen in der Bedienung führen, daher empfiehlt Apple diesen Modus speziell für Personen, die aufgrund ihrer Aktivitäten in das „Visier einiger besonders ausgefeilter digitaler Bedrohungen geraten“ könnten.

Fachliteratur

• Bill Marczak, John Scott-Railton, Sarah McKune, Bahr Abdul Razzak und Ron Deibert: Hide and Seek: Tracking NSO Group’s Pegasus Spyware to Operations in 45 Countries. In: Citizen Lab (Hrsg.): Report No. Band 113. University of Toronto, September 2018, doi:10.13140/RG.2.2.33325.95204 (englisch). 
• Bill Marczak, Siena Anstis, Masashi Crete-Nishihata, John Scott-Railton, and Ron Deibert. “Stopping the Press: New York Times Journalist Targeted by Saudi-linked Pegasus Spyware Operator”, Citizen Lab Research Report No. 124, University of Toronto, Januar 2020.
• John Scott-Railton, Bill Marczak, Siena Anstis, Bahr Abdul Razzak, Masashi Crete-Nishihata, and Ron Deibert. Reckless VI: Mexican Journalists Investigating Cartels Targeted with NSO Spyware Following Assassination of Colleague”, Citizen Lab Research Report No. 116, University of Toronto, November 2018.
• Bahr Abdulrazzak, Ron Deibert, John Scott-Railton, Bill Marczak und Adam Senft: The Kingdom Came to Canada: How Saudi-Linked Digital Espionage Reached Canadian Soil. 1. Oktober 2018, doi:10.13140/RG.2.2.21273.06249 (englisch). 
• Bundesamt für Sicherheit in der Informationstechnik: Smartphones weltweit von Pegasus überwacht, CSW-Nr. 2021-234348-1032, Version 1.0, 27. Juli 2021

Weblinks

• Ronen Bergman, Patrick Kingsley: Israeli Spyware Maker Is in Spotlight Amid Reports of Wide Abuse The New York Times, 18. Juli 2021
• Das Pegasus-Projekt bei der Süddeutschen Zeitung
• Themenseite Pegasus-Projekt auf tagesschau.de
• Schwerpunkt Pegasus-Projekt bei Zeit online

Technische Hintergründe

• Alexander Königstein: iPhones selbst auf Pegasus und andere Spyware prüfen. In: Heise Security. 22. Juli 2021, abgerufen am 22. Juli 2021. 
• Amnesty International Security Lab: mvt-project/mvt: MVT is a forensic tool to look for signs of infection in smartphone devices. In: GitHub. 29. Juli 2021, abgerufen am 29. Juli 2021 (englisch). 
• How to Defend Yourself Against the Powerful New NSO Spyware Attacks Discovered Around the World. In: The Intercept. 27. Juli 2021, abgerufen am 5. September 2021 (englisch). 
• Chaos Computer Club (33c3): Pegasus internals – Technical Teardown of the Pegasus malware and Trident exploit chain. auf YouTube.