Polnische Ermittler stellten fest, dass die Zentrale Antikorruptionsbehörde (CBA) das Pegasus-Spionagesystem, das sie betrieb, nicht vollständig kontrollierte. Die zentrale Infrastruktur blieb unter der Kontrolle des Herstellers NSO Group, während die Überwachungsdaten über Server im Ausland und ausländische IP-Adressen außerhalb Polens übertragen wurden. Das geht laut Ergebnissen der Staatsanwaltschaft hervor, laut Bericht von The Record.
Die Staatsanwaltschaft erklärte, NSO habe „technischen Zugriff“ auf Informationen gehabt, die bei operativen Überwachungsmaßnahmen erhoben wurden. Dieser Befund belegt die Fähigkeit des Unternehmens, auf das System zuzugreifen, nicht aber, dass es Material aus bestimmten Einsätzen eingesehen oder erhalten hat. Die Ermittler erklärten, sie könnten nicht feststellen, ob NSO auf Daten aus einer einzelnen operativen Überprüfung zugegriffen hat.
Die CBA hatte keine Kontrolle über Infrastruktur und Administratorkonten
Eine Analyse der polnischen Inlandsgeheimdienstbehörde ABW ergab, dass die CBA ihren Pegasus-Einsatz nicht vollständig kontrollierte.
Das Server-Modul, mit dem mobile Geräte infiziert wurden, blieb ausschließlich unter der Kontrolle des Herstellers. Der CBA fehlten außerdem die Passwörter für viele Konten mit Administratorrechten. Dadurch war die Behörde nur eingeschränkt in der Lage zu überprüfen, wie einzelne Module die Übertragung und Speicherung von Daten handhabten.
NSO spielte Updates ein und leistete technische Unterstützung über Fernverbindungen. Laut Staatsanwaltschaft lief die operative Überwachung während dieser Arbeiten weiter, während der Hersteller vollen Systemzugriff hatte, einschließlich der Möglichkeit, Software und Konfiguration zu verändern.
Die erhobenen Informationen wurden über ein anonymisierendes Netzwerk, das auf ausländische Server setzte, aus Polen herausgeleitet. Die Ermittler stellten außerdem Übertragungen über ausländische IP-Adressen fest. Die berichteten Ergebnisse der Staatsanwaltschaft belegen jedoch nicht, dass diese Wege bestimmtes Überwachungsmaterial an NSO oder an israelische Behörden weitergeleitet haben.
Geräte von mehr als 500 Personen waren im Visier
Im Februar 2024 gab die Regierung von Premierminister Donald Tusk bekannt, die Ermittler hätten bestätigt, dass Pegasus gegen eine „sehr lange“ Liste von Zielen eingesetzt wurde. Tusk sagte, seine Frau und seine Tochter seien ausspioniert worden. Außerdem seien Geräte von mehr als 500 weiteren Personen ins Visier genommen und in einigen Fällen auch infiziert worden.
Die Zahl bezieht sich also auf mehr als 500 Personen, deren Geräte ins Visier genommen wurden. Sie ist keine Zählung bestätigter Infektionen oder von Fällen, in denen Informationen abgeflossen sind.
Am Montag bezeichnete Tusk den Einsatz, der unter der vorherigen Regierungspartei durchgeführt wurde, als „einen der größten Skandale der polnischen Geschichte seit dem Ende des Kommunismus“. Er warf der NSO Group vor, mit israelischen Geheimdiensten zusammengearbeitet zu haben, und behauptete, Daten über polnische Bürger, Oppositionsführer und unabhängige Staatsanwälte seien an die israelische Seite übermittelt worden.
Diese Vorwürfe gehen über die technische Schlussfolgerung der Staatsanwaltschaft hinaus. Die offiziellen Ergebnissen zeigen laut Bericht ausländische Datenwege, vom Hersteller kontrollierte Komponenten und die Fähigkeit von NSO, auf das System zuzugreifen. Die Ermittler konnten jedoch nicht belegen, dass NSO Material aus bestimmten Überwachungseinsätzen erhalten hat.
Ehemalige Beamte wegen Pegasus-Missbrauchs angeklagt
Mehrere frühere polnische Geheimdienst- und Sicherheitsbeamte sind angeklagt, den Missbrauch der Spionagesoftware mutmaßlich erleichtert zu haben. Die Staatsanwaltschaft wirft ihnen vor, die Operation durch die Veruntreuung eines staatlichen Fonds finanziert zu haben, der Kriminalitätsopfern helfen sollte.
NSO Group reagierte nicht auf die Bitte von The Record um eine Stellungnahme.
Der Forscher John Scott-Railton von Citizen Lab sagte der Publikation, die Ergebnisse wirfen operative Sicherheitsfragen für Regierungen auf, die kommerzielle Spionagesoftware einsetzen. Material, das im Rahmen der 2019 eingereichten Klage von WhatsApp gegen NSO offengelegt wurde, stütze die Behauptungen der polnischen Regierung. Es widerspreche zudem den seit langem gegebenen Zusicherungen von NSO, dass das Unternehmen nicht auf Daten zugreifen könne, die von Pegasus-Kunden erhoben wurden.
Herstellerzugriff schafft Risiken für Regierungen und Überwachungsziele
Die Ergebnisse zeigen ein Sicherheitsproblem für Behörden, die ausländische Spionagesoftware kaufen: Der Kunde kann womöglich nicht überprüfen, wie das System funktioniert, wenn der Lieferant die Infektionsinfrastruktur, die Administratorzugangsdaten, Software-Updates oder den Fernsupport kontrolliert.
Eine solche Konstellation kann sowohl Überwachungsdaten als auch Informationen über ausgewählte Ziele in die Reichweite eines ausländischen Anbieters bringen. Sie kann außerdem verhindern, dass die einsetzende Behörde Datenwege, Speicherkomponenten und Konfigurationsänderungen eigenständig prüft.
Für die Menschen, die in Polen ins Visier genommen wurden, belegt die Untersuchung nicht, dass jeder versuchte Eingriff erfolgreich war oder dass NSO die Informationen jeder einzelnen Person abgerufen hat. Sie zeigt aber, dass die CBA die Überwachungsplattform, mit der diese Menschen überwacht wurden, nicht vollständig prüfen oder kontrollieren konnte.
