Der Chaos Computer Club (CCC) hat weitere Beweise vorgelegt, dass deutsche Überwachungssoftware von FinFisher seit Jahren weltweit im Umlauf ist. Mit solchen Spähtrojanern können Journalistinnen und Journalisten digital durchleuchtet werden, was gravierende Folgen für ihre Sicherheit haben kann. Reporter ohne Grenzen (ROG) fordert endlich eine Strafverfolgung derjenigen, die trotz Exportkontrollen mit den Diktatoren dieser Welt ihre Geschäfte machen. ROG hatte im Juli gemeinsam mit drei weiteren Organisationen eine Strafanzeige gegen die FinFisher GmbH, die Finfisher Labs GmbH und die Elaman GmbH erstattet, weil das Münchener Firmenkonglomerat die Spionagesoftware FinSpy ohne Genehmigung der Bundesregierung an die Türkei verkauft haben soll.

„Der CCC bestätigt die Analysen von ROG und legt noch einmal Beweise nach: Es ist ein Skandal, dass seit Jahren FinFisher-Produkte im Umlauf sind, um damit Journalistinnen und Journalisten bei ihrer Arbeit zu überwachen“, sagte Christian Mihr, Geschäftsführer von Reporter ohne Grenzen. Er forderte, dass Bewegung in die Ermittlungen gegen das Münchener Firmenkonglomerat kommen müsse: „Strafverfolgungsbehörden müssen endlich aufklären, wie eine offensichtlich deutsche Spionagesoftware trotz Exportkontrollen in die Hände des türkischen Regimes fallen kann.“

Erdrückende Beweise gegen FinFisher

Der Chaos Computer Club hat im Rahmen seines jährlichen Congress in Leipzig ein neues Gutachten präsentiert, in dem 26 Versionen von FinFisher-Trojanern aus den Jahren 2012 bis 2019 untersucht wurden. Die IT-Experten Linus Neumann und Thorsten Schröder zeichnen dabei detailliert nach, wie es sich dabei meist um Weiterentwicklungen derselben Software handelt, die offensichtlich in Deutschland produziert und weltweit eingesetzt wird – obwohl es spätestens seit 2015 einer Genehmigung dafür bedürfte.

Die Hacker haben auch frei verfügbare Tools entwickelt, mit denen sich FinSpy-Software analysieren lässt, und ihr Vorgehen ausführlich dokumentiert. Damit könnten zum Beispiel auch deutsche Strafermittlungsbehörden die Ergebnisse der Gutachter nachvollziehen und für ihre eigenen Ermittlungen nutzen. Nachdem ROG im Juli die Strafanzeige gemeinsam mit der Gesellschaft für Freiheitsrechte (GFF), dem European Center for Constitutional and Human Rights (ECCHR) und netzpolitik.org eingereicht hatte, leitete die Münchener Staatsanwaltschaft einem Bericht von Süddeutscher Zeitung, NDR, WDR, BR und SZ zufolge ein Ermittlungsverfahren ein.

Export muss nach Einführung der Kontrollen stattgefunden haben

Kern der Strafanzeige ist die Frage, ob es sich bei einem Trojaner, der 2017 in der Türkei gegen die Opposition eingesetzt worden ist, um ein Produkt von FinFisher handelt, und wann dieses Produkt mutmaßlich exportiert worden ist. Seit 2015 benötigen Unternehmen für den Export solcher Software eine Genehmigung, welche die Bundesregierung nach eigener Auskunft jedoch noch nie erteilt habe.

Den Analysen der Strafanzeige zufolge handelt es sich beim sogenannten „Adalet-Trojaner“ um eine FinSpy-Version, die erst 2016 hergestellt wurde – und folglich auch erst dann exportiert worden sein kann. Beide Tatsachen belegt der CCC in seinem IT-forensischen Gutachten und untermauert den Eindruck mit weiteren Fakten. Nun können nur noch Ermittlungsbehörden klären, wie die Software in die Türkei gekommen ist. Die Umgehung von Exportkontrollvorgaben wäre eine Straftat.

Löchrige Exportkontrolle reformieren

Der Skandal um FinFisher wirft auch ein Schlaglicht auf aktuelle Reformbemühungen der EU. 2016 legte die EU-Kommission einen Entwurf vor, mit dem die sogenannte Dual-Use-Regulierung erneuert werden sollte. Es war das ausdrückliche Ziel dieses Projektes, endlich eine wirksame Kontrolle für den Handel mit Überwachungssoftware einzuführen. Doch insbesondere die Mitgliedstaaten verwässerten die Entwürfe auf Druck der EU.

Ein Leak geheimer Verhandlungsprotokolle durch Reporter ohne Grenzen und netzpolitik.org zeigte, dass auch die Bundesregierung zuvorderst Industrieinteressen folgte. Im Falle von FinFisher sagte die Bundesregierung nur, dass sie keine Genehmigung erteilt habe – wollte aber nicht in Erfahrung bringen, wie ein offensichtliches Umgehen der Exportkontrolle möglich ist. Auch nach über drei Jahren sind die Verhandlungen in Brüssel nicht abgeschlossen.

Reporter ohne Grenzen begrüßt das entschiedene Vorgehen von WhatsApp gegen den israelischen Überwachungstechnologie-Anbieter NSO Group. Wie WhatsApp am Dienstag bekanntmachte, hat das Unternehmen gemeinsam mit seinem Mutterkonzern Facebook bei einem US-Bundesgericht in San Francisco eine Klage gegen NSO wegen eines Überwachungsangriffs gegen rund 1400 WhatsApp-Nutzerinnen und -Nutzer eingereicht. Dieser habe ein eindeutiges Muster von Menschenrechtsverletzungen offenbart: Unter den Betroffenen seien mindestens 100 Menschenrechtsaktivistinnen und -aktivisten, Journalistinnen und Journalisten sowie andere Mitglieder der Zivilgesellschaft gewesen. 

„Diese Klage ist ein entscheidendes Signal gegen Überwachungsexzesse und sollte zum Vorbild für andere Technologieunternehmen werden“, sagte ROG-Geschäftsführer Christian Mihr. „Sichere Kommunikation ist ein Menschenrecht und eine Voraussetzung dafür, dass Journalistinnen und Journalisten ihre Aufgabe erfüllen und den Mächtigen auf die Finger schauen können. Telekommunikations- und Technologieunternehmen könnten eine wichtige Rolle bei der Durchsetzung dieses Menschenrechts übernehmen, wenn sie konsequent gegen Überwachungsangriffe vorgehen würden.“ 

Zugleich wies Mihr auf die bis heute nie überprüfbar beantwortete Frage hin, ob Facebook-Produkte heimliche Zugriffsmöglichkeiten für US-Geheimdienste bieten: „WhatsApp könnte seinem Vorgehen zusätzliches Gewicht verleihen, indem es den Quellcode seines Messengers offenlegt. Dann könnten unabhängige Expertinnen und Experten endlich überprüfen, wie umfassend WhatsApp seine Nutzerinnen und Nutzer vor staatlicher Überwachung schützt.“

Mit Blick auf aktuelle Forderungen nach der Schwächung von Verschlüsselungsstandards auch in Deutschland und Europa fügte Mihr hinzu: „Dieser Fall zeigt auch, wie blauäugig die Forderung nach Hintertüren für Geheimdienste zum Beispiel in Messenger-Anwendungen ist. Jede Schwachstelle in solchen Produkten stellt nicht nur die Privatsphäre von Millionen oder gar Milliarden Menschen infrage, sondern setzt auch Journalistinnen und ihre Informanten unabsehbaren Gefahren aus.“ 

Server, Hosting-Dienste und WhatsApp-Accounts mit Verbindungen zur NSO Group identifiziert

Konkret fordern WhatsApp und Facebook in der Klage, NSO den Zugriff sowie jeden Zugriffsversuch auf Produkte beider Unternehmen zu verbieten. Außerdem verlangen sie Schadenersatz in ungenannter Höhe.

Die WhatsApp-Klage bezieht sich auf eine im Mai bekanntgewordene Schwachstelle, durch die sich die Videoanruf-Funktion des Messengers dazu nutzen ließ, Schadsoftware auf ein Smartphone aufzuspielen. Auf diese Weise seien Nutzerinnen und Nutzer in 20 Ländern ausspioniert worden; namentlich erwähnt die Klage Mexiko, die Vereinigten Arabischen Emirate und Bahrain. 

Die NSO Group hat bestritten, mit diesem Angriff zu tun zu haben, und wiederholte dies am Dienstag in eindringlicher Form. WhatsApp zeigt sich aber überzeugt, dass diesen Dementis kein Glauben zu schenken sei, denn die Angriffe ließen sich zu Servern, Hosting-Anbietern und WhatsApp-Accounts mit Verbindungen zu NSO zurückverfolgen. 

Medienschaffende in Mexiko und den VAE ausgespäht – auch im Fall Khashoggi?

Die Klage nennt keine Namen von Menschen, die durch den mutmaßlichen NSO-Angriff ausgeforscht wurden. Reuters berichtete unter Berufung auf das Citizen Lab der kanadischen Universität Toronto, das von WhatsApp bei der Untersuchung des Angriffs eingeschaltet wurde, unter den Betroffenen seien bekannte Fernseh-Persönlichkeiten, prominente Frauen, die Online-Hasskampagnen ausgesetzt gewesen seien, sowie Menschen, die Mordversuche und Gewaltandrohungen erlebt hätten. 

Die Spähsoftware „Pegasus“ der israelischen NSO Group ist schon mehrfach mit Menschenrechtsverletzungen im Nahen Osten und in Lateinamerika in Verbindung gebracht worden. In Mexiko gehörten prominente Anwälte, Journalistinnen und Antikorruptionsaktivisten zu den Zielen der Überwachung. Auch steht der Vorwurf im Raum, sie habe eine Rolle bei der Ermordung des saudi-arabischen Exil-Journalisten Jamal Khashoggi gespielt. Ein Freund Khashoggis hat gemeinsam mit weiteren Betroffenen in Israel und Zypern wegen mutmaßlicher Manipulation ihrer Smartphones gegen NSO geklagt. 

In den Vereinigten Arabischen Emiraten wurde NSO-Software für einen technisch sehr aufwendigen Spähangriff auf den Menschenrechtsverteidiger und Blogger Ahmed Mansoor verwendet. Wegen seines friedlichen, unter anderem mit dem renommierten Martin-Ennals-Preis anerkannten Einsatzes für Menschenrechte verbüßt Mansoor dort inzwischen eine zehnjährige Haftstrafe.

EU berät über wirksamere Exportkontrollen für Überwachungstechnologie

Überwachungstechnologie-Anbieter wie die NSO Group argumentieren regelmäßig, sie stellten ihre Produkte nur Regierungen und staatlichen Stellen für legitime Zwecke wie die Ausforschung von Terrorgruppen oder die Verfolgung schwerer Straftaten zur Verfügung. Allerdings gibt es immer wieder substanzielle Hinweise darauf, dass ihre Produkte allen Dementis zum Trotz in die Hände repressiver Regime gelangen und für schwere Menschenrechtsverletzungen eingesetzt werden. Reporter ohne Grenzen setzt sich deshalb seit Jahren dafür ein, den Export solcher Produkte aus Deutschland und der EU wirksam zu regulieren. 

In dieser Woche beginnt dazu auf EU-Ebene der sogenannte Trilog – also die Verhandlungen zwischen EU-Kommission, Europaparlament und dem Europäischen Rat als Vertretung der nationalen Regierungen – über eine Reform der Dual-Use-Richtlinie. Dabei geht es um eine Einigung auf schärfere Regeln für den Export von Überwachungstechnologie an Drittstaaten, um die in der Europäischen Union seit drei Jahren gerungen wird. Die Kommission hatte hierzu einen fortschrittlichen Entwurf vorgelegt, hinter den sich auch das Europaparlament stellte. Die EU-Mitgliedsstaaten konnten sich im Juni nach langem Stocken der Verhandlungen jedoch nur auf einen schwachen Kompromiss einigen, der viele der kritischen Fragen ausklammert und Interessen der Wirtschaft über menschenrechtliche Prinzipien stellt. 

Digitaler Helpdesk für Journalistinnen und Journalisten

Regelmäßig erfährt Reporter ohne Grenzen auch im Rahmen seiner Nothilfearbeit von digitalen Bedrohungen und Angriffen gegen Journalistinnen und Journalisten. Um ihnen gebündelte Informationen zu Themen wie Verschlüsselung, Anonymisierung und Account-Sicherheit anzubieten, hat ROG im Juli einen digitalen Helpdesk gestartet, der sich an Medienschaffende in aller Welt richtet. Der Helpdesk ist Teil des Berliner Stipendienprogramms zur Stärkung von Journalistinnen und Journalisten im digitalen Raum, das aus Mitteln der Berliner Senatsverwaltung für Wirtschaft gefördert wird. 

Der Helpdesk ist erreichbar unter helpdesk.rsf.org. Um Zensur des Angebots zu umgehen und Interessierten eine anonyme Nutzung zu ermöglichen, ist der Helpdesk auch im sogenannten „Darknet“ über das Tor-Netzwerk erreichbar.

Mehr zum Einsatz von ROG für Informationsfreiheit im Internet finden Sie hier.