Das Smartphone der russischen Exil-Journalistin Galina Timchenko ist mit dem Staatstrojaner Pegasus gehackt worden. Das hat eine Untersuchung des Citizen Lab der University of Toronto und der NGO Access Now ergeben. Wer für die Attacke verantwortlich ist, ist nicht bekannt.

Galina Timchenko ist Mitgründerin und Herausgeberin von Meduza. Die unabhängige Nachrichtenseite berichtet seit 2014 aus Riga über Russland. Der Kreml erklärte die Seite 2021 zum „Ausländischen Agenten“ und Anfang 2023 zur “unerwünschten Organisation“. Selbst das Verbreiten von Meduza-Links könne nun zum rechtlichen Risko für Leser*innen in Russland werden, erklärt das Medium.

Infiziert in Berlin

Apple hatte Timchenko im Juni mitgeteilt, dass ihr iPhone das Ziel von staatlicher Überwachung sein könnte. Anschließend kontaktierte sie Access Now. Laut der folgenden Untersuchung geschah die Infektion mit Pegasus am 10. Februar. Ihr iPhone wurde laut Citizen Lab vermutlich über einen Zero-Click-Exploit infiziert. Bei derartigen Schwachstellen muss der oder die Überwachte nicht auf einen Link oder ähnliches klicken, um den Staatstrojaner zu installieren. Die Infektion erfolgt vollkommen eigenständig.

Timchenko befand sich am Tag der vermuteten Infektion in Berlin. Einen Tag später nahm sie dort an einem Treffen russischer Exilmedien teil, um über die rechtlichen Risiken für „ausländische Agenten“ und „unerwünschte“ Organisationen zu sprechen. Diese Zusammenkunft könnte infolge des Hacks abgehört worden sein, womöglich war es sogar der Anlass für den Angriff. Laut Access Now dauerte die Ausspähung wahrscheinlich über mehrere Tage oder sogar Wochen an.

Wer könnte hinter der Infektion stecken?

NSO, der israelische Hersteller von Pegasus, verkauft nach eigenen Angaben seinen Staatstrojaner nur an staatliche Organisationen. Expert*innen halten es für unwahrscheinlich, dass Russland Pegasus besitzt, das Citizen Lab hat auch keine Hinweise darauf. Russland-freundliche Regierungen in Aserbaidschan, Kasachstan oder Usbekistan kämen für Access Now ebenfalls als Urheber in Frage, allerdings gibt es auch hier keine Beweise, dass die Regierungen den Staatstrojaner von NSO gekauft hätten.

Selbst EU-Staaten könnten für den Hack verantwortlich sein. Mindestens zwölf von ihnen besitzen Pegasus. Und nicht alle von Ihnen sind russischen Exil-Journalist*innen freundlich gesinnt. So hatte die lettische Regierung laut Access Now dem russischen Exilsender TV Rain die Lizenz entzogen und als „Bedrohung der nationalen Sicherheit und öffentlichen Ordnung“ bezeichnet. In Tschechien hatte Präsident Petr Pavel im März sogar gefordert, alle Russ*innen, die im Westen leben, zu überwachen.

EU-Abgeordnete fordert Überprüfung durch Kontrollgremium

In Deutschland besitzen mindestens das BKA und der BND Pegasus. Auch der Verfassungsschutz darf Staatstrojaner einsetzen, ob er über Pegasus verfügt, ist aber nicht bekannt. Auf eine Anfrage der Washington Post antwortete das deutsche Innenministerium nicht.

In dem Artikel der Washington Post äußerte sich auch die Europa-Abgeordnete Hannah Neumann (Grüne). Sie hält es für unwahrscheinlich, dass deutsche Behörden für den Hack verantwortlich sein könnten. Wer hinter der Infektion steckt, bleibt aktuell reine Spekulation. Trotzdem zeigt der Fall ein großes Problem: Deutschland ist nicht in der Lage, Exil-Journalist*innen vor einer Infektion im eigenen Land zu schützen.

Das parlamentarische Kontrollgremium solle sich mit dem Fall beschäftigten, fordert daher Neumann, die auch im Untersuchungsausschuss des EU-Parlaments zu Pegasus saß. „Denn Timchenko ist die Art von Person, die Zuflucht und Schutz in Deutschland finden sollte.“ Den könne Deutschland ihr offensichtlich nicht bieten, „weil diese dämliche Technologie existiert und es international nicht genug politischen Willen gibt, sie zu regulieren“.