Vor etwas mehr als einem Jahr hatte ein Programm namens Predator seinen Auftritt in der internationalen Öffentlichkeit. Die Rede war von „Griechenlands Watergate“: ein Journalist, ein Oppositionsführer und mehrere weitere Personen waren über ihre Handys gehackt und ausgespäht worden.
Der Firmenverbund hinter Predator, Intellexa, wurde maßgeblich auch aus Deutschland finanziert. Das deckt nun eine internationale Recherche auf, an der auch der Spiegel beteiligt war. Dem Bericht zufolge soll das Geld für die Entwicklung der Software unter anderem von einem Risikogeldgeber mit Sitz in der Kleinstadt Zossen südlich von Berlin gekommen sein. Auch der Berliner Kulturinvestor Yoram Roth soll 1,5 Millionen Euro in eines der Unternehmen im Konsortium investiert haben.
Intellexa war bereits nach dem Skandal in Griechenland in den Blick geraten. Es kann als einziges europäisches Unternehmen mit dem Marktführer NSO Group und seinem Staatstrojaner Pegasus mithalten. Ein Untersuchungsausschuss im EU-Parlament hatte sich mit Predator beschäftigt.
Deutsche Hackerbehörde auch Intellexa-Kunde
Laut dem Bericht hatte auch die deutsche Regierung wenig Hemmungen, Geschäfte mit Intellexa zu machen – obwohl zu dem Zeitpunkt schon bekannt war, dass das Konsortium auch autoritäre Staaten wie Ägypten mit Überwachungswerkzeugen beliefert hatte. Laut internen Dokumenten eines Tochterunternehmens soll etwa die Zentrale Stelle für Informationstechnik im Sicherheitsbereich (Zitis) bereits seit 2019 Kunde sein. Die Behörde mit Sitz in München soll zwei „Überwachungsinstrumente“ für rund eine Million Euro gekauft haben. Das zuständige Bundesinnenministerium wollte sich dem Spiegel gegenüber nicht dazu äußern.
Bisher hatte die Bundesregierung auf eine parlamentarische Anfrage nur erklärt, Zitis stehe seit 2021 „mit Vertretern des Unternehmens ›Intellexa‹ beziehungsweise dessen Tochterunternehmen Cytrox in Kontakt, um im Rahmen einer Marktsichtung Informationen über das Portfolio des Unternehmens zu erhalten“.
Exportverbote umgangen mit Beratung aus Hamburg
Anhand von internen Chats und Telefonaten konnte das Rechercheteam außerdem nachweisen, wie Intellexa Exportkontrollen und Verbote bei der Ausfuhr der staatlichen Spionagesoftware mit Tricks umgangen hat. Dabei soll auch ein Hamburger Anwalt beraten haben.
Das Telefonat wurde bekannt, weil französische Ermittlungsbehörden zu dem Zeitpunkt bereits das Telefon des französischen Unternehmers Stéphane Salies abhörten. Gegen ihn wurde ermittelt, weil er illegal Überwachungssoftware nach Ägypten und an dem damaligen libyschen Diktator Gaddafi geliefert haben soll. Sein Unternehmen Nexa gehört ebenfalls zu Intellexa.
Über Nexa soll auch die Hamburger Plath Group in dem Firmennetzwerk mit verstrickt sein. Das Unternehmen, zu dessen Kunden auch die Bundeswehr gehört, soll sich bereits 2014 mit Firmenbeteiligungen in Stéphane Salies Firma eingekauft haben, die später Teil von Intellexa wurde.
Überwachung ohne Kontrolle
Predator ist ein so genannter Staatstrojaner: ein Überwachungswerkzeug, das speziell für Militär, Geheimdienste und Ermittlungsbehörden gemacht ist. Angreifer können das Programm unbemerkt aus der Ferne auf einem Mobiltelefon installieren. Dort schneidet es Anrufe, Videos, den Standort mit, auch verschlüsselte Nachrichten in Messengern wie Signal oder WhatsApp noch bevor diese verschickt werden.
Staaten pochen darauf, ihre Ermittlungsbehörden bräuchten solche Werkzeuge, um gegen Terror und schwere Kriminalität zu ermitteln. Zahllose Skandale und ein Untersuchungsausschuss im EU-Parlament, der den Missbrauch von Pegasus, Predator und weiteren Trojanern untersucht hat, zeigen jedoch, wie sehr die Software zum Missbrauch einlädt. In Ungarn, Polen und Griechenland sind damit kritische Journalist:innen und Oppositionsmitglieder abgehört worden. In Spanien traf es die katalanische Separatistenbewegung. In seinem Abschlussbericht hatte der Ausschuss kritisiert, dass in vielen Staaten der EU keine wirksame Kontrolle möglich ist.
Sicherheitslücken bleiben ein Problem, das der Klärung durch die Verfassung bedarf, wenn man sie dort einkauft bzw. implizit mitbucht, wo auch andere Einkaufen, die damit wiederum die Menschenrechte verletzen u.a. Man beteiligt sich damit direkt an der Verletzung der Menschenrechte, indem man sich die Lücken liefern und offenhalten lässt. Man kann hier noch verallgemeinern, da es im Grunde genommen reicht, wenn solche Schwachstellen von „Menschenrechtsverletzern“ bereits überhaupt irgendwie eingesetzt werden, unabhängig von Software and Bezugsquelle, denn hier besteht eigentlich „Meldepflicht“, und zur Durchsetzung dann auch die Pflicht zum Monitoring und zur Unterhaltung einer Meldestelle für Schwachstellen, sowie eines nationalen, EU-weiten und eines Internationalen Konzeptes dazu/jew. Abgesehen mal von allgemeinen technischen Kriterien.
Du hast ja recht.
Aber Fakt ist, dass in JEDER proprietären Closed-Source Komponente (Software, Firmware, potentiell sogar Hardware) unerkannte Hintertüren, ähm Sicherheitslücken, versteckt sein können. Sämtlichen US-Herstellern (und asiatischen) traue ich nicht von hier bis zur Tür. Ich sage nur Apple (zwei (!) mal nacheinander Hintertüren für Pegasus in iMessage), Cisco, Citrix, F.c.book (Hintertür in Whatsapp-Android ebenfalls für Pegasus), Google (Chrome!), Micro$oft, und so weiter. Die US-Firmen sind sämtlich von öffentlichen Aufträgen abhängig, und die gibt es nur wenn …
Notfalls gibt es dann noch die ‚wunderbare‘ Erfindung des NSL. https://de.wikipedia.org/wiki/National_Security_Letter
Es ist unvermeidbar, dass wir diese Tatsachen akzeptieren: Die Hersteller liefern „Sicherheitslücken“ auf Bestellung und nach Maß; mit diesen „Sicherheitslücken“ wird verdeckt ein schwunghafter Handel getrieben. Aus gutem Grund heißen die GEHEIMdienste so. Wenn du „Zielperson“ der Schlapphüte bist, dann kriegen sie dich. Ist nur eine Frage des Aufwandes.
Aber wir können ja die Latte mal ein ganzes Stück höher legen. :-)
TL;DR: Die einzige Chance auf Selbstschutz besteht in der Verwendung von möglichst einfacher, jedenfalls durchschaubarer HW mit FOSS. Also
– kein UEFI, sondern Coreboot (o.ä.);
– kein Apple oder M$, sondern Linux oder xBSD;
– kein Cisco etc., sondern OPNsense (o.ä.)
und so weiter.
Christoph: Besser kann man es nicht zusammenfassen!
Naja, es ist ein eher juristischer Ansatz auf der einen Seite. Hintertüren werden auch durch Meldepflicht abgeschwächt.
Auf der sicheren Seite ist man sicherer, aber das als tragfähige Basis für die Gesellschaft ist derzeit nicht möglich. Wir sind nicht weit genug in sicheren Systemen, der politische Wille auch nicht. Jeder wird zur Wanze so, vor allem die Menge der Menschen, und ich kann mir eins runterrubbeln, weil ich mich 20 Stunden die Woche o.ä. mit „Selbstverteidigung“ beschäftige ;)…
Anonymous: Eine Kapitulationsaussage, die so nicht stimmt. Anscheinend muss bei manchen erst das Konto geplündert, intime Fotos veröffentlicht, Stalking betrieben, der Job per Netzwerk-Hack wegintrigiert oder Wahlfälschung betrieben werden, damit die „Menge der Menschen“ endlich aufwacht und begreift, dass die für „digitale Selbstverteidigung“ notwendigen IT-Kenntnisse sich weder im Klicken auf den privaten Modus des Firefox erschöpfen noch dass man 20 Stunden pro Woche in das Lernen erweiterter Kenntnisse für den Selbstschutz investieren muss.
Will heissen:
Wenn die meisten nicht so unglaublich ignorant und bequem wären, hätten wir schon längst ganz andere Verhältnisse, inklusive dem tatsächlich nicht vorhandenen „politischen Willen“, diese herzustellen.
Diese „Politiker“ sind dann dieselben, die sich (Stichwort „Amazonisierung“) über nicht zahlbare Gewerbemieten, dadurch verödende Innenstädte und schwindende Wirtschaftskraft wundern, dass Unternehmen/Behörden bis hin zum Bundestag immer wieder Cyberattacken ausgesetzt sind, dass das demokratische Bewusstsein immer weiter schwindet (Stichwort „kein Vertrauen mehr“ – ja woher denn, wenn heute jedes Wort/jede Meinung chatkontrolliert und wegzensiert wird??) usw.
Ein juristischer Ansatz ist das primär nicht, sondern ein in erster Linie technischer und einer des gesunden Menschenverstandes.
Die Hersteller liefern „Sicherheitslücken“ auf Bestellung und nach Maß; mit diesen „Sicherheitslücken“ wird verdeckt ein schwunghafter Handel getrieben.
The Linux malware ported several functions found in Trochilus and combined them with a new Socket Secure (SOCKS) implementation.
Da kannste dann gleich dein Schlapp Ohr an den „Socks“ legen und dem binären Rauschen lauschen. Ich geh dann lieber mal Sock(s)en waschen.
https://www.fudzilla.com/news/57623-linux-backdoor-used-by-the-chinese-government
https://blog.talosintelligence.com/intellexa-and-cytrox-intel-agency-grade-spyware/
https://www.golem.de/news/staatstrojaner-einblicke-in-intellexas-handel-mit-der-predator-spyware-2312-180581.html