NSO und Candiru: Bundesregierung will keine Sanktionen gegen Staatstrojaner-Firmen

Die Bundesregierung hat sich entschieden, keine Sanktionen gegen Staatstrojaner-Firmen zu verhängen und stattdessen weiter Geschäfte mit ihnen zu machen. Das geht aus Äußerungen gegenüber Journalisten und Parlament hervor, die wir veröffentlichen.

Vor zwei Wochen hat die US-Regierung die israelischen Firmen NSO und Candiru auf ihre Sanktionsliste gesetzt, „weil es Beweise dafür gibt, dass diese Unternehmen Spyware entwickelt und an ausländische Regierungen geliefert haben, die diese Tools zur böswilligen Überwachung von Regierungsbeamten, Journalisten, Geschäftsleuten, Aktivisten, Akademikern und Botschaftsmitarbeitern eingesetzt haben.“

Das US-Handelsministerium erklärt, die Staatstrojaner und ihre Hersteller „haben es ausländischen Regierungen ermöglicht, länderübergreifende Unterdrückung zu betreiben, d. h. autoritäre Regierungen nehmen Dissidenten, Journalisten und Aktivisten außerhalb ihrer Hoheitsgrenzen ins Visier, um Andersdenkende zum Schweigen zu bringen. Solche Praktiken bedrohen die auf Regeln basierende internationale Ordnung.“

Das sind nicht nur starke Worte, es hat auch konkrete Auswirkungen. Mit den Sanktionen dürfen amerikanische Firmen oder Personen keine Geschäfte mehr mit diesen Firmen machen, es sei denn sie beantragen und erhalten vorher eine explizite Ausnahmegenehmigung. Das Kerngeschäft der meisten Staatstrojaner ist es jedoch, amerikanische Produkte wie Android, iPhones oder Windows anzugreifen. Die dürfen sie jetzt nicht mehr ohne Weiteres kaufen.

USA führen, Deutschland steht

Doch das entschlossene Handeln der USA fällt in Deutschland auf taube Ohren. Die Bundesregierung verweigert eine inhaltliche Stellungnahme zu den Vorwürfen der USA. In der Regierungspressekonferenz sagen Kanzleramt und Innenministerium schmallippig, dass sie „die Entscheidung des US-Handelsministeriums zur Kenntnis genommen haben“ und keine Bewertung abgeben wollen. Das für Sanktionen zuständige Wirtschaftsministerium „kann diese Meldung nicht kommentieren“.

Auch gegenüber dem Parlament verweigert die geschäftsführende Bundesregierung eine sinnvolle Antwort. Wir veröffentlichen die Antwort auf eine schriftliche Anfrage der Bundestagsabgeordneten Martina Renner. Dort sagt das Innenministerium erneut nur, „die Bundesregierung hat die Entscheidung des US-Handelsministeriums zur Kenntnis genommen“. Das entschlossene Vorgehen der US-Regierung bezeichnet Staatssekretär Markus Richter als „interne Entscheidung der zuständigen Stellen der USA“.

Die Bundestagsabgeordnete Martina Renner kritisiert gegenüber netzpolitik.org, dass sich die Bundesregierung „trotz der vielen Belege für den Missbrauch der Spionagesoftware Pegasus um eine eigene Haltung drückt. Während die US-Regierung die Hersteller wegen der Verletzung von Menschenrechten und Pressefreiheit auf die Sanktionsliste setzt, in Mexiko erste Verantwortliche verhaftet werden, stellt sich die Bundesregierung hier in eine Reihe mit autoritären Regierungen und Regimen wie Ungarn, Aserbaidschan oder Saudi-Arabien.“

Politischer Wille fehlt

Die USA bestrafen die Staatstrojaner-Hersteller für Menschenrechtsverletzungen, Deutschland belohnt diese Firmen. Deutsche Behörden besitzen eine ganze Reihe an Staatstrojaner-Produkten. Mindestens Bundeskriminalamt und Bundesnachrichtendienst haben den Staatstrojaner „Pegasus“ von NSO gekauft, zu Candiru verweigert die Regierung jede Auskunft.

Doch für die geschäftsführende Bundesregierung ergeben sich „keine Konsequenzen“ aus den Erkenntnissen und Aktionen der USA, so das Innenministerium. Renner kritisiert: „Wenn die Bundesregierung mögliche Geschäftsbeziehungen zu anderen Herstellern von Spionagesoftware verschweigen möchte, wird deutlich, dass sie den Schutz grundlegender Werte und Interessen anders als die aktuelle US-Regierung nicht als wesentlich ansieht.“

Dabei könnten Deutschland und die Europa dem Beispiel der USA folgen. Die EU hat über 40 verschiedene Sanktionsregelungen eingeführt. Vor zwei Jahren haben die EU-Mitgliedstaaten Sanktionen gegen Personen und Organisationen verhängt, die für Cyberangriffe „verantwortlich sind oder diese unterstützen, ermutigen oder erleichtern“. Deutschland und Europa könnten NSO und Co. damit genauso bestrafen wie die USA das tun – doch es fehlt der politische Wille.

Ampel-Koalition uneinig

Wie sich die neue Bundesregierung in diesem Punkt von der alten unterscheiden wird, ist noch offen. Auf Anfrage von netzpolitik.org haben die Verhandlungsführer der Ampel-Arbeitsgruppen „Innere Sicherheit“ sowie „Digitale Innovation und digitale Infrastruktur“ keine inhaltliche Antwort gegeben. Konrad Litschko berichtet in der taz, das sich die Arbeitsgruppen bei den Themen Staatstrojaner, IT-Sicherheitslücken und Vorratsdatenspeicherung nicht einigen konnten – vor allem die SPD will den Weg der Großen Koalition nicht verlassen. Jetzt verhandeln die Parteispitzen.

Hier die Dokumente in Volltext:

• Datum: 11. November 2021
• Vorgangstyp: Schriftliche Frage
• Abgeordnete: Martina Renner, Die Linke
• Antwort: Dr. Markus Richter, Bundesministerium des Innern, für Bau und Heimat
• Arbeitsnummer: 11/26
• Drucksache: 20/14

Frage

Welche Konsequenzen hat die Entscheidung der US-Regierung, die israelischen Software-Firmen NSO Group und Candiru Limited wegen der von jenen entwickelten Spionagesoftware wie Pegasus und deren Einsatz gegen befreundete Regierungen, Journalisten und Menschenrechtsaktivisten auf die US-Sanktionsliste zu setzen, aus Sicht der Bundesregierung für die künftige Zusammenarbeit von BKA, BND und BfV mit ihren ausländischen, insbesondere US-Amerikanischen Partnerdiensten, und inwieweit wird die Zusammenarbeit mit der NSO-Group bzw. Candiru Limited dennoch fortgesetzt werden (https://www.commerce.gov/news/press-releases/2021/11/commerce-adds-nso-group-and-other-foreign-companies-entity-list; https://www.sueddeutsche.de/wirtschaft/nso-pegasus-spaehsoftware-usa-1.5455882)?

Antwort

Die Bundesregierung hat die Entscheidung des US-Handelsministeriums zur Kenntnis genommen. Die Aufnahme von Firmen in die sog. „Entity List for Malicious Cyber Activities” des Bureau of Industry and Security (BIS) ist eine interne Entscheidung der zuständigen Stellen der Vereinigten Staaten von Amerika, aus der sich bislang keine Konsequenzen für die Zusammenarbeit des Bundeskriminalamtes (BKA), des Bundesnachrichtendienstes (BND) und des Bundesamtes für Verfassungsschutz (BfV) mit ihren ausländischen Partnerbehörden ergeben haben.

Hinsichtlich der Fragestellungen, ob zwischen dem BKA, BfV oder BND eine Zusammenarbeit mit den israelischen Firmen „NSO Group“ oder „Candiru Limited“ erfolgte, geplant war, ist oder sein könnte, ist die Bundesregierung nach sorgfältiger Prüfung unter Abwägung der staatswohlbegründenden Geheimhaltungsinteressen der Bundesregierung mit dem parlamentarischen Informationsanspruch zu der Einschätzung gelangt, dass hierzu eine über die in der Sitzung des Ausschusses für Inneres und Heimat des Deutschen Bundestages am 7. September 2021 hinsichtlich des Bundeskriminalamtes erfolgte Berichterstattung der Bundesregierung hinausgehende Beantwortung nicht erfolgen kann.

Denn bezüglich der erbetenen Informationen hinsichtlich einer erfolgten oder nicht erfolgten bzw. geplanten oder nicht geplanten Zusammenarbeit zwischen dem BKA, BfV oder BND und den Firmen „NSO Group“ oder „Candiru Limited“, die Produkte im Bereich der Informationstechnischen Überwachung anbieten, stehen überwiegende Belange des Staatswohls einer Beantwortung entgegen. Mit den aus den erbetenen Auskünften ableitbaren Informationen über ggf. zur Verfügung oder nicht zur Verfügung stehende kriminaltaktische und nachrichtendienstliche Vorgehensweisen und damit zu konkreten Maßnahmen oder künftigen Beschaffungen würde die Bundesregierung polizeiliche und nachrichtendienstliche Vorgehensweisen zur Gefahrenabwehr oder zur Verhinderung und Aufklärung von Straftaten offenlegen oder Rückschlüsse darauf ermöglichen und damit die Arbeitsfähigkeit und Aufgabenerfüllung der betroffenen Sicherheits- und Strafverfolgungsbehörden sowie Nachrichtendienste gefährden, weil Täter oder potentielle Zielpersonen ihr Verhalten anpassen und künftige Maßnahmen dadurch erschweren oder gar vereiteln könnten. Eine Preisgabe dieser sensiblen Informationen würde sich auf die staatliche Aufgabenwahrnehmung im Gefahrenabwehrbereich wie auch auf die Durchsetzung des Strafverfolgungsanspruchs und die nachrichtendienstliche Informationsbeschaffung außerordentlich nachteilig auswirken.

Eine VS-Einstufung und Weiterleitung der angefragten Informationen an die Geheimschutzstelle des Deutschen Bundestages kommt angesichts ihrer erheblichen Brisanz im Hinblick auf die Bedeutung der technischen Aufklärung für die Aufgabenerfüllung der betroffenen Sicherheitsbehörden bzw. Nachrichtendiensten des Bundes nicht in Betracht. Auch ein geringfügiges Risiko des Bekanntwerdens derart sensibler Informationen kann unter keinen Umständen hingenommen werden. Die angefragten Inhalte beschreiben die technischen Fähigkeiten der betroffenen Sicherheitsbehörden bzw. Nachrichtendiensten des Bundes in einem durch den Bezug auf bestimmte Produkte derartigen Detaillierungsgrad, dass eine Bekanntgabe auch gegenüber einem begrenzten Kreis von Empfängern ihrem Schutzbedürfnis nicht Rechnung tragen kann. Bei einem Bekanntwerden der schutzbedürftigen Information wäre kein Ersatz durch andere Instrumente möglich.

Daraus folgt, dass die erbetenen Informationen derartig schutzbedürftige evidente Geheimhaltungsinteressen berühren, dass auch das geringfügige Risiko eines Bekanntwerdens, wie es auch bei einer Übermittlung dieser Informationen an die Geheimschutzstelle des Deutschen Bundestags nicht ausgeschlossen werden kann, aus Staatswohlgründen vermieden werden muss. In der Abwägung des parlamentarischen Informationsrechts der Abgeordneten einerseits und der staatswohlbegründeten Geheimhaltungsinteressen andererseits muss das parlamentarische Informationsrecht daher ausnahmsweise zurückstehen. Dabei ist der Umstand, dass die Antwort verweigert wird, weder als Bestätigung noch als Verneinung des angefragten Sachverhalts zu werten.

• Datum: 5. November 2021
• Veranstaltung: Regierungspressekonferenz

Tilo Jung (Journalist): Das US-Handelsministerium hat gestern Firmen auf ihre Sanktionsliste gesetzt, die Spionagesoftware herstellen. Dazu würde mich vonseiten des BMWi sowie vonseiten des BMI eine Einschätzung interessieren. Eine der betroffenen Firmen ist nämlich die israelische Firma NSO, die den Staatstrojaner „Pegasus“ zu verantworten hat, der auch in Deutschland von BKA und BND eingesetzt wird. Wie bewerten Sie diese US-Maßnahme? Planen Sie Ähnliches?

Dr. Beate Baron (BMWi): Vonseiten des BMWi kann ich diese Meldung nicht kommentieren.

Steve Alter (BMI): Wir haben diese Entscheidung der amerikanischen Behörden zur Kenntnis genommen. Wie Sie wissen, sind diese Produkte, die von der Firma hergestellt und von deutschen Behörden genutzt werden, so konfiguriert und gebaut, dass sie dem deutschen Rechtssystem entsprechen und nicht darüber hinaus gehen. Das ist für uns das Entscheidende.

Tilo Jung (Journalist): Da der BND auch angesprochen war: Herr Seibert, hat das Kanzleramt eine Haltung zu dieser Sanktionsmaßnahme der USA?

StS Steffen Seibert (Regierungssprecher): Wie Herr Alter kann auch ich sagen, dass wir die Entscheidung des US-Handelsministeriums zur Kenntnis genommen haben. Firmen in diese sogenannte Entity List aufzunehmen, ist eine interne Entscheidung der zuständigen Stellen in den USA, die ich für die Bundesregierung darüber hinaus hier nicht kommentiere.

Was nachrichtendienstliche Fragen, Erkenntnisse, Tätigkeiten betrifft, wissen Sie, dass wir uns dazu grundsätzlich nicht öffentlich äußern. Damit ist keine Aussage getroffen, ob Sachverhalte zutreffen oder nicht.