EU-Abgeordneter Kouloglou während Pegasus-Untersuchung selbst abgehört

Wer die Späh­affären der Europäischen Union aufklären soll, ist vor ihnen offenbar nicht sicher. Das iPhone des griechischen Europaabgeordneten Stelios Kouloglou war mitten in seiner Ausschussarbeit mehrfach mit genau jener Spähsoftware infiziert, deren Missbrauch das Gremium untersuchen sollte. Das geht aus einem forensischen Bericht hervor, den das kanadische Citizen Lab am 3. Juli veröffentlicht hat.

Kouloglou, ein investigativer Journalist, saß von 2015 bis 2024 für die Linksfraktion im Europäischen Parlament und war Ersatzmitglied im PEGA-Untersuchungsausschuss. Dieses Gremium war 2022 eigens eingesetzt worden, um den rechtswidrigen Einsatz von Pegasus und vergleichbaren Werkzeugen durch EU-Regierungen zu durchleuchten. Nach den Befunden der Forscher wurde sein Telefon mit Pegasus kompromittiert – jener „Zero-Click“-Software, die das israelische Unternehmen NSO Group herstellt und verkauft und die sich ohne jedes Zutun des Opfers installiert.

Das Citizen Lab, ein interdisziplinäres Labor der Universität Toronto, kommt in seinem 194. Bericht mit „hoher Sicherheit“ zu dem Schluss, dass Kouloglous Gerät um den 21. Oktober 2022 (10:16 Uhr) sowie erneut am 6. und 7. März 2023 befallen war – während er sich in Athen und Brüssel aufhielt. Weitere Infektionen schließen die Autoren ausdrücklich nicht aus; mehrere Medien sprechen von mindestens drei Vorfällen in den beiden Jahren. Von Apple erhielt der Abgeordnete erst Monate später eine Warnung vor einem staatlich gestützten Angriff.

Wenn der Kontrolleur zur Zielscheibe wird

Pegasus verschafft seinen Betreibern die verdeckte Kontrolle über ein Telefon: Nachrichten, Fotos, Kontakte, Kamera und Mikrofon liegen offen. Auffällig ist das Timing. Die erste Infektion fiel in eine besonders heikle Phase des Ausschusses mit Anhörungen zu „Big Tech und Spähsoftware“ sowie zu Spähsoftware und E-Privacy. Die zweite fiel mit den Beratungen über den Abschlussbericht zusammen.

Für die Verantwortlichen der Untersuchung liegt die Symbolik auf der Hand.

Es ist von einer besonderen Ironie, dass ein Mitglied jenes Ausschusses, der Pegasus untersuchen sollte, selbst mit Pegasus ins Visier genommen wurde.

So formulierte es Ron Deibert, Gründer und Direktor des Citizen Lab. Kouloglou selbst sagte der Nachrichtenagentur Associated Press, er habe geglaubt, sein Mandat biete einen gewissen Schutz. „Ich hätte nicht damit gerechnet, dass ein PEGA-Mitglied mit Pegasus ausspioniert wird“, sagte er; er habe die Verantwortlichen nicht für so „rücksichtslos“ gehalten. Auf seinem Gerät hätten 15 Jahre an Nachrichten und Fotos gelegen, darunter Korrespondenz mit Parteichefs und Journalisten.

Wer es war – und wer nicht

Entscheidend ist, was das Citizen Lab nicht behauptet: Eine bestimmte Regierung machen die Forscher nicht verantwortlich. Sie fanden nach eigenen Angaben keine Hinweise auf eine Beteiligung der griechischen Regierung und verweisen darauf, dass es keine Belege dafür gebe, dass Griechenland Kunde der NSO Group ist oder war – eine bemerkenswerte Klarstellung angesichts der früheren Abhöraffäre in Athen.

Stattdessen folgten die Analysten einer technischen Spur. Der Köder, mit dem der Angriff ausgeliefert wurde – eine Nachricht, die Apples HomeKit missbraucht und Teil einer vom Labor als PWNYOURHOME bezeichneten Angriffskette ist – nutzte eine E-Mail-Adresse (rauharepo888@gmail.com), die im Mai 2024 auch bei einer Kampagne gegen sieben im Exil lebende russisch- und belarussischsprachige Journalisten und Aktivisten in Europa auftauchte. Aus dieser Überschneidung schließen die Forscher, dass ein und derselbe Pegasus-Betreiber hinter beiden Operationen steht – ein Kunde also, der befugt ist, über mehrere europäische Rechtsräume hinweg zu spionieren.

Der Befund zeichnet damit nicht das Bild eines abtrünnigen Einzeltäters, sondern eines Kunden eines regulierten kommerziellen Produkts, der auf EU-Boden operiert. Die NSO Group reagierte nicht auf Anfragen um Stellungnahme; das Unternehmen hat früher erklärt, es prüfe seine staatlichen Käufer und kündige Verträge bei nachgewiesenem Missbrauch.

Eine Aufklärung, die im Sande verlief

Die Enthüllung trifft auf offene Rechnungen. Der PEGA-Ausschuss dokumentierte 2022 und 2023, wie Mitgliedstaaten – darunter Griechenland, Polen, Ungarn und Spanien – Spähsoftware gegen Journalisten, Oppositionelle und die Zivilgesellschaft einsetzten, und legte Empfehlungen für schärfere Kontrollen vor. Beteiligte Abgeordnete beklagen, die Europäische Kommission habe diese Vorschläge weitgehend liegen lassen.

Amtierende Abgeordnete werten den neuen Bericht als Angriff auf die Institution selbst.

• Hannah Neumann, deutsche Grünen-Europaabgeordnete und Verhandlerin im Ausschuss, sagte: „Viele von uns haben während der Ausschussarbeit mit Hackerangriffen gerechnet, und doch ist es frustrierend, nun festzustellen, dass es wirklich passiert ist.“
• John Scott-Railton, leitender Forscher des Citizen Lab und Mitautor, warnte, das Problem sei längst nicht eingedämmt: „Ich weiß, wie das nächste Kapitel dieser Geschichte aussieht – es werden weitere gehackte Abgeordnete sein, und ich würde wetten, dass heute Abgeordnete des Europäischen Parlaments herumlaufen, ohne zu ahnen, dass das Telefon in ihrer Tasche zum Spion geworden ist.“

Sophie in 't Veld, ehemalige niederländische Abgeordnete und Berichterstatterin des Ausschusses, beschreibt eine Lage, in der die Verantwortlichkeit nahezu verschwunden ist. „Wir sind in einer Situation, in der jeder jeden ausspionieren könnte“, sagte sie der Associated Press, „und man bespitzelt Bürger, Journalisten, NGOs, Anwälte, Politiker – und niemand weiß, wer dahintersteckt.“

Warum das auch Luxemburg betrifft

Das Europäische Parlament verteilt seine Arbeit auf Brüssel, Straßburg und Luxemburg. Die Güter, die hier auf dem Spiel stehen – die Unabhängigkeit des Mandats, die Pressefreiheit und der Quellenschutz einer Untersuchung – binden alle 27 Mitgliedstaaten, Luxemburg eingeschlossen. Ein erfolgreicher Angriff auf einen Abgeordneten, der Überwachung kontrolliert, trifft die Fähigkeit der EU, ebendiese Überwachung zur Rechenschaft zu ziehen. Ob die jüngsten Belege Brüssel endlich von der Empfehlung zur Regulierung bewegen, bleibt vorerst offen.