Mitglied des EU-Pegasus-Ausschusses war selbst mit Pegasus infiziert

Wer über Jahre untersucht, wie Regierungen kommerzielle Spähsoftware missbrauchen, rechnet vielleicht mit vielem – nicht aber damit, selbst zur Zielscheibe genau jenes Werkzeugs zu werden, das im Zentrum der eigenen Arbeit steht. Genau das ist Stelios Kouloglou widerfahren.

Das iPhone des griechischen Journalisten und früheren Europaabgeordneten war mit Pegasus infiziert – jener Software des israelischen Herstellers NSO Group –, während er dem Parlamentsausschuss angehörte, der eben diesen Missbrauch aufklären sollte. Das geht aus einer forensischen Untersuchung hervor, die das Citizen Lab, die Forschungsgruppe für digitale Grundrechte an der Universität Toronto, am 3. Juli veröffentlicht hat.

Die Analysten stellten „mit hoher Sicherheit“ fest, dass Kouloglous Gerät zweimal kompromittiert wurde: am 21. Oktober 2022 und erneut am 6. und 7. März 2023. Beide Zeitpunkte fielen in seine Amtszeit als stellvertretendes Mitglied des Ausschusses, der unter dem Kürzel PEGA firmierte, von 2022 bis Juli 2023 tagte und eigens eingerichtet worden war, um den Einsatz von Pegasus und ähnlichen Programmen gegen Journalisten, Aktivisten und Politiker in der gesamten Europäischen Union zu durchleuchten.

Vom Ermittler zum Ausgespähten

Kouloglou, der von 2014 bis 2024 im Parlament saß und sich zuvor als investigativer Reporter und Dokumentarfilmer einen Namen gemacht hatte, brachte sein Telefon im Mai zur Prüfung ins Citizen Lab. In den vergangenen Jahren hatte er drei Warnhinweise von Apple über mögliche staatlich gesteuerte Spähangriffe erhalten – gesehen habe er sie nie, so die Forscher.

Was den Fall über eine bloße Peinlichkeit hinaushebt, ist der Zeitpunkt. Beide Infektionen fielen mit heiklen Phasen der PEGA-Arbeit zusammen. Die Software hätte also vertrauliche Beratungen genau jenes Gremiums abgreifen können, das solche Überwachung ans Licht bringen sollte. Der Eingriff „hätte streng vertrauliche Austausche zwischen den Mitgliedern des PEGA-Ausschusses offenlegen können“, warnte das Citizen Lab und forderte die EU-Institutionen auf, umgehend Ermittlungen zu dem Vorfall einzuleiten. Es ist das erste Mal, dass ein amtierendes Ausschussmitglied öffentlich als Pegasus-Opfer identifiziert wird.

„Es ist ironisch, dass ein Mitglied des Ausschusses, der mit der Untersuchung von Pegasus betraut war, selbst mit Pegasus-Spähsoftware angegriffen wurde“, sagte Ron Deibert, Direktor des Citizen Lab.

Für Kouloglou war der Übergriff so persönlich wie politisch. „Man begreift, dass alle persönlichen Daten [entwendet wurden] – nicht nur die beruflichen Austausche oder Nachrichten mit Ministern, sondern auch die sehr privaten Dinge, die glücklichen und die traurigen Momente“, sagte er TechCrunch.

Wer dahintersteckt – und wer nicht

Das Citizen Lab schrieb die Attacke keiner konkreten Regierung zu. Entscheidend: Es fand „keine Hinweise darauf, dass die griechische Regierung verantwortlich ist“, und verwies darauf, dass es keine Berichte über Griechenland als Kunden der NSO Group gibt. Kouloglou selbst hält Athen für den Urheber; die Forscher betonen, dafür keinerlei Belege zu haben.

Stattdessen führten die Analysten die Angriffe auf einen Betreiber zurück, dessen Infrastruktur sich mit einer früheren Pegasus-Kampagne überschnitt. Diese hatte im Exil lebende russisch- und belarussischsprachige Journalisten und Aktivisten in Europa ins Visier genommen. Das Muster deute auf einen Pegasus-Kunden hin, der zur Überwachung in mehreren europäischen Ländern befugt sei – ein Schluss, der den Kreis der Verdächtigen eher erweitert als eingrenzt. Die NSO Group reagierte nicht auf Bitten um Stellungnahme.

Die bestätigten Befunde des Berichts im Überblick:

• Zwei mit hoher Sicherheit bewertete Pegasus-Infektionen von Kouloglous iPhone – im Oktober 2022 und im März 2023.
• Beide Eingriffe fielen in sein PEGA-Mandat und dessen vertrauliche Beratungen.
• Keine Zuordnung zum griechischen Staat, wohl aber ein Betreiber mit Verbindungen zu grenzüberschreitenden Angriffen auf russische und belarussische Exilanten.

Ein Stillstand in Brüssel

Der Befund trifft eine EU-Debatte, die seit Jahren blockiert ist. PEGA wurde im März 2022 eingesetzt, nachdem bekannt geworden war, dass mehrere Mitgliedstaaten Pegasus und konkurrierende Programme gegen Reporter, Oppositionelle und Amtsträger eingesetzt hatten. Im Juni 2023 verabschiedete das Parlament die Abschlussempfehlungen des Ausschusses: ein an Bedingungen geknüpftes Moratorium für Verkauf und Einsatz von Spähsoftware sowie ein gemeinsamer europäischer Rechtsrahmen.

Umgesetzt wurde davon kaum etwas. Die Europäische Kommission und die nationalen Regierungen ließen die Empfehlungen weitgehend liegen, während Kritiker beklagen, die Schutzvorkehrungen des Europäischen Medienfreiheitsgesetzes gegen die Überwachung von Journalisten seien auf Drängen der Mitgliedstaaten verwässert worden. Hannah Neumann, deutsche Grünen-Abgeordnete und ebenfalls PEGA-Mitglied, sieht in dem neuen Fall einen Anstoß, die Sache endlich zu bewegen.

„Spähsoftware macht Demokratien nicht sicherer. Sie schwächt die demokratische Kontrolle, die parlamentarische Unabhängigkeit und die Rechtsstaatlichkeit“, sagte sie. Dass die Arbeit des Ausschusses folgenlos blieb, „zeigt eine völlige Missachtung der Kontrollrolle der Parlamentarier und damit der europäischen Demokratie“.

Die Tragweite reicht über Athen und Brüssel hinaus. Weil Pegasus und seine Konkurrenten an staatliche Kunden in der gesamten Union verkauft werden, betrifft die Frage, wer sie rechtmäßig einsetzen darf – und gegen wen –, jeden der 27 Mitgliedstaaten, Luxemburg eingeschlossen. Dass ausgerechnet der Abgeordnete ausgespäht wurde, der diese Branche zur Rechenschaft ziehen sollte, liefert den Reformern nun das schärfste Sinnbild dafür, was geschieht, wenn die Kontrolle selbst zum Überwachungsziel wird.