Deen, deen de Pegasus-Skandal opklären sollt, gouf selwer mam Pegasus ausspionéiert

E Mann, deen am Häerz vun der EU d'Mëssbräich vu kommerzieller Spyware opklären sollt, ass selwer mat genau deem Instrument geknackt ginn, deen säin Ausschoss ënnert d'Lupp geholl huet. Dat geet aus engem forensesche Bericht ervir, deen d'Citizen Lab den 3. Juli publizéiert huet.

Betraff ass de Stelios Kouloglou, e griichesche Recherchejournalist, deen tëscht 2015 an 2024 am Europaparlament souz. Seng Analytiker soen, säin iPhone wier op d'mannst zweemol mam Pegasus infizéiert ginn — där zero-click-Spyware, déi déi israelesch Firma NSO Group zu Herzliya baut a verkeeft — genau an där Zäit, wou hie Member vum PEGA-Enquêteausschoss war. Dee Gremium war 2022 extra geschaf ginn, fir de gesetzeswiddregen Asaz vu Pegasus an änleche Programmer duerch EU-Regierungen ze duerchleuchten.

D'Citizen Lab, e Fuerschungslabo vun der Universitéit Toronto, kënnt mat „grousser Sécherheet" zur Conclusioun, datt dem Kouloglou säin Apparat de 21. Oktober 2022 (géint 10.16 Auer) an nach eng Kéier den 6. bis 7. Mäerz 2023 kompromittéiert gouf — deemools war hien zu Athen an zu Bréissel. De Rapport, säin 194., hält fest, datt weider Infektiounen net auszeschléisse sinn; verschidde Medien schwätze vun op d'mannst dräi Virfäll iwwer déi zwee Joer. Apple huet dem Kouloglou eréischt Méint duerno d'Warnungen iwwer eng staatlech gestäipt Attack geschéckt.

Wéi den Enquêteur zum Zil gouf

Mat Pegasus kritt en Operateur onbemierkt d'Kontroll iwwer en Handy: Messagen, Fotoen, Kontakter, Kamera a Mikro — alles läit op. D'Timing vun den Abréch, soen d'Fuerscher, passt genee op déi sensibelst Momenter vum Ausschoss: déi éischt Infektioun fällt an eng intensiv Phas vun de PEGA-Audiéiungen, ënnert anerem zu „Big Tech a Spyware" an zu Spyware an e-Privatsphär; déi zweet iwwerlappt sech mat de Beroodungen iwwer de Schlussrapport.

Fir déi Leit, déi d'Enquête gefouert hunn, war d'Symbolik net z'iwwersinn.

Et ass ironesch, datt e Member vun deem Ausschoss, dee mat der Ënnersichung vu Pegasus beoptraagt war, selwer mat der Pegasus-Spyware ugegraff gouf.

Déi Aschätzung koum vum Ron Deibert, dem Grënner an Direkter vum Citizen Lab. De Kouloglou selwer sot der Associated Press, hie wier dovun ausgaang, seng Roll géif him e gewëssene Schutz ginn. „Ech hunn net erwaart, datt e PEGA-Member vu Pegasus ausspionéiert géif ginn", sot hien, an huet derbäigesat, hie wier net dovun ausgaang, datt deen, deen dohannert stécht, sou „liichtfankeg" wier. Op sengem Telefon, seet hien, louchen 15 Joer u Messagen a Fotoen — och Austausch mat Parteichefen a Journalisten.

Wien et war — a wien et net war

Entscheedend: d'Citizen Lab huet den Hack keng eenzeger Regierung zougeschriwwen. D'Fuerscher soen ausdrécklech, si hätte keng Hiweiser fonnt, datt d'griichesch Regierung verantwortlech wier, an halen fest, datt et keng Berichter gëtt, datt Griicheland Client vun der NSO Group ass oder war — eng bewosst Presiséierung, wann een un den Iwwerwaachungsskandal denkt, deen Athen selwer virun e puer Joer erschéiert huet.

Amplaz hunn d'Analytiker enger technescher Spuer nogaang. De Kéder, mat deem den Exploit ausgeliwwert gouf — eng Message, déi dem Apple säi HomeKit ausnotzt, Deel vun enger Ketten, déi de Labo mat engem Exploit mam Numm PWNYOURHOME verbënnt — huet op enger E-Mailadress opgebaut, déi och an enger Kampagne am Mee 2024 géint siwe russesch- a belarussschsproocheg exiléiert Journalisten an Aktivisten an Europa opgetaucht ass. Aus där Iwwerlappung schléissen d'Fuerscher, datt ee eenzegen Pegasus-Operateur béid Operatiounen gefouert huet — also e Client, deen d'Erlaabnis huet, iwwer méi europäesch Juridiktiounen ewech ze spionéieren.

Mat anere Wierder beschreift de Bericht net e Rebell, mä e Client vun engem reglementéierte kommerzielle Produkt, deen op EU-Buedem operéiert. D'NSO Group huet op Ufroe fir eng Stellungnam net reagéiert; d'Firma huet fréier gesot, si iwwerpréift hir Regierungscliente a kënnegt Kontrakter, wa Mëssbrauch beluecht gëtt.

Eng Schluecht, déi d'Parlament ni ofgeschloss huet

D'Enthüllung kënnt op onerleedegt Aarbecht. Den PEGA-Ausschoss huet 2022 an 2023 dokumentéiert, wéi Memberstaaten — ënnert hinne Griicheland, Polen, Ungarn a Spuenien — Spyware géint Journalisten, Oppositiounsleit an d'Zivilgesellschaft agesat hunn, an huet eng Rei Recommandatioune fir méi strikt Kontrolle formuléiert. Deputéiert, déi dobäi waren, soen, d'Europäesch Kommissioun hätt déi Virschléi gréisstendeels an der Schueff leie gelooss.

Aktuell Deputéiert gesinn am neie Rapport en Ugrëff op d'Institutioun selwer.

• D'Hannah Neumann, eng däitsch Gréng, déi um Ausschoss verhandelt huet: „Vill vun eis hunn erwaart, datt et wärend dem Ausschoss e puer Hacke géif ginn, mä et ass elo trotzdem frustréierend erauszefannen, datt et wierklech geschitt ass."
• De John Scott-Railton, Senior-Fuerscher beim Citizen Lab a Matautor, warnt, datt d'Problem laang net agedämmt ass: „Ech weess, wat dat nächst Kapitel vun där Geschicht ass — et ginn nach méi geknackte Parlamentsmemberen, an ech géif wetten, datt haut Memberen am Europaparlament ronderëmlafen, ouni ze wëssen, datt hiren Telefon an der Täsch an e Spioun verwandelt gouf."

D'Sophie in 't Veld, déi fréier hollännesch Deputéiert, déi Berichterstatterin vum Ausschoss war, huet eng Lag beschriwwen, an där Verantwortung praktesch verschwonnen ass. „Mir sinn an enger Situatioun, wou jiddereen jiddereen ausspionéiere kann", sot si der Associated Press, „a si spionéieren d'Bierger aus, d'Journalisten, d'ONGen, d'Affekoten, d'Politiker — a keen weess, wien dohannert stécht."

Firwat dat och Lëtzebuerg ugeet

D'Europaparlament deelt seng Aarbecht op Bréissel, Stroossbuerg a Lëtzebuerg op. D'Garantien, ëm déi et hei geet — d'Onofhängegkeet vum Parlament, d'Pressefräiheet an d'Vertraulechkeet vun de Quelle vun enger Enquête — bannen all 27 Memberstaaten, Lëtzebuerg matgezielt. En erfollegräichen Abroch bei engem Deputéierten, deen d'Iwwerwaachung kontrolléiert, trëfft d'EU un hirer eegener Fäegkeet, genau dës Iwwerwaachung zur Rechenschaft ze zéien. Ob déi lescht Beweiser Bréissel endlech vun der Recommandatioun bis zur Reglementatioun bréngen, bleift virläufeg eng oppe Fro.