Lighthouse Reports deckte First Wap mithilfe geleakter Tracking-Daten und einer Fake-Käufer-Falle auf

First Wap, ein in Jakarta ansässiges Unternehmen für Telefon-Tracking, das von europäischen Führungskräften geleitet wird, verkauft seit zwei Jahrzehnten Überwachungssoftware. Sein Tool Altamides nutzt SS7, ein jahrzehntealtes Telekommunikationsprotokoll, um jede Telefonnummer weltweit innerhalb von Sekunden zu lokalisieren – ohne eine Spur auf dem Gerät zu hinterlassen – und kann zudem Nachrichten abfangen und in verschlüsselte Apps eindringen. Kunden erreichten das Unternehmen über undurchsichtige Mittelsmänner, und die gängige Darstellung der Überwachungsbranche lautete, solche Werkzeuge gingen nur an Regierungen, die gegen schwere Kriminalität kämpften, und Missbrauch sei eine seltene Ausnahme.

Lighthouse Reports hatte keine einfache Möglichkeit, diese Behauptung zu prüfen. Altamides hinterlässt keine forensische Spur auf dem Telefon eines Opfers, Opfer erfahren selten, dass sie getrackt wurden, und der Anbieter konnte Missbrauch schlicht bestreiten. Übliche Vorgehensweisen zum Aufdecken von Spyware wie Geräteforensik ließen sich auf ein Unternehmen auf Netzwerkebene nicht anwenden, das zwanzig Jahre lang abseits des Rampenlichts agiert hatte.

Im Frühjahr 2024 fand ein Reporter von Lighthouse Reports im Deep Web ein geleaktes Archiv: 1,5 Millionen Zeilen von Tracking-Operationen, mehr als 14.000 Telefonnummern, Ziele in über 160 Ländern. Mehr als zehn Reporter ließen die Zahlen durch OSINT-Werkzeuge laufen, akzeptierten eine Identifizierung nur, wenn mehrere unabhängige Datenpunkte übereinstimmten, und benannten über 1.500 Ziele mit hoher Konfidenz. Die Clusterung von Zielen, die zeitlich und räumlich verbunden waren, legte koordinierten Missbrauch offen: ruandische Oppositionsfiguren, die im Abstand von Minuten getrackt wurden, nigerianische Wahlbeamte, die vor einer Abstimmung 2011 verfolgt wurden, ein Vatikan-Journalist, der zur Korruption recherchierte und stündlich abgefragt wurde.

Anschließend konstruierten die Reporter falsche Identitäten – eine südafrikanische „Forschungsberatung“ auf den Britischen Jungferninseln – und trafen den Vertriebsleiter von First Wap im Juni 2025 auf dem ISS World in Prag. Sie boten an, was das Unternehmen öffentlich ausschloss: die Überwachung von Gegnern im Ausland, das Knacken von WhatsApp, die Überwachung von Umweltprotestierenden für einen sanktionierten Minenmagnaten. Vor versteckter Kamera sagte der Verkäufer, das Geschäft werde über Jakarta mit einer Briefkastenfirma abgewickelt, die die Papierspur verschleiere: „we can find a way.“ Veröffentlicht im Oktober 2025 von mehr als 70 Journalistinnen und Journalisten in 14 Medien, ermöglichten die Ergebnisse jedem Partner, das Archiv lokal zu verorten.

Als Käufer auf einer Spionagetechnik-Messe aufzutreten, sodass der Verkäufer des Anbieters selbst vor laufender Kamera Sanktionsumgehung einräumte

Das Archiv war ein System of Record: 1,5 Millionen Zeilen von Operationen aus den eigenen Systemen des Anbieters, sodass die Ergebnisse nicht auf dem Wort eines Informanten beruhten.

Die Forderung nach mehreren unabhängigen Datenpunkten pro Identifizierung verwandelte 14.000 anonyme Nummern in mehr als 1.500 benannte Ziele, und die Clusterung in Zeit und Raum legte koordinierten Missbrauch offen.

Der verdeckte Kauf führte in den eigenen Vertriebsbereich des Anbieters, wo dessen Mitarbeitende von sich aus erklärten, wie sie Sanktionen umgehen würden – im direkten Widerspruch zur öffentlichen Behauptung des Unternehmens, jeden Kunden zu prüfen.

Die gemeinsame Veröffentlichung in 14 Medien verwandelte ein Archiv in Dutzende lokale Geschichten, jede mit einer lokalen Redaktion, die die Spuren vor Ort weiterverfolgen konnte.

Wenn die Behauptungen eines Anbieters sich einer externen Überprüfung entziehen, werden Sie zum Fake-Käufer, filmen Sie die Eingeständnisse seiner Mitarbeitenden und bauen Sie die Geschichte auf den eigenen Unterlagen des Beschuldigten auf.

Die Investigation erschien am 14. Okt. 2025 und wurde von 14 Medien mitveröffentlicht, darunter Der Spiegel, Le Monde und NRK. First Wap bestritt jede illegale Aktivität oder Menschenrechtsverletzung, bezeichnete die Aussagen in Prag als „Missverständnisse“ über technische Machbarkeit und wiederholte, dass seine Werkzeuge der Strafverfolgung dienten. Telecom Liechtenstein erklärte, die Geschäftsbeziehung mit First Wap ausgesetzt zu haben. Partner berichteten weiter über lokale Spuren – Red-Bull-Führungskräfte in Österreich, einen ehemaligen Telenor-Manager in Norwegen –, während das Archiv als umfassendste öffentliche Dokumentation der Operationen eines Telefon-Tracking-Unternehmens auf Netzwerkebene bestehen bleibt.