NSO Group verkaufte Regierungen eine Zero-Click-Spyware, die verschlüsselte Telefone hackte

Gegen Ende der 2010er Jahre verschlüsselten Consumer-Messaging-Apps Nachrichten Ende-zu-Ende, und Polizei- und Geheimdienste beklagten, dass Kriminelle und Terroristen „im Dunkeln verschwinden“ könnten. NSO Group, ein 2010 gegründetes israelisches Unternehmen, entwickelte Pegasus: Spyware, die von ehemaligen Cyberspionen mit staatlich geschulten Fähigkeiten programmiert wurde, um iPhones und Android-Telefone still zu übernehmen. Mexiko wurde 2011 sein erster ausländischer Kunde, weniger als ein Jahr nach der Gründung des Unternehmens.

Pegasus funktioniert, indem es das Gerät statt die Leitung angreift. Angriffe können als schädlicher Link in einer SMS oder iMessage eintreffen; neuere „Zero-Click“-Versionen liefern die Spyware durch das Senden einer Nachricht, die keine Benachrichtigung erzeugt, sodass das Ziel das Telefon nicht einmal berühren muss. Die Software liest dann alles, was der Nutzer lesen kann – Nachrichten, Fotos, Aufnahmen, Passwörter, Anrufprotokolle, Standort – und kann Kameras und Mikrofone für Echtzeitüberwachung einschalten. Starke Passwörter und Verschlüsselung helfen kaum, und Techniken, die in einem Bericht von 2016 publik gemacht wurden, wurden innerhalb von Stunden geändert.

NSO lizenzierte Pegasus nur an Regierungen: etwa 60 Geheimdienst-, Militär- und Strafverfolgungsbehörden in 40 Ländern, wobei Exporte vom israelischen Verteidigungsministerium genehmigt wurden. Das Unternehmen erklärte, es habe die Menschenrechtsbilanz der Kunden geprüft und betreibe die Software nicht selbst – eine Struktur, die Distanz zwischen dem Anbieter und dem wahrte, was Kunden mit dem Werkzeug taten. NSO rahmte das Produkt als Antwort auf Terrorismus und organisierte Kriminalität ein, die sich hinter Verschlüsselung verstecken.

Im Juli 2021 berichtete das Pegasus Project – The Washington Post, Forbidden Stories und 16 Medienpartner – über eine Liste mit mehr als 50.000 Telefonnummern. Forensische Analysen des Security Lab von Amnesty International fanden versuchte oder erfolgreiche Hacks von 37 Telefonen, die Journalisten, Menschenrechtsaktivisten, Führungskräften und zwei Frauen nahe dem ermordeten saudi-arabischen Journalisten Jamal Khashoggi gehörten; Reporter identifizierten mehr als 1.000 Personen auf der Liste in 50 Ländern. NSO nannte die Ergebnisse haltlos, räumte aber ein, im Vorjahr zwei Kundenverträge wegen Missbrauchsvorwürfen beendet zu haben.

Das Telefon selbst angreifen, nicht die Leitung: stilles Zero-Click-Eindringen braucht keinen Klick, kein Passwort und keine Entschlüsselung

Verschlüsselung schützt die Leitung, nicht das Gerät; indem Pegasus das Telefon selbst kompromittierte, umging es die stärksten Verbraucherschutzmaßnahmen, ohne ein Passwort, einen Klick oder einen Entschlüsselungsschlüssel zu benötigen.

Die Zero-Click-Zustellung beseitigte die Anforderung menschlichen Fehlers, sodass selbst vorsichtige, technisch versierte Ziele wie Journalisten und Aktivisten infiziert werden konnten, während sie überhaupt nichts taten.

Die Produktisierung erstklassiger Exploit-Entwicklung und ihre Lizenzierung an Dutzende Regierungen ermöglichte es NSO, teure Forschung und Entwicklung zu amortisieren, und verwandelte staatliches Telefonhacking in einen käuflichen Dienst.

Die Kunden betrieben die Software selbst, sodass NSO eine Beteiligung bestreiten, die forensischen Beweise bestreiten und weiter verkaufen konnte, während sich Missbräuche häuften.

Wenn Verschlüsselung den Abhörkanal schließt, wechseln fähige Gegner zum Endpunkt: Schütze das Gerät selbst, denn Daten während der Übertragung zu sichern reicht nicht aus.

Das Pegasus Project wurde zur maßgeblichen Dokumentation des Missbrauchs kommerzieller Spyware. NSO nannte die Ergebnisse übertrieben und haltlos, räumte aber ein, im Vorjahr zwei Kundenverträge beendet zu haben (insgesamt fünf), und erklärte, die Prüfung habe das Unternehmen 100 Millionen Dollar gekostet. Amnestys forensische Methodik wurde von Citizen Lab begutachtet und für solide befunden; mehrere Journalisten des Konsortiums stellten fest, dass sie oder Familienmitglieder infiziert worden waren. Apple, dessen iPhones das Hauptziel waren, erklärte, ständig Schutzmaßnahmen hinzuzufügen, und das Katz-und-Maus-Spiel zwischen Spyware-Herstellern und Telefonanbietern ging weiter.