Das FBI stand Berichten zufolge offenbar kurz davor, kommerzielle Spionagesoftware zur Überwachung von US-Staatsbürgern einzusetzen. Laut einem Bericht der New York Times (NYT), der sich auf Gerichtsdokumente stützt, sollen FBI-Beamte zu Beginn des Jahres demnach in Erwägung gezogen haben, die FBI-Führung über den möglichen Einsatz der berüchtigten Spionagesoftware Pegasus zu informieren. Überdies geht aus den der NYT vorliegenden Dokumenten hervor, dass die US-Bundesbehörde bereits Richtlinien für Bundesstaatsanwälte entwickelte, in denen detailliert beschrieben wird, auf welche Weise der Einsatz von Pegasus in Gerichtsverfahren offengelegt werden müsse.
Das umstrittene Hacking-Tool Pegasus der israelischen Firma NSO wurde von verschiedenen staatlichen Akteuren auf der ganzen Welt eingesetzt, um die Mobiltelefone von Zielpersonen zu infiltrieren. Hierzu ist kein physischer Zugriff auf das Gerät notwendig. Das Spionageprogramm kann aus der Ferne installiert werden, ohne dass es die Zielperson mitbekommt. Ist die Software erst einmal installiert, haben die Angreifer die komplette Kontrolle über das Smartphone. So ist es den Hackern möglich, sämtliche Daten vom Handy zu kopieren oder etwa heimlich das Mikro oder die Kamera zu aktivieren und sogar verschlüsselte Nachrichten zu lesen. Im Gegensatz zu anderen Überwachungstools kann Pegasus zudem vergleichsweise einfach auf dem Zielgerät installiert und von dem Nutzer kaum verhindert werden.
Ob das FBI die Spyware tatsächlich "gegen US-Bürger, Ausländer oder sogar beide" einsetzte, geht aus den Gerichtsakten allerdings nicht hervor. Jedoch gilt es als wahrscheinlich, dass die Behörde die Software zumindest testete. Bereits im Januar hatte die NYT unter Berufung auf anonyme Quellen berichtet, dass die Sicherheitsbehörde offenbar das NSO-Tool "Phantom" ausprobierte. Bei dem Tool handelte es sich um eine Variante der bekannteren NSO-Malware Pegasus, die angeblich in der Lage ist, Telefone mit US-Nummern zu infiltrieren und deren Aktivitäten zu überwachen. Laut dem Bericht zog das FBI damals offenbar in Erwägung, das Tool bei strafrechtlichen Ermittlungen einzusetzen.
Doch schon kurz nach Bekanntwerden des möglichen Geschäfts wurden Bedenken hinsichtlich des Datenschutzes laut und die US-Regierung geriet in die Defensive. Bei einer Kongressanhörung zu Beginn dieses Jahres erklärte FBI-Direktor Chris Wray gegenüber den Senatoren, dass das FBI die Pegasus-Lizenzen lediglich zu Forschungs- und Entwicklungszwecken genutzt habe. "Wenn Sie meinen, ob wir die Software bei unseren Ermittlungen eingesetzt haben, um jemanden zu erfassen oder ins Visier zu nehmen, lautet die Antwort – wie mir versichert wurde – nein", entgegnete Wray auf die Frage des demokratischen Senators Ron Wyden, ob die Behörde die Software verwendete:
"Der Grund, warum ich mich absichere, und ich möchte transparent sein, ist, dass wir einige ihrer Werkzeuge für Forschung und Entwicklung erworben haben. Mit anderen Worten, um herauszufinden, wie die Bösewichte sie zum Beispiel einsetzen könnten."
Der Regierungsausschuss wollte im Rahmen einer Untersuchung wissen, ob das FBI jemals Pegasus gekauft oder verwendet hat. Dieder NYTvorliegenden Dokumente scheinen nun jedoch darauf hinzudeuten, dass das FBI entgegen früherer Verlautbarungen sehr wohl daran interessiert war, die Tools für Ermittlungen zu nutzen. Die Gerichtsakten enthalten eine Reihe interner FBI-PowerPoint-Präsentationen, die in den Jahren 2020 und 2021 erstellt wurden und in denen erörtert wird, wie das FBI die Hacking-Tools einsetzen könnte. Darunter befindet sich demnach auch ein 25-seitiges Memorandum der Criminal Investigative Division (CID) des FBI, das "Empfehlungen" für den Einsatz von NSO-Produkten "unter bestimmten Bedingungen" enthielt.
"Die internen FBI-Dokumente und die im Namen des FBI eingereichten Schriftsätze vermitteln das bisher vollständigste Bild vom Interesse des FBI am Einsatz von Pegasus. Obwohl die internen Dokumente stark geschwärzt sind, zeigen sie, dass das FBI ein wachsendes Interesse an der möglichen Nutzung von Pegasus gezeigt hat", schreibt die NYT. Zuvor war berichtet worden, dass die US-Regierung fast zwei Jahre überlegte, ob sie das Überwachungsprodukt legal einsetzen könne, ohne gegen die rechtlichen und verfassungsrechtlichen Beschränkungen der USA zu verstoßen.
Die Kontroverse um das umstrittene Hacking-Tool Pegasus spitzte sich Mitte letzten Jahres mit der Veröffentlichung des "Pegasus-Projekts", eine Enthüllungsgeschichte, die detailliert aufzeigte, in welchem Ausmaß die NSO-Instrumente von ausländischen Regierungen missbraucht wurden, jedoch zu und beendete die zweijährige Debatte der US-Regierung. Aufgrund des starken Drucks der Presse, insbesondere der NYT und der Washington Post, beschloss das FBI Berichten zufolge schließlich im Juli 2021, das Phantom-Projekt und jegliche Implementierung von Pegasus in seine Sicherheits- und Verbrechensüberwachungsstrukturen auf Eis zu legen. Auch stritt die Behörde gegenüber dem US-Senat ab, die Software jemals genutzt zu haben.
In demselben Monat veröffentlichte die Washington Post jedoch eine Untersuchung, in der behauptet wurde, die Software sei von der Behörde verwendet worden, um die Telefone von zwei Frauen zu kompromittieren, die dem ermordeten saudischen Journalisten Jamal Khashoggi nahestanden. Als Reaktion auf die Enthüllungen warf der US-Senat Wray später vor, "irreführende Aussagen über den Erwerb mächtiger Hacking-Tools durch das FBI gemacht" zu haben. Einige Monate später setzten die USA den Pegasus-Schöpfer NSO dann endgültig auf die Entity List des Handelsministeriums – eine Liste, die US-Unternehmen daran hindert, Geschäfte mit dem Unternehmen zu tätigen.
Die Tatsache, dass die Behörde Pegasus derzeit nicht einsetzt, bedeutet jedoch nicht, dass sie dies in Zukunft nicht tun könnte: Im Gegenteil, in einem Rechtsdokument des FBI selbst, das der NYT vorliegt, heißt es: "Nur weil das FBI beschlossen hat, das Tool nicht zur Unterstützung von Ermittlungen gegen kriminelle Aktivitäten einzusetzen, bedeutet dies nicht, dass es ähnliche Tools in Zukunft nicht testen, bewerten und möglicherweise einsetzen wird, um den Zugang zu verschlüsselter Kommunikation zwischen Kriminellen zu erhalten."
Mit Pegasus kann der Angreifer die Identität des Opfers annehmen
Das Überwachungstool Pegasus wurde von Behörden, darunter auch das Bundeskriminalamt (BKA), verwendet, um Journalisten, Menschenrechtsaktivisten, Regierungsvertreter und Oppositionelle in vielen Ländern auszuspionieren, auch in Deutschland. Das Vorgehen der Behörden sorgte weltweit für Aufsehen. Im Juni beschäftigte sich schließlich ein Untersuchungsausschuss des EU-Parlaments mit dem Spionage-Tool, das den Opfern IT-Experten zufolge auf Dauer sogar die Identität stiehlt. Demnach fungiere der Angreifer im Fall von Pegasus als "allmächtiger Administrator" des übernommenen Mobilgeräts, führte Adam Haertlé vom polnischen Technik-Onlineportal Zaufana Trzecia Strona den Abgeordneten dabei vor Augen.
Sobald das Gerät mit der Software infiltriert ist, könnten etwa Dateien und Nachrichten gelesen werden. Dazu gehörten auch Authentifizierungscookies, die es dem Angreifer ermöglichten, auf dem Smartphone geführte Konten etwa für WhatsApp und soziale Netzwerke zu öffnen, so Haertlé. Der Pegasus-Operateur stehle so die Identität der Opfer: "Er kann Sie online nachahmen und an Ihrer Stelle handeln." Zudem sei es mit Pegasus technisch möglich, Dateien auf dem Telefon zu platzieren. Ob diese Optionen genutzt würden, bleibe Haertlé zufolge jedoch offen. Solche Funktionen stelle der Pegasus-Hersteller, die israelische NSO Group, nicht in ihren Werbebroschüren dar. Es bräuchte aber "nur eine Codezeile mehr", um sie verfügbar zu machen, mahnte der IT-Experte.
Mehr zum Thema - Abhörskandal in Spanien: Regierungstelefone von israelischer Spysoftware gehackt