Spyware-Ausschuss: Zypern entdeckt Firmengeflecht des Pegasus-Herstellers NSO

Inhaltsverzeichnis

Bürgerrechtler warnen seit Längerem, dass sich die in Israel beheimatete NSO Group für Entwicklung und Vertrieb ihrer Staatstrojaner hinter einer labyrinthartigen Unternehmensstruktur verbirgt. Die Regierung Zyperns hat nun sechs Firmen mit NSO-Bezug gefunden, die aber – zumindest offiziell – keine Malware verkaufen. Anlass für die Nachforschung gab der im Frühjahr eingesetzte Untersuchungsausschuss des EU-Parlaments über den Einsatz des NSO-Trojaners Pegasus und vergleichbarer Spionagesoftware.

"Die NSO Group scheint keine eingetragene juristische Person in Zypern zu sein", schreibt die zypriotische Regierung in dem heise online vorliegenden Antwortschreiben. NSO halte offenbar auch keine direkten Anteile an einer in Zypern eingetragenen, rechtlich geregelten Organisation. "Dennoch haben wir sechs Unternehmen in Zypern ausfindig gemacht, die entweder von Vorstandsmitgliedern der NSO Group gegründet oder gekauft wurden."

Handfestes Material für den Ausschuss des EU-Parlaments, der den Spyware-Skandal aufklären soll, ergibt das aufs Erste nicht_ Bei dreien dieser Betriebe handle es sich um Buchhaltungsfirmen, teil Zypern mit. Die anderen drei seien "in der Forschung und Entwicklung von Produkten" tätig, "die nichts mit Software zu tun haben". Die einzige festgestellte Exporttätigkeit betreffe die Ausfuhr von Hardware durch eines dieser Unternehmen.

Ernst glaubt Beschwichtigungen nicht

"Die zypriotische Regierung bestätigt nun, wie NSO sich auch in der EU ausbreitet", erklärte die dem Ausschuss angehörende EU-Abgeordnete Cornelia Ernst (Linke) gegenüber heise online: "Die gleichzeitig vorgetragenen Beschwichtigungen sind nicht glaubhaft, denn die genannten Firmen können durchaus Dienste für die Entwicklung, Produktion und den Einsatz von Spionagesoftware erbringen." Die Volksvertreter müssten noch mehr Licht ins Dunkel bringen. Zu befürchten sei, "dass das NSO-Geflecht in Zypern nur die Spitze des Eisbergs ist".

"Wir beobachten eine neue Dynamik in der europäischen Spionageindustrie", zeigte sich Ernst zusätzlich besorgt. Im Windschatten der Pegasus-Enthüllungen und der schlechten Presse für NSO versuchten Unternehmen wie der Hersteller der Spionagesoftware Predator, Intellexa, ihr Geschäft zu machen. Der Umzug der Firma von Zypern nach Griechenland sei kein gutes Zeichen für Bürgerrechte und digitale Sicherheit, "denn vermutlich sollen damit Exportbeschränkungen unterlaufen werden".

Wenig Ermittlungen in Zypern

Zypern erstaunt mit der Mitteilung, dass die Polizeiabteilung für IT-Kriminalität seit 2019 erst 85 Fälle in Zusammenhang mit Angriffen auf Informationssysteme untersucht hat. Bei keinem sei eine Verbindung mit Pegasus oder einer anderen gleichwertigen Spähsoftware erkannt worden.

Der Inselstaat bekräftigt sein "unerschütterliches Engagement für die Förderung, den Schutz und die tatsächliche Wahrnehmung der Menschenrechte sowohl im eigenen Land als auch auf internationaler Ebene". Zyperns Regierung sei weiter bereit, mit dem Untersuchungsausschuss zusammenzuarbeiten, "um die Urheber schwerer Menschenrechtsverletzungen und -missbräuche zur Rechenschaft zu ziehen".

Die zuständigen zypriotischen Behörden überwachten und prüften alle Anträge auf Ausfuhrgenehmigungen für Güter mit doppeltem Verwendungszweck ("Dual Use"), zu denen Staatstrojaner rechtlich zählen, "von Fall zu Fall und in voller Übereinstimmung mit den einschlägigen Sanktionsregelungen".

Einem Bericht von Amnesty International & Co zufolge hat die NSO Group Holdinggesellschaften beziehungsweise operative Einheiten auf den Britischen Jungferninseln, in Bulgarien, auf den Kaimaninseln, auf Zypern, in Israel, Luxemburg, Großbritannien und den USA gegründet. Produkte würden aus Bulgarien, Zypern und Israel exportiert. Dieses Dickicht habe der Gruppe "rechtliche und regulatorische Vorteile in verschiedenen Rechtsprechungen verschafft, um Investitionen, Betrieb und Wachstum zu erleichtern".

Persönlicher Erfahrungsbericht

Seine persönlichen Erfahrungen mit der "dystopischen" Überwachung durch Predator & Co offenbart der griechische Journalist Tasos Telloglou in einem Beitrag für die Heinrich-Böll-Stiftung. In den vergangenen zwei Monaten habe er gemeinsam mit Kollegen in der EU nach Intellexa und ähnlichen Unternehmen gesucht, die hauptsächlich in Zypern ansässig sind, schreibt der Reporter. Weder das zypriotische Handels-, noch das griechische Außenministerium hätten aber Exportlizenzen für einschlägige Firmen gefunden.

Einschlägige Unternehmen haben laut Telloglou beschlossen, hohe Ausgaben zu deklarieren, das weitgehend unregulierte Umfeld der EU-Länder auszunutzen und je nach rechtlichen beziehungsweise steuerlichen Rahmenbedingungen zwischen verschiedenen Rechtssystemen, darunter Griechenland, Zypern und Irland, zu "jonglieren".

In den Steuererklärungen einer irischen Tochter der Thalestris-Gruppe, über die Exporte abgewickelt worden seien, fänden sich dementsprechend hohe Ausgaben für vermutlich weitgehend erfundene "Lizenzgebühren", schreibt der Journalist. Seit Ende Juli versicherten verschiedene Regierungsvertreter, dass Intellexa das Land verlassen werde. Das sei aber keine Lösung, da das Unternehmen nur woanders hingehen und von dort aus dasselbe tun werde. Der Rechtsrahmen, der dies zulässt, müsse geändert werden.

(ds)