Serbien: Behörden setzen Spyware gegen Journalist*innen und Aktivist*innen ein

Amnesty appelliert an künftige österreichische Regierung, keine Messenger-Überwachung zuzulassen

Die serbische Polizei und der serbische Geheimdienst setzen fortschrittliche Spionagesoftware und forensische Produkte für Mobiltelefone ein, um Journalist*innen, Umweltaktivist*innen und andere Personen in einer verdeckten Überwachungskampagne unrechtmäßig ins Visier zu nehmen, wie ein neuer Bericht von Amnesty International zeigt. Der Bericht mit dem Titel „A Digital Prison: Surveillance and the Suppression of Civil Society in Serbia“ dokumentiert, wie forensische Produkte des israelischen Unternehmens Cellebrite eingesetzt werden, um Daten von Mobilgeräten von Medienschaffenden und Aktivistinnen zu extrahieren. Und wie die serbische Polizei und die Sicherheitsinformationsagentur BIA das maßgeschneiderte Android-Spionagesystem NoviSpy verwendet haben, um die Geräte von Personen während ihrer Festnahme oder polizeilichen Befragung heimlich zu infizieren.

Spyware auch in Österreich geplant

„Die serbischen Behörden setzen Überwachungstechnologie und digitale Repressionstaktiken als Instrumente einer umfassenden staatlichen Kontrolle und Repression gegen die Zivilgesellschaft ein“, sagt dazu Charlotte Deiss, Juristin und Research Officer für Meinungsäußerungsfreiheit bei Amnesty International Österreich. „Der Bericht macht deutlich, wie hochinvasive Spyware das Recht auf Privatleben sowie die Meinungsäußerungs- und Versammlungsfreiheit von jedem Einzelnen gefährdet.“ Sie warnt eindringlich davor, solche hochinvasive Spyware auch in Österreich einzusetzen – Pläne dafür gibt es ja bereits.

Dass diese nicht menschenrechtskonform stattfinden kann, hat Amnesty International bereits in ihrer Stellungnahme zum Gesetzesentwurf zur Messenger-Überwachung dargelegt.

Laut Deiss ist nicht nur der Einsatz von Spyware menschenrechtlich äußerst bedenklich, er führt auch zu einem so genannten Chilling-Effekt, wie auch im aktuellen Amnesty-Bericht erklärt wird: „Aus Angst, möglicherweise ebenfalls überwacht zu werden, verhalten sich Menschen anders und berichten nicht wie sonst über die Dinge bzw. distanzieren sich von ihrem Aktivismus“, so Deiss.

Was mit Cellebrite und NoviSpy alles möglich ist

Die Cellebrite UFED-Produktreihe, die für Strafverfolgungsbehörden und Regierungsstellen entwickelt wird, ermöglicht die Extraktion von Daten aus einer Vielzahl von Mobilgeräten, einschließlich einiger der neuesten Android-Geräte und iPhone-Modelle, auch ohne Zugriff auf den Gerätecode. 

NoviSpy - eine bisher unbekannte Android-Spyware - ist zwar technisch weniger fortschrittlich, bietet serbischen Behörden aber dennoch umfangreiche Überwachungsmöglichkeiten, sobald sie auf dem Gerät einer Zielperson installiert ist. Die Software kann sensible persönliche Daten von einem Zieltelefon erfassen und bietet die Möglichkeit, das Mikrofon oder die Kamera eines Telefons aus der Ferne einzuschalten, während die forensischen Tools von Cellebrite dazu verwendet werden, das Telefon vor der Infektion mit der Spyware zu entsperren und auch die Extraktion der Daten auf dem Gerät zu ermöglichen.

Beide Software-Systeme wurden laut Amnesty-Bericht regelmäßig von den serbischen Behörden eingesetzt, um die Geräte von Aktivist*innen und Journalist*innen zu infizieren, und zwar offenbar während Befragungen oder Inhaftierungen.

So wurde etwa im Februar 2024 der unabhängige serbische Enthüllungsjournalist Slaviša Milanov unter einem Vorwand verhaftet und befragt. Als er sein Telefon der Polizei übergab war es ausgeschalten und die Beamt*innen hatten keine Auskunft über sein Passwort. Nach seiner Freilassung stellte Slaviša fest, dass sein Telefon offensichtlich manipuliert wurde. Eine forensische Analyse durch das Sicherheitslabor von Amnesty International ergab, dass das UFED-Produkt von Cellebrite verwendet wurde, um das Telefon heimlich zu entsperren, sowie im Anschluss NoviSpy verwendet wurde, um das Gerät zu infizieren. 

Auswirkungen der staatlichen digitalen Überwachung und Repressionstaktiken

„Dies ist ein unglaublich effektiver Weg, um die Kommunikation zwischen Menschen völlig zu unterbinden. Alles, was man sagt, kann gegen einen verwendet werden, was sowohl auf persönlicher als auch auf beruflicher Ebene lähmend ist“, so Branko*, ein Aktivist, der mit Pegasus-Spionagesoftware überwacht wurde, im Gespräch mit Amnesty. Und genau das ist das Problem: „Eine solche Verfolgung führt zu einer Art Selbstzensur“, wie Charlotte Deiss von Amnesty International Österreich bestätigt.

„Wir alle befinden uns in einer Art digitalem Gefängnis“, so Branko. Auch andere Aktivist*innen berichten von den Auswirkungen dieser Überwachung: „Meine Privatsphäre wurde verletzt, und das hat mein Gefühl der persönlichen Sicherheit völlig zerstört. Es verursachte enorme Ängste“, so der Aktivist Aleksandar*.

Forderung an die serbische Regierung: Spionagesoftware einstellen

In einer Schreiben an Amnesty konnte die NSO Group, die Pegasus entwickelt hat, nicht bestätigen, ob Serbien ihr Kunde war, erklärte aber, dass die Gruppe „ihre Verantwortung für die Achtung der Menschenrechte ernst nimmt und sich nachdrücklich dafür einsetzt, negative Auswirkungen auf die Menschenrechte zu vermeiden, nicht dazu beizutragen oder direkt damit in Verbindung gebracht zu werden, und alle glaubwürdigen Behauptungen über den Missbrauch von Produkten der NSO Group gründlich zu überprüfen.“

Die serbischen Behörden und Cellebrite, die beide vor Veröffentlichung des Berichtes von Amnesty International über die Ergebnisse informiert wurden, gaben beide keine Stellungnahmen ab.

Lediglich Cellebrite antwortet auf die Anfragen von Amnesty International zu Beginn der Untersuchungen, dass es kein Überwachungsunternehmen sei und keine Cyber-Überwachung anbiete. Das Unternehmen erklärte, sein Produkt sei eine „digitale Ermittlungsplattform, die Strafverfolgungsbehörden mit der Technologie ausstattet, die sie benötigen, um Leben zu schützen und zu retten, die Justiz zu beschleunigen und den Datenschutz zu wahren“. Es fügte hinzu, dass seine Produkte „ausschließlich für den rechtmäßigen Gebrauch lizenziert sind, einen Haftbefehl oder eine Zustimmung benötigen, um Strafverfolgungsbehörden bei rechtlich sanktionierten Ermittlungen zu helfen, nachdem ein Verbrechen stattgefunden hat.“

Auch wenn dies der beabsichtigte Verwendungszweck sein mag, zeigt die Untersuchung von Amnesty International, wie die Produkte von Cellebrite missbraucht werden können, um den Einsatz von Spionagesoftware und die umfassende Sammlung von Daten von Mobiltelefonen außerhalb von gerechtfertigten strafrechtlichen Ermittlungen zu ermöglichen, was eine große Gefahr für die Menschenrechte darstellt.  Entsprechend fordert Amnesty International die serbischen Behörden auf, den Einsatz hochgradig invasiver Spionagesoftware einzustellen und den Opfern unrechtmäßiger, gezielter Überwachung wirksame Rechtsmittel zur Verfügung stellen sowie die Verantwortlichen für diese Verstöße zur Rechenschaft ziehen.

Cellebrite und andere Unternehmen der digitalen Forensik müssen ebenfalls eine angemessene Sorgfaltsprüfung durchführen, um sicherzustellen, dass ihre Produkte nicht in einer Weise eingesetzt werden, die zu Menschenrechtsverletzungen beiträgt.

Hintergrund

In den letzten Jahren sind die staatliche Repression und das feindliche Umfeld für Verfechter der Meinungsfreiheit in Serbien mit jeder Welle von Anti-Regierungs-Protesten eskaliert. Die Behörden haben anhaltende Verleumdungskampagnen gegen Nichtregierungsorganisationen, Medien und Journalisten geführt und haben auch diejenigen, die an friedlichen Protesten beteiligt waren, Verhaftungen und gerichtlichen Schikanen ausgesetzt.

*Name zum Schutz der Identität geändert