Darf der Staat bald am Smartphone mitlesen?

Sein Geschäftspartner ist Shalev Hulio – er war früher CEO der NSO Group, der Firma hinter der Spionage-Software Pegasus. Das ist nicht die einzige personelle Nähe, das EU-Investigativ-Medium „Follow the Money“ berichtete zuletzt darüber, dass es einige Mitarbeiter gäbe, die für beide Unternehmen tätig waren. Und auch einige weitere, die für die israelische Geheimdienst-Einheit 8200.

Modernisierung mit Outsourcing

10 Millionen Euro hätte man ab 2026 für die Überwachung von Nachrichten gerne, heißt es in einer Wirkfolgenabschätzung zur Modernisierung des Verfassungsschutzes. Danach jährlich zwei Millionen bis 2029 an Lizenzgebühren. Laut Kennern der Szene spricht das dafür, dass hier bei einem internationalen Konzern eingekauft werden soll. Angeschafft werden solle auch ein IMSI-Catcher, damit können lokale Bewegungsdaten ausgewertet werden. Planstellen sind in der Kostenabschätzung zu Nachrichten-Überwachung nicht vermerkt, was nahelegt, dass die Mehrarbeit entweder von bestehendem Personal des Nachrichtendienstes im Innenministerium, der Direktion für Staatsschutz und Nachrichtendienst (DSN) übernommen werden muss, oder komplett ausgelagert wird.

Es ist der zweite Anlauf für die Umsetzung eines Bundestrojaners in Österreich. 2019 hob der Verfassungsgerichtshof die damalige Regelung, eingeführt von Türkis-Blau, auf – unter anderem auf Antrag des heutigen Regierungsmitglieds Neos. Die „verdeckte Überwachung der Nutzung von Computersystemen stellt einen schwerwiegenden Eingriff“ in die von der Europäischen Menschenrechtskonvention geschützte Privatsphäre dar und sei nur in „äußerst engen Grenzen zum Schutz“ zulässig, hieß es in der Begründung vom Verfassungsgerichtshof. 

Viele offene Fragen

Sind die Grenzen im neuen Entwurf eng genug? Entscheiden wird über die Ermittlungsmaßnahme laut Ministerialentwurf das Bundesverwaltungsgericht. Davor wird der Rechtsschutzbeamte im Innenministerium mit der Sache befasst, er hat drei Tage Zeit sich zu äußern. 

Über die Art der Überwachung herrscht noch einiges an Unklarheit: Technisch gesehen ist es gar nicht möglich, verschlüsselte  Messenger wie Signal zu überwachen – eine Überwachung der Chats ist nur über zwei Wege möglich: Indem der Chatdienst-Betreiber die Nachrichten an die Behörden rausrückt, oder: Indem die Ermittler eine Sicherheitslücke im Handy-Betriebssystem ausnützen, eine Spyware am Gerät installieren und dadurch theoretisch Zugriff auf alle Daten am entsprechenden Smartphone haben. Dass die österreichische DSN so eine Spyware selbst programmiert, gilt als so gut wie ausgeschlossen, denkbar wäre aber, die Software von einem international agierenden Unternehmen einzukaufen. Außerdem, wenn nur eine einzige App mit Spionage-Software infiziert wäre, dann würde ein Spyware-Tracker diese finden und die Aktion somit auffliegen, so ein Mitglied des österreichischen Chaos Computer Clubs, der größten Hacker-Vereinigung Europas, gegenüber profil. Das Mittel, der Trojaner, ist dasselbe wie im Jahr 2018 – denn technisch ist diese Art der Überwachung nicht anders umsetzbar. Ein großes Fragezeichen ist auch, wie der Trojaner, die Software, auf das Endgerät kommen soll – entweder wird es physisch entwendet, oder die Zielperson wird durch einen getarnten Link überlistet, etwas zu installieren – ein Trick, den man eher von Gangstern als dem Staat erwarten würde.

Der Staat finanziere hier ein fragwürdiges Geschäftsmodell, wenn er derartige Software kauft, denn somit hat er auch ein Interesse diese Software-Lücken offen zu halten. Der Österreich-Ableger des Chaos Computer Club hält nicht viel vom geplanten Gesetz. Aus kriminologischer Sicht sei es bereits möglich, beschlagnahmte Geräte auszuwerten und verdeckt zu ermitteln. In früheren Stellungnahmen der Organisation zum Gesetzesentwurf heißt es auch, dass der Schrei nach mehr Überwachung nicht evidenzbasiert sei und somit nicht zur Verhinderung von organisierten Verbrechen helfe. Denn: Die Überwachung von Chats schaffe keine Prävention. 

Sicherheit in der Sicherheitsbranche

Wer mit dieser Art von Software zur Überwachung von Chats arbeitet, der lässt sich mit teils dubiosen Geschäftsleuten ein, so ein Branchenkenner gegenüber profil. Es sei auch keine Software, die hier erworben wird, sondern eine Dienstleistung – mit externen Mitarbeitern und diese Schnittstellen bieten Raum für Angriffe. Es ist aus der Causa rund um den Ex-BVT-Beamten Egisto Ott bekannt: Innerhalb der Nachrichtendienste scheinen in Österreich einige wenige ihre Insiderinformationen zu vergolden. Unlängst wurde im Zusammenhang mit der Causa eine Ex-Kabinettmitarbeiterin Kickls verurteilt (nicht rechtskräftig), weil sie durch ihren Job an ungekennzeichnete Dokumente kam und diese somit abgreifen konnte. Sicherer soll diese Zusammenarbeit gemäß dem neuen Gesetzesentwurfs durch regelmäßige Personal-Überprüfungen werden – aber auch hier bleibt offen, wer prüfen soll. 

Besonders laut ruft die DSN, die dem Innenministerium unterstellt ist, nach dem Staatstrojaner. Immer wieder mit dem Argument, dass Österreich das einzige Land Europas ohne Messenger-Überwachung ist. Aber ist das so? Ein profil-Faktencheck aus dem Sommer 2024 konnte die Aussage nicht verifizieren, denn weder DSN, noch die EU wissen, wer in Europa welche Art von Messenger-Überwachung hat. 

Aus Sicht der Staatsschützer hätten damit die Anschlagspläne gegen das Taylor-Swift-Konzert in Wien weit früher vereitelt werden können. Wir erinnern uns: Im Sommer 2024 kam der entscheidende Tipp aus den USA, denn die dürfen überwachen. Die CIA gab die Information aus dem Telegram-Chat (ein Messengerdienst, Anm.) an den Heeresnachrichtendienst weiter, und der dann an die DSN, so „Der Standard“. Zehn bis 14 Tage vor dem Konzert – der Zugriff erfolgte am Vortag des geplanten Konzerts. Vor dem Durchbruch der Messenger-Kommunikation, zur Zeit, als alle Mobilfunk-Telefonie oder SMS verwendeten, konnten Ermittlungsbehörden kriminelle Netzwerke besser überwachen als heute.

Vfgh-Entscheidung 2.0?

Weil der Bereich so sensibel sei, gäbe es für Gesetzesentwurf eine verlängerte Begutachtungsfrist von acht Wochen. Es werde innerhalb der Koalition intensive Gespräche geben, „Neos sehen beim vorliegenden Entwurf noch einigen Verbesserungsbedarf“, so die Partei gegenüber profil.  Sichergestellt werden müsse, dass die Regelung ausschließlich bei einzelnen Gefährdern zur Anwendung komme.

Die Frage bleibt: Wer spioniert hier gegen wen und wie wird sichergestellt, dass nicht der technische Dienstleister die Daten abgreift? Am 6. Juni endet die Begutachtungsfrist für den Entwurf zur Messenger-Überwachung. Dann könnte die Debatte samt Befassung des Verfassungsgerichtshofes von vorne beginnen.