Kurz zuvor hatte die Nationale Staatsanwaltschaft mitgeteilt, eine Analyse des Inlandsgeheimdienstes ABW habe ergeben, dass das Zentrale Antikorruptionsbüro (CBA), das das Spähprogramm betrieb, „keine vollständige Kontrolle über das Pegasus-System“ gehabt habe, das die NSO Group betrieb.
„Das für die Infektion mobiler Geräte zuständige Servermodul blieb unter der alleinigen Kontrolle des Herstellers“, heißt es in der Mitteilung der Staatsanwaltschaft. Dem CBA hätten zudem die Passwörter für zahlreiche Konten mit Administratorrechten gefehlt. „Dies verhinderte eine vollständige Überprüfung der korrekten Funktionsweise einzelner Systemmodule, einschließlich jener, die für Datenübertragung und -speicherung zuständig sind“, so die Behörde.
Die von der Software erfassten Daten wurden den Ermittlern zufolge über ein Anonymisierungsnetz mit im Ausland stehenden Servern aus Polen hinausgeleitet; die Untersuchung stellte eine Übertragung über ausländische IP-Adressen fest. NSO habe damit „technischen Zugriff“ auf Informationen aus operativen Überwachungsmaßnahmen gehabt. Updates und technischer Support seien den polnischen Stellen über eine Fernverbindung bereitgestellt worden. „Während dieser Arbeiten wurden die operativen Überwachungsmaßnahmen nicht unterbrochen, und der Hersteller hatte vollen Zugriff auf das System, einschließlich der Möglichkeit, Änderungen an dessen Software und Konfiguration vorzunehmen“, teilte die Staatsanwaltschaft mit.
Ob NSO „tatsächlich Zugang zu Materialien aus konkreten operativen Überwachungsmaßnahmen erlangt hat“, können die polnischen Ermittler nach eigenen Angaben nicht sagen.
Ein Sprecher der NSO Group reagierte nicht auf eine Bitte um Stellungnahme.
Im Februar 2024 hatte die Regierung Tusk mitgeteilt, Ermittler hätten bestätigt, dass Pegasus gegen eine „sehr lange“ Liste von Betroffenen eingesetzt wurde. Tusk machte damals öffentlich, dass seine eigene Frau und seine Tochter ausgespäht wurden und Geräte von mehr als 500 weiteren Personen ins Visier genommen und teils infiziert worden waren.
Mehrere frühere Geheimdienst- und Sicherheitsbeamte sind angeklagt, weil sie den Missbrauch der Spähsoftware ermöglicht haben sollen. Bezahlt worden sein soll der Einsatz durch die zweckwidrige Verwendung eines staatlichen Fonds, der eigentlich Kriminalitätsopfern zugutekommen sollte.
Tusk kritisierte die früheren Verantwortlichen scharf: Sie hätten „Geld für ein System gezahlt, das de facto alle nur möglichen Daten über polnische Bürger, polnische Oppositionsführer und unabhängige polnische Staatsanwälte … an die israelische Seite übertragen hat“. Und weiter: „Das ist nicht mehr [nur] ein Skandal … Wir sprechen von einem Verbrechen gegen den Staat.“
Für Staaten, die Spähsoftware einsetzen, zeigten die Erkenntnisse ein grundsätzliches Problem der operativen Sicherheit, sagte John Scott-Railton, Forscher am Citizen Lab. NSO habe staatlichen Kunden lange zugesichert, nicht auf die mit Pegasus erhobenen Daten zugreifen zu können; Unterlagen aus der Beweisaufnahme, die im Rahmen der 2019 von WhatsApp gegen das Unternehmen eingereichten Klage öffentlich wurden, stützten jedoch die Darstellung der polnischen Regierung. Regierungen müssten abwägen, ob ihre „sensiblen Informationen, einschließlich Informationen darüber, wen sie womöglich ins Visier nehmen, und auch die Daten ihrer Bürger, gegenüber ausländischen Akteuren offengelegt werden“, sagte Scott-Railton. „Das trifft den Kern nicht nur des Nutzenversprechens beim Erwerb ausländischer Spähsoftware, sondern auch der Risiken für die Regierung, die sie einsetzt.“