Der Bericht mit dem Titel «Surveillance and the Suppression of Civil Society in Serbia» dokumentiert, wie forensische Produkte des israelischen Unternehmens Cellebrite eingesetzt werden, um Daten von Mobilgeräten von Medienschaffenden und Aktivist*innen zu extrahieren. Und wie die serbische Polizei und die Sicherheitsinformationsagentur BIA das massgeschneiderte Android-Spionagesystem NoviSpy verwendet haben, um die Geräte von Personen während ihrer Festnahme oder polizeilichen Befragung heimlich zu infizieren.
«Unsere Recherche zeigt, wie die serbischen Behörden Überwachungstechnologie und digitale Repressionstaktiken als Instrumente einer umfassenderen staatlichen Kontrolle und Repression gegen die Zivilgesellschaft einsetzen», sagte Dinushika Dissanayake, stellvertretende Regionaldirektorin von Amnesty International für Europa.
«Dies ist ein unglaublich effektiver Weg, um die Kommunikation zwischen Menschen völlig zu unterbinden. Alles, was man sagt, kann gegen einen verwendet werden, was sowohl auf persönlicher als auch auf beruflicher Ebene lähmend ist»Branko (Name zum Schutz der Identität geändert), ein Aktivist, im Gespräch mit Amnesty.
«Sie zeigt auch, wie die mobilen forensischen Produkte von Cellebrite – die von Polizei und Geheimdiensten weltweit eingesetzt werden – ein enormes Risiko für diejenigen darstellen können, die sich für Menschenrechte, Umwelt und Meinungsfreiheit einsetzen, wenn sie ausserhalb strenger gesetzlicher Kontrolle und Aufsicht verwendet werden.»
Was mit Cellebrite und NoviSpy alles möglich ist
Die Cellebrite UFED-Produktreihe, die für Strafverfolgungsbehörden und Regierungsstellen entwickelt wird, ermöglicht die Extraktion von Daten aus einer Vielzahl von Mobilgeräten, einschliesslich einiger der neuesten Android-Geräte und iPhone-Modelle, auch ohne Zugriff auf den Gerätecode.
NoviSpy - eine bisher unbekannte Android-Spyware - ist zwar technisch weniger fortgeschritten, bietet serbischen Behörden aber dennoch umfangreiche Überwachungsmöglichkeiten, sobald sie auf dem Gerät einer Zielperson installiert ist. Die Software kann sensible persönliche Daten von einem Zieltelefon erfassen und bietet die Möglichkeit, das Mikrofon oder die Kamera eines Telefons aus der Ferne einzuschalten, während die forensischen Tools von Cellebrite dazu verwendet werden, das Telefon vor der Infektion mit der Spyware zu entsperren und auch die Extraktion der Daten auf dem Gerät zu ermöglichen.
Beide Software-Systeme wurden laut Amnesty-Bericht regelmässig von den serbischen Behörden eingesetzt, um die Geräte von Aktivist*innen und Journalist*innen zu infizieren, und zwar offenbar während Befragungen oder Inhaftierungen.
So wurde etwa im Februar 2024 der unabhängige serbische Enthüllungsjournalist Slaviša Milanov unter einem Vorwand verhaftet und befragt. Als er sein Telefon der Polizei übergab, war es ausgeschalten und er gab ihnen keine Auskunft über sein Passwort. Nachdem er den Polizeiposten wieder verlassen durfte, stellte Slaviša fest, dass sein Telefon offensichtlich manipuliert worden war. Eine forensische Analyse durch das Sicherheitslabor von Amnesty International ergab, dass das UFED-Produkt von Cellebrite verwendet worden war, um das Telefon heimlich zu entsperren, und dass im Anschluss NoviSpy verwendet worden war, um das Gerät zu infizieren.
Auswirkungen der staatlichen digitalen Überwachung und Repressionstaktiken
«Dies ist ein unglaublich effektiver Weg, um die Kommunikation zwischen Menschen völlig zu unterbinden. Alles, was man sagt, kann gegen einen verwendet werden, was sowohl auf persönlicher als auch auf beruflicher Ebene lähmend ist», so Branko (Name zum Schutz der Identität geändert), ein Aktivist, der mit Pegasus-Spionagesoftware überwacht wurde, im Gespräch mit Amnesty.
«Wir alle befinden uns in einer Art digitalem Gefängnis», so Branko. Auch andere Aktivist*innen berichten von den Auswirkungen dieser Überwachung: «Meine Privatsphäre wurde verletzt, und das hat mein Gefühl der persönlichen Sicherheit völlig zerstört. Es verursachte enorme Ängste», so der Aktivist Aleksandar (Name zum Schutz der Identität geändert).
Serbische Regierung muss Spionagesoftware einstellen
In einem Schreiben an Amnesty konnte die NSO Group, die Pegasus entwickelt hat, nicht bestätigen, ob Serbien ihr Kunde war, erklärte aber, dass die Gruppe «ihre Verantwortung für die Achtung der Menschenrechte ernst nimmt und sich nachdrücklich dafür einsetzt, negative Auswirkungen auf die Menschenrechte zu vermeiden, nicht dazu beizutragen oder direkt damit in Verbindung gebracht zu werden, und alle glaubwürdigen Behauptungen über den Missbrauch von Produkten der NSO Group gründlich zu überprüfen.»
Die serbischen Behörden und Cellebrite, die beide vor Veröffentlichung des Berichtes von Amnesty International über die Ergebnisse informiert worden waren, gaben keine Stellungnahmen ab.
Lediglich Cellebrite antwortete auf die Anfrage von Amnesty International zu Beginn der Untersuchungen, dass es kein Überwachungsunternehmen sei und keine Cyber-Überwachung anbiete. Das Unternehmen erklärte, sein Produkt sei eine «digitale Ermittlungsplattform, die Strafverfolgungsbehörden mit der Technologie ausstattet, die sie benötigen, um Leben zu schützen und zu retten, die Rechtssprechung zu beschleunigen und den Datenschutz zu wahren». Es fügte hinzu, dass seine Produkte «ausschliesslich für den rechtmässigen Gebrauch lizenziert sind, einen Haftbefehl oder eine Zustimmung benötigen, um Strafverfolgungsbehörden bei rechtlich sanktionierten Ermittlungen zu helfen, nachdem ein Verbrechen stattgefunden hat.»
Auch wenn dies der beabsichtigte Verwendungszweck sein mag, zeigt die Untersuchung von Amnesty International, wie die Produkte von Cellebrite missbraucht werden können, um den Einsatz von Spionagesoftware und die umfassende Sammlung von Daten von Mobiltelefonen ausserhalb von gerechtfertigten strafrechtlichen Ermittlungen zu ermöglichen. Dies stellt eine grosse Gefahr für die Menschenrechte dar. Entsprechend fordert Amnesty International die serbischen Behörden auf, den Einsatz hochgradig invasiver Spionagesoftware einzustellen und den Opfern unrechtmässiger, gezielter Überwachung wirksame Rechtsmittel zur Verfügung stellen und die Verantwortlichen für diese Verstösse zur Rechenschaft ziehen.
Cellebrite und andere Unternehmen der digitalen Forensik müssen eine angemessene Sorgfaltsprüfung durchführen, um sicherzustellen, dass ihre Produkte nicht in einer Weise eingesetzt werden, die zu Menschenrechtsverletzungen beiträgt.
Hintergrund
In den letzten Jahren sind die staatliche Repression und das feindliche Umfeld für Verfechter der Meinungsfreiheit in Serbien mit jeder Welle von Anti-Regierungs-Protesten eskaliert. Die Behörden haben anhaltende Verleumdungskampagnen gegen Nichtregierungsorganisationen, Medien und Journalist*innen geführt und haben auch diejenigen, die an friedlichen Protesten beteiligt waren, Verhaftungen und juristischen Schikanen ausgesetzt.