Überwachungstechnologie: Wie gefährlich ist die Box aus Zug?
Ein israelischer Unternehmer verkauft über seine Schweizer Firma Polus ein Gerät nach Indonesien, das Handys lokalisieren und identifizieren kann – angeblich für den Katastrophenschutz. Doch Recherchen lassen an dieser Darstellung zweifeln.
Gemeinsam mit einem Journalisten der israelischen Zeitung «Haaretz» treffen wir Niv Karmi im pompösen Büro einer Anwaltskanzlei in der Mailänder Innenstadt. Der israelische Unternehmer hat den Gesprächsort ausgewählt, eine Mitarbeiterin protokolliert fleissig. Karmi trägt einen perfekt sitzenden beigen Anzug. Der Mann ist eine eindrückliche Erscheinung: gross gewachsen, wortgewandt, ein guter Zuhörer. Die frühere Berichterstattung der WOZ zu seinen Geschäften kritisiert er gleich zu Beginn des Treffens scharf. Für seinen Geschmack hat man zu sehr auf seine Vergangenheit bei der skandalumwitterten israelischen Spionagefirma NSO und zu wenig auf sein neues Unternehmen fokussiert: Polus Tech.
2010 war Karmi an der Gründung von NSO beteiligt, doch er verliess die Überwachungsfirma, die später die berüchtigte Spionagesoftware Pegasus vertrieb (siehe WOZ Nr. 40/21: «‹Ich war im System›» und «Der dritte Mann»), bereits nach wenigen Monaten. 2015 gründete er in Zug eine neue Technologiefirma namens Polus Tech. Bis heute ist Karmi deren Verwaltungsratspräsident. Das wichtigste Produkt der Firma heisst Nemesis, benannt nach der griechischen Göttin des gerechten Zorns: eine Box, neun Kilogramm schwer und so gross, dass sie gut in einen Rucksack passt. Das Gerät kann in einem Umkreis von mehreren Hundert Metern Handys lokalisieren und identifizieren. Das geschieht mit sogenannter IMSI-Catching-Technologie: Nemesis wird von Handys als Mobilfunkantenne erkannt und liest bei der Verbindung die auf der SIM-Karte gespeicherte International Mobile Subscriber Identity (IMSI) aus, eine weltweit einmalige Identifikationsnummer.
Feuerwehrmann Sam
Zu was ist Nemesis fähig, und wozu wurde es entwickelt? Beim Treffen in Mailand erzählt Karmi die Geschichte von Sam, dem Feuerwehrmann. Sam kommt in einem Katastrophengebiet an, er weiss nicht, wie viele Personen in Not sind und wo sie sich aufhalten. Das Gerät helfe, die Opfer zu finden, es könne aber nur sehr limitierte Informationen dokumentieren, betont Karmi: «Ich weiss nicht, wer der Besitzer ist, ich kenne auch die Telefonnummer nicht, lediglich die IMSI-Nummer.» In einem zweiten Schritt nehme Nemesis über eine Textnachricht Kontakt auf. Das Gerät sei mit künstlicher Intelligenz ausgestattet, so könnten es nicht nur Spezialist:innen, sondern eben auch Feuerwehrmann Sam einfach bedienen.
Tatsächlich kamen die Geräte von Polus bereits im Katastrophenschutz zum Einsatz, etwa bei den Überschwemmungen 2021 in Deutschland. Abgesehen davon verfolgt Polus mit seinem Gerät aber noch eine grössere Vision. Die Box macht es nämlich auch möglich, Handys ans Internet anzuschliessen. «Connect the unconnected», wie es Karmi auf einen Slogan bringt: Seine Box biete eine kostengünstige Lösung, um einige der 4,4 Milliarden Menschen auf der Welt, die über keinen Internetanschluss verfügen, künftig ans Netz anzuschliessen. Doch erzählt der umtriebige Unternehmer die ganze Geschichte, wozu diese Geräte gebaut und eingesetzt werden?
Der Blick auf Schweizer Rüstungsexportdaten zeigt: Polus exportiert seine Nemesis-Box nach Indonesien. In ein Land also, mit dem Israel wegen Differenzen im Konflikt mit Palästina offiziell keine Beziehungen pflegt und das wegen seiner Aufrüstung mit Überwachungstechnologie in der Kritik steht. Karmi erwarb sein Fachwissen in einer Spezialeinheit der israelischen Armee. Zudem investiert das staatliche Rüstungsunternehmen Israel Aerospace Industries (IAI) seit der Gründung in Polus.
Seco bewilligte Export
In gemeinsamen Recherchen nahmen die WOZ, die israelische Zeitung «Haaretz», das indonesische Magazin «Tempo» und das griechische Investigativportal «Inside Story» die Geschäfte von Polus unter die Lupe. Die Recherchegruppe wertete Exportzahlen aus der Schweiz und Daten von Handelsplattformen sowie zahlreiche Unternehmensdaten aus, sprach mit Expert:innen und kontaktierte Behörden in der Schweiz und in Indonesien. Dabei entsteht ein widersprüchliches Bild von Karmis Geschäftstätigkeit.
So distanziert sich dieser zwar öffentlich immer wieder von Spionagefirmen wie NSO oder Intellexa, deren invasive Systeme wie Pegasus oder Predator nachweislich zur Totalüberwachung von Oppositionellen und Aktivist:innen verwendet werden (siehe WOZ Nr. 40/23). Allerdings zeigen Dokumente, die der WOZ vorliegen, dass Polus im Mai 2021 eine Zahlung von 318 000 Euro von einer griechischen Intellexa-Firma erhielt. Zu einem Zeitpunkt also, als bereits wegen illegaler Abhörmassnahmen gegen die Firma ermittelt wurde. Damit konfrontiert, erwidert Karmi im Gespräch in Mailand, die Zahlung habe in Zusammenhang mit dem Katastrophenschutz gestanden. Doch Intellexa ist nachweislich nicht in diesem Bereich tätig.
Fest steht: Die Geräte von Polus sind Dual-Use-Geräte, sie können also für zivile Zwecke, aber auch zur Überwachung eingesetzt werden. Deshalb müssen Ausfuhren aus der Schweiz von der Exportkontrolle für Rüstungsgüter bewilligt werden. Dafür zuständig ist das Staatssekretariat für Wirtschaft (Seco). Die bewilligten Exporte von Polus sind in wenigen Jahren sprunghaft angestiegen, mittlerweile ist die Zuger Firma die mit Abstand grösste Schweizer Exporteurin von Produkten für die Internet- und Mobilfunküberwachung. 2022 liess Polus Ausfuhren für 23 Millionen Franken nach Indonesien bewilligen. Indonesien scheint derzeit der einzige grössere Kunde von Polus zu sein; Ausfuhrbewilligungen für andere Länder wurden nicht eingeholt.
Das Seco erteilte die Bewilligung trotz Berichten über den problematischen Einsatz von Überwachungstechnologie in Indonesien. Auf die Frage, ob es diese Exporte auch bei heutigem Wissensstand (vgl. «Invasive Überwachung in Indonesien» im Anschluss an diesen Text) noch bewilligen würde, sagt das Seco lediglich, dass Gesuche «fallweise» und unter Berücksichtigung «der Situation zum Zeitpunkt der Beurteilung» geprüft würden.
Das unerwähnte Szenario
Von Zug aus werden die zum Export freigegebenen Polus-Produkte nach Indonesien verschifft und landen dort bei Radika Karya Utama. Die IT-Firma bietet allerlei Dienstleistungen rund um IT-Infrastruktur an – und versorgt lokale Sicherheitsbehörden mit Überwachungstechnologie. Gelangen so auch die Nemesis-Boxen zu indonesischen Polizeieinheiten?
Angenommen, die Polizei würde Nemesis verwenden, dann könnte sie das Gerät wie folgt einsetzen: Eine Polizeieinheit könnte eine Kundgebung von Aktivist:innen überwachen. Mit der Box von Polus könnte sie die IMSI-Nummern der Anwesenden sammeln und ihnen ein SMS schicken: «Wir wissen, dass ihr hier seid, löst die Versammlung sofort auf!» Ein einschüchterndes Szenario für Aktivist:innen – und für Erik Schönenberger von der Digitalen Gesellschaft vor allem eine reale Gefahr: «Die Technologie kann zur politischen Kontrolle eingesetzt werden und damit wichtige demokratische Grundrechte verletzen.» Schönenberger und die Digitale Gesellschaft befassen sich seit Jahren als zivilgesellschaftlicher Watchdog mit der Entwicklung und dem Einsatz von IMSI-Catchern und der Gesetzgebung dazu. Gerade in Ländern mit schwachem Rechtsstaat könne der Einsatz von IMSI-Catchern schwerwiegende Folgen haben. Karmi streitet die Gefahr nicht ab, dass die Technologie zur Überwachung eingesetzt wird. Er argumentiert aber, dass solche Massnahmen auch direkt über Telekomanbieter ausgeführt werden könnten, sein Produkt brauche es dafür nicht.
Und: Er bestätigt im Gespräch, dass Nemesis an indonesische Polizeieinheiten geliefert wird. Das sei aber nur ein Umweg, der aufgrund von Regulierungen nötig sei, um an Rettungskräfte liefern zu können. Denn die Nutzung des Geräts durch Rettungsdienste sei nur erlaubt, wenn sie von der Polizei begleitet werde. Auch den vom Seco bewilligten Exportumfang von 23 Millionen Franken erklärt er mit Regulierungen. Polus habe gar nicht für diese Summe exportiert; das sei eine in Abkommen vereinbarte Summe, weil die Firma die im Katastrophenfall benötigten Geräte nur auf diesem Weg liefern könne.
Aussagen von Mitarbeiter:innen und Zahlen von Handelsplattformen deuten darauf hin, dass Polus seine Geschäfte auf Bangladesch und Mexiko ausweiten will. Das Seco lehnte in der Vergangenheit Exportgesuche für IMSI-Catcher nach Bangladesch ab, weil es ihren Einsatz zu Repressionszwecken befürchtete. Auch aus Mexiko gibt es Berichte über die missbräuchliche Verwendung von IMSI-Catching-Technologie zum Zweck der Massenüberwachung. Karmi will es anscheinend trotzdem versuchen.
Ben Wagner forscht an der Technischen Universität Delft zum Verhältnis von Menschenrechten und Technologie, daneben berät er Regierungen und internationale Organisationen. Gegenüber der WOZ schätzt Wagner die Wahrscheinlichkeit von missbräuchlicher Verwendung von IMSI-Catching-Technologie in Indonesien, Bangladesch und Mexiko als hoch ein. Das europäische Exportkontrollregime zu IMSI-Catching-Technologie sei ungenügend, wenn auch «besser als gar keines».
Während der Export der Polus-Produkte gut nachgezeichnet werden kann, lasse sich über den Einsatz vor Ort wenig mit Sicherheit sagen. «Nach dem Export ist die Kontrolle schwierig», sagt Schönenberger von der Digitalen Gesellschaft. Er warnt vor einfacheren Exportmöglichkeiten für IMSI-Catching-Technologie. Dem stimmt auch Wissenschaftler Wagner zu: «Wir brauchen eine bessere und robustere Regulierung aller Formen von Überwachungstechnologien.» Das gilt insbesondere für Geschäfte mit Ländern wie Indonesien, wo die Zivilgesellschaft laut Amnesty International mit anhaltenden Angriffen «auf die Rechte auf freie Meinungsäusserung, friedliche Versammlung und Vereinigungsfreiheit, persönliche Sicherheit und Schutz vor willkürlicher Verhaftung» konfrontiert ist.
Amnesty-Bericht : Invasive Überwachung in Indonesien
Ein gerade erst veröffentlichter Bericht des Amnesty International Security Lab, eines Rechercheteams, das Menschenrechtsverstösse durch digitale Überwachung der Zivilgesellschaft dokumentiert, widmet sich dem Einsatz invasiver Spionagesysteme in Indonesien. Das umfangreiche Beweismaterial basiert auf mehrmonatigen Recherchen: Der Bericht liefert unter anderem starke Hinweise darauf, dass Handys von Oppositionellen und Unabhängigkeitsaktivist:innen aus Westpapua mit dem Predator-Trojaner der Spionagefirma Intellexa angegriffen wurden.
Die untersuchten Systeme von bekannten privaten Herstellern wie Wintego, Finfisher, Candiru, Intellexa oder NSO sind deutlich invasiver als die Nemesis-Box von Polus (vgl. Haupttext «Wie gefährlich ist die Box aus Zug?»). Deren Software dringt in Zielgeräte ein und kann diese in der Folge fast vollständig überwachen und teilweise manipulieren. Laut Amnesty sind diese «hochgradig invasiven Spionageprogramme so konzipiert, dass sie verdeckt arbeiten und so wenig Spuren wie möglich hinterlassen». Wie der Bericht aufzeigt, erfolgen Lieferung und Betrieb der Programme im Fall von Indonesien zudem über ein undurchsichtiges Netz von Lieferanten und Unternehmen wie beispielsweise Radika Karya Utama – die Firma, die auch die Polus-Box importiert. Diese Hintergründe machten es äussert schwierig, den Einsatz der Software gegen die Zivilgesellschaft nachzuweisen.
