Als Downing Street kürzlich als mutmaßliches Opfer eines Telefon-Hacks durch die Vereinigten Arabischen Emirate benannt wurde, bei dem die in Israel hergestellte Spyware Pegasus verwendet wurde, waren nur wenige überrascht, wer hinter der Entdeckung steckte.
Das Citizen Lab an der University of Toronto ist der NSO Group seit Jahren ein Dorn im Auge, da es die ausgeklügelten Hacking-Tools des Unternehmens entschlüsselt und – was entscheidend ist – die Opfer der Spyware identifiziert.
Ron Deibert, der langjährige Leiter der kanadischen Forschungsgruppe, ist einer der weltweit führenden Experten für die Identifizierung digitaler Bedrohungen der Zivilgesellschaft.
John Scott-Railton, leitender Forscher bei Citizen Lab, gehört zu einer relativ kleinen Gruppe von Experten weltweit, die identifizieren können, welche iPhones und Android-Geräte mit Pegasus infiziert wurden und welche Regierungskunden wahrscheinlich dafür verantwortlich waren.
Es überrascht daher nicht, dass die beiden bei Novalpina, der in London ansässigen Private-Equity-Gruppe, die 2019 die NSO Group übernahm, intensiv im Fokus standen und schnell versuchten, ihren Ruf einzudämmen, repressiven Regierungen zu ermöglichen, weit verbreitete Menschenrechtsverletzungen zu begehen.
Unter Anwendung der britischen Datenschutzgesetze suchten Deibert und Scott-Railton im vergangenen Jahr nach den personenbezogenen Daten, die Novalpina über sie gespeichert hatte. Die Ergebnisse ihrer sogenannten Subjektzugriffsanfragen, die kürzlich mit dem Guardian geteilt wurden, enthalten Ausschnitte aus Hunderten von E-Mails und Anhängen, die ihre Namen enthielten.
Die veröffentlichten Daten, kombiniert mit Informationen aus anderen Quellen, werfen Licht auf einen offensichtlichen Versuch des Novalpina-Partners Stephen Peel, Informationen über Citizen Lab zu sammeln und zu unterminieren. In einem Fall wandte er sich sogar an George Soros, dessen Stiftung ein wichtiger Geber von Citizen Lab ist, und beschwerte sich über die Forscher.
Peel, ein ehemaliger britischer olympischer Ruderer, war der Architekt einer Initiative, „einen neuen Maßstab für Transparenz und Achtung der Menschenrechte zu setzen“, als Novalpina Anfang 2019 NSO übernahm.
Citizen Lab war unterdessen seit 2016 an vorderster Front dabei, Menschenrechtsverletzungen aufzudecken, die von Kunden der NSO Group begangen wurden, und enthüllte beispielsweise, wie Saudi-Arabien hatte die Spyware des Unternehmens verwendet, um das Mobiltelefon eines Dissidenten zu hacken, der ein enger Mitarbeiter von Jamal Khashoggi war Monate bevor der Journalist ermordet wurde.
Die Anwälte von Novalpina sagten in Briefen, die an Deibert und Scott-Railton veröffentlicht wurden, dass sie 473 E-Mails gefunden hätten, die Deiberts persönliche Daten enthielten, darunter einige Duplikate. 223 E-Mails mit dem Namen Scott-Railton.
Sie enthüllen, wie Novalpina und NSO im Februar 2019 die Dienste von Vivek Krishnamurthy in Anspruch nahmen, der zu dieser Zeit Anwalt mit Expertise in der Praxis der sozialen Verantwortung von Unternehmen bei der amerikanischen Anwaltskanzlei Foley Hoag war. Eine mit der Angelegenheit vertraute Quelle sagte, NSO habe der Firma etwa 220.000 US-Dollar (170.000 Pfund) für ihre Arbeit gezahlt.
Krishnamurthy wurde als „externer Fachberater“ angeworben, um den Governance-Rahmen von NSO an den UN-Leitprinzipien für Wirtschaft und Menschenrechte (UNGP) auszurichten.
Die Dokumente deuten jedoch darauf hin, dass es auch ein anderes Motiv gegeben haben könnte: Krishnamurthy war Absolvent der University of Toronto und hatte Jahre zuvor als wissenschaftlicher Assistent für Deibert gearbeitet, der ihm geholfen hatte, ein Rhodes-Stipendium zu erhalten. Infolgedessen war er gut positioniert, um zu versuchen, sich an den NSO-Kritiker anzuschmiegen.
In einem Vorschlag von Foley Hoag vom Februar 2019, Rechtsdienstleistungen für NSO zu erbringen, hieß es, dass Krishnamurthys frühere Beziehung zu Deibert bedeutete, dass er in einer „einzigartigen Position sei, Citizen Lab zu kontaktieren, falls die NSO Group dies für wünschenswert erachtet“. Der Vorschlag räumte ein, dass NSO „Reputationsprobleme“ habe, und sagte: „Unser Ziel ist es, der NSO Group dabei zu helfen, als das weltweit ethischste Unternehmen im Überwachungsbereich angesehen zu werden, indem wir Systeme, Richtlinien und Verfahren einrichten, um sicherzustellen, dass sie mit Recht arbeitet -respektvolle Art.“
In einem Austausch am 1. März 2019 schickte Peel Krishnamurthy eine E-Mail und sagte dem Anwalt, es sei an der Zeit, „Deibert zu erreichen, um herauszufinden, was los ist“. Der Anwalt antwortete prompt, dass er das tun würde, und fügte hinzu: „Er kann stachelig sein, und er ist eindeutig aufgeregt über NSO.“
Am folgenden Tag schickte Krishnamurthy eine E-Mail an seinen ehemaligen Mentor und erklärte, er sei eingestellt worden, um an der Menschenrechtspolitik von NSO zu arbeiten.
Er sagte Deibert, er habe „lange und intensiv darüber nachgedacht“, ob er für NSO arbeiten solle, insbesondere angesichts der jüngsten Arbeit von Citizen Lab.
„Ich hätte wahrscheinlich nein gesagt, wenn mein guter Freund Sir Mark Stephens nicht gewesen wäre“, schrieb er und bezeichnete den britischen Anwalt – der ein CBE, aber kein Ritter ist – als „einen der weltweit führenden Menschenrechtsanwälte“.
Er sagte, Stephens, ein gefeierter britischer Anwalt, der häufig in hochkarätigen Fällen tätig ist, mit ehemaligen Klienten wie Julian Assange, Salman Rushdie und Greenpeace, hatte ihm Peels „tiefgehendes persönliches Engagement für die Menschenrechte und seinen Wunsch, dass NSO in einer die Rechte respektierenden Weise arbeitet“ versichert.
Deibert lehnte das Treffen ab. Er sagte dem Guardian, er glaube nicht, dass die NSO Group oder ihre Eigentümer in gutem Glauben auf die Korrespondenz und Fragen von Citizen Lab geantwortet hätten, und wolle nicht erscheinen, um das Unternehmen zu legitimieren.
Er lehnte auch einen Versuch von Krishnamurthy drei Monate später ab, ein persönliches Treffen mit seinem alten Universitätsmentor zu sichern, als Krishnamurthy Deibert dies – nach einem Austausch mit Peel, der ihm mitteilte, dass er erneut ein Treffen mit Deibert suchen würde – per E-Mail mitteilte Er wollte ihn auf einem Familienausflug nach Toronto sehen: “Du würdest mit mir in meiner Eigenschaft als ehemaliger Schüler etwas trinken gehen und nicht als irgendetwas anderes!”
Deibert sagte, er finde es „zutiefst beunruhigend und enttäuschend“, dass Novalpina einen ehemaligen Studenten und wissenschaftlichen Mitarbeiter eingestellt habe, der sich anscheinend „heimlich in die Sammlung von Informationen über unsere Aktivitäten eingeschlichen“ habe.
Krishnamurthy, ein Fakultätsmitglied an der Universität von Ottawa, der war kürzlich in einen Beratungsausschuss der kanadischen Regierung berufen zur Online-Sicherheit, bestritt, aus diesem Grund eingestellt worden zu sein, räumte jedoch ein, dass seine frühere Beziehung zu Deibert für die Arbeit relevant war, die er für Novalpina „als Vermittler in gutem Glauben“ mit der NGO-Gemeinschaft leisten konnte.
Er drückte sein „Bedauern“ darüber aus, dass seine Arbeit für die Geldgeber von NSO seine Beziehung zu Deibert beschädigt habe, und beschrieb seine Arbeit für das Unternehmen als „die seltsamste Angelegenheit, die ich je behandelt habe“.
Stephens, der Peel als Freund bezeichnete, bestätigte, dass er Krishnamurthy der Novalpina-Führung vorgeschlagen hatte, sagte jedoch, dass er zu diesem Zeitpunkt nichts von Krishnamurthys früherer Beziehung zu Deibert wusste. Er sagte, er habe zuvor für Peel gearbeitet, aber nicht für Novalpina oder NSO.
Stephens lobte Peel und kritisierte Citizen Lab dafür, dass es sich unverhältnismäßig auf NSO konzentriert.
„Das praktische Ergebnis dessen, was sie [Citizen Lab] getan haben, ist, die anderen Akteure auf diesem Marktplatz zu ignorieren und effektiv von ihnen abzulenken, und sie haben ihnen einen völlig freien Pass gegeben, und ich denke, das ist verwerflich“, sagte Stephens.
Citizen Lab hat tatsächlich Berichte darüber erstellt ein Bereich von Sonstiges Cyberüberwachungsunternehmenund veröffentlichte Berichte über andere digitale Bedrohungen für die Zivilgesellschaft, einschließlich Zensur durch die chinesische Regierung und Schwachstellen in Covid-bezogenen Anwendungen.
Seine Arbeit wurde von der Ford Foundation, der Hewlett Foundation und den Open Society Foundations finanziert, die vom milliardenschweren Philanthropen George Soros gegründet wurden. Die an Deibert weitergegebenen Novalpina-Dokumente enthalten eine E-Mail von Soros’ Büro, die von Peel an NSO in Israel weitergeleitet wurde.
Das Dokument wurde redigiert, aber gut platzierte Quellen und andere E-Mails, die der Guardian gesehen hat, deuten darauf hin, dass die Kontaktaufnahme mit Soros Teil eines letztendlich erfolglosen Versuchs von Peel gewesen sein könnte, die Finanzierung von Citizen Lab zu untergraben.
Im Mai 2019 soll Peel Citizen Lab bei einem Abendessen mit Soros in New York angesprochen haben. Später ließ er mit E-Mails nach, in denen er versuchte, die kanadische Forschungsgruppe zu diskreditieren.
In einem beschimpfte er die Forschung von Citizen Lab und behauptete, es sei „eine Organisation, die bis auf ihren Angriff auf NSO unbekannt ist“. Er hinterfragte die Motivationen, Taktiken und Ziele der Gruppe, die er als „etwas weniger rein als wir erhofft“ beschrieb.
Eine mit der Angelegenheit vertraute Person sagte, sie glaube, dass Peels unausgesprochenes Ziel darin bestanden haben könnte, Soros dazu zu bringen, die finanzielle Unterstützung seiner Wohltätigkeitsorganisation für die Forscher zurückzuhalten. Eine zweite gut platzierte Quelle sagte, sie könnten Peels Motiv nicht beurteilen, aber sie könnten nicht ausschließen, dass dies seine Absicht war.
Soros zeigte sich letztlich unbeeindruckt von der Kritik an Citizen Lab. Einen Monat nach dem Abendessen riet der in Ungarn geborene Milliardär Peel, er solle sich wahrscheinlich aus der NSO-Investition zurückziehen.
Die Anwälte von Peel sagten, dies seien „dürftige und unbegründete Anschuldigungen“ und Peel setze sich für „gute Regierungsführung und Menschenrechte“ ein.
Deibert sagte, die Dokumente deuteten darauf hin, dass Novalpinas Verpflichtung, NSO an Menschenrechtsprinzipien auszurichten, ein Feigenblatt zu sein schien.
„Wir haben genug von ihren offensichtlich absurden Leugnungen angesichts von Beweisen für Missbrauch gesehen, um zu verstehen, dass sie nicht wirklich an menschenrechtlicher Sorgfalt interessiert zu sein scheinen, sondern viel mehr Geld verdienen und ein scheinbar schmackhaftes öffentliches Image schaffen“, sagte er.
„Man kann nur zu dem Schluss kommen, dass das Endergebnis wichtiger ist als die Menschenrechte für diejenigen, die ihre Taschen mit den Verkäufen der NSO Group füllen – einschließlich ihrer Führungskräfte, Eigentümer und hochbezahlten Anwälte.“
Krishnamurthy sagte in einer schriftlichen Erklärung gegenüber dem Guardian, dass er und seine Kollegen geglaubt hätten, als sie eingestellt wurden, dass Novalpina es ernst meinte, „wirkliche Veränderungen bei NSO“ vorzunehmen.
„Allerdings zeigt die spätere Aufzeichnung der NSO Group über die Mittäterschaft an groben Menschenrechtsverletzungen, wie falsch wir lagen. Ich bedauere meine kurze Zeit als Berater von Novalpina im Jahr 2019“, sagte er.
Krishnamurthy fügte hinzu, er hoffe, dass Führer wie Deibert und Citizen Lab „es schaffen würden, die äußerst schädlichen Aktivitäten von NSO zu beenden“.
Ein US-Beratungsunternehmen namens Berkeley Research Group (BRG) übernahm im vergangenen Juli nach einem internen Streit zwischen den Gründungspartnern von Novalpina die Verwaltung des Fonds, dem NSO gehört.