Die Staatsanwaltschaft München hat nach Informationen von NDR und BR die Firma FinFisher durchsuchen lassen. Die Münchener Firma produziert sogenannte Intrusion-Software – Überwachungs-Programme, wie sie etwa Ermittlungsbehörden einsetzen. Der Hersteller steht im Verdacht, illegal Software exportiert zu haben. Ermittler des Zollkriminalamts haben in der vergangenen Woche 15 Wohn- und Geschäftsräume im In- und Ausland durchsucht.
Elbe Express / Haber Merkezi
Die Staatsanwaltschaft ermittle wegen „des Verdachts des Verstoßes gegen das Außenwirtschaftsgesetz gegen Geschäftsführer und Mitarbeiter der FinFisher GmbH und mindestens zweier weiterer Firmen“, sagte eine Sprecherin auf Anfrage von BR und NDR. Auch das Bundeskriminalamt und das Zollkriminalamt setzen Software von FinFisher ein, zum Beispiel den sogenannten Bundestrojaner.
Es besteht der Verdacht, dass die Firma Software ohne entsprechende Genehmigung ins Ausland exportiert haben könnte. In der Vergangenheit war immer wieder Überwachungssoftware in Ländern aufgetaucht, für die die Bundesregierung keine Ausfuhrgenehmigung erteilt hatte, etwa in der Türkei. Experten hatten die Software untersucht und waren zu dem Ergebnis gekommen, dass es sich hierbei um FinSpy gehandelt habe, die wichtigste Überwachungs-Software von FinFisher.
FinFisher äußerte sich auf Anfrage nicht. Unklar ist derzeit deshalb auch, ob der Quellcode der Software im Rahmen der Durchsuchungen übergeben wurde, wie eine mit dem Fall vertraute Person NDR und BR berichtet hat. Die Staatsanwaltschaft äußerte sich dazu nicht. Bislang ist ungeklärt, ob – und wenn ja, auf welchem Wege – die Software von FinFisher vorbei an den deutschen Behörden ins Ausland exportiert worden war.
Konstantin von Notz, stellvertretender Fraktionsvorsitzender der Grünen im Bundestag, fordert die Bundesregierung in Anbetracht des Verdachts gegen FinFisher dazu auf, die Zusammenarbeit mit dem Unternehmen zu beenden. „Deutsche und europäische Überwachungs- und Zensursoftware trägt weltweit zu massiven Menschrechtsverletzungen bei“, sagte er NDR und BR.
Die Bundesregierung sei unter anderem wegen ihrer Zusammenarbeit mit Firmen wie FinFisher „Teil des Problems und nicht der Lösung“ und gefährde „IT-Sicherheit massiv”. Deutschland müsse „die Zusammenarbeit mit diesen Firmen, die bestehende Kontrollregime bewusst umgehen und ihre mit deutschem Steuergeld gecodeten Programme weiter in aller Despotenhände dieser Welt exportieren, endlich beenden”, sagte von Notz.
Recherchen von NDR und BR zeigen, dass FinFisher-Manager offenbar eine Art Parallelstruktur im Ausland aufgebaut haben könnten. Daten aus dem Handelsregister Malaysias belegen, dass Stephan Oelkers, einer der Geschäftsmänner hinter FinFisher, im Jahr 2015 dort eine Firma mit dem Namen Raedarius M8 Limited gegründet hatte. Zum Geschäftszweck gehörten unter anderem „Lösungen im Bereich der Kommunikations- und Informationstechnologie“ und „Vertrieb und Verkauf“. Zu diesem Zeitpunkt war der Export von Spähsoftware in Deutschland deutlich weniger streng geregelt. Einer der Direktoren hat in der Vergangenheit für mehrere Firmen aus der Überwachungsindustrie gearbeitet.
Im Jahr 2019 hatte die Regierung von Jair Bolsonaro, Brasiliens rechtspopulistischem Staatspräsidenten, Überwachungssoftware im Wert von 850.000 US-Dollar bei Raedarius M8 gekauft. Das geht aus einer Aufstellung der brasilianischen Generalstaatsanwaltschaft hervor. In verschiedenen Firmen-Datenbanken finden sich Spuren zu weiteren Raedarius M8-Firmen: eine gleichnamige Firma in Bulgarien, je eine mit leicht anderem Namen in Pakistan und Dubai.
Oelkers verstarb 2016 in einem Hotel in Indonesien, laut örtlichen Medien an einem Herzinfarkt. Die Anteile an Raedarius M8 gehören heute ausweislich des Handelsregisters zu einem Viertel einem FinSpy-Entwickler. Den Rest verwaltet ein Anwalt aus München, dessen Kanzlei-Anschrift auch als Postadresse von FinFisher fungiert.
Reporter von NDR und BR haben ausführliche Anfragen an FinFisher und Raedarius M8 geschickt – darunter auch die Frage, inwiefern die beiden Unternehmen wirtschaftlich verbunden sind, wer die Anteile hält und ob Raedarius-Firmen womöglich FinFisher-Software im Ausland verkauft haben. Keine der beiden Firmen antwortete.
Die Ermittlungen gegen FinFisher laufen schon seit rund einem Jahr und waren unter anderem durch Presseberichte ins Rollen gekommen. 2018 hatten NDR, WDR und SZ berichtet, dass in der Türkei Überwachungssoftware gegen Oppositionelle eingesetzt worden war. Eine Quellcode-Analyse der Nichtregierungsorganisation „Access Now“ hatte damals ergeben, dass es sich bei der gefundenen Software mit hoher Wahrscheinlichkeit um FinSpy handelte. Auch eine Analyse des Chaos Computer Clubs fand deutliche Indizien dafür, dass FinSpy eingesetzt worden war. Aktivisten von Reporter ohne Grenzen, von Netzpolitik.org, der Gesellschaft für Freiheitsrechte und des European Center for Constitutional and Human Rights hatten die Münchener IT-Firma daraufhin angezeigt.
Auch Reporter ohne Grenzen (ROG) hat damals Anzeige erstattet. ROG-Direktor Christian Mihr sagte nun gegenüber NDR und BR, dass seine Organisation mittlerweile in rund der Hälfte der Fälle, in denen sie Nothilfe leistet, Spähsoftware vorfinde, die gegen die betroffenen Reporterinnen und Reporter eingesetzt werde. „Das heißt, dass Journalisten inhaftiert wurden, weil sie vorher überwacht wurden. Dass sie gefoltert wurden, weil sie identifizierbar wurden”, so Mihr. Auch er appelliert daher an die Bundesregierung: „Will man ein Unternehmen unterstützen, dass dazu beiträgt, dass in Diktaturen und in autoritären Ländern Journalistinnen und Journalisten verfolgt werden?”
FinSpy gilt unter Sicherheitsexperten als besonders hochwertiges Produkt. Die Software kann auf Adressbücher, Fotos und Videos betroffener Handys zugreifen und Telefonate abhören. Zudem gilt die Software als besonders zuverlässig.
Für den Export von Überwachungssoftware gelten in Deutschland strenge Regeln. Jeder Export muss durch das Bundesamt für Wirtschaft und Ausfuhrkontrolle genehmigt werden. Das zuständige Bundeswirtschaftsministerium hatte wiederholt erklärt, dass es seit dem Jahr 2015 keine Exportlizenzen für Überwachungssoftware erteilt habe. FinFisher hatte sich damals nicht zu der Frage äußern wollen, ob es sich bei der gefundenen Software um eines ihrer Produkte handelt.
