# Predator Files

Die Predator Files (deutsch Raubtier-Dokumente) sind eine Enthüllung aufgrund einer einjährigen investigativen Recherche mehrerer Medienhäuser unter Leitung der European Investigative Collaborations (EIC). Im Zentrum steht dabei das internationale Konsortium Intellexa Alliance, das die Spyware Predator vertrieben haben soll. Diese soll es den Kunden ermöglicht haben, Mobiltelefone abzuhören und zu orten. Die entsprechende Software wurde an Staaten der Europäischen Union, Asiens und in den Vereinigten Staaten vertrieben.

## Spyware

Offiziell wurde Predator im Kampf gegen organisierte Kriminalität verkauft. Die Spyware ermöglichte den Zugang zu elektronischen Geräten der Zielperson. Dafür werden manipulierte Links an die Opfer versendet; beispielsweise vorgetäuschte Artikel seriöser Nachrichtenanbieter, um das Opfer zum Klicken auf den Link zu motivieren.
Gegründet wurde der Vertreiber Intellexa Alliance 2018 in Irland von Tal Dilian, einem ehemaligen General einer Cybereinheit Unit 81 der Israelischen Verteidigungsstreitkräfte. Nach Dienstaustritt akquirierte Dilian das aus Nordmazedonien stammende Start-up-Unternehmen Cytrox mit seinem Unternehmen Aliada. Nexa und AMES (Advanced Middle East Systems) aus Frankreich sind Teil des Intellexa-Konsortiums. Die französischen Unternehmen sind Nachfolger des 2006 an Muammar al-Gaddafi verkauften Spähunternehmens Eagle. Medienberichten zufolge wussten die französische Regierung und der französische Auslandsnachrichtendienst von den Verkäufen an Diktaturen und unterstützten die Geschäftsaktivitäten von Nexa im Ausland.
Der Export solcher Dual-Use-Güter ist von der Europäischen Union sanktioniert. Es steht der Vorwurf im Raum, dass die Sanktionen umgangen wurden, indem man die Spähsoftware als anders deklarierte. Im Juli 2023 ließ Joe Biden Intellexa auf eine schwarze Liste des Handelsministeriums der Vereinigten Staaten setzen. Am 30. März 2023 gab die US-Regierung bekannt, dass sie zusammen mit zehn weiteren Ländern eine gemeinsame Erklärung unterzeichnet haben, um „der Verbreitung und dem Missbrauch kommerzieller Spionagesoftware entgegenzuwirken“. Frankreich, Australien, Kanada, Costa Rica, Dänemark, Neuseeland, Norwegen, die Schweiz, Schweden und das Vereinigte Königreich unterzeichneten die Erklärung.

### Technische Funktionsweise

Analysten des Citizen Lab von der University of Toronto entdeckten die Spähsoftware auf den Geräten der Opfer. Sie untersuchten dafür zwei Versionen von Predator, die die Sicherheitssysteme der Betriebssysteme umgehen: eine für iOS- und eine für Android-Geräte. Dabei wurde ein „Persistenzmechanismus“, der es ermöglicht, eine Präsenz auf dem Gerät aufrechtzuerhalten, selbst wenn es ausgeschaltet wird. Ebenso sei ein taktischer Angriff möglich, bei dem Geräte im Umfeld angezapft werden können. In einer Demonstration gegenüber Journalisten von Forbes 2019 ortete und infizierte die Software Handys in einem Umkreis mehrerer hundert Meter. Damit verschafft die Software Zugriff auf Anruflisten, SMS, Messaging-Apps wie WhatsApp, Telegram oder Signal sowie Fotos, Videos, den Browserverlauf und Ortungsdienste. Die Hacker können ebenfalls Nachrichten verfälschen.
Im Oktober 2023 berichteten Google und Apple, dass sie die Computerschwachstellen, die von der Spyware ausgenutzt wurden, behoben hatten.

## Kunden und Opfer

An 25 Staaten, darunter den Sudan, die Mongolei, an Madagaskar, Kasachstan, Ägypten, Indonesien, Vietnam und Angola wurde die Spähsoftware verkauft. Auch an Deutschland, Österreich und die Schweiz wurde die Spyware verkauft.
Opfer der Spyware wurden unter anderem Aiman Nur und griechische Journalisten im Rahmen des Abhörskandals in Griechenland. Zwischen Februar und Juni 2023 wurden mindestens 50 Konten von 27 Personen und 23 Institutionen X und Facebook öffentlich angegriffen. Am 26. Juli 2022 schilderte der Vorsitzende der Panellinio Sosialistiko Kinima, Nikos Androulakis, dass sein Telefon von der Spionagesoftware Predator ins Visier genommen worden war.
Forscher der französischen IT-Sicherheitsfirma Sekoia identifizierten eine Infrastruktur, die darauf ausgelegt war, die Telefone von Madagassen mit der Predator-Spionagesoftware zu infizieren, was den madagassischen Präsidentschaftswahlkampf 2023 beeinflussen könne. Der französische Konzern Nexa verkaufte die Predator-Spionagesoftware außerhalb jeglichen Rechtsrahmens an Madagaskar. Die Untersuchung von Mediapart und dem Konsortium European Investigative Collaborations enthüllt, dass Überwachungsmaterial in französischen Diplomatengepäck mitgeführt wurde, obwohl keine Exportlizenz fertiggestellt worden war. Madagaskar soll die Software im Mai 2021 nach einer Vorführung, bei der es um ein Überwachungsdossier des regierungskritischen madagassischen Investigativjournalisten Roland Rasoamaharo gegangen sein soll, gekauft und die Spyware aus Angst vor einem Staatsstreich eingesetzt haben.
Vietnam hat versucht, Journalisten und hochrangige Politiker in Europa zu hacken. Dies geht aus einem Bericht von Amnesty International von Oktober 2023 hervor. Die identifizierten Ziele Vietnams sind oppositionelle Journalisten im deutschen Exil, Mitglieder der europäischen Institutionen, die ehemalige deutsche Botschafterin in Washington Emily Haber und die Präsidentin Taiwans, Tsai Ing-wen. Da keine Analysen der Telefone der Zielpersonen durchgeführt wurden, ist nicht bekannt, wie viele ihrer elektrischen Geräte infiziert worden sein könnten.
Laut Mediapart soll der französische Europaabgeordnete Pierre Karleskind, Vorsitzender des Ausschusses für Fischerei des Europäischen Parlaments, Ziel der Spionagesoftware gewesen sein.

## Recherche

Der Spiegel und das französische Mediapart erhielten vertrauliche Dokumente aus französischen Ermittlungen sowie Dokumenten von Hensoldt. Unter einjähriger Koordinierung des EIC recherchierten neben ebengenannten Medien auch NRC Handelsblad, Politiken, Expresso, Le Soir, De Standaard, Verdens Gang, Infolibre und Domani. Ebenso beteiligt waren Shomrin, Reporters United, Daraj Media, die Washington Post und WOZ Die Wochenzeitung.