„Wer nichts zu verbergen hat, braucht keine Überwachung zu fürchten“, sagte der Präsident des Verfassungsgerichts, Wladimir Petrow, in Bezug auf die Behauptungen der Studenten, ihre Handys seien mit Spionagesoftware infiziert worden. Dieser kurze Satz birgt eine der gefährlichsten Annahmen, auf denen eine Überwachungsgesellschaft beruhen kann: dass Privatsphäre nur denen zusteht, die etwas zu verbergen haben, und dass der Bürger – und nicht der Staat – erklären sollte, warum er nicht überwacht werden will.
Anfang September hielten Studierende erstmals seit Beginn der Studentenproteste eine Pressekonferenz ab, auf der sie über die Angriffe auf ihre Mobiltelefone berichteten. Laut Erkenntnissen der SHARE Foundation wurden im Jahr 2026 mindestens 14 Studierende, Aktivisten und Oppositionsabgeordnete mit hochentwickelter Spyware angegriffen. Die Ergebnisse der SHARE Foundation wurden von zwei forensischen Laboren bestätigt, und das Citizen Lab der Universität Toronto bestätigte, dass Pegasus auf dem Telefon eines Mitglieds der Studierendenbewegung gefunden wurde. Auch Amnesty International bestätigte Angriffe auf die Geräte; Pegasus wurde nach bisherigen Erkenntnissen auf mindestens zwei Telefonen nachgewiesen.
Es geht um Software, die Zugriff auf nahezu alle Inhalte eines Telefons ermöglicht, darunter Nachrichten, Fotos, Kontakte und Dokumente. Darüber hinaus kann sie Mikrofon und Kamera ohne Wissen des Besitzers aktivieren, Screenshots erstellen und die Daten an den Angreifer senden. Ein solches Vorgehen beschränkt sich nicht auf das Abhören einer einzelnen Person. Es ermöglicht den Zugriff auf die Gesprächspartner dieser Person sowie auf deren Familie, Freunde, Kollegen und Mitarbeiter.
Laut den Erkenntnissen der SHARE Foundation gehörten die meisten Betroffenen der Studentenbewegung, Aktivisten oder lokalen Oppositionsgruppen an. Der Zeitraum der Angriffe fiel weitgehend mit dem Wahlkampf für die Kommunalwahlen am 29. März zusammen. Andrijana Ristić von der SHARE Foundation schätzte, dass dies die größte jemals in Serbien verzeichnete Welle des Einsatzes dieser Art von Spyware war. Sie erklärte außerdem, dass der Fall der Pegasus-Infektion, die auf dem Gerät der Studentin Milica bestätigt wurde, nach aktuellem Kenntnisstand der erste bestätigte Fall dieser Art weltweit im Jahr 2026 sei.
Dies beantwortet jedoch noch immer nicht die Frage, wer die Überwachung in Auftrag gegeben und wer sie durchgeführt hat. Es liefert aber eine Antwort auf etwas anderes, viel Spezifischeres: Die Telefone bestimmter Personen wurden mit einer Software infiziert, die eine nahezu vollständige Kontrolle über das Gerät ermöglicht.
EINE BENACHRICHTIGUNG
Foto: Aleksandar Barda / Fonet...
Am 13. August erhielt Milica eine Benachrichtigung von Apple, dass ihr Telefon Ziel eines Spyware-Angriffs geworden war. In der Nachricht hieß es, Apple habe einen Angriff durch Söldner-Spyware festgestellt und empfahl, Maßnahmen zum Schutz ihrer Daten zu ergreifen. Sie kontaktierte die SHARE Foundation, woraufhin ihr Telefon zur forensischen Untersuchung eingeschickt wurde.
„Es ist mir nicht gleichgültig, dass mich jemand sehen, hören oder fotografieren kann, aber meine erste Reaktion war Wut“, sagte sie gegenüber „Vreme“.
Milica glaubt, dass die Kommunikation der Studentenbewegung und die Art und Weise, wie ihre Mitglieder zusammenarbeiten, für die Angreifer von Bedeutung gewesen sein könnten. Sie vermutet, dass sie daran interessiert waren, wer mit wem spricht, warum und wie das Netzwerk der Protestteilnehmer funktioniert.
„Ich glaube, für eine solche Klasse von Menschen ist es sogar unvorstellbar, dass etwas ohne Erpressung, ohne Bestechung, sondern nur mit reinem Willen, Verlangen und Begeisterung für den Erfolg in unserem Kampf funktionieren kann“, sagt sie.
Ihre Reaktion verdeutlicht auch etwas, das oft übersehen wird, wenn man Spyware als rein technisches Problem betrachtet. Ein Smartphone ist nicht nur ein Gerät, das die Daten seines Besitzers speichert. Es ist der Ort, an dem sich sein Privat- und Berufsleben treffen. Es enthält nicht-öffentliche Nachrichten, unveröffentlichte Fotos, Gespräche mit Eltern, Partnern und Freunden, geschäftliche Korrespondenz und Kontakte zu Personen, die niemals zugestimmt haben, Teil einer Untersuchung zu sein.
Milica erklärte auf der Pressekonferenz, dass ihr das Ausmaß des Angriffs erst bewusst wurde, als sie nach Belgrad reiste, um ihr Handy überprüfen zu lassen. Jemand, der Zugriff auf das Gerät hatte, konnte lediglich die Inhalte von Studententreffen einsehen. Er konnte private Gespräche, Mikrofon und Kamera abhören.
„Sie hätten die Kamera einschalten können, während wir duschten und uns über private Dinge unterhielten. Was da passiert, ist nicht normal“, sagte sie.
Milica betonte insbesondere, dass der Angriff nicht nur sie bedrohte. Befänden sich Kontakte anderer Personen auf dem Telefon, so würde die Überwachung einer Person zur Überwachung des gesamten Netzwerks führen.
Wird ein Telefon kompromittiert, erhält der Angreifer nicht nur die Daten des Nutzers, sondern auch die Daten aller Personen, die mit diesem Telefon kommunizieren. Die so gesammelte Datenmenge lässt sich kaum auf ein einzelnes Ereignis, eine einzelne Person oder einen bestimmten Zweck beschränken.
WIE MAN OHNE PRIVATSPHÄRE LEBEN KANN
Der Psychologe Goran Tomin ist der Ansicht, dass die psychologischen Folgen einer solchen Überwachung nicht auf die Angst reduziert werden können, dass jemand ein Geheimnis aufdecken könnte.
„Einfach ausgedrückt, psychologisch gesehen, leben wir in einer Situation der Verfolgung, wenn wir keine Privatsphäre haben“, sagt Tomin gegenüber „Vreme“. „Wenn man weiß, dass jederzeit jemand wissen kann, was man tut, wo man ist, mit wem man zusammen ist, welche Nachrichten oder E-Mails man verschickt, mit wem man spricht, und dass diese Person die Informationen in irgendeiner Weise gegen einen verwenden will, wie kann man da entspannt leben, selbst wenn man nichts zu verbergen hat?“
Tomin beharrt auf einer Unterscheidung, die in öffentlichen Debatten über Überwachung oft bewusst verwischt wird. Jemand kann etwas privat halten wollen und gleichzeitig keinen Grund haben, es zu verbergen.
„Etwas zu verbergen und Privatsphäre zu haben, sind zwei völlig verschiedene Dinge“, sagt er.
Die Folgen des ständigen Gefühls, beobachtet zu werden, können sehr konkret sein. Betroffene können selbst in ihren eigenen vier Wänden das Sicherheitsgefühl verlieren, ängstlich und ständig angespannt werden und Schlaf- und Konzentrationsstörungen entwickeln. Sie meiden möglicherweise bestimmte Orte, Personen oder Kommunikationsformen, und anhaltende Belastung kann zu depressiver Verstimmung, Reizbarkeit und schwerwiegenderen traumatischen Reaktionen führen.
Tomin warnt insbesondere vor dem Gefühl der Hilflosigkeit, das entsteht, wenn ein Mensch glaubt, er könne nicht kontrollieren, was ihm widerfährt.
Die Studierenden sprechen derzeit jedoch nicht in erster Linie über Angst. Laut Milica sind sie von Wut beherrscht und fühlen sich trotz des Wissens, dass ihre Handys möglicherweise gehackt wurden, nicht in Bezug auf das Ziel der Studierendenbewegung gefährdet.
Ognjen Rašić, ein Student der Philosophischen Fakultät in Niš, erhielt ebenfalls eine Warnung, dass sein Handy Ziel eines Angriffs sei. Er vermutet, dass Studierende und Aktivisten überwacht werden, weil sie an Protesten teilgenommen und sich für die rechtmäßige und faire Durchführung der Kommunalwahlen eingesetzt haben.
„Wir wollen über diese Dinge sprechen. Wir stehen für Wahrheit, Gerechtigkeit und Transparenz. Jemand hat uns belauscht, aber wir haben nichts zu verbergen“, sagte Rašić auf der Pressekonferenz.
Sein Urteil führt uns genau zu dem zurück, was der Präsident des Verfassungsgerichts gesagt hat, allerdings aus einem völlig anderen Blickwinkel. Wenn ein Bürger nichts zu verbergen hat, bedeutet das nicht, dass er damit einverstanden ist, dass der Staat oder irgendjemand anderes uneingeschränkten Zugriff auf sein Leben hat.
WIE WEIT REICHT DIE AUFSICHT?
In einem der untersuchten Fälle fand die SHARE Foundation über 1500 Screenshots, die die Spyware im Auftrag des Angreifers erstellt hatte. In anderen Fällen ergaben forensische Untersuchungen Hinweise darauf, dass die Software auf die Inhalte des Telefons zugreifen und dessen Funktionen aktivieren konnte.
„Es ist unmöglich, den Umfang dieser Überwachung zu kontrollieren“, sagte Ana Toskić Cvetinović, Anwältin der Organisation Partners Serbia, auf der Pressekonferenz.
Wenn jemand Zugang zum Telefon erhält, ist es schwierig, im Voraus festzustellen, wo Daten, die möglicherweise für eine Untersuchung relevant sein könnten, enden und wo private Gespräche, Fotos, Geschäftskorrespondenz und Daten von Personen beginnen, die nichts mit der Untersuchung zu tun haben.
Ana Toskić Cvetinović befürchtet, dass sich die Umstände der Geräteüberwachung bestätigen und weitere Straftaten, darunter die unbefugte Erhebung personenbezogener Daten, die Einschleusung von Computerviren und der unbefugte Zugriff auf geschützte Computer, Computernetzwerke oder elektronische Kommunikationswege, nach sich ziehen könnten. Sie ist der Ansicht, dass die Staatsanwaltschaft für Hightech-Kriminalität, der Bürgerbeauftragte und der Datenschutzbeauftragte den Überwachungsvorwürfen nachgehen sollten.
ES BEGANN NICHT DIESES JAHR
Die diesjährigen Fälle sind nur weitere Belege dafür, dass in Serbien hochentwickelte Spyware eingesetzt wird.
Ende 2024 veröffentlichte Amnesty International Erkenntnisse über eine bis dahin unbekannte Android-Spionagesoftware namens NoviSpy. Forensische Analysen zeigten, dass die Software Daten vom Smartphone extrahieren und Mikrofon und Kamera fernsteuern konnte. Amnesty stufte NoviSpy gegenüber der US-amerikanischen Sicherheitsbehörde (Securities and Information Agency) als hochgradig unsicher ein.
Im Februar 2025 veröffentlichte Amnesty International die Ergebnisse der Untersuchung des Handys eines serbischen Studentenaktivisten. Forensische Analysen ergaben, dass Cellebrite verwendet wurde, um den Schutz von Android-Geräten zu umgehen. Anschließend wurde versucht, eine Anwendung zu installieren, die mit zuvor dokumentierten Fällen von NoviSpy übereinstimmte. Im selben Jahr veröffentlichte Amnesty International außerdem Erkenntnisse, wonach zwei BIRN-Journalisten in Serbien Ziel von Pegasus geworden waren.
Nach der Veröffentlichung der Ergebnisse von Amnesty International gab Cellebrite bekannt, dass es die Nutzung seiner Produkte durch „relevante Nutzer“ in Serbien ausgesetzt habe.
Diese Fälle liegen seit zwei Jahren bei der Staatsanwaltschaft für Hightech-Kriminalität, ohne dass es zu einem endgültigen Abschluss gekommen ist.
Nun zeichnet sich eine neue Welle ab. Die SHARE Foundation berichtet, dass NoviSpy in zwei öffentlich bekannten Fällen eingesetzt wurde und dass in einem Fall das Telefon der Person, die zur Polizeiwache gebracht wurde, zuvor abgenommen worden war. Laut SHARE wurde das Telefon dort entsperrt, die Daten kopiert und anschließend Spyware installiert. Danach wurde die Person mit dem kompromittierten Gerät nach Hause geschickt.
Diese Behauptungen sind von der forensisch bestätigten Tatsache zu unterscheiden, dass das Gerät infiziert war. Die Forensik kann aufzeigen, was mit dem Telefon geschah und welche Software darauf gefunden wurde, doch die Frage, wer den Angriff in Auftrag gegeben und ausgeführt hat, bedarf weiterer Untersuchungen.
Millionen für staatliche Reisen
Foto: Miloš Milivojević / TanjugDer Präsident des Verfassungsgerichts sieht nichts Verwerfliches im Abhören von Studentenhandys: Vladan Petrov
Pegasus wird von dem israelischen Unternehmen NSO Group hergestellt, und die SHARE Foundation gibt an, dass diese Software an Staaten und staatliche Institutionen verkauft wird und dass ihre Nutzung Millionen von Euro kostet.
Deshalb geht es nicht mehr nur darum, was Spyware technisch leisten kann. Die Frage ist vielmehr, wer sie erworben hat, wer beschlossen hat, sie gegen bestimmte Personen einzusetzen, mit welcher Befugnis und was mit den gesammelten Daten geschah.
Die einzige offene Frage ist, dass jemand über die Technologie verfügte, die es ihm ermöglichte, in das Leben von Menschen einzudringen, die die Regierung öffentlich kritisierten, an Protesten teilnahmen oder sich in der Lokalpolitik engagierten.
Die BIA bezeichnete die Anschuldigungen als „triviale Sensationsmache“ und wertete sie als Ausdruck der Absichten von Personen und Organisationen, die im Interesse ausländischer Dienste und verschiedener Interessengruppen agieren. Präsident Aleksandar Vučić erklärte, die Studenten schürten Verdächtigungen „ohne jegliche Beweise“ und fügte hinzu, er selbst sei während seiner Präsidentschaft sowie zuvor als Oppositionsführer abgehört worden, habe sich aber nie als Opfer dargestellt und dies „wie ein Mann ertragen“.
Das Rektorat der Universität Belgrad äußerte sich jedoch besorgt über die Vorwürfe der unbefugten Datenerhebung über Studierende und forderte eine dringende Aufklärung des Sachverhalts. Das Rektorat verurteilte jede Form illegaler Überwachung und Verletzung der Privatsphäre.
In der Zwischenzeit beschlossen die Studierenden, alles öffentlich zu machen. Milica erklärt, dass ihnen bewusst war, dass eine so ernste Angelegenheit in Zeiten mangelnder Medienberichterstattung leicht im privaten Rahmen bleiben kann, wenn sie nicht öffentlich diskutiert wird. Deshalb wollten sie betonen, dass es nicht um 14 zufällig ausgewählte Handys geht, sondern um die Handys von Personen, die in der Studierendenbewegung sehr aktiv sind.
Privatsphäre und Geheimnisse sind nicht dasselbe.
Selbst wenn sich herausstellen sollte, dass alle Personen, deren Telefone ins Visier genommen wurden, völlig unschuldig an allem sind, was die Regierung von ihnen verlangen könnte, würde ihre Privatsphäre dadurch nicht weniger wertvoll.
Das ist das grundlegende Problem mit dem Satz, dass jemand, der nichts zu verbergen hat, keine Überwachung fürchten muss. Er verlagert die Verantwortung vom Überwachenden auf den Überwachten. Anstatt dass der Staat erklärt, warum er Zugriff auf die Gespräche, Fotos und Kontakte einer Person benötigt, sollte der Bürger erklären, warum er sich unwohl fühlt, wenn jemand seine Nachrichten liest.
Ein solches Argument verwischt die Grenze zwischen Privatsphäre und Geheimhaltung. Ein Geheimnis kann Informationen sein, die jemand bewusst zurückhält, weil deren Offenlegung ihm schaden könnte. Privatsphäre ist ein Raum, in dem man niemandem Rechenschaft über jedes Gespräch, jede Bewegung, jede Beziehung oder jeden Gedanken ablegen muss. Goran Tomin sagt, dass genau der Verlust dieses Raumes ein Gefühl der Verfolgung erzeugt. Selbst wenn sich jemand gegen denjenigen wehren will, der ihn überwacht, muss er abwägen, ob er sich noch als jemand fühlt, der sein Leben selbst in der Hand hat oder sich ständig auf der Hut sein muss.
Wut kann ein starker Antrieb sein, weiterzukämpfen, aber sie schützt nicht vor den Folgen ständiger Überwachung. Ein Mann kann gleichzeitig mutig und ängstlich sein. Er kann weiterhin öffentlich sprechen und sich dennoch Gedanken darüber machen, was er in einer privaten Nachricht schreiben könnte. Er kann sich weigern zu schweigen, und sein Sicherheitsgefühl verändert sich.
Die Folgen von Spyware beschränken sich daher nicht allein auf das, was der Angreifer direkt mit den gesammelten Daten anstellt. Sie können auch dann eintreten, wenn Menschen ihr Verhalten ändern, weil sie nicht mehr wissen, wer sie abhört.
Wenn dem Bürger gesagt wird, er habe nichts zu befürchten, weil er nichts zu verbergen habe, dann wird er in Wirklichkeit dazu aufgefordert, zu akzeptieren, dass Privatsphäre nicht sein Recht, sondern ein Privileg ist, das er rechtfertigen muss.
Die Studierenden warten nun auf den Abschluss der forensischen Analysen und die Antworten der zuständigen Institutionen. Sie wollen wissen, wer ihre Handys gehackt und wer Zugriff auf die darauf gespeicherten Daten hatte.
In der Zwischenzeit bleibt eine wichtigere Frage als die, ob irgendjemand von ihnen etwas zu verbergen hat: Warum sollte irgendjemand etwas zu verbergen haben, um das Recht zu haben, sein Telefon, seine Gespräche, Fotos, seine Familie und sein Privatleben für sich zu behalten?
