BSI warnt vor Angriffen durch Spionage-Software

Vor kurzem erschütterte der Pegasus-Spionage-Skandal die Weltöffentlichkeit. Jetzt warnt das BSI deutsche Unternehmen: Die Bedrohungslage sei hoch, der Schutz gegen Angriffe schwierig bis unmöglich.

Am 18. Juli sorgte die gemeinsame Enthüllung eines internationalen Recherche-Verbunds von Medien für Aufsehen: Weltweit waren Politiker, Journalisten, Menschenrechtler, Geschäftsleute und Angehörige dieser Gruppen mithilfe einer fortschrittlichen Spionage-Software – Pegasus – auf ihrem Handy auf Geheiß von teilweise autoritären Staaten und deren Geheimdiensten ausspioniert worden.

Jetzt hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) eine Warnung hinsichtlich der Bedrohungslage durch Pegasus ausgegeben. Dabei stufte die Behörde die Gefahr als Stufe zwei von vier möglichen Warnstufen ein. Das bedeutet, dass die "IT-Bedrohungslage mit verstärkter Beobachtung von Auffälligkeiten auf anhaltend hohem Niveau" eingeschätzt wird.

In der Mitteilung beschreibt das BSI drei Angriffswege – per präpariertem SMS-Link, per präparierter iMessage und über präparierte WLANs und Mobilfunknetze.

Problem besteht auch aktuell noch

Das Problem bestehe auch aktuell noch, weil sowohl aktuelle Android- als auch iOS-Versionen offenbar weiterhin angreifbar seien, schreibt das BSI. Dabei sei nicht bekannt, welche Lücken genau genutzt werden. Zudem sei davon auszugehen, dass der israelische Hersteller von Pegasus, NSO Group, laufend nach neuen unbekannten Lücken suchen werde, um seine Spionage-Software weiterhin angriffsfähig zu halten.

Eine Verteidigung gegen die Angriffe sei schwierig bis unmöglich: Zwar könnten Unternehmen erwägen, SMS-Funktionen sowie iMessages und FaceTime auf Apple-Geräten in der Nutzung einzuschränken, doch die Verteidigung gegen manipulierte Funknetzwerke sei kaum praktikabel.

Das BSI weist zudem darauf hin, dass bei einem Verdacht auf eine Infektion ein von Amnesty International zur Verfügung gestelltes Werkzeug genutzt werden könne, um einen Kontakt mit Pegasus nachzuweisen. Das funktioniere allerdings bei Android-Geräten deutlich schlechter, schränkt das BSI ein.