Pegasus und NoviSpy: Cyberspionage und Hacking im Polizeigewahrsam treffen die serbische Opposition

Die ersten technischen Beweise tauchten im August 2026 auf, als Apple automatische Threat Notifications an persönliche Geräte von Oppositionellen in Belgrad sandte. Zu den Empfängern gehörten Anführer studentischer Proteste, Mitarbeitende zivilgesellschaftlicher Organisationen, ein Stadtrat und ein Oppositionsabgeordneter. Laboruntersuchungen der in Belgrad ansässigen SHARE Foundation bestätigten eine aktive Ausnutzung zwischen Dezember 2025 und Mitte 2026 – einem Zeitraum, in dem die Parteien die Wahlkampflogistik für lokale und nationale Abstimmungen aufbauten.

Pegasus war nicht das einzige eingesetzte Werkzeug.

Amnesty International stellte fest, dass der serbische Polizeigewahrsam unmittelbar genutzt wurde, um Schadsoftware zu installieren. Die forensische Analyse eines Android-Telefons eines festgenommenen studentischen Aktivisten zeigte, dass eine neu kompilierte Version von "NoviSpy" – eine Android-Malware-Variante, die darauf ausgelegt ist, die Sicherheitserkennung zu umgehen – auf das Gerät aufgespielt wurde, während es während des Polizeiverhörs beschlagnahmt war.

Es handelt sich um eine Operation auf zwei Gleisen. Pegasus arbeitet von entfernten Servern aus, ohne dass der Nutzer interagieren muss. NoviSpy erfordert einen menschlichen Bearbeiter in einer Polizeistation. Sobald sie installiert sind, geben beide Systeme den Operatoren vollen Zugriff auf verschlüsselte Chats, Kontaktlisten, gespeicherte Dateien, Echtzeit-Standortdaten und die Fernsteuerung des Mikrofons.

Gestohlene Daten gelangen schnell aus dem Polizeigewahrsam in staatliche Medien. Private Viber-Chats, die vom Telefon eines Opfers stammten, wurden während einer Live-Sendung des regierungsnahen Fernsehsenders TV Informer vorgelesen.

Parlamentspräsidentin Ana Brnabić nannte die forensischen Berichte "idiotic" und behauptete, die Regierung habe keine Kenntnis von der Nutzung von Spyware gehabt, und die Pressekonferenz der Studierenden sei für "international audiences" inszeniert worden. Das serbische Recht erzählt eine andere Geschichte. Artikel 143 des Strafgesetzbuchs stellt unbefugtes Abhören und die Installation von Schadsoftware unter Strafe; darauf stehen Freiheitsstrafen.

Wie Cellebrite-Ausrüstung dazu kam, in Polizeistationen Malware zu installieren

Der Staatsapparat arbeitet mit einer einfachen Arbeitsteilung. Entfernte, teure Zero-Click-Exploits wie Pegasus decken hochwertige Ziele ab. Routinemäßige Polizeifestnahmen erledigen den Rest durch direkte Manipulation der Hardware.

Dieser physische Zugriff stützt sich auf forensische Ausrüstung, die ursprünglich für die normale Polizeiarbeit gekauft wurde. Europäische Geber lieferten digitale Extraktionshardware, darunter Cellebrite-UFED-Geräte, an das serbische Innenministerium (MUP) für strafrechtliche Ermittlungen und Antikorruptionsmaßnahmen. Eine frühere Untersuchung von Amnesty International aus dem Jahr 2024 belegte, dass Beamte dieselben Cellebrite-Werkzeuge bei Befragungen auf der Wache nutzten, um NoviSpy auf Telefone aufzuspielen, die Journalisten abgenommen worden waren; die gestohlenen Daten wurden direkt auf Server der Sicherheitsinformationsbehörde (BIA) geleitet.

Die NoviSpy-Variante von 2026 wurde kurz vor der jüngsten Verhaftungswelle verändert. Die Entwickler änderten ihre Codestruktur, um Android-Sicherheitsprüfungen zu umgehen und sich vor mobiler Antivirensoftware zu verbergen, sodass Sicherheitsanalysten eine Verzögerung hinnehmen mussten, bevor Antivirendefinitionen die Malware-Signaturen erfassen konnten.

Strafanzeigen, die die SHARE Foundation wegen früherer Fälle von Telefonmanipulation eingereicht hat, hängen weiterhin bei serbischen Gerichten fest, ohne dass ein einziger Staatsanwalt Anklage gegen Personal des MUP oder der BIA erhoben hätte.

Politische Folgen der Katastrophe am Bahnhof von Novi Sad

Der Zeitpunkt der Hacks steht in direktem Zusammenhang mit den Folgen des Einsturzes des Bahnhofsvordachs in Novi Sad im November 2024, bei dem 15 Menschen starben und der monatelange Straßenproteste wegen Regierungskorruption und schlecht ausgeführter öffentlicher Aufträge auslöste.

Studentengruppen führten diese Demonstrationen an und organisierten Straßenblockaden und Wahlkampfkundgebungen, die die wirtschaftliche Kommunikation der Regierung störten. Als am 29. März 2026 die Kommunalwahlen stattfanden, verschaffte der Echtzeitzugriff auf die Strategie der Studierenden den Staatsvertretern einen klaren operativen Vorteil.

Illegale Überwachung zerstört die grundlegende Vertraulichkeit, die für die Führung eines politischen Wahlkampfs erforderlich ist. Das Abfangen interner Nachrichten ermöglicht es Staatsvertretern, die Wähleransprache zu verfolgen, Finanzierungsquellen zu kartieren, Whistleblower zu identifizieren und Demonstrationen aufzulösen, bevor Aktivisten auf der Straße zusammenkommen.

Die Fernsehsendungen fügen eine zusätzliche Ebene der Einschüchterung hinzu. Private Viber-Chats im nationalen Fernsehen zu zeigen, zwingt Wahlkampfmitarbeitende, Investigativjournalisten und studentische Organisatoren, ihre Arbeitsweise zu ändern.

Apple schloss die Zero-Click-Schwachstelle in iMessage mit dem Update auf iOS 18.4.1, während Sicherheitsgruppen Oppositionsmitgliedern rieten, den Lockdown-Modus zu aktivieren. Keine der beiden Maßnahmen hindert einen Polizeibeamten daran, während eines Verhörs ein Kabel an ein beschlagnahmtes Telefon anzuschließen.

EU-Finanzierung und regionale Diplomatie

Die Enthüllung der Überwachungsoperationen Belgrads schafft ein praktisches Problem für europäische Diplomaten, die jahrelang regionale Stabilität über demokratische Standards in Serbien gestellt haben.

Dieser Kompromiss ist schwerer aufrechtzuerhalten, wenn Hacking-Werkzeuge in Militärqualität gewählte Abgeordnete in einem EU-Beitrittskandidatenland ins Visier nehmen.

Der kommerzielle Weg dieser Werkzeuge bleibt weitgehend unkontrolliert. Die NSO Group erklärt, Pegasus werde ausschließlich an souveräne Regierungen zur Terrorismus- und Schwerstkriminalitätsbekämpfung verkauft, doch seine digitalen Spuren tauchen weiterhin auf Geräten von serbischen studentischen Aktivisten, Investigativjournalisten von BIRN und Oppositionspolitikern auf.