Radiokolleg
Nicht klicken (2)
Nicht einmal klicken
24. November 2026, 09:05
Ahmed Mansoor weiß im August 2016 längst, dass jemand ihn zum Schweigen bringen will. Fünf Jahre zuvor war er gemeinsam mit vier anderen Aktivisten inhaftiert worden, weil sie eine Petition für demokratische Reformen unterstützt hatten. Nach seiner Freilassung wurde sein Reisepass eingezogen. Seither kann er die Vereinigten Arabischen Emirate nicht verlassen. Trotzdem dokumentiert er weiterhin Verhaftungen, Folter und staatliche Repression. Und regelmäßig versucht jemand ihn, seine Computer oder sein Telefon auszuspionieren.
Am Morgen des 10. August erhält er eine SMS. Darin werden ihm neue Informationen über Gefangene versprochen, die in den Emiraten gefoltert worden sein sollen. Er müsse nur auf einen Link klicken. Doch er klickt nicht. Mansor ist misstrauisch. Als am nächsten Tag eine zweite, fast identische Nachricht eintrifft, leitet er beide an das Citizen Lab weiter.
Dort erkennen die Forscher Bill Marczak und John Scott-Railton die Internetadresse wieder. Sie tippen den Link auf einem eigens dafür vorbereiteten iPhone ab und öffnen ihn. Eine leere Seite erscheint. Nach wenigen Sekunden schließt sich der Browser. Mehr ist auf dem Bildschirm nicht zu sehen. Im Hintergrund hat sich unbemerkt eine Überwachungssoftware installiert.
Wie die Analyse zeigt, nutzt der Angriff drei, bis dahin unbekannte Sicherheitslücken im iPhone aus. Hätte Mansoor den Link geklickt, hätten die Angreifer seine Telefongespräche aufzeichnen, seine Nachrichten lesen, seine Bewegungen verfolgen und nach Belieben Kamera und Mikrofon ein- oder ausschalten können. "Pegasus" ist der Name der Spionage-Software; Entwickelt von der israelischen NSO-Group, die sie an staatliche Kunden verkauft.
Mansoors Fund führt das Citizen Lab auf die Spur einer internationalen Überwachungsindustrie und einer Software, die bald keinen Link mehr benötigt, die das Opfer klicken muss. Bei sogenannten Zero-Click-Angriffen genügt das Zustellen einer Nachricht. Nicht zu klicken, schützt dann auch nicht mehr.
