Pegasus Polen: Daten flossen über NSO-Server – was belegt ist und was nicht

Montag, 12. Oktober 2026, kurz vor neun Uhr morgens: Polens Premier Donald Tusk stellt ein Video auf X. Wenige Stunden später veröffentlicht die Landesstaatsanwaltschaft in Warschau, was Gutachter des Inlandsgeheimdienstes ABW jahrelang unter Verschluss hatten. Der Befund im Fall Pegasus Polen: Die Daten, die Polens Antikorruptionsbehörde CBA mit der israelischen Spähsoftware aus Handys zog, verließen das Land – über ein Servernetz, das der Hersteller NSO Group kontrollierte. Was bewiesen ist, was Tusk daraus macht und was offen bleibt, rekonstruieren wir Schritt für Schritt.

Wie kam Pegasus nach Polen?

Die Geschichte beginnt 2017 unter der PiS-Regierung. Laut dem Abschlussbericht-Entwurf des Sejm-Untersuchungsausschusses kaufte das Zentrale Antikorruptionsbüro (CBA) Pegasus für 33,4 Millionen Złoty. 25 Millionen davon stammten aus dem Justizfonds (Fundusz Sprawiedliwości) – Geld, das eigentlich Opfern von Straftaten helfen sollte. Auch andere Dienste nutzten das System.

Pegasus ist kein gewöhnlicher „Staatstrojaner“. Laut den nun teilweise entschwärzten Gutachten konnte die Software Nachrichten, E-Mails, Gesprächsinhalte, Fotos, Kontakte und GPS-Daten abgreifen – sogar Nachrichten aus der Zeit vor Beginn der Überwachung. Mikrofon und Kamera ließen sich in Echtzeit einschalten. Der Ausschuss stellte zudem fest, dass Richter, die die Überwachungen genehmigten, über diese Fähigkeiten nicht informiert wurden.

Wie viele Menschen betroffen waren, legte Generalstaatsanwalt Adam Bodnar im April 2024 dem Parlament vor: 578 Personen zwischen 2017 und 2022, davon 162 allein im Jahr 2021. Unter den Zielen waren nach Citizen-Lab-Analysen und Ausschussfeststellungen auch Oppositionspolitiker wie Krzysztof Brejza, Wahlkampfchef der Bürgerplattform 2019, sowie der Anwalt Roman Giertych.

Pegasus Polen: Was die ABW-Gutachten belegen

Jetzt wird es technisch – und brisant. Die Landesstaatsanwaltschaft (Prokuratura Krajowa) fasst drei Gutachten des ABW-Kriminaltechnik-Büros zusammen (April 2025, Juni und Juli 2026). Sie waren als „streng geheim“ eingestuft; am 26. August 2026 hob der Generalstaatsanwalt die Einstufung für Teile auf. Die Kernbefunde:

• Keine volle Kontrolle: Der CBA fehlten Passwörter zu Teilen der Administratorkonten. „Das Servermodul, das für die Infektion der Mobilgeräte zuständig war, stand unter ausschließlicher Kontrolle des Herstellers.“
• Daten verließen Polen: Übertragen wurde über ein „Anonymisierungsnetz“ mit Servern weltweit, verwaltet von NSO und „außerhalb der Kontrolle der CBA“. Die Gutachter legten ausländische IP-Adressen offen.
• Fernzugriff des Herstellers: Wartung und Updates liefen per Fernverbindung, während Überwachungen weiterliefen – mit vollem Systemzugang inklusive Konfigurationsänderungen.

Das ist amtlich festgestellt. Und es ist schwerwiegend genug: Ein EU- und NATO-Staat betrieb ein Überwachungswerkzeug, dessen Herz nicht in eigener Hand lag. Der Ausschuss ergänzt, dass Pegasus nie die vorgeschriebene IT-Sicherheitsakkreditierung erhielt. Laut Ausschussvorsitzender Magdalena Sroka gab es Warnungen vor einem Datenabfluss ins Ausland bereits 2017.

Was ist nicht bewiesen?

Hier trennt sich der Fakt vom politischen Kampfbegriff. Die Staatsanwaltschaft schreibt ausdrücklich: Die Gutachten „entscheiden nicht, ob der Hersteller tatsächlich Zugang zu Material aus konkreten Überwachungsmaßnahmen erlangte“. Belegt ist also die Möglichkeit des Zugriffs, nicht der Zugriff selbst.

Ebenso wenig liegt ein veröffentlichter Beweis vor, dass Daten an den israelischen Staat oder seine Geheimdienste gingen. Darauf weist auch die Berliner Zeitung hin, zitiert von der Deutschen Welle. NSO selbst reagierte auf Presseanfragen bislang nicht; eine offizielle Stellungnahme Israels haben wir nicht gefunden.

„Staatsverbrechen“: Was Tusk sagt

Donald Tusk ging deutlich weiter als die Gutachter. In seinem Video sprach er von einem der größten Skandale seit dem Ende des Kommunismus. Laut Wortprotokoll bei 300polityka und Bankier.pl/PAP sagte er:

„Wyobraźcie sobie, że ludzie odpowiedzialni za sprawiedliwość i za bezpieczeństwo państwa oddali w ręce obcego państwa, Izraela, tysiące, dziesiątki tysięcy danych, danych wrażliwych polskich obywateli, nie mając nad tym żadnej kontroli. […] mówimy o zbrodni stanu i za to będą odpowiadać.“
Übersetzung: „Stellt euch vor, dass Menschen, die für die Justiz und die Sicherheit des Staates verantwortlich waren, einem fremden Staat, Israel, Tausende, Zehntausende sensibler Daten polnischer Bürger ausgeliefert haben, ohne jede Kontrolle darüber. […] Wir sprechen von einem Staatsverbrechen, und dafür werden sie geradestehen.“

Donald Tusk, Video auf X, 12.10.2026

Außerdem nannte er NSO eine Firma, „an deren Zusammenarbeit mit israelischen Diensten niemand zweifelt“. Wichtig für die Einordnung: Das ist Tusks politische Bewertung, nicht der Befund der Gutachter. Auch seine Zahlen schwanken – im selben Video nennt er „über 60 Millionen“ und „über 30 Millionen Złoty“; der Ausschuss beziffert den Kaufpreis auf 33,4 Millionen.

Wie wehrt sich das PiS-Lager?

Die Beschuldigten halten dagegen. Ex-CBA-Chef Ernest Bejda schrieb laut Euronews auf X, die Daten seien „der israelischen Seite nicht bekannt“ gewesen und das System sei von der CBA kontrolliert worden. Tusk führe die Öffentlichkeit „in die Irre“. Ex-Vizeminister Maciej Wąsik argumentierte im Radio Wnet, die Übertragung sei verschlüsselt gewesen, die Durchleitung über ausländische Server bedeute nicht, dass jemand mitlesen konnte.

Michał Woś, früher Vizejustizminister und bereits angeklagt, betont, jeder Einsatz sei gerichtlich genehmigt gewesen. Diese Einwände sind Teil des Bildes: Ob Verschlüsselung den Hersteller tatsächlich aussperrte, beantworten die veröffentlichten Gutachtenteile nicht.

Wer steht unter Verdacht?

Die Staatsanwaltschaft hat sieben Personen Vorwürfe gemacht, darunter die früheren Chefs von CBA, ABW und Militärabwehr SKW – wegen Pflichtverletzung durch Einsatz ohne Akkreditierung. Der Sejm-Ausschuss erstattete Anzeigen gegen elf Personen, unter anderem Zbigniew Ziobro, Mariusz Kamiński und Maciej Wąsik; ein Vorwurf lautet, die Offenlegung geheimer Informationen an ausländische Stellen ermöglicht zu haben. Verurteilt ist bislang niemand – es gilt die Unschuldsvermutung. Der Bericht ist zudem noch ein Entwurf und muss vom Sejm angenommen werden.

Ist Polen ein Einzelfall?

Nein. Der Fall Pegasus Polen reiht sich in eine Serie ein – mit unterschiedlicher Beweislage:

• Gerichtlich: Im Verfahren WhatsApp/Meta gegen NSO sprach eine US-Jury im Mai 2025 rund 167,7 Mio. Dollar zu. Richterin Phyllis Hamilton senkte den Strafschadenersatz im Oktober 2025 auf rund 4 Mio. Dollar und erließ eine dauerhafte Unterlassungsverfügung; das Endurteil vom 12.11.2025 lautet auf 4,45 Mio. Dollar.
• Behördlich: Das US-Handelsministerium setzte NSO und Candiru im November 2021 auf die Entity List – wegen Spyware, die gegen Journalisten, Aktivisten und Regierungsvertreter eingesetzt wurde.
• Parlamentarisch: Das EU-Parlament stellte in seiner PEGA-Empfehlung vom 15. Juni 2023 schwere Verstöße in Polen und Ungarn fest.
• Forensisch belegt (Recherche): Citizen Lab wies 2025 die Spyware Graphite der Firma Paragon auf Handys europäischer Journalisten nach, darunter in Italien. Wer der staatliche Auftraggeber war, ist nicht abschließend geklärt.
• Bericht und Firmenreaktion: Amnesty dokumentierte im Dezember 2024, dass serbische Behörden Cellebrite-Werkzeuge gegen Journalisten und Aktivisten nutzten. Cellebrite sperrte daraufhin im Februar 2025 die betroffenen serbischen Kunden.

Gemeinsam ist allen Fällen: Private Hersteller liefern Staaten Werkzeuge, deren Innenleben die Käufer oft selbst nicht durchschauen. Kritik richtet sich dabei gegen Firmen, Dienste und die Politiker, die sie einsetzen – nicht gegen Völker oder Religionen.

Und Deutschland?

Auch hierzulande ist Pegasus kein Fremdwort. Am 7. September 2021 bestätigte das BKA im Innenausschuss des Bundestags, eine abgespeckte Pegasus-Version gekauft zu haben; laut Süddeutscher Zeitung wurde sie seit März 2021 in einer mittleren einstelligen Zahl von Verfahren eingesetzt. Innenminister Seehofer soll vom Kauf nichts gewusst haben. Welche Kontrolle das BKA über Server und Updates hat, wurde öffentlich nie dargelegt – nach den polnischen Befunden eine naheliegende Frage.

Parallel läuft die Debatte über Datenanalyse-Software des US-Konzerns Palantir bei Landespolizeien. Das Bundesverfassungsgericht erklärte im Februar 2023 die Regeln in Hessen und Hamburg zur automatisierten Datenanalyse für verfassungswidrig. Wie der Staat immer tiefer in private Kommunikation greift, haben wir auch beim Thema Medien-Überwachung beschrieben. Und wie eng deutsche Fördergelder mit israelischer Rüstungsindustrie verflochten sind, zeigt unser Beitrag zu Elbit in Sangerhausen.

Wie geht es weiter?

Der Sejm muss den Ausschussbericht noch beschließen, die Ermittlungen der Staatsanwaltschaft laufen weiter. Entscheidend wird, ob Ermittler belegen können, dass NSO tatsächlich auf polnisches Material zugriff – oder ob es beim dokumentierten Kontrollverlust bleibt. Schon der allein ist ein Lehrstück: Ein Staat, der Spionagesoftware einkauft, kauft womöglich auch einen fremden Schlüssel zu seinen eigenen Geheimnissen mit.

FAQ zu Pegasus Polen

Hat Israel polnische Daten gelesen?

Das ist nicht belegt. Die ABW-Gutachten stellen fest, dass Daten Polen verließen und NSO technisch Zugriff hatte – nicht, dass Material tatsächlich gelesen oder an israelische Dienste weitergegeben wurde.

Wer wurde in Polen mit Pegasus überwacht?

Laut Generalstaatsanwalt 578 Personen von 2017 bis 2022, darunter nach Citizen Lab und Sejm-Ausschuss Oppositionspolitiker wie Krzysztof Brejza und der Anwalt Roman Giertych.

Was hat Pegasus Polen gekostet?

Laut Sejm-Ausschuss 33,4 Millionen Złoty, davon 25 Millionen aus dem Justizfonds für Verbrechensopfer.

Nutzt Deutschland Pegasus?

Das BKA hat 2021 im Innenausschuss bestätigt, eine eingeschränkte Version gekauft und in wenigen Verfahren eingesetzt zu haben.

Ist schon jemand verurteilt?

Nein. Es gibt Anklagen und Strafanzeigen, aber keine Urteile. Für alle Beschuldigten gilt die Unschuldsvermutung.

Quellen: Prokuratura Krajowa, 12.10.2026; Sejm RP, 12.10.2026; Notes from Poland; The Record.