An einem Nachmittag im Januar 2025 erhielt Francesco Cancellato eine Warnung von WhatsApp auf sein Handy. Der Chefredakteur des italienischen Nachrichtenportals Fanpage.it war ins Visier einer Spionagesoftware geraten. Über eine schädliche Datei könnten Angreifer Zugriff auf sein Telefon erhalten haben, einschließlich der dort gespeicherten Nachrichten. Damit stand auch die Vertraulichkeit seiner journalistischen Kontakte infrage. ℹ︎
Im Mittelpunkt des Falls stand Graphite, ein Produkt des 2019 in Israel gegründeten Unternehmens Paragon Solutions. Graphite ist ein Konkurrenzprodukt zur Spähsoftware Pegasus. Das grundlegende Geschäftsmodell ist ähnlich: Private Unternehmen verkaufen staatlichen Akteuren die Möglichkeit, heimlich in digitale Geräte einzudringen. ℹ︎
Ein Angriff, der keinen Klick braucht
Im Juni 2025 bestätigte das Forschungsinstitut Citizen Lab der Universität Toronto anhand technischer Spuren Graphite-Angriffe auf zwei weitere Journalisten: Ciro Pellegrino, ebenfalls bei Fanpage.it, und ein anonymer europäischer Journalist, bei denen eine erfolgreiche Infektion mit der Spähsoftware nachgewiesen werden konnte. Bei Pellegrino belegten die untersuchten Spuren einen Angriff, aber nicht zweifelsfrei einen erfolgreichen. ℹ︎
Der untersuchte Angriffsweg führte über Apples Nachrichtendienst iMessage und erforderte keinerlei Mitwirkung der Betroffenen. Solche „Zero-Click“-Angriffe nutzen Sicherheitslücken aus, ohne dass ein Link angeklickt oder ein Anhang geöffnet werden muss. Die übliche Vorsichtsregel, verdächtige Nachrichten nicht zu öffnen, reicht gegen diese Angriffsmethode deshalb nicht aus. ℹ︎
Apple hatte die betreffende Sicherheitslücke mit einem iOS-Update am 10. Februar 2025 geschlossen. Sicherheitsupdates können zwar konkrete Einfallstore schließen, beseitigen aber nicht grundsätzlich die Möglichkeit, andere Schwachstellen auszunutzen. ℹ︎
Auch die Ende-zu-Ende-Verschlüsselung eines Messengers löst dieses Problem nicht. Damit sind Nachrichten lediglich auf dem Weg zwischen den beteiligten Geräten geschützt. Auf dem Telefon müssen die Inhalte jedoch wieder lesbar werden. Wenn Schadsoftware dort Zugriff erlangt, muss sie die gesendeten Informationen nicht mathematisch entschlüsseln. Verschlüsselte Kommunikation bleibt deshalb sinnvoll, ersetzt aber nicht den Schutz eines Endgerätes. ℹ︎
Der Angriff ist nachweisbar, der Auftraggeber nicht unbedingt
Im März 2026 verdichteten sich auch die Erkenntnisse zu Cancellatos Telefon. Eine von den Staatsanwaltschaften Rom und Neapel beauftragte Untersuchung fand dort Spuren von Schadsoftware und Auffälligkeiten in WhatsApp-Datenbanken, die mit den beschriebenen Graphite-Angriffen vereinbar waren. ℹ︎
Die Untersuchung betraf auch die Seenotrettungsaktivisten Luca Casarini und Giuseppe Caccia. Gegen beide hatte der italienische Inlandsnachrichtendienst AISI Graphite eingesetzt. Die Überprüfung eines AISI-Servers bestätigte diese Überwachung, lieferte jedoch keine Spuren einer entsprechenden Operation gegen Cancellato. Die staatlichen Einsätze gegen die Aktivisten und der Angriff auf den Journalisten dürfen deshalb nicht gleichgesetzt werden. Wer Cancellato ausspähte, blieb in den veröffentlichten Ermittlungsergebnissen offen. ℹ︎
Darin zeigt sich eine grundsätzliche Grenze solcher Analysen. Technische Untersuchungen können einen Angriff und die verwendete Software nachweisen. Damit sind aber weder der konkrete Auftraggeber noch das Motiv oder die Rechtmäßigkeit automatisch geklärt. Für Betroffene entsteht daraus eine schwierige Situation: Sie wissen, dass ihre Kommunikation angegriffen wurde, aber sie wissen nicht, gegen wen sie sich wehren oder vor wem sie sich schützen müssen.
Das Versprechen der verantwortungsvollen Überwachung
Paragon hatte versucht, sich ausdrücklich von anderen Anbietern abzugrenzen. Zum Selbstbild gehörten angebliche Schutzmechanismen gegen Missbrauch und das Versprechen, die Software nur an Staaten zu verkaufen, die grundlegende Rechte und Freiheiten respektieren. Mit autoritären oder undemokratischen Regimen sollten keine Geschäfte gemacht werden. ℹ︎
Laut Paragon-Chef Andrew Boyd hat das Unternehmen allerdings keine Kenntnis darüber, wer ins Fadenkreuz der Spähsoftware gerät oder welche Daten damit erbeutet werden. Kurz: Paragon hat gar keine technischen Möglichkeiten, zu wissen, ob die Software missbraucht wird. Davon erfährt das Unternehmen erst durch externe Untersuchungen oder von den Kunden selbst. ℹ︎
Paragon behauptet zwar, seine Kunden sorgfältig auszuwählen und genau auf die Einhaltung vertraglicher Vorgaben zu achten. Solche Versprechen sind aber von einer wirklich überprüfbaren Kontrolle weit entfernt. Unabhängige Stellen müssen nachvollziehen können, wer die Software gegen wen eingesetzt hat, auf welcher Grundlage das geschah und ob dies innerhalb der Grenzen einer jeweiligen Genehmigung erfolgte.
Journalistische Quellen geraten ins Visier
Im Journalismus geht es dabei um mehr als die Privatsphäre einzelner Redakteure. Schon der Zugriff auf Nachrichten kann offenlegen, wer Dokumente weitergegeben hat, welche Vorwürfe geprüft werden oder wann ein vertrauliches Treffen stattfinden soll. Ein Angriff auf einen Journalisten kann damit zugleich Menschen gefährden, die selbst nie Ziel einer technischen Überwachung waren.
Daraus entsteht ein tiefgreifendes Problem für unsere Demokratie. Wenn Informanten befürchten müssen, durch den vermeintlich vertraulichen Kontakt zu Journalisten identifiziert zu werden, gerät eine elementare Säule der freien Presse in Gefahr. Entscheidende Hinweise auf Korruption, Machtmissbrauch oder Fehlverhalten könnten gar nicht erst recherchiert werden, weil die nötigen Insider-Informationen die Nachrichtenredaktionen nicht mehr erreichen. Genau vor dieser abschreckenden Wirkung warnt auch das Europäische Medienfreiheitsgesetz. In Erwägungsgrund 25 heißt es ausdrücklich, Spähsoftware gefährde „insbesondere die vertrauensvolle Beziehung von Journalisten zu ihren Quellen“. ℹ︎
Neue Regeln ohne Sanktionen sind wirkungslos
Seit dem 8. August 2025 gelten die wesentlichen Bestimmungen des Europäischen Medienfreiheitsgesetzes. Dazu gehören auch stärkere Schutzvorgaben für journalistische Quellen und vertrauliche Kommunikation. ℹ︎
Ein ausnahmsloses Verbot von Spähsoftware enthält die Verordnung allerdings nicht. Einsätze bleiben unter engen Voraussetzungen möglich, insbesondere bei Ermittlungen zu bestimmten schweren Straftaten. Erforderlich sind unter anderem eine tragfähige rechtliche Grundlage, Verhältnismäßigkeit und grundsätzlich eine vorherige Genehmigung durch eine unabhängige, unparteiische Justiz- oder Entscheidungsinstanz. ℹ︎
Amnesty International verlangte bereits im März 2025 ein Verbot von hochinvasiver Spionagesoftware wie Graphite. Anlass war auch die wiederkehrende Erfahrung, dass Schutzversprechen den Einsatz gegen die Zivilgesellschaft nicht zuverlässig verhindern. ℹ︎
Pressefreiheit setzt lange vor der Veröffentlichung an. Sie hängt davon ab, ob Menschen vertrauliche Informationen an Journalisten weitergeben können, ohne dadurch selbst zur Zielscheibe zu werden. Solange niemand überprüfen kann, wer eine Spähsoftware gegen wen einsetzt, und Missbrauch folgenlos bleibt, ist jedes Schutzversprechen wertlos. Graphite gefährdet deshalb mehr als einzelne Redaktionen: Die Software trifft eine demokratische Gesellschaft an ihrer verwundbarsten Stelle.
