Eine mutmaßliche israelische Spionagefirma hat Starlink-Nutzer gezielt ins Visier genommen, wie aus informierten Kreisen verlautet

- von Raphael Satter

WASHINGTON, 27. Okt (Reuters) - Experten eines auf digitale Sicherheit spezialisierten Unternehmens stellten kürzlich fest, dass ein israelisches Ad-Tech-Unternehmen gezielt Nutzer des Satelliten-Internetdienstes von Starlink ins Visier nahm – vermutlich, um diese auszuspionieren, wie sechs mit der Angelegenheit vertraute Personen berichten.

Forscher von TrendAI, einer Tochtergesellschaft des in Tokio ansässigen Cybersicherheitsunternehmens Trend Micro 4704.T, kamen zu dem Schluss, dass das israelische Unternehmen Discover-Tech eine der größten **Quellen** für digitale Anzeigen war, die Nutzern des Starlink-Dienstes von SpaceX angezeigt wurden, und dass die Anzeigen wahrscheinlich dazu dienten, deren Standort zu ermitteln oder sie auf andere Weise zu überwachen, so die sechs Personen.

Die Forscher, die sich für ihre Schlussfolgerungen auf Daten zur digitalen Werbung aus der Telemetrie von TrendAI stützten, stellten fest, dass Discover-Tech zu einem der weltweit führenden Bieter für Anzeigen geworden war, die sich an Starlink-Nutzer richteten, und dass es in mehr als 100 Ländern der führende Bieter für Starlink-Traffic war – darunter auch mehrere Länder, in denen Starlink selbst verboten oder eingeschränkt war. Unter „Bidding“ versteht man das komplexe Auktionssystem, mit dem Werbetreibende Werbeflächen in den Browsern und Apps der Nutzer sichern.

SpaceX SPCX.O reagierte nicht auf Anfragen nach einer Stellungnahme. Discover-Tech und sein Geschäftsführer reagierten in den vergangenen zwei Wochen nicht auf Anfragen nach einer Stellungnahme.

TrendAI veröffentlichte am 15. Oktober einen Bericht (link) über die gezielte Ansprache von Starlink-Nutzern, nannte Discover-Tech jedoch nicht namentlich, sondern bezeichnete die verantwortliche Partei als „ein Ad-Tech-Unternehmen“, das es „Shadow-Earth-79“ nannte. Den sechs **Personen** zufolge ist „Shadow-Earth-79“ der Codename von TrendAI für Discover-Tech.

TrendAI ging nicht direkt auf Fragen ein, warum Shadow-Earth-79 in seinem Bericht nicht namentlich genannt wurde, und erklärte in einer Stellungnahme, dass sein Ansatz zur Zuordnung (link) darauf abzielte, das Fehlerrisiko zu verringern und „hype-getriebene Bezeichnungen“ oder „unbeständige Akteursnamen, die Verteidiger in die Irre führen, die Risikopriorisierung verzerren und unangemessene Reaktionsmaßnahmen auslösen können“, zu vermeiden.

Die Suche nach Möglichkeiten, Starlink-Nutzer aufzuspüren, hat sich zu einer regelrechten Heimindustrie entwickelt, da Regierungen weltweit versuchen, die Verbreitung von Satelliten-Internet-Terminals in den Griff zu bekommen. Da die Terminals Daten über von SpaceX betriebene Satelliten statt über staatlich regulierte Telekommunikationsunternehmen leiten, können sie lokale Internetbeschränkungen umgehen, in feindlichen Gebieten kommunizieren oder Aktionen auf Schlachtfeldern koordinieren. Starlink ist zu einer besonders wichtigen Ressource (link) in der Ukraine geworden, deren Militär auf den Dienst für die Kommunikation an der Front (link) und die Steuerung von Drohnenangriffen (link) angewiesen ist.

Im Mai berichteten die israelische Zeitung „Haaretz“ und die Website „Intelligence Online“ unabhängig voneinander (link) (link), dass Unternehmen in israelischem Besitz ihren Kunden Möglichkeiten zur Identifizierung und Verfolgung von Starlink-Nutzern anboten. Laut „Haaretz“ spielte dabei offenbar die Auswertung von Werbedaten eine Schlüsselrolle.

DISCOVER-TECH WIRD WEITGEHENDER SPIONAGETÄTIGKEIT BESCHULDIGT

Am selben Tag, an dem TrendAI seinen Bericht über „Shadow-Earth-79“ veröffentlichte, nannten die kanadische Cyber-Überwachungsorganisation Citizen Lab und das New Yorker Werbetechnologieunternehmen Confiant Discover-Tech namentlich (link).

Beide Gruppen erklärten, das israelische Unternehmen habe den Werbebietprozess missbraucht, wodurch Daten über Internetnutzer an den Bieter zurückfließen könnten.

Im Laufe der Zeit können Bieter diese durchgesickerten Daten sammeln, zusammenführen und mit anderen Informationen verknüpfen, um Nutzer zu de-anonymisieren, sie im Internet zu verfolgen und sie in einigen Fällen für gezielte Überwachungsmaßnahmen mit Überwachungssoftware vorzubereiten.

Citizen Lab und Confiant gaben an, dass die Anzeigen in Dutzenden sensibler Netzwerke (link) geschaltet worden seien, die Medienorganisationen, Regierungen und Technologieunternehmen gehören (link).

Als Reaktion auf die Untersuchungen gaben Google, Comcast und andere Unternehmen an, Discover-Tech von ihren Werbeplattformen entfernt zu haben.

Mindestens ein großes US-Technologieunternehmen und eine internationale Organisation haben kürzlich interne Untersuchungen eingeleitet, um zu prüfen, ob die Anzeigen von Discover-Tech auf ihre Mitarbeiter abzielten, so eine der Personen und eine siebte Person, die mit der Angelegenheit vertraut ist.

FÜHRENDER WERBETREIBENDER IM JEMEN UND IM SÜDSUDAN

Der Bericht von TrendAI führte verdächtige Gebotsmuster an, die darauf hindeuteten, dass Shadow-Earth-79 „eher eine Infrastruktur zur Zielausrichtung und Nachverfolgung als einen kommerziellen Werbebetrieb“ betrieb.

Neben der Feststellung einer „offensichtlichen Verzerrung“ zugunsten des Kaufs von Anzeigen, die auf Starlink-Nutzer abzielten, hieß es in dem Bericht, dass Shadow-Earth-79 der größte Anzeigenkäufer in Syrien, Libyen, Jemen und Südsudan sowie der zweitgrößte Anzeigenkäufer in Afghanistan war, obwohl „die Nachfrage nach legitimer westlicher Werbung in sanktionierten oder von aktiven Konflikten betroffenen Staaten praktisch bei null liegt“. Dem Bericht zufolge sicherte sich das Unternehmen in mehreren Ländern, darunter Ungarn, Israel, Ägypten, Aserbaidschan und Venezuela, „einen unglaubwürdig hohen Anteil“ an den Geboten.

Forscher von TrendAI waren überzeugt, dass Discover-Tech hinter den verdächtigen Gebotsaktivitäten steckte, und diskutierten laut den sechs mit der Angelegenheit vertrauten Personen darüber, das Unternehmen im TrendAI-Bericht namentlich zu nennen. Doch sie gaben schließlich die Idee auf, die Aktivitäten öffentlich einem namentlich genannten Unternehmen zuzuordnen, nachdem Führungskräfte von TrendAI rechtliche Bedenken geäußert hatten, sagten fünf der **Quellen**.

Selbstzensur ist in der Cybersicherheitsbranche weit verbreitet, insbesondere wenn Führungskräfte befürchten, dass die Aufdeckung von Überwachungsoperationen Vergeltungsmaßnahmen nach sich ziehen könnte, sagen Branchenexperten.

Anfang dieses Jahres strich das US-Cybersicherheitsunternehmen Palo Alto explizite Verweise auf China aus einem Bericht über eine globale Cyberspionagekampagne, obwohl seine Forscher überzeugt waren, dass die Hackerangriffe Peking zugeschrieben werden könnten, wie Reuters damals berichtete (link). Reuters zufolge wurde der Bericht aus Angst abgeschwächt, dass eine Nennung Chinas Probleme für die Geschäftstätigkeit von Palo Alto in diesem Land verursachen könnte, die bereits unter genauer Beobachtung stand, nachdem eine Anweisung aus Peking inländische Unternehmen dazu verpflichtet hatte, die Produkte des Unternehmens nicht zu verwenden (link). Palo Alto erklärte, das Fehlen von Quellenangaben in seinem Bericht stehe in keinem Zusammenhang mit „Beschaffungsvorschriften in China“ und jede gegenteilige Behauptung sei „spekulativ und falsch“.

(Als Service bietet die Nachrichtenagentur Reuters eine automatische Übersetzung einiger englischer Artikel in eine Reihe von Sprachen an, darunter auch Deutsch. Da durch eine maschinelle Übersetzung Fehler entstehen können und der notwendige Kontext möglicherweise fehlt, übernimmt Reuters keine Gewähr für die Korrektheit der automatisch übersetzten Texte. Sie werden ausschließlich als Service zur Verfügung gestellt. Reuters lehnt eine Haftung für etwaige Schäden oder Verluste jeglicher Art ab, die aus der Nutzung der automatischen Übersetzungen entstehen.)