Die Pegasus-Affäre in Polen bekommt eine technische Dimension, die über die Frage nach den überwachten Personen hinausgeht. Während der Regierungszeit der Partei Recht und Gerechtigkeit (PiS) wurden Oppositionspolitiker und andere Bürger mit der Spionagesoftware überwacht. Zugleich lieferten die Untersuchungsergebnisse Hinweise darauf, dass der israelische Hersteller NSO Group technischen Zugang zu den dabei verarbeiteten Daten hatte.
Die am 14. Oktober 2026 bekannt gewordenen Ergebnisse belegen nicht, dass NSO Group konkrete Materialien aus einzelnen Überwachungsoperationen erhalten hat. Sie zeigen jedoch, dass Informationen über Server liefen, die vom Hersteller kontrolliert wurden, und dass das polnische Zentrale Antikorruptionsbüro die Funktionsweise des Systems nicht vollständig beherrschte. Damit stellt sich neben der politischen und rechtlichen Bewertung der Überwachung eine zweite Frage: Wie viel Kontrolle hatte der polnische Staat tatsächlich über die Informationen, die sein eigenes Überwachungssystem sammelte?
Ministerpräsident Donald Tusk bezeichnete den Vorgang als einen der größten Skandale in der Geschichte Polens seit dem Ende des kommunistischen Regimes. Die Tragweite der Affäre liegt dabei in der Verbindung zweier Probleme: dem umstrittenen Einsatz eines mächtigen Instruments gegen politische Gegner und der Abhängigkeit staatlicher Stellen von einer ausländischen technischen Infrastruktur.
Der entscheidende Punkt liegt in der Architektur
Pegasus ist darauf ausgelegt, Zielgeräte zu infiltrieren und daraus Informationen zu gewinnen. Für die Sicherheit eines solchen Systems ist daher nicht nur entscheidend, wer eine Überwachung anordnet oder welches Gerät betroffen ist. Ebenso wichtig ist, wohin die gewonnenen Daten fließen, wer die Server betreibt und welche technischen Zugriffsrechte der Anbieter behält.
Nach den veröffentlichten Untersuchungsergebnissen war Pegasus in Polen nicht als vollständig abgeschottete Infrastruktur eingerichtet, die in jeder Phase ausschließlich von polnischen Behörden kontrolliert wurde. Die Daten wurden über Server übertragen, die unter der Kontrolle von NSO Group standen. Dadurch verfügte das Unternehmen über eine technische Zugriffsmöglichkeit auf Informationen, die während der Überwachung entstanden.
Das ist nicht dasselbe wie ein nachgewiesener Datenabfluss. Die Untersuchung stellte nicht fest, dass NSO Group bestimmte Gespräche, Nachrichten, Kontaktlisten oder Ermittlungsakten aus konkreten Operationen tatsächlich erhalten oder gelesen hat. Ebenso liegt damit kein Beleg vor, dass solche Materialien an einen ausländischen Nachrichtendienst weitergegeben wurden.
Gerade diese Unterscheidung ist für die Bewertung des Falls zentral. Der technische Zugang beschreibt eine Möglichkeit, keine bewiesene Nutzung. Er macht aber sichtbar, dass die staatliche Verantwortung für eine Überwachungsmaßnahme und die praktische Kontrolle über ihre Datenverarbeitung auseinanderfallen konnten.
Was außerhalb der Behörde sichtbar werden konnte
Bei einem gewöhnlichen IT-System mag die Beteiligung eines externen Dienstleisters vor allem eine Frage der Beschaffung oder des Betriebs sein. Bei einem Überwachungsinstrument verändert sie die Sicherheitslage. Die gesammelten Daten können nicht nur private Kommunikation enthalten. Sie können auch erkennen lassen, welche Personen im Visier stehen, welche Ermittlungen laufen, welche Methoden eingesetzt werden und welche Operationen vorbereitet werden.
Wenn ein Anbieter Zugriff auf die technische Umgebung hat, betrifft das Risiko deshalb nicht allein die Privatsphäre der überwachten Bürger. Auch Informationen über die Arbeitsweise und Prioritäten staatlicher Sicherheitsorgane können besonders sensibel sein. Ein konkreter Verlust muss dafür nicht nachgewiesen sein: Bereits die fehlende vollständige Kontrolle über Server und Datenwege ist eine strukturelle Schwachstelle.
Das polnische Zentrale Antikorruptionsbüro hatte nach den Untersuchungsergebnissen keine vollständige Kontrolle über den Betrieb des Systems. Der Staat konnte Pegasus damit zwar als eigenes Instrument einsetzen, war bei dessen technischer Funktionsweise aber nicht unabhängig von dem Unternehmen, das die Software entwickelt hatte.
Die Berichterstattung des Fachmediums The Record rückte genau diese bisher weniger beachtete Seite der Affäre in den Mittelpunkt. Nicht nur die Auswahl der Ziele ist demnach relevant, sondern auch die Frage, wer die Infrastruktur kontrollierte, durch die die Ergebnisse der Überwachung verarbeitet wurden.
Ein technisches Problem mit politischem Ursprung
Die technische Konstruktion lässt sich nicht von der politischen Geschichte des Falls trennen. Pegasus wurde während der Regierungszeit der PiS gegen Vertreter der Opposition und weitere Bürger eingesetzt. Damit steht der Verdacht im Raum, dass staatliche Überwachungsmittel in einer politischen Auseinandersetzung eingesetzt wurden. Die vorliegenden Untersuchungsergebnisse beweisen allerdings nicht, dass jede einzelne Operation politisch motiviert war.
Sie verschärfen jedoch die Fragen nach den Verantwortlichen: Wer genehmigte die Einsätze? Nach welchen Kriterien wurden Ziele ausgewählt? Welche Kontrollen galten für die gewonnenen Informationen? Und warum wurde ein System verwendet, dessen Hersteller technisch in die Verarbeitung der Daten eingebunden war?
Die Beteiligung von PiS-Mitgliedern an der Einrichtung des technischen Zugangs erhöht das politische Gewicht der Affäre. Sie belegt für sich genommen jedoch nicht, dass NSO Group konkrete Überwachungsdaten erhielt. Belastbar ist die Kombination aus einem politisch umstrittenen Einsatz der Software und einer Infrastruktur, die nicht vollständig unter der Kontrolle polnischer Behörden stand.
Für die überwachten Personen geht es um den Schutz ihrer Kommunikation und ihrer persönlichen Daten. Für den Staat reicht die Frage weiter. Informationen über laufende Ermittlungen, Überwachungsziele und operative Verfahren können selbst sicherheitsrelevant sein. Wenn ein ausländischer Anbieter in die technische Kette eingebunden ist, hängt die Vertraulichkeit solcher Angaben nicht mehr ausschließlich von nationalen Behörden ab.
Die offene Frage nach der tatsächlichen Weitergabe
Die neuen Erkenntnisse verschieben damit den Schwerpunkt der Pegasus-Affäre. Zunächst stand vor allem im Vordergrund, wer überwacht worden war und ob staatliche Mittel gegen politische Gegner eingesetzt wurden. Nun geht es ebenso darum, unter welchen Bedingungen ein ausländisches Unternehmen Teil eines Systems werden konnte, das besonders empfindliche Informationen sammelte.
Ein Staat kann rechtlich für eine Überwachungsmaßnahme verantwortlich bleiben und dennoch praktisch von einem privaten Anbieter abhängen. Seine Behörden entscheiden dann möglicherweise über den Einsatz des Instruments, während der Hersteller die Server, die Software oder zentrale Datenflüsse kontrolliert. Zwischen formaler Zuständigkeit und tatsächlicher technischer Herrschaft entsteht eine Lücke.
Die bisherigen Ergebnisse schließen diese Lücke nicht. Sie weisen auf einen möglichen Zugriff und auf unvollständige staatliche Kontrolle hin, nicht auf eine bewiesene Übermittlung konkreter Daten aus bestimmten Operationen. Ob weitere Untersuchungen einen solchen Abfluss nachweisen werden, bleibt offen.
Fest steht bereits, dass die Sicherheitsvorkehrungen des polnischen Überwachungssystems nicht allein von den Entscheidungen polnischer Behörden abhingen. Sie hingen auch von der Konstruktion und den Zugriffsmöglichkeiten einer ausländischen Software ab. Bei einem Instrument, das in politische Konflikte hineinwirkte und Informationen von hoher Sensibilität verarbeitete, war genau diese Abhängigkeit der blinde Fleck.
