FinFisher
# FinFisher

FinFisher, auch bekannt unter dem Namen FinSpy, ist eine Spionagesoftware für PCs und Smartphones, die entwickelt und vertrieben wird von der britisch-deutschen Firma FinFisher GmbH, die ihren Sitz in München im Sapporobogen 6 hat und zur Gamma Group gehört. Zu diesem Unternehmensverbund zählen unter anderem auch die in Großbritannien ansässigen Gamma International Ltd., Gamma TE Ltd. und G2 Systems Ltd. Die Unternehmensgruppe unterhält eine Kooperation mit der Elaman GmbH. Gründer von Gamma Group und neben Martin Johannes Münch (15 %) Mehrheitseigentümer (85 %) ist Louthean John Alexander Nelson, Sohn des Gründers der Firmengruppe William Louthean Nelson; die Gruppe beschäftigt 85 Mitarbeiter.

Bei FinFisher handelt es sich um einen Trojaner, da die Spionagefunktionen in einer harmlos aussehenden Hülle eingeschmuggelt werden. Die deutsche Bundesregierung sicherte den Export dieser Software bis mindestens 2012 durch Hermesbürgschaften des Wirtschaftsministeriums ab.

## Eigenschaften und Funktionen

Die Software-Suite umfasst unter anderem:

* FinSpy: Eine Trojaner-Software, die Fernzugriff auf einen bereits infizierten Rechner ermöglicht. Die Software läuft unter Windows, macOS sowie Linux.
* FinFireWire: Software durch welche mithilfe von FireWire und DMA ein komplettes Abbild des Arbeitsspeichers heruntergeladen werden kann.
* FinFly USB: Installation von zuvor gewählter Software nur durch Einstecken eines zuvor präparierten USB-Sticks.
* FinFly ISP: Eine auf Internet-Provider-Ebene installierte Software, die unter anderem gezielt momentan geladene Dateien mit Überwachungssoftware infizieren kann.

Zusätzlich zur Software wird auch ein unter dem Namen FinTraining vermarktetes Training zur Benutzung der Software angeboten.

## Kritik

### Verkauf an Unterdrückungsregime

Obwohl Gamma International den Verkauf der Software an totalitäre Regimes stets verneint hat, gelangte das Wall Street Journal 2011 an ein geheimes Memo des ägyptischen Innenministeriums, welches eine fünfmonatige Testnutzung der Softwaresuite von Gamma International zum Thema hatte. Im selben Memo wurde auch das „erfolgreiche Hacken von persönlichen Skype-Accounts“ sowie „das Aufnehmen von Sprach- und Videogesprächen über das Internet“ mithilfe der Software-Suite thematisiert. Andy Müller-Maguhn bezeichnet den Verkauf der Gamma-Software daher als „aktive Unterstützung von Menschenrechtsverletzungen“.

Außerdem erwähnt das Memo, dass die Software für 388.604 Euro, inklusive eines Trainings für ein Vier-Mann-Team, angeboten wurde. Obwohl aus den Dokumenten hervorgeht, dass der Kauf vom Innenministerium bestätigt war, kam der Handel, vermutlich aufgrund der Unruhen des Arabischen Frühlings, nicht zustande.

In der Türkei wurden die Teilnehmer des „Gerechtigkeitsmarschs“ durch die Spionagesoftware FinSpy ausgespäht. Die türkische Regierung ließ dies auf Anfrage unkommentiert.

### Big Brother Award 2012

Nicht nur wegen der Zielsetzung, das Überwachungsprogramm in Länder wie z. B. Ägypten zu verkaufen, sondern wegen der grundsätzlichen Aufgabe des Programms der sogenannten remote intrusion, also das ferngesteuerte Eindringen in einen Computer und die anschließende Übernahme und das Sammeln von Daten, wurde der Hersteller Gamma International 2012 mit dem Big Brother Award in der Kategorie Technik ausgezeichnet. In der Laudatio des Negativpreises wurde die Werbung des Unternehmens als „erschreckend unverblümt“ bezeichnet, da hier angepriesen wird, was in Herstellung und Vertrieb an Privatleute und Unternehmen in Deutschland illegal ist.

### OECD-Beschwerde

Am 6. Februar 2013 ist parallel in Deutschland und Großbritannien eine Beschwerde gegen die zwei IT-Unternehmen Gamma Group, den Hersteller von FinFisher, und Trovicor bei der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) eingereicht worden. Die Beschwerdeführer sind Privacy International, Reporter ohne Grenzen, das Bahrain Center for Human Rights (BCHR), Bahrain Watch (BW) und das Europäische Zentrum für Verfassungs- und Menschenrechte. Ihr Vorwurf lautet, Gamma verletze die OECD-Leitsätze für multinationale Unternehmen. Diese besagen, dass Unternehmen nicht direkt oder indirekt zu Menschenrechtsverletzungen beitragen dürfen.

Die britische Kontaktstelle der OECD nahm die Beschwerde gegen die Gamma Group am 24. Juni 2013 an.

### Gerichtsentscheidung wegen des Exports nach Bahrain 2014

Der englische High Court entschied im Mai 2014, dass die britische Exportbehörde HMRC Informationen über den Export von FinFisher nach Bahrain an die Menschenrechtsorganisation Privacy International weiterleiten muss. Die Behörde hatte gegen Gamma International ermittelt, sich aber geweigert, der Menschenrechtsorganisation dazu Auskunft zu geben. Der Firma wurde vorgeworfen, FinFisher ohne Genehmigung nach Bahrain exportiert zu haben. Eine bahrainische Menschenrechtsaktivistin entdeckte die Software auf ihrem Computer. Bundeswirtschaftsminister Sigmar Gabriel kündigte daraufhin an, den Export von Spionagesoftware künftig restriktiver zu handhaben.

### Anzeige wegen des Verdachts des illegalen Verkaufs von Spähsoftware an die Türkei 2019

Vier Organisationen haben im Zeitraum um den Juli 2019 herum bei der Staatsanwaltschaft München I Strafantrag gegen das Unternehmen bzw. deren Geschäftsführer gestellt. Der Vorwurf lautete, dass FinFisher die Software „FinSpy“ ohne Genehmigung an die Türkei verkaufte. Die Exportgenehmigung hätte beim Bundesamt für Wirtschaft und Ausfuhrkontrolle (Bafa) beantragt werden müssen, welche hier mutmaßlich aber nicht vorlag. Die Software wurde verdeckt über Seiten, welche sich als solche der Opposition ausgaben, als Download angeboten. Der Chaos Computer Club untermauert die Begründung für die Strafanzeige in einem Bericht vom 28. Dezember 2019. Im Mai 2023 wurde Anklage gegen vier Manager der Firma erhoben.

Im Rahmen unter anderem dieser Ermittlungen ließ die Staatsanwaltschaft München im Oktober 2020 15 Geschäfts- und Wohnräume der FinFisher GmbH und ihrer Mitarbeiter durchsuchen. Auch gegen zwei weitere von FinFisher-Mitarbeitern kontrollierte Firmen wird ermittelt. Darunter ist die in Malaysia registrierte Raedarius M8 Limited, welche 2019 Überwachungssoftware im Wert von 850.000 $ an die rechtsextreme brasilianische Regierung unter Jair Bolsonaro verkaufte. Aufgrund vermutlich mit FinFisher durch autoritäre Regimes begangener massiver Menschenrechtsverletzungen forderte Oppositionspolitiker Konstantin von Notz die Bundesregierung dazu auf, nicht mehr mit der Firma zusammenzuarbeiten.

### Insolvenz 2021

Die FinFisher GmbH hat am 2. Dezember 2021 Insolvenz angemeldet. Heise schrieb zunächst die Firma würde unter dem Namen Vilicius Holding GmbH weitergeführt, widerspricht dieser Sichtweise aber nun selbst, wie auch netzpolitik.org.

## Kauf durch deutsche Behörden

Im Mai 2013 erwarb die Bundesregierung eine Nutzungslizenz für zehn Computer für FinSpy über den deutschen Vertreiber Elaman für 147.000 Euro. Aufgrund der Rechtslage in Deutschland werde die Software noch angepasst. Seit Einführung der Online-Durchsuchung zu Zwecken der Strafverfolgung in § 100b StPO zum 24. August 2017 ist zwar eine Rechtsgrundlage für den Softwareeinsatz gegeben, es fehlt aber nach wie vor an den technischen Voraussetzungen.

Das LKA Berlin lizenzierte im Jahr 2012 den Trojaner FinFisher für 400.000 Euro, obwohl es ihn mangels Rechtsgrundlage nicht einsetzen durfte. Der Vertrag lief zum Jahreswechsel 2017/2018 aus, nachdem das LKA den Vertrag im Frühjahr 2017 gekündigt hatte.

## Hackerangriff

Im August 2014 gelang es einem Hacker oder einer Hackerin mit dem Tarnnamen Phineas Fisher, in ein Netzwerk des FinFisher-Herstellers Gamma einzudringen. Phineas Fisher gibt sich als weiblich aus, möglicherweise steckt ein mehrköpfiges Team hinter diesem Pseudonym. Fisher veröffentlichte auf Twitter und reddit Einzelheiten über weltweit eingesetzte Staatstrojaner, den Quellcode von FinFlyWeb und Beweise, dass die Software international, unter anderem in Deutschland, sowie vom Regime in Bahrain zur Überwachung Oppositioneller eingesetzt wird.

