Die israelische Firma CyberGlobes knackt keine Telefone. Sie muss es nicht. Sie liest schlicht alles, was Menschen selbst veröffentlicht haben - auf Facebook, Instagram, TikTok, YouTube, X - und setzt aus diesen Milliarden Krümeln eine Karte zusammen: wer mit wem verkehrt, wer wo war und wer was unterstützt hat. Nach einer großen Recherche der israelischen Haaretz und TheMarker landeten die Werkzeuge dieser Firma bei Regierungen, die nicht für Zartheit gegenüber ihren Kritikern bekannt sind.

Die Kundenliste ist das, was wehtut. Es sind nicht nur autoritäre Regime. Dabei sind die USA, Norwegen, Finnland, Japan, die Niederlande, Litauen, Polen, die Ukraine - und Kroatien. Ein EU-Mitgliedstaat also, ein Nachbar, mit demselben Rechtsrahmen, auf den auch wir uns jedes Mal berufen, wenn wir von europäischen Standards sprechen. Wer der Kunde in Kroatien war und wofür die Werkzeuge genutzt wurden, sagt Haaretz nicht. Es ist nicht benannt, aber bestätigt, dass es geschah.

Wie das in der Praxis aussieht

Ein Werkzeug erlaubt es, ein Gebiet auf der Karte zu markieren und dann alle Menschen herauszuziehen, die von dort in einem bestimmten Zeitraum auf Instagram gepostet haben. Übersetzt: Man markiert einen Platz am Tag der Demonstration und erhält eine Teilnehmerliste. Ohne Gerichtsbeschluss, ohne ein einziges geknacktes Gerät, ohne irgendetwas, das nach klassischer Spionage aussieht. Nur das Einsammeln dessen, was wir alle täglich hinterlassen.

Der hässlichste Fall in den Dokumenten ist Indonesien. Laut der Recherche bat eine staatliche Stelle um Hilfe bei der Identifizierung von Angehörigen der LGBT-Gemeinschaft. Ein Mitarbeiter riet dem Kunden, lokale Ausdrücke für schwule Menschen zu nutzen, prominente Aktivisten zu finden, deren Profile zu analysieren und zu prüfen, in welchen Gruppen sie Mitglied sind. In einem Land, in dem Menschenrechtsorganisationen seit Jahren Festnahmen und Prügelstrafen dokumentieren.

In Nigeria durchsuchte ein CyberGlobes-Mitarbeiter nach den Protesten vom August 2024, bei denen laut Amnesty International mindestens 24 Demonstranten getötet und über 1.200 Menschen festgenommen wurden, einen mit den Demonstrationen verbundenen Hashtag - während Dutzende Demonstranten bereits wegen Vorwürfen vor Gericht standen, die auch Landesverrat umfassten. Die Regierung Nigerias war Kundin der Firma.

Und ein Fall, der uns viel näher ist

Auch europäische Umweltaktivisten waren unter den Zielen. Die Firma sammelte Daten über Gegner des geplanten zweiten Blocks des slowenischen Atomkraftwerks - ein Projekt, das auf neun bis 15 Milliarden Euro geschätzt wird. Durchsucht wurden Mitglieder von Greenpeace Slowenien und deren Verbindungen in sozialen Netzwerken. Bei manchen wurden auch Freundeslisten abgezogen, womit praktisch eine Karte der mit den Projektgegnern verbundenen Menschen gezeichnet wurde. Wer diese Suchen beauftragte, ist unbekannt.

Das ist der Satz, den man zweimal lesen sollte. Es geht nicht um eine Diktatur auf einem anderen Kontinent. Es geht um ein Nachbarland, um Bürger, die sich gegen eine Investition im Wert mehrerer mazedonischer Haushalte stellen, und um deren Freunde - Menschen, die weder demonstriert noch etwas unterschrieben haben, sondern nur auf jemandes Bekanntenliste auftauchten.

In Mosambik suchte ein Mitarbeiter wenige Tage nach der Festnahme des Oppositionspolitikers Vitano Singano nach Daten über ihn, einschließlich Datenbanken mit gestohlenen Daten und einem Gesichtserkennungssystem. Singano kam später frei und wurde im Juli 2025 angeblich auf einer Straße in Maputo entführt; seither fehlt jede Spur. Die Dokumente beweisen keine Verbindung zur Firma. In Ruanda dienten die Werkzeuge der Analyse eines anonymen Profils, das Präsident Kagame kritisiert - daraus entstand eine Liste von Nutzern, die seine Beiträge geliked oder geteilt hatten, sortiert nach Intensität der Unterstützung.

CyberGlobes weist die Vorwürfe zurück. Das Material sei bei einem Hackerangriff gestohlen und ein Teil der Dokumente vor der Veröffentlichung verändert worden. Welche Dokumente gefälscht sein sollen, sagt die Firma nicht, Belege legt sie nicht vor. Sie arbeite rechtmäßig und werde aus Vertraulichkeitsgründen nicht kommentieren, wer ihre Kunden sind.

Facebook teilte 2022 mit, über 200 gefälschte Profile entfernt zu haben, die die Firma genutzt oder gekauft hatte. Eine firmennahe Quelle sagt, man kaufe Daten bei anderen Firmen und nutze keine Fake-Accounts - interne Dokumente zeigen aber, dass sie zumindest früher gekauft wurden.

Nichts an dieser Geschichte ist technisch schwierig. Genau das ist der Punkt. Die gesamte Operation stützt sich auf eine einzige Sache: darauf, dass wir freiwillig und ständig Orte, Daten, Freunde und Haltungen veröffentlichen. Die Frage ist nicht, ob jemand das einsammelt - sondern welche Regierung, in wessen Auftrag und gegen wen.