Hoe staten hun burgers kunnen bespioneren

Hij geldt als de slechtste Duitser op internet: Martin Münch levert spionage-software aan politie en geheime diensten. Ook dictators houden hun burgers met zijn programma's in de gaten.

Gepubliceerd op 22 februari 2013 om 15:42

In de Disney-Film Mulan is alles heel simpel. De heldin strijdt in het Chinese leger met louter mannen tegen de Hunnen. De film schetst de tegenstanders van Mulan als duistere, gezichtsloze wezens. Goed tegen kwaad – een klassieker.
Martin Münch leeft in een Disney-Film. Hij weet wie de slechteriken zijn. Hij weet dat hij zelf bij de goeden hoort. Er is maar één probleem: alle anderen weten dat niet. Volgens hen staat Münch in de Arabische Lente aan de verkeerde kant, aan die van de onderdrukkers. Mensenrechtenactivisten hekelen het feit dat hij spionage-software levert aan dictaturen, doelbewust of lichtvaardig.

Finfisher

Münch (31) ontwikkelt spionage-software voor computers en mobiele telefoons. Die infecteert het digitale geheugen en snuffelt rond in de virtuele privésfeer. Politie en geheime diensten kunnen dankzij die software zien welk ziektebeeld degene die in de gaten wordt gehouden via Google kenbaar maakt. Zij horen wat hij met zijn moeder bespreekt via Skype. Ze lezen zijn boodschappenlijstjes op zijn smartphone. Het Trojaanse paard dat dit allemaal kan, heet Finfisher. Dit soort software wordt zo genoemd, omdat de spionagefunctie naar binnen wordt gesmokkeld in een ogenschijnlijk onschuldig omhulsel.
Münch is trots op zijn product. Hij toont het nu voor het eerst aan Duitse journalisten.
Op de glazen deur van zijn kantoor in München staat Gamma Group, de naam van zijn onderneming. Een tiental medewerkers zit voor een aantal beeldschermen. Achter de bureaustoel van Münch hangt een aluminiumplaquette met het bedrijfslogo. Hij deelt een bureau met de collega die de 'alarmcentrale' bemant. Als ergens ter wereld de strafvervolging stokt, rinkelt tegenover hem de telefoon.
Münch kan dit soort technisch speelgoed prima uitleggen. Misschien omdat hij autodidact is. Hij heeft geen beroepsopleiding gevolgd en geen informatica gestudeerd, slechts drie jaar jazzpiano en gitaar.

Mushu

Voor de opsporingsautoriteiten is Münch een beetje zoals Mushu, de kleine draak uit *Mulan. Hij is het coole hulpje, dat Mulan in de strijd bijstaat. Via het bedrijf dat Münch bezit heeft hij 15 procent van de aandelen van Gamma International GmbH in handen. Hij heeft dat bedrijf Mushun genoemd, naar het draakje uit de film, zij het met een extra 'n' aan het eind, zegt hij. Dan lacht hij verlegen. Hij is ook bedrijfsleider bij Gamma.
Gamma's bestseller uit de Finfisher-familie heet Finspy. Münch buigt zich over zijn Apple-laptop en laat zien wat het programma kan. Eerst kiest de gebruiker het apparaat uit dat hij wil aanvallen: een iPhone, een mobieltje met besturingssysteem Android of een pc met het gratis systeem Linux? De speurder kan aangeven, op hoeveel servers in verschillende landen het Trojaanse paard zich moet nestelen, totdat ook technisch zeer goed onderlegde slachtoffers er niet meer achter kunnen komen door wie ze eigenlijk in de gaten worden gehouden.
Vervolgens kan de speurder bepalen hoe smerig het Trojaanse paard moet worden, wat hij moet kunnen: de microfoon als afluisterapparaat benutten; opgeslagen gegevens bekijken en veiligstellen, als ze gewist of gewijzigd worden; meelezen, welke toetsen de gebruiker op het toetsenbord indrukt; het beeldscherm filmen; Skype-gesprekken afluisteren; de camera van de computer aanzetten en kijken, waar het apparaat staat; van een mobieltje via de GPS-ontvanger een peilzender maken. Maar de meeste functies van Finspy zijn in Duitsland illegaal.

Bahrein

En Finspy is niet goedkoop. De prijs begint bij ongeveer 150.000 euro en kan naar het zevenvoudige gaan, zegt Münch. Want Gamma bouwt voor iedere klant een eigen versie van het Trojaanse paard, die in overeenstemming moet zijn met de wet van het land in kwestie. “Het doel zijn individuele criminelen”. Hij kent geen woord als 'vermoedelijk,' in het gesprek gebruikt hij louter woorden als 'overtreder' en 'crimineel,' alsof dat synoniemen zouden zijn van 'verdachte' en 'doelwit.'
Alaa Shehabi is zo'n doelwit. Haar vergrijp: zij heeft de regering van haar land bekritiseerd. De jonge vrouw is in Bahrein geboren, een eilandstaat aan de Perzische Golf. Een koninkrijk – en een politiestaat. De soennitische regent Hamad Ben Isa al-Khalifa heerst over een shiitische bevolkingsmeerderheid. Toen de Arabische Lente twee jaar geleden in Bahrein uitbrak en Shehabi met duizenden anderen hervormingen ging eisen, riep de koning het Saoedische leger te hulp. Op foto's en video's op internet zijn gehavende lichamen, door traangas geprikkelde ogen en door hagel doorzeefde lijven te zien. Het zijn de beelden van een bloedig neergeslagen protest.
De organisatoren van de Formule 1 zagen daarin geen probleem en hielden vorig jaar april de Grand Prix van Manama, een schitterend evenement middenin een onderdrukt land. De oppositie probeerde daarentegen aan een paar meegereisde journalisten de waarheid te laten zien. Ook Shehabi, die haar donkere haren onder een sluier verbergt, ontmoette verslaggevers. Ze vertelde over het politiegeweld, over de gewonden en de doden. Ze doorbrak een taboe.
Shehabi was voorzichtig, lette goed op dat niemand haar zag en schakelde tijdens het interview haar mobieltje uit. Toch kreeg ze later bezoek van een paar politie-agenten. De ambtenaren lieten haar lopen, maar toen kwam het eerste e-mailtje. In de onderwerpregel stond “Martelverslag over Nabeel Rajab” en in de bijlage stonden zo te zien foto's van de gefolterde Rajab. Hij is een vriend van Shehabi, een oppositielid zoals zij. Shehabi probeerde de bijlage te openen. Dat lukte niet. Dat was maar goed ook, want er zat een Trojaans paard van Gamma in verstopt. De politiestaat Bahrein had haar in het vizier, en de software van Martin Münch hielp daarbij.
Spionage-software voor een politiestaat? Gamma reageert merkwaardig op dat verwijt. Münch stuurt een persbericht, waarin staat dat er een demoversie voor cliënten gestolen zou zijn. Er werd verder niets duidelijks over Bahrein gezegd. Münch wil niet prijsgeven wie de klanten van Gamma zijn, en ook niet wie geen klant is. Alles is geheim. Daarom moet het bedrijf er vrede mee hebben dat de Duitse tak van de ngo Verslaggevers zonder Grenzen en andere mensenrechtenactivisten een officiële klacht hebben ingediend bij het Duitse ministerie van Economische Zaken. Zij eisen scherpere controles op de landen waarheen Gamma exporteert en beroepen zich daarbij op – overigens vrijwillige – aanbevelingen van de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO).

Dual use

Münch herhaalt bij iedere gelegenheid dat zijn bedrijf zich aan de exportwetten van Duitsland houdt. Maar de Finfisher-producten worden vanuit Engeland verscheept. In Andover bevindt zich het moederconcern van Gamma International, de Gamma Group. Oprichter en mede-eigenaar – naast Münch – is Louthean Nelson.
In Groot-Brittannië en Duitsland is dezelfde Europese Verordening over de export van spionagetechniek van kracht. Spionageapparatuur vertegenwoordigt in de zin van deze wet geen wapens, maar goederen, die zowel civiel als militair kunnen worden ingezet. Het sleutelwoord is dual use. En e-mailbijlagen zijn natuurlijk veel onschuldiger dan tanks. Uiteindelijk komt het erop neer, dat Gamma van zijn klanten een certificaat krijgt, dat bevestigt dat Finfisher daadwerkelijk bij de juiste adressant werd geïnstalleerd, met een stempel van de betreffende staat erop.
Gamma staat sinds de Arabische Lente in een ongunstig daglicht. Egyptische betogers vonden in een overheidskantoor een aanbod van het bedrijf aan de gevallen regering van president Moebarak, een offerte voor software, hardware en training – 287.137 euro. Münch beweert dat er nooit iets is geleverd.
Als Münch over zijn critici spreekt, klinkt hij oprecht verontrust: “Wij hebben altijd een slecht imago gehad. Dat is geen mooi gevoel.” Helemaal omdat dat niet verdiend is. “Veel mensen zeggen: 'Daar houd ik niet van, dan meng je je in het privéleven van iemand’. Maar het feit dat zij daar niet van gediend zijn, betekent niet dat wij iets illegaals doen.

Gedragscode

Niettemin belooft Münch beterschap, meer transparantie en echte consequenties. Op het kantoor van Gamma komt binnenkort iemand die de mensenrechten in de gaten moet houden. Eigenlijk zou hij dat zelf moeten doen, zegt Münch, maar dat ligt een beetje lastig. Na een gesprek van meerdere uren blijft de indruk hangen dat het ethische kompas van Martin Münch geen naald heeft. “Ik ben politiek neutraal”, zegt hij.
Maar hij laat toch een gedragscode opstellen, die de export naar landen moet uitsluiten, waar de mensenrechten worden geschonden. Gamma zou met twee mensenrechtengroeperingen in contact staan, namen wil hij echter niet noemen. In grensgevallen zouden ze advies moeten geven. Want hij weet zelf niet helemaal zeker of hij wel het juiste onderscheid kan maken: de Verenigde Staten martelen tenslotte ook in Guantanamo – zijn ze daarom dan geen rechtsstaat meer?
Het schandaal heeft hem enorm verrast, zegt Münch, want “
met software kun je mensen niet martelen”. Hij begrijpt de opwinding niet. “Ik vind het goed dat de politie haar werk doet*”. Op de slechteriken jagen. In Bahrein zijn dat alleen politieke tegenstanders.

Are you a news organisation, a business, an association or a foundation? Check out our bespoke editorial and translation services.

Ondersteun de onafhankelijke Europese journalistiek.

De Europese democratie heeft onafhankelijke media nodig. Voxeurop heeft u nodig. Sluit u bij ons aan!

Over hetzelfde onderwerp