Ein bestätigter Pegasus-Angriff auf den Belgrader Universitätsrektor, eine Spionagewarnung an einen Mitarbeiter der Staatsanwaltschaft und frühere Enthüllungen über überwachte Aktivisten: Nach Serbiens Parlamentswahl stellt sich eine entscheidende Frage. Wer klärt die Angriffe auf – und wer verhindert, dass Überwachung erneut politisch missbraucht wird?
Aleksandar Vučić hat die Niederlage seines Lagers bei der Parlamentswahl vom 25. Oktober 2026 eingeräumt. Während die Regierungsbildung noch bevorsteht, richtet sich der Blick auf jene Institutionen, deren Arbeit weitgehend außerhalb der Öffentlichkeit stattfindet: Sicherheitsdienste, Ermittlungsbehörden und ihre Kontrollorgane.
Ein Wahlergebnis tauscht keine Behördenleitung automatisch aus, untersucht keine früheren Eingriffe und beendet keine technischen Zugriffsmöglichkeiten. Für eine neue Regierung wird deshalb auch entscheidend sein, wie sie mit den dokumentierten Überwachungsfällen umgeht. Ein Wechsel der politischen Führung allein garantiert noch keine unabhängige Kontrolle.
Bestätigter Angriff
Am 19. Oktober veröffentlichten Citizen Lab und die SHARE Foundation neue Untersuchungsergebnisse. Die Forscher bestätigten mit hoher Sicherheit, dass das iPhone von Vladan Đokić, dem Rektor der Universität Belgrad, im Jahr 2026 mit Pegasus infiziert worden war. Đokić hatte die studentische Protestbewegung unterstützt.
Nach der technischen Analyse erfolgte die Infektion über einen sogenannten Zero-Click-Angriff. Der Betroffene musste dafür weder einen Link anklicken noch eine Datei öffnen. Die Untersuchung des Falls war bei Veröffentlichung noch nicht abgeschlossen.
Anders ist die Beweislage bei Rade Bajić, der als Mitarbeiter der organisierten Kriminalitätsstaatsanwaltschaft an den Ermittlungen zum Belgrader Generalštab-Projekt beteiligt war. Er erhielt im August eine Apple-Warnung vor einem gezielten Spionageangriff. Die Forscher bewerten eine solche Warnung als ernstzunehmenden Hinweis auf eine gezielte Attacke. Eine erfolgreiche Infektion und die eingesetzte Software waren damit jedoch noch nicht abschließend nachgewiesen.
Verantwortung offen
Zusammen mit früheren Fällen nannten die Forscher mindestens 16 Personen aus der serbischen Zivilgesellschaft, die gezielt angegriffen oder mit Spionagesoftware infiziert wurden. Daraus dürfen nicht 16 bestätigte Pegasus-Infektionen gemacht werden.
Ebenso wichtig ist eine zweite Unterscheidung: Der technische Nachweis eines Angriffs identifiziert nicht automatisch dessen Auftraggeber. Wer einen Einsatz veranlasste, wer ihn ausführte und ob eine rechtliche Grundlage bestand, muss gesondert untersucht werden. Serbische Behörden haben Vorwürfe rechtswidriger Überwachung in der Vergangenheit zurückgewiesen.
Verschiedene Werkzeuge
Bei den Enthüllungen geht es um unterschiedliche Technologien. Pegasus ist eine Spionagesoftware des israelischen Unternehmens NSO Group. NoviSpy bezeichnet eine Android-Spionagesoftware, deren Einsatz in Serbien ebenfalls untersucht wurde. Cellebrite wiederum stellt digitale Forensikwerkzeuge bereit, mit denen Geräte entsperrt und Daten ausgewertet werden können.
Diese Produkte sind nicht gleichzusetzen. Ein forensisches Werkzeug zum Zugriff auf ein beschlagnahmtes Handy ist etwas anderes als Software, die anschließend unbemerkt auf dem Gerät verbleibt und weitere Informationen sammelt.
Amnesty International dokumentierte im Dezember 2024 Fälle, in denen serbische Polizei und Geheimdienstbehörden solche Technologien gegen Journalisten und Aktivisten eingesetzt haben sollen. In untersuchten Fällen wurde der Zugriff auf Geräte während behördlichen Gewahrsams mit der anschließenden Installation von NoviSpy in Verbindung gebracht. Diese Befunde dürfen jedoch nicht pauschal auf jeden später bekannt gewordenen Pegasus-Angriff übertragen werden.
Kontrolle vorgesehen
Serbien verfügt über gesetzliche Kontrollmechanismen. Die pauschale Behauptung, niemand kontrolliere die Sicherheitsdienste, wäre deshalb falsch. Entscheidend ist, wie wirksam diese Mechanismen arbeiten.
Die Regierung ernennt und entlässt den Direktor der Sicherheits- und Informationsagentur BIA. Die Behördenleitung muss Parlament und Regierung zweimal jährlich über ihre Tätigkeit und die Sicherheitslage berichten. Für gesetzlich geregelte besondere Überwachungsmaßnahmen bestehen gerichtliche Genehmigungsverfahren.
Das Abfangen von Kommunikation durch die BIA setzt entsprechende gerichtliche Anordnungen voraus. Daraus lässt sich allerdings nicht ableiten, dass die dokumentierten Smartphone-Angriffe gerichtlich genehmigt oder rechtmäßig waren. Genau diese Frage gehört zur Aufarbeitung.
Hinter Türen
Im Parlament ist der Ausschuss zur Kontrolle der Sicherheitsdienste ein wichtiges Aufsichtsorgan. Dass er tätig wird, ist öffentlich dokumentiert: Am 4. Juni 2026 behandelte und verabschiedete er beispielsweise BIA-Tätigkeitsberichte und Berichte zur Sicherheitslage mehrheitlich in einer nichtöffentlichen Sitzung.
Die Geheimhaltung einer Sitzung ist für sich allein kein Beweis mangelhafter Kontrolle. Sicherheitsdienste arbeiten mit schutzbedürftigen Informationen. Die Annahme eines Berichts beweist umgekehrt aber auch nicht, dass einzelne Überwachungsvorwürfe unabhängig untersucht und geklärt wurden.
Für eine Bewertung kommt es deshalb darauf an, welche Unterlagen die Kontrolleure einsehen können, welchen Hinweisen sie nachgehen und welche Konsequenzen ihre Feststellungen haben.
Frühere Warnungen
Die jüngsten Erkenntnisse stehen am Ende einer längeren Reihe von Veröffentlichungen. Im Dezember 2024 erschien die Untersuchung zu NoviSpy und dem Einsatz digitaler Forensikprodukte. Im Februar 2025 kündigte Cellebrite nach einer internen Überprüfung an, die Nutzung seiner Produkte durch bestimmte betroffene Kunden in Serbien zu stoppen.
Das war keine öffentlich belegte vollständige Abschaltung sämtlicher Überwachungstechnik im Land. Die Maßnahme betraf bestimmte Kunden und Produkte. Im Oktober 2026 wurden mit den Fällen Đokić und Bajić weitere Erkenntnisse über gezielte Angriffe bekannt.
Diese Abfolge belegt nicht, dass dieselben Werkzeuge oder Auftraggeber beteiligt waren. Sie macht aber eine politische Anschlussfrage unvermeidbar: Welche wirksamen Schutzmechanismen wurden nach den früheren Enthüllungen geschaffen?
Beweise sichern
Eine neue Regierung könnte die Behördenführung verändern und unabhängige Untersuchungen ermöglichen. Ein bloßer Personalwechsel würde jedoch weder die Vergangenheit klären noch dauerhaft vor Missbrauch schützen.
Für Ermittlungen könnten Beschaffungsunterlagen, Einsatzprotokolle, Genehmigungen und technische Spuren entscheidend sein. Gleichzeitig stellt sich die Frage, wie möglicherweise rechtswidrig erhobene persönliche Daten vor weiterer Nutzung geschützt werden.
Beweissicherung und Datenschutz müssen dabei zusammen gedacht werden. Eine pauschale Löschung könnte aufklärungsrelevante Spuren beseitigen; ein unkontrollierter Weiterbestand sensibler Daten könnte Betroffene zusätzlich gefährden. Welche Unterlagen vorhanden sind, wer darauf zugreifen darf und wie sie rechtmäßig behandelt werden müssen, ist unabhängig zu klären.
Mehr betroffen
Ein kompromittiertes Smartphone betrifft möglicherweise nicht nur seinen Besitzer. Gespeicherte Nachrichten, Kontakte und andere Informationen können auch Aufschluss über Gesprächspartner geben – darunter Angehörige, Kollegen oder journalistische Quellen.
Das schafft einen nachvollziehbaren Bezug zur Diaspora: Wer von Österreich aus mit Menschen in Serbien kommuniziert, kann in deren gespeicherten Daten vorkommen. Ein Beleg für die gezielte Überwachung von Personen in Österreich ergibt sich aus den genannten Fällen allerdings nicht.
Für Journalisten und Aktivisten reicht die Bedeutung dennoch über die private Kommunikation hinaus. Wenn vertrauliche Kontakte gefährdet sind, können auch Recherchen, berufliche Zusammenarbeit und politische Beteiligung beeinträchtigt werden.
Ergebnisse zählen
Ob nach der Wahl tatsächlich eine andere Form der Kontrolle entsteht, wird sich an überprüfbaren Schritten zeigen: Werden konkrete Ermittlungen und Zuständigkeiten benannt? Werden die dokumentierten Angriffe unabhängig untersucht? Werden mögliche Verantwortliche anhand von Beweisen festgestellt? Und erhalten Betroffene wirksamen Rechtsschutz?
Dabei darf politische Aufarbeitung nicht in eine pauschale Verurteilung sämtlicher Behördenmitarbeiter umschlagen. Verantwortung muss individuell geklärt werden. Ebenso wenig darf der Hinweis auf Geheimhaltung jede Prüfung beenden.
Die entscheidende Veränderung wäre nicht, dass künftig andere Politiker Zugriff auf denselben Apparat bekommen. Entscheidend wäre eine Kontrolle, die auch gegenüber der neuen Regierung unabhängig bleibt. Daran wird sich messen lassen, ob Serbiens politischer Umbruch auch den Umgang mit Überwachung verändert.
