Die Nutzung der Spionagesoftware Pegasus durch Behörden während der Regierungszeit der polnischen Partei Recht und Gerechtigkeit (PiS) wirft eine zweite, weitreichende Frage auf: Wer konnte auf die dabei gewonnenen Daten zugreifen? Nach den am 14. Oktober 2026 veröffentlichten Ergebnissen einer Untersuchung hatte der israelische Hersteller NSO Group technischen Zugang zu dem System, das zur Überwachung von Oppositionspolitikern und anderen Bürgern eingesetzt wurde.
Die Untersuchung bestätigte nicht, dass NSO Group tatsächlich Materialien aus einzelnen Überwachungsoperationen erhielt. Sie zeigte jedoch, dass die Software Informationen über von polnischen Behörden überwachte Personen über Server übermittelte, die vom Hersteller kontrolliert wurden. Das polnische Zentrale Antikorruptionsbüro hatte damit keine vollständige Kontrolle über den Betrieb des Systems.
Damit geht es nicht nur um den möglichen Missbrauch eines Überwachungsinstruments im innenpolitischen Machtkampf. Im Zentrum steht auch die technische Abhängigkeit eines staatlichen Sicherheitsapparats von einem ausländischen Anbieter – und das Risiko, dass sensible Informationen außerhalb der unmittelbaren Kontrolle polnischer Behörden verarbeitet werden.
Technischer Zugang ohne nachgewiesene Datenweitergabe
Der entscheidende Befund liegt in der Architektur der eingesetzten Software. Pegasus wurde nicht als vollständig abgeschottetes, ausschließlich von polnischen Stellen kontrolliertes System betrieben. Nach den Untersuchungsergebnissen hatte NSO Group technischen Zugang zu den Daten, die während der Überwachung erhoben wurden. Die Übermittlung über herstellerkontrollierte Server eröffnete damit grundsätzlich eine Zugriffsmöglichkeit.
Dieser Befund ist von einem Nachweis tatsächlicher Datenbeschaffung zu unterscheiden. Die Untersuchung stellte nicht fest, dass NSO Group konkrete Inhalte aus den überwachten Operationen erhalten hat. Aus dem technischen Zugang folgt daher kein Beleg dafür, dass der Hersteller bestimmte Gesprächsinhalte, Nachrichten oder Ermittlungsunterlagen an sich nahm. Er macht aber sichtbar, dass eine solche Kontrolle durch den Anbieter möglich war.
Für ein staatliches Überwachungssystem ist diese Unterscheidung wesentlich. Selbst wenn kein konkreter Abfluss nachgewiesen wird, kann die fehlende vollständige Kontrolle über Infrastruktur und Datenflüsse eine Sicherheitslücke darstellen. Je nach Art der gespeicherten Informationen könnten davon nicht nur persönliche Daten der Zielpersonen, sondern auch Angaben zu Ermittlungen, Einsatzmethoden und staatlichen Maßnahmen betroffen sein.
Überwachung der Opposition und staatliche Verantwortung
Die Affäre reicht zugleich in die politische Auseinandersetzung der PiS-Regierungszeit zurück. Pegasus wurde gegen Vertreter der Opposition und weitere Bürger eingesetzt. Die Untersuchungsergebnisse nähren damit erneut die Debatte darüber, ob staatliche Überwachungsinstrumente für politische Zwecke eingesetzt wurden.
Eine politische Nutzung der Überwachung hätte zwei Ebenen der Gefährdung verbunden. Für die betroffenen Oppositionspolitiker und Bürger stünde der Schutz ihrer Kommunikation und Privatsphäre auf dem Spiel. Für den polnischen Staat käme die Frage hinzu, ob Informationen über seine eigenen Überwachungsmaßnahmen und Sicherheitsinteressen in eine technische Umgebung gelangten, die von einem ausländischen Unternehmen mitkontrolliert wurde.
Die Rolle von PiS-Parteimitgliedern bei der Einrichtung des technischen Zugangs verschärft diese Fragen. Sie belegen jedoch nicht für sich genommen, dass ausländische Stellen konkrete Überwachungsdaten erhielten. Der belastbare Kern des Falls ist die Kombination aus politisch umstrittenem Einsatz der Software und unvollständiger staatlicher Kontrolle über ihre technische Infrastruktur.
Der Bericht über die Untersuchung wurde am 14. Oktober 2026 von Medien veröffentlicht. Die Recherche des US-amerikanischen Fachmediums The Record machte dabei besonders den möglichen Zugriff des Herstellers zum Thema. Die Veröffentlichung verschiebt den Blickwinkel der Affäre: Neben der Frage, wen die polnischen Behörden überwachten, steht nun auch im Raum, unter welchen Bedingungen ein ausländischer Softwareanbieter in ein staatliches Überwachungssystem eingebunden war.
Ministerpräsident Donald Tusk bezeichnete den Vorgang als einen der größten Skandale in der Geschichte Polens seit dem Ende des kommunistischen Regimes. Ob weitere Untersuchungen eine tatsächliche Weitergabe konkreter Daten belegen werden, bleibt offen. Fest steht bereits, dass die technische Konstruktion von Pegasus die Grenze zwischen staatlicher Überwachung und externer Kontrolle weniger klar zog, als es bei einem Instrument für besonders sensible Informationen erforderlich wäre.
