Irans digitale Jagd auf Kritiker: Spyware späht Journalisten und Aktivisten weltweit aus

Teherans Repression endet nicht an Irans Grenzen. Britische, amerikanische und niederländische Sicherheitsbehörden warnen vor „CHOSEN BRICK“, einer iranischen Spionagesoftware, die Nachrichten, E-Mails, Mikrofone und persönliche Daten ausliest. Auch Israel kennt diese Methode längst.

Das iranische Regime verfolgt seine Gegner nicht nur mit RevolutionsgardenIslamische Revolutionsgarden: Machtzentrum des iranischen RegimesDie Islamischen Revolutionsgarden sind eine mächtige militärische, politische und wirtschaftliche Organisation der Islamischen Republik Iran. Sie wurden nach der Revolution von 1979 gegründet, unterstehen dem Obersten Führer und steuern über die Quds-Einheit Irans regionales Terrornetzwerk.Mehr lesen, Gerichten und Gefängnissen. Wer Teheran kritisiert, soll offenbar auch im Ausland nicht sicher sein. Die Cyberbehörden Großbritanniens, der Vereinigten Staaten und der Niederlande haben am Dienstag gemeinsam vor einer bislang detailliert beschriebenen iranischen Spionagekampagne gewarnt. Im Zentrum steht eine Schadsoftware mit dem Namen „CHOSEN BRICK“, die gezielt gegen Dissidenten, Aktivisten und Journalisten eingesetzt wird.

Nach Einschätzung des britischen National Cyber Security Centre, NCSC, steckt hinter den Angriffen eine mit dem iranischen Staat verbundene Cyberstruktur. Die britische Behörde formuliert ungewöhnlich deutlich: Iran nutze Cyberoperationen „fast sicher“, um Menschen zu unterdrücken, die das Regime als Bedrohung betrachtet. Die Kampagne ist mindestens seit 2025 nachweisbar und hat Opfer unter anderem in Großbritannien, den USA und den Niederlanden getroffen.

Das Ziel ist nicht der spektakuläre Angriff auf Stromnetze oder Banken. CHOSEN BRICK ist für etwas anderes gebaut: Menschen sollen vollständig ausgeleuchtet werden.

Die Malware kann E-Mails stehlen, Kontaktlisten und Nachrichten auswerten, Bildschirmaufnahmen anfertigen, Telegram- und WhatsApp-Daten aus Browsern kopieren und das Mikrofon eines kompromittierten Computers einschalten. Dadurch lassen sich nicht nur politische Kontakte rekonstruieren. Angreifer können Rückschlüsse auf Aufenthaltsorte, Bewegungsmuster, private Beziehungen und das persönliche Umfeld eines Opfers ziehen.

Gerade für iranische Exiljournalisten oder Oppositionelle kann das weit über den Verlust einiger Dateien hinausgehen. Das NCSC berichtet, dass persönliche Informationen früherer Opfer anschließend auf proiranischen sogenannten Leak-Seiten veröffentlicht wurden. Damit verbindet sich digitale Spionage mit Einschüchterung und möglicherweise unmittelbarer Gefahr für die Betroffenen und ihre Familien.

Erst Vertrauen schaffen, dann den Computer übernehmen

Besonders perfide ist die Methode, mit der das Regime offenbar an seine Opfer herankommt.

Die Angreifer schreiben ihre Ziele über WhatsApp, Telegram oder andere Kommunikationswege an und geben sich als Personen aus, denen das Opfer bereits vertraut. Teilweise wird über längere Zeit eine glaubwürdige Unterhaltung aufgebaut. Erst anschließend folgt eine Datei, die zum jeweiligen Gespräch passt.

Die Vorbereitung ist individuell. Laut NCSC recherchieren die Angreifer ihre Zielpersonen offenbar gründlich und passen die TäuschungDesinformation: Gezielte Täuschung der ÖffentlichkeitDesinformation bezeichnet bewusst verbreitete falsche oder irreführende Informationen. Ziel ist häufig, Menschen zu täuschen, Vertrauen zu zerstören, Konflikte zu verschärfen oder politische Entscheidungen zu beeinflussen.Mehr lesen an deren berufliche oder private Interessen an. Verschickt wurden unter anderem angebliche Programme von Telegram, Norton, KeePass, RunwayML oder Pictory.

In einem besonders bemerkenswerten Fall verwendeten die Täter sogar gefälschte MRT-Untersuchungsergebnisse, um ihr Opfer zum Öffnen einer Datei zu bewegen.

Im Hintergrund installiert sich CHOSEN BRICK auf Windows-Rechnern. Die Malware richtet sich nach den bislang bekannten Fällen ausschließlich gegen Windows, überlebt einen Neustart und kann Ausnahmen im Microsoft-Defender-System anlegen, um ihre Entdeckung zu erschweren. Zur Steuerung nutzt sie unter anderem Telegram-Bots. Jeder infizierte Rechner kann dabei über eine eigene Bot-ID angesprochen werden.

Noch gefährlicher: Die Software kann weitere Schadprogramme nachladen und besitzt nach Angaben der britischen Cyberbehörde sogar Funktionen zum Löschen von Dateien beziehungsweise zum Zerstören von Daten auf dem Rechner.

Das ist keine gewöhnliche Phishingkampagne zur Bereicherung von Kriminellen. Es handelt sich nach Einschätzung dreier westlicher Sicherheitsbehörden um staatlich unterstützte Überwachung.

Und genau das macht die Warnung politisch so bedeutend.

Das NCSC weist ausdrücklich darauf hin, dass iranische Geheimdienste in anderen Fällen bereits Entführungen oder tödliche Operationen gegen Regimegegner im Ausland geplant haben. Digitale Überwachung kann deshalb ein erster Schritt sein, bevor aus einem virtuellen Angriff eine reale Bedrohung wird.

Das FBI dokumentiert dieses Muster schon seit Jahren. Drei Männer, die amerikanische Ermittler mit Cyberoperationen der iranischen Revolutionsgarden in Verbindung bringen, werden weiterhin gesucht. Ihre mutmaßlichen Ziele reichten von Mitarbeitern amerikanischer Wahlkampagnen über Regierungsvertreter und Thinktank-Mitarbeiter bis zu Journalisten, Aktivisten und Personen, die sich beruflich mit Iran und dem Nahen Osten beschäftigten.

Israel erlebt dieselbe iranische Methode längst

Für IsraelIsrael: Der jüdische Staat im Herzen des Nahen OstensIsrael ist ein demokratischer Staat im Nahen Osten und der Nationalstaat des jüdischen Volkes. Er wurde am 14. Mai 1948 gegründet, seine Hauptstadt ist Jerusalem, die Knesset hat 120 Abgeordnete. Zum Unabhängigkeitstag 2026 hatte Israel rund 10,244 Millionen Einwohner.Mehr lesen ist die neue Warnung alles andere als überraschend.

Der Shin Bet und Israels nationale Cyberbehörde meldeten bereits im Februar 2026 Hunderte iranische Angriffsversuche gegen israelische Personen innerhalb eines Jahres. Betroffen waren Regierungsvertreter, frühere und aktive Angehörige des Sicherheitsapparats, Mitarbeiter der Rüstungsindustrie, Wissenschaftler, Journalisten und andere Bürger. Die iranischen Angreifer versuchten insbesondere, private Google-Konten und Messenger auf Mobiltelefonen zu kompromittieren.

Schon 2025 hatte der Shin Bet 85 iranische Cyberangriffe gegen israelische Bürger vereitelt. Auch damals war das Ziel nicht nur der Computer selbst. Die Angreifer wollten persönliche Informationen gewinnen, darunter Wohnadressen, private Beziehungen und regelmäßig besuchte Orte.

Die Parallele zu CHOSEN BRICK ist offensichtlich.

Teheran versucht, Gegner zunächst digital zu kartieren. Wer spricht mit wem? Wo hält sich eine Person auf? Welche privaten Geräte nutzt sie? Welche Kontakte besitzt sie? Welche Informationen lassen sich stehlen oder später veröffentlichen?

Für ein Regime, das seine Gegner auch außerhalb Irans verfolgt, sind solche Daten von enormem Wert.

haOlam berichtete erst im Juli über die nächste Stufe dieser Repression. Die iranische Justiz ging gegen Reza Pahlavi sowie Exiljournalisten vor, nachdem diese über die blutige Niederschlagung der Januar-Proteste berichtet hatten. Für Teheran sind unabhängige Stimmen gefährlich, weil sie genau das sichtbar machen, was die staatliche Propaganda verbergen möchte: Verhaftungen, Hinrichtungen, Gewalt und den Widerstand gegen das Regime.

CHOSEN BRICK zeigt nun, dass das Regime diese Stimmen nicht nur öffentlich diskreditiert oder juristisch verfolgt.

Es versucht, in ihre Computer einzudringen.

Die Entwicklung fügt sich zugleich in Irans größere Strategie gegen Israel und den Westen. Raketen, Drohnen und Terrororganisationen bilden nur die sichtbare Seite des Konflikts. Parallel betreibt Teheran Spionage, Desinformation und Cyberoperationen. Israelische Sicherheitsbehörden beobachten seit Jahren, dass iranische Dienste soziale Medien und Messenger nutzen, um Israelis auszuspähen, anzuwerben oder Zugriff auf ihre Geräte zu gewinnen.

Dabei verschwimmen innere und äußere Repression zunehmend. Derselbe Staat, der iranische Journalisten und Aktivisten überwacht, richtet seine Cyberfähigkeiten gegen israelische Regierungsvertreter, Sicherheitskräfte und Medienvertreter.

Die neue internationale Warnung ist deshalb mehr als ein technischer Sicherheitshinweis.

Sie dokumentiert ein Herrschaftsprinzip.

Das iranische Regime betrachtet Kritik nicht als politische Auseinandersetzung, sondern als Sicherheitsbedrohung. Und wer als Bedrohung eingestuft wird, soll offenbar unabhängig davon verfolgt werden, ob er in Teheran, London, Amsterdam, Washington oder Israel sitzt.

Früher bedeutete ExilDiaspora: Jüdisches Leben außerhalb IsraelsDiaspora bezeichnet die Zerstreuung eines Volkes außerhalb seiner historischen Heimat. In jüdischem Zusammenhang meint der Begriff besonders die jüdischen Gemeinschaften außerhalb Israels. Die jüdische Diaspora entstand durch Exil, Vertreibung, Migration und jahrhundertelanges Leben als Minderheit.Mehr lesen für einen Regimegegner wenigstens geografische Entfernung.

Im digitalen Zeitalter versucht Teheran, selbst diese Entfernung zu überwinden.

Autor: Redaktion
Mittwoch, 16 September 2026