Der britische Supreme Court, das oberste Gericht des Vereinigten Königreichs, hat eine Berufung des Königreichs Bahrain gegen eine Schadenersatzklage zweier Dissidenten zurückgewiesen. Wie das Gericht mitteilte, entschieden die Richter am Montag mit drei zu zwei Stimmen, dass sich Bahrain nicht auf Staatenimmunität berufen kann, um die Klage abzuwehren. Das Verfahren geht nun zurück an den High Court, das erstinstanzliche Obergericht für England und Wales, in London.

Die Kläger Saeed Shehabi und Moosa Mohammed werfen der Regierung in Manama vor, ihre Computer im Jahr 2011 mit der Überwachungssoftware FinSpy des deutschen Herstellers Gamma infiziert zu haben. Sie machen psychische Belastungen geltend, die sich  2014 eingestellt hätten, nachdem WikiLeaks und die Organisation Bahrain Watch Informationen zu der Überwachungssoftware veröffentlicht hatten.

FinSpy kann laut Gerichtsunterlagen Tastatureingaben, Anrufe, Nachrichten, Kontakte und Kamerabilder eines infizierten Geräts auslesen. Bahrain bestreitet die Vorwürfe und hatte sich seit 2020 gegen die Zulassung der Klage gewehrt.

Hersteller mit Kunden in aller Welt

Der Hersteller Gamma – firmierend als Gamma Group mit Sitz in Großbritannien und der deutschen Tochter FinFisher GmbH in München – vertrieb FinSpy nach eigenen Angaben ausschließlich an staatliche Stellen wie Strafverfolgungs- und Nachrichtendienste.

Das Citizen Lab, eine auf digitale Überwachung spezialisierte Forschungseinrichtung der Universität Toronto, wies den Einsatz der Software oder die dazugehörige Steuerungsinfrastruktur in zahlreichen Ländern nach, unter anderem in Ägypten, Äthiopien, Bahrain, Mexiko und der Türkei.

Die FinFisher GmbH meldete 2022 Insolvenz an, nachdem die Münchner Staatsanwaltschaft wegen des Verdachts illegaler Ausfuhren an die Türkei ermittelt hatte, wo die Software 2017 gegen Oppositionelle eingesetzt worden sein soll.

Streit um Reichweite des Immunitätsgesetzes

Im Zentrum stand die Auslegung von Paragraf 5 des britischen State Immunity Act von 1978. Dieser nimmt Personen- und Sachschäden, die durch eine Handlung im Vereinigten Königreich verursacht werden, von der Immunität ausländischer Staaten aus. Die Mehrheit der Richter befand, dass eine aus dem Ausland gesteuerte Infektion von Rechnern, die sich in Großbritannien befinden, als Handlung im Inland zu werten sei. Der Wortlaut verlange nicht, dass sich der Handelnde selbst im Land aufhalte.

Zwei Richter widersprachen. Nach ihrer Auffassung verstößt die Entscheidung gegen völkerrechtliche Verpflichtungen Großbritanniens, insbesondere gegen das Europäische Übereinkommen über Staatenimmunität, das die Anwesenheit des Verursachers im Gerichtsstaat verlangt.

Signalwirkung für weitere Verfahren

Die Kanzlei Leigh Day, die die Kläger vertritt, sprach von einem Präzedenzfall für weitere Verfahren gegen mutmaßliche Überwachungsopfer aus Ländern wie Ruanda, Saudi-Arabien und Pakistan. Bereits im Januar war Saudi-Arabien in einem ähnlichen Verfahren zur Zahlung von rund drei Millionen Pfund verurteilt worden.

Ob Bahrain tatsächlich für die mutmaßliche Überwachung verantwortlich ist, muss nun der High Court klären.