Erst im Juli 2021 wurde der umfassende Missbrauch der Software durch Recherchen eines Journalistenkonsortiums in Zusammenarbeit mit NGO öffentlich. Die weltweit an Polizeien und Geheimdienste verkaufte Spähsoftware kann eingesetzt werden, um iPhones und Android-Geräte in Echtzeit auszuspähen, Gespräche mitzuschneiden, Standortdaten auszulesen, die Verschlüsselung von Messenger-Apps zu umgehen und heimlich Mikrofone und Kameras zu aktivieren. Im Rahmen der Recherchen kam auch eine Liste mit über 50.000 Telefonnummern potentieller Ziele zum Vorschein – darunter Menschenrechtsaktivist:innen, Journalist:innen, Jurist:innen sowie etwa ein Dutzend Staats- und Regierungschef:innen, Minister:innen und Diplomat:innen. Technische Analysen von Mobiltelefonen ergaben, dass Betroffene teilweise über Jahre mithilfe der Software ausgespäht wurden.

Erstmalig hatte das Bundeskriminalamt 2017 in Wiesbaden mit dem Hersteller verhandelt und sich die Spähsoftware zeigen lassen. Dafür war nach Berichten von Zeit Online eigens eine Delegation der NSO Group aus Israel angereist. Im BKA und im Bundesinnenministerium hatten Jurist:innen damals allerdings Bedenken angemeldet: Pegasus erlaubt quasi die Übernahme eines infizierten Mobiltelefons. Laut einer Entscheidung zur sogenannten Onlineuntersuchung dürfen Sicherheitsbehörden die Geräte von Verdächtigen nur in bestimmten Fällen infiltrieren und sie zudem nicht so umfassend überwachen, wie das mit Pegasus möglich wäre.

Mit dem Staatstrojaner verfügt das BKA bereits über Spähsoftware, mit der die rechtsstaatlichen Grenzen eingehalten werden. Diese gilt aber wohl als schwerfällig und wenig praktisch. Laut des grünen Innenexperten Konstantin von Notz wurde die Software zwischen 2017 und 2020 in keinem einzigen abgeschlossenen Ermittlungsverfahren eingesetzt. Ende 2019 soll das BKA dann laut Zeit Online zusätzlich die Pegasus-Spyware gekauft haben. Dabei sollen die Beamten darauf bestanden haben, dass darin nur mit den Vorgaben des Bundesverfassungsgerichts konforme Funktionen freigeschaltet würden. Inwieweit das zutrifft und auch ob und gegen wen Pegasus von deutschen Behörden bereits eingesetzt wurde, ist unklar. Laut Zeit Online verweigern BKA und das Bundesinnenministerium dazu jeden Kommentar. Auch die NSO Group will sich offenbar nicht äußern.