Die wichtigsten Fakten aus der Citizen‑Lab-Untersuchung:

• Zwei bestätigte Infektionen im Oktober 2022 und März 2023 – beide fielen in entscheidende Phasen der PEGA-Ausschussarbeit . Eine mögliche dritte Infektion wurde ebenfalls entdeckt.
• Die Angriffe nutzten eine Zero-Click-Exploit-Kette mit dem Codenamen „PWNYOURHOME“, die keinerlei Interaktion des Nutzers erforderte .
• Kouloglous iPhone wurde in Athen und Brüssel kompromittiert. Die Spähsoftware hätte mutmaßlich nicht‑öffentliche Ausschussinformationen, Kommunikation und Inhalte erfassen können, die dem parlamentarischen Privileg unterliegen .
• Citizen Lab konnte die Angriffe keiner bestimmten Regierung eindeutig zuordnen, betont jedoch, dass Pegasus ausschließlich an staatliche Kunden lizenziert ist .
• Es ist der erste Fall, bei dem ein Mitglied des PEGA-Ausschusses öffentlich als Pegasus-Ziel identifiziert wurde .

Reaktionen der Zivilgesellschaft

Nur wenige Tage nach dem Citizen‑Lab-Bericht veröffentlichte ein Bündnis von Bürgerrechtsorganisationen – koordiniert von CDT Europe – am 6. Juli 2026 eine gemeinsame Erklärung, in der dringende EU-Maßnahmen gefordert werden . Die zentralen Forderungen:

• DG ITEC (die IT-Abteilung des Europäischen Parlaments) muss eine vollständige, unabhängige und unparteiische Untersuchung des Hackerangriffs auf Kouloglous Gerät durchführen .
• Die EU muss endlich eine wirksame, EU-weite Regulierung gegen die Verbreitung und den Missbrauch kommerzieller Spähsoftware verabschieden – die fast drei Jahre nach den Empfehlungen des PEGA-Ausschusses noch immer ausstehe .
• Unabhängige Kontrollmechanismen müssen gestärkt und Grundrechtsschutzvorgaben durchgesetzt werden .

Bereits im Februar 2026 hatte der Europäische Datenschutzausschuss (EDPB) auf einen offenen Brief der Zivilgesellschaft zu Spyware-Fällen in der EU geantwortet, was auf ein institutionelles Bewusstsein hindeutet .

Reaktionen der EU-Institutionen

• PEGA-Untersuchungsausschuss (2022–2023): Der Ausschuss führte zahlreiche Anhörungen durch, besuchte mehrere Mitgliedstaaten und verabschiedete im Juni 2023 eine Abschlussempfehlung mit länderspezifischen Mängeln und Vorschlägen für EU-weite Spyware-Standards . Das Europäische Parlament nahm die Empfehlung im Juni 2023 an .
• Europäische Staatsanwaltschaft (EPPO): Im Jahr 2024 leitete die EPPO auf Antrag von Kouloglou selbst Ermittlungen zum griechischen „Predatorgate“-Skandal ein .
• Parlamentsdebatte Juni 2025: In einer Aussprache zum „Stand der Dinge und Folgemaßnahmen zwei Jahre nach den PEGA-Empfehlungen“ erklärten mehrere Abgeordnete, die Europäische Kommission habe „völlig versagt“, was entschlossene Maßnahmen gegen Spyware-Missbrauch betreffe .
• Breitere EU-Politik: Die EU hat sich schrittweise zu strengeren Exportkontrollen und Beschaffungsbeschränkungen für Spyware bewegt; ein umfassendes Gesetzespaket steht jedoch noch aus .

Fazit: Der Fall Kouloglou – zusammen mit dem parallelen griechischen „Predatorgate“-Skandal, bei dem im September 2025 vier Angeklagte (zwei Israelis und zwei Griechen) vor Gericht standen – hat den Druck auf die EU-Institutionen massiv erhöht, von bloßen Empfehlungen zu verbindlichen Regeln überzugehen. Zivilgesellschaftliche Gruppen warnen, dass der politische Wille für Reformen trotz der wachsenden Beweise für systemischen Missbrauch ins Stocken geraten sei.

Die wichtigsten Fakten aus der Citizen‑Lab-Untersuchung:

• Zwei bestätigte Infektionen im Oktober 2022 und März 2023 – beide fielen in entscheidende Phasen der PEGA-Ausschussarbeit . Eine mögliche dritte Infektion wurde ebenfalls entdeckt.
• Die Angriffe nutzten eine Zero-Click-Exploit-Kette mit dem Codenamen „PWNYOURHOME“, die keinerlei Interaktion des Nutzers erforderte .
• Kouloglous iPhone wurde in Athen und Brüssel kompromittiert. Die Spähsoftware hätte mutmaßlich nicht‑öffentliche Ausschussinformationen, Kommunikation und Inhalte erfassen können, die dem parlamentarischen Privileg unterliegen .
• Citizen Lab konnte die Angriffe keiner bestimmten Regierung eindeutig zuordnen, betont jedoch, dass Pegasus ausschließlich an staatliche Kunden lizenziert ist .
• Es ist der erste Fall, bei dem ein Mitglied des PEGA-Ausschusses öffentlich als Pegasus-Ziel identifiziert wurde .

Reaktionen der Zivilgesellschaft

Nur wenige Tage nach dem Citizen‑Lab-Bericht veröffentlichte ein Bündnis von Bürgerrechtsorganisationen – koordiniert von CDT Europe – am 6. Juli 2026 eine gemeinsame Erklärung, in der dringende EU-Maßnahmen gefordert werden . Die zentralen Forderungen:

• DG ITEC (die IT-Abteilung des Europäischen Parlaments) muss eine vollständige, unabhängige und unparteiische Untersuchung des Hackerangriffs auf Kouloglous Gerät durchführen .
• Die EU muss endlich eine wirksame, EU-weite Regulierung gegen die Verbreitung und den Missbrauch kommerzieller Spähsoftware verabschieden – die fast drei Jahre nach den Empfehlungen des PEGA-Ausschusses noch immer ausstehe .
• Unabhängige Kontrollmechanismen müssen gestärkt und Grundrechtsschutzvorgaben durchgesetzt werden .

Bereits im Februar 2026 hatte der Europäische Datenschutzausschuss (EDPB) auf einen offenen Brief der Zivilgesellschaft zu Spyware-Fällen in der EU geantwortet, was auf ein institutionelles Bewusstsein hindeutet .

Reaktionen der EU-Institutionen

• PEGA-Untersuchungsausschuss (2022–2023): Der Ausschuss führte zahlreiche Anhörungen durch, besuchte mehrere Mitgliedstaaten und verabschiedete im Juni 2023 eine Abschlussempfehlung mit länderspezifischen Mängeln und Vorschlägen für EU-weite Spyware-Standards . Das Europäische Parlament nahm die Empfehlung im Juni 2023 an .
• Europäische Staatsanwaltschaft (EPPO): Im Jahr 2024 leitete die EPPO auf Antrag von Kouloglou selbst Ermittlungen zum griechischen „Predatorgate“-Skandal ein .
• Parlamentsdebatte Juni 2025: In einer Aussprache zum „Stand der Dinge und Folgemaßnahmen zwei Jahre nach den PEGA-Empfehlungen“ erklärten mehrere Abgeordnete, die Europäische Kommission habe „völlig versagt“, was entschlossene Maßnahmen gegen Spyware-Missbrauch betreffe .
• Breitere EU-Politik: Die EU hat sich schrittweise zu strengeren Exportkontrollen und Beschaffungsbeschränkungen für Spyware bewegt; ein umfassendes Gesetzespaket steht jedoch noch aus .

Fazit: Der Fall Kouloglou – zusammen mit dem parallelen griechischen „Predatorgate“-Skandal, bei dem im September 2025 vier Angeklagte (zwei Israelis und zwei Griechen) vor Gericht standen – hat den Druck auf die EU-Institutionen massiv erhöht, von bloßen Empfehlungen zu verbindlichen Regeln überzugehen. Zivilgesellschaftliche Gruppen warnen, dass der politische Wille für Reformen trotz der wachsenden Beweise für systemischen Missbrauch ins Stocken geraten sei.