Russische Spuren in Desinformation vor deutschen Wahlen gefunden

Das dreisteste Beispiel war ein gefälschtes Video, in dem fälschlich behauptet wurde, Bundeskanzler Friedrich Merz wolle zugunsten von Hendrik Wuest zurücktreten⁠4⁠8. Der Clip gab sich nicht als Klatsch oder Kommentar aus. Er nutzte das Branding der Deutschen Welle und der Wirtschaftszeitung Handelsblatt, um zu behaupten, durchgesickerte Dokumente belegten, dass Merz’ konservative Partei seinen Rücktritt plane⁠8⁠9. Solche Dokumente und einen solchen Plan gab es nicht, wie aus der deutschen Berichterstattung hervorging, die das Video als Fälschung entlarvte⁠8⁠9. Es ging nicht darum, einen aufmerksamen Leser von einer komplizierten Argumentation zu überzeugen, sondern einen Moment der Verwirrung zu erzeugen, der sich schneller verbreiten konnte als jede Richtigstellung⁠4⁠8.

Der Zeitpunkt war kein Zufall. Deutschland steuerte im September 2026 auf vier Landtagswahlen zu: Sachsen-Anhalt wählt am 6. September, außerdem stehen Wahlen in Berlin, Mecklenburg-Vorpommern und Niedersachsen an⁠4⁠10. Landtagswahlen in Deutschland prägen Regierungskoalitionen, bestimmen die Machtverhältnisse in den Ländern und stellen die Führung auf Bundesebene auf die Probe. Damit bieten sie einen fruchtbaren Boden für eine Einflussoperation, die keine Bundestagsregierung stürzen muss, um erfolgreich zu sein⁠4⁠10. Eine überzeugende Fälschung, die sich im Spätsommer, wenige Wochen vor dem Urnengang, gegen einen Spitzenkandidaten richtet, muss das Informationsumfeld nur lange genug trüben, um Wirkung zu entfalten⁠3⁠4.

Deutsche Sicherheitsdienste erklärten AFP, sie gingen davon aus, dass eine mit Russland verbundene Gruppe hinter dem gefälschten Rücktrittsvideo von Merz steckte⁠6⁠9. Die Gruppe wurde als Storm 1516 identifiziert; dieser Name wurde in der Berichterstattung auch mit Operation Overload, Matryoshka und Storm-1679 in Verbindung gebracht⁠6⁠9⁠7. Die unterschiedlichen Bezeichnungen bedeuten nicht zwangsläufig, dass es sich um verschiedene Urheber handelt. Ermittler, die russische Einflussoperationen verfolgen, beschreiben eine sich wandelnde Struktur, in der dieselben Netzwerke unter neuen Namen wieder auftauchen und dabei Taktiken, Infrastruktur und Zielgruppen überschneiden⁠7. Diese Unklarheit ist ein Grund dafür, dass eine formelle Zuschreibung schwierig ist und Sicherheitsdienste häufig von Einschätzungen statt von Gewissheiten sprechen⁠3⁠6.

Das Institute for Strategic Dialogue identifizierte Matryoshka, auch als Operation Overload und Storm-1679 bezeichnet, später als kremlnahe russische Einflussoperation, die auf die Landtags- und Kommunalwahlen 2026 abzielte⁠7. In seiner am 4. September veröffentlichten Untersuchung ordnete das ISD die Aktivitäten in Deutschland einer länger laufenden Kampagne zu, statt das Merz-Video als isolierte Fälschung zu behandeln⁠7. Das ist wichtig, denn eine einmalige Fälschung lässt sich als bloßes Rauschen abtun, während eine anhaltende Operation mit wiederverwendeten Methoden auf Planung, Ressourcen und Absicht hindeutet⁠7. In dieser Lesart handelte es sich im deutschen Fall nicht um neue Methoden, sondern um alte Methoden, die auf eine neue Wahl angewandt wurden⁠7.

Weitere Fälschungen, die sich als Beiträge von Redaktionen ausgaben, weisen in dieselbe Richtung. EUobserver berichtete, dass Operation Matryoshka im Umfeld der Wahl in Sachsen-Anhalt ein gefälschtes „BBC news“-Branding verwendete⁠10. Die Wahl eines ausländischen öffentlich-rechtlichen Senders ist aufschlussreich. Sie borgt sich Glaubwürdigkeit von außerhalb des unmittelbaren deutschen Medienkonflikts. Dadurch ist die Fälschung für flüchtige Betrachter schwerer zu überprüfen und lässt sich leichter als angeblich neutrale Bestätigung von außen verbreiten⁠10. Die eigene Untersuchung der DW ergab ebenfalls, dass etablierte Medienlogos missbraucht wurden, um erfundenen Behauptungen den Anschein verifizierter Berichterstattung zu geben⁠2⁠4.

Reuters berichtete am 5. August, aktualisiert am 6. August, Sicherheitskreise hätten erklärt, Russland verstärke seine Desinformationskampagnen vor den Wahlen in Deutschland⁠3. In gesonderten Berichten unter Berufung auf deutsche Amtsträger wurden kremlnahe Gruppen wie die Social Design Agency im Zusammenhang mit dem umfassenderen Druck auf Deutschlands Kommunalwahlen genannt⁠11. Zusammengenommen beschreiben die Berichte nicht ein einzelnes Video, sondern ein Umfeld, in dem Fälschungen, Verbreitungsnetzwerke und nachgeahmte Medien einander verstärken⁠3⁠7⁠11. Der vollständige Text des Reuters-Berichts lag nicht in Auszugsform vor; daher lässt sich der genaue Wortlaut der Einschätzungen aus Sicherheitskreisen über diese zentrale Warnung hinaus nicht rekonstruieren⁠3.

Die Analyse von Politico vom 6. August machte deutlich, warum diese Warnung in Berlin so viel Gewicht hatte⁠5. Die Befürchtungen in Deutschland vor russischer Einmischung in Wahlen nahmen bereits zu, und die Besorgnis beschränkte sich nicht auf soziale Medien. Politico verwies auch auf eine mit Sprengstoff beladene Drohne, die am Flughafen Leipzig gefunden wurde und zur angespannten Stimmung in diesem Zeitraum beitrug⁠5. Ein physischer Sicherheitsvorfall und eine digitale Fälschungskampagne beweisen keinen gemeinsamen Plan. In der öffentlichen Wahrnehmung verbinden sie sich jedoch zu einem umfassenderen Gefühl der Verwundbarkeit, das seinerseits ausgenutzt werden kann⁠5. Eine Wählerschaft, die mit Einmischung rechnet, ist möglicherweise weniger überrascht von Fälschungen und paradoxerweise anfälliger für sie⁠5.

Die öffentliche Aufarbeitung der Enthüllungen verlief rasch. Die DW veröffentlichte ihren Faktencheck am 3. August und dokumentierte darin die 180 Beiträge sowie den Missbrauch von Medienmarken⁠2⁠4. Reuters berichtete am 5. August über die Warnung aus Sicherheitskreisen vor verstärkten russischen Aktivitäten⁠3. Politico analysierte am 6. August die zunehmende Angst in Deutschland⁠5. Am 7. August folgten Berichte, wonach die Sicherheitsdienste das Merz-Video einer mit Russland verbundenen Gruppe zuschrieben⁠8⁠9. EUobserver berichtete am 11. August ausführlich über gefälschtes Material mit BBC-Branding⁠10. Anschließend veröffentlichte das ISD am 4. September seine umfassendere Untersuchung und ordnete die Aktivitäten als Teil einer kremlnahen Operation ein, die auf Regionalwahlen abzielte⁠7.

Die Belege stützen weitreichende, aber begrenzte Schlussfolgerungen. Sie belegen, dass vor den Wahlen im September gefälschte Videos gegen Kandidaten verbreitet wurden, dass dabei die Logos der DW und anderer Medien missbraucht wurden und dass deutsche Sicherheitskreise sowie unabhängige Ermittler die Aktivitäten als mit Russland verbunden oder kremlnah einschätzten⁠2⁠4⁠7⁠10. Sie bestätigen den Wahlkalender und die vier betroffenen Bundesländer⁠4⁠10. Sie belegen außerdem, dass deutsche Amtsträger und Analysten dies als Teil einer verstärkten Druckkampagne vor der Wahl betrachteten und nicht als isolierten Schwindel⁠3⁠5⁠11. Was die verfügbaren Quellen als Indizien beschreiben, aber nicht als öffentlich abschließend bewiesen, ist der letzte Schritt von einer mit Russland verbundenen Infrastruktur hin zu einer direkten staatlichen Steuerung⁠2⁠4⁠7⁠10.

Diese Unterscheidung ist keine technische Spitzfindigkeit. Einflussoperationen sind darauf ausgelegt, Raum für Dementis zu lassen: Sie nutzen gehackte oder gefälschte Konten, kopiertes Branding und plattformübergreifende Verstärkung, wodurch der ursprüngliche Urheber verschleiert wird⁠7⁠10. Die wiederholte Verwendung von Namen wie Storm 1516, Storm-1679, Matryoshka und Operation Overload spiegelt wider, wie Ermittler Aktivitäten nach ihrem Verhalten und ihrer Infrastruktur gruppieren, nicht unbedingt anhand eines unterzeichneten Auftrags aus Moskau⁠6⁠9⁠7. Für die Wähler ist die praktische Wirkung dieselbe, unabhängig davon, ob die rechtliche Schwelle für eine staatliche Zuschreibung erreicht wurde. Ein gefälschtes Rücktrittsvideo mit vertrauenswürdigem Branding kann sich weit verbreiten, bevor Faktenprüfer, Plattformen oder Amtsträger reagieren⁠4⁠8⁠9.

Vieles ist auch durch die vorliegende Berichterstattung nicht belegt und sollte nicht aus dem Gedächtnis ergänzt werden. Die Auszüge enthalten keine wörtlichen offiziellen russischen Reaktionen und dokumentieren auch nicht alle von sämtlichen gefälschten Konten verbreiteten Narrative. Erfasst sind lediglich die Behauptung, Merz trete zurück, und die Nachahmung von DW, Handelsblatt und BBC-gebrandeten Sendern⁠2⁠4⁠8⁠9⁠10. Die belegte Kerngeschichte ist enger gefasst und gerade deshalb belastbarer. Eine große Zahl von Fälschungen wurde entdeckt, ein Rücktritt des Bundeskanzlers wurde fälschlich dargestellt, vertrauenswürdige Logos wurden gestohlen, um die Lüge glaubwürdig zu machen, und deutsche sowie unabhängige Ermittler führten das Muster auf ein bekanntes russlandnahes Netzwerk zurück, das unmittelbar vor den Wahlen in vier deutschen Bundesländern aktiv war⁠2⁠4⁠7⁠8.