Russische Spuren in Desinformation vor deutschen Wahlen gefunden

180 Beiträge sind die Zahl, auf die es am meisten ankommt, denn ab dieser Größenordnung sieht eine Lüge nicht mehr wie ein Scherz aus, sondern wie eine Kampagne. Diese Stichprobe sammelte das investigative Kollektiv Antibot4Navalny und wurde von Joscha Weber, Leiter der Faktencheck-Redaktion der DW, vor den Landtagswahlen im September in Deutschland untersucht ²⁴. Weber fand gefälschte Videos und Beiträge, die Kandidaten diffamierten und die Logos etablierter deutscher Medien missbrauchten, darunter auch das eigene Logo der DW ²⁴. Mit anderen Worten: Die Täuschung kam nicht als anonymes Gerücht daher, sondern im Gewand der Marken von Redaktionen, denen die Deutschen vertrauen sollen ²⁴.

Das dreisteste Beispiel war ein gefälschtes Video, in dem fälschlich behauptet wurde, Bundeskanzler Friedrich Merz wolle zugunsten von Hendrik Wuest zurücktreten ⁴⁸. Der Clip gab sich nicht als Klatsch oder Kommentar aus. Er nutzte das Branding der Deutschen Welle und der Wirtschaftszeitung Handelsblatt, um zu behaupten, durchgesickerte Dokumente belegten, dass Merz’ konservative Partei seinen Rücktritt plane ⁸⁹. Solche Dokumente und einen solchen Plan gab es nicht, wie aus der deutschen Berichterstattung hervorging, die das Video als Fälschung entlarvte ⁸⁹. Es ging nicht darum, einen aufmerksamen Leser von einer komplizierten Argumentation zu überzeugen, sondern einen Moment der Verwirrung zu erzeugen, der sich schneller verbreiten konnte als jede Richtigstellung ⁴⁸.

Der Zeitpunkt war kein Zufall. Deutschland steuerte im September 2026 auf vier Landtagswahlen zu: Sachsen-Anhalt wählt am 6. September, außerdem stehen Wahlen in Berlin, Mecklenburg-Vorpommern und Niedersachsen an ⁴¹⁰. Landtagswahlen in Deutschland prägen Regierungskoalitionen, bestimmen die Machtverhältnisse in den Ländern und stellen die Führung auf Bundesebene auf die Probe. Damit bieten sie einen fruchtbaren Boden für eine Einflussoperation, die keine Bundestagsregierung stürzen muss, um erfolgreich zu sein ⁴¹⁰. Eine überzeugende Fälschung, die sich im Spätsommer, wenige Wochen vor dem Urnengang, gegen einen Spitzenkandidaten richtet, muss das Informationsumfeld nur lange genug trüben, um Wirkung zu entfalten ³⁴.

Deutsche Sicherheitsdienste erklärten AFP, sie gingen davon aus, dass eine mit Russland verbundene Gruppe hinter dem gefälschten Rücktrittsvideo von Merz steckte ⁶⁹. Die Gruppe wurde als Storm 1516 identifiziert; dieser Name wurde in der Berichterstattung auch mit Operation Overload, Matryoshka und Storm-1679 in Verbindung gebracht ⁶⁹⁷. Die unterschiedlichen Bezeichnungen bedeuten nicht zwangsläufig, dass es sich um verschiedene Urheber handelt. Ermittler, die russische Einflussoperationen verfolgen, beschreiben eine sich wandelnde Struktur, in der dieselben Netzwerke unter neuen Namen wieder auftauchen und dabei Taktiken, Infrastruktur und Zielgruppen überschneiden ⁷. Diese Unklarheit ist ein Grund dafür, dass eine formelle Zuschreibung schwierig ist und Sicherheitsdienste häufig von Einschätzungen statt von Gewissheiten sprechen ³⁶.

Das Institute for Strategic Dialogue identifizierte Matryoshka, auch als Operation Overload und Storm-1679 bezeichnet, später als kremlnahe russische Einflussoperation, die auf die Landtags- und Kommunalwahlen 2026 abzielte ⁷. In seiner am 4. September veröffentlichten Untersuchung ordnete das ISD die Aktivitäten in Deutschland einer länger laufenden Kampagne zu, statt das Merz-Video als isolierte Fälschung zu behandeln ⁷. Das ist wichtig, denn eine einmalige Fälschung lässt sich als bloßes Rauschen abtun, während eine anhaltende Operation mit wiederverwendeten Methoden auf Planung, Ressourcen und Absicht hindeutet ⁷. In dieser Lesart handelte es sich im deutschen Fall nicht um neue Methoden, sondern um alte Methoden, die auf eine neue Wahl angewandt wurden ⁷.

Weitere Fälschungen, die sich als Beiträge von Redaktionen ausgaben, weisen in dieselbe Richtung. EUobserver berichtete, dass Operation Matryoshka im Umfeld der Wahl in Sachsen-Anhalt ein gefälschtes „BBC news“-Branding verwendete ¹⁰. Die Wahl eines ausländischen öffentlich-rechtlichen Senders ist aufschlussreich. Sie borgt sich Glaubwürdigkeit von außerhalb des unmittelbaren deutschen Medienkonflikts. Dadurch ist die Fälschung für flüchtige Betrachter schwerer zu überprüfen und lässt sich leichter als angeblich neutrale Bestätigung von außen verbreiten ¹⁰. Die eigene Untersuchung der DW ergab ebenfalls, dass etablierte Medienlogos missbraucht wurden, um erfundenen Behauptungen den Anschein verifizierter Berichterstattung zu geben ²⁴.

Reuters berichtete am 5. August, aktualisiert am 6. August, Sicherheitskreise hätten erklärt, Russland verstärke seine Desinformationskampagnen vor den Wahlen in Deutschland ³. In gesonderten Berichten unter Berufung auf deutsche Amtsträger wurden kremlnahe Gruppen wie die Social Design Agency im Zusammenhang mit dem umfassenderen Druck auf Deutschlands Kommunalwahlen genannt ¹¹. Zusammengenommen beschreiben die Berichte nicht ein einzelnes Video, sondern ein Umfeld, in dem Fälschungen, Verbreitungsnetzwerke und nachgeahmte Medien einander verstärken ³⁷¹¹. Der vollständige Text des Reuters-Berichts lag nicht in Auszugsform vor; daher lässt sich der genaue Wortlaut der Einschätzungen aus Sicherheitskreisen über diese zentrale Warnung hinaus nicht rekonstruieren ³.

Die Analyse von Politico vom 6. August machte deutlich, warum diese Warnung in Berlin so viel Gewicht hatte ⁵. Die Befürchtungen in Deutschland vor russischer Einmischung in Wahlen nahmen bereits zu, und die Besorgnis beschränkte sich nicht auf soziale Medien. Politico verwies auch auf eine mit Sprengstoff beladene Drohne, die am Flughafen Leipzig gefunden wurde und zur angespannten Stimmung in diesem Zeitraum beitrug ⁵. Ein physischer Sicherheitsvorfall und eine digitale Fälschungskampagne beweisen keinen gemeinsamen Plan. In der öffentlichen Wahrnehmung verbinden sie sich jedoch zu einem umfassenderen Gefühl der Verwundbarkeit, das seinerseits ausgenutzt werden kann ⁵. Eine Wählerschaft, die mit Einmischung rechnet, ist möglicherweise weniger überrascht von Fälschungen und paradoxerweise anfälliger für sie ⁵.

Die öffentliche Aufarbeitung der Enthüllungen verlief rasch. Die DW veröffentlichte ihren Faktencheck am 3. August und dokumentierte darin die 180 Beiträge sowie den Missbrauch von Medienmarken ²⁴. Reuters berichtete am 5. August über die Warnung aus Sicherheitskreisen vor verstärkten russischen Aktivitäten ³. Politico analysierte am 6. August die zunehmende Angst in Deutschland ⁵. Am 7. August folgten Berichte, wonach die Sicherheitsdienste das Merz-Video einer mit Russland verbundenen Gruppe zuschrieben ⁸⁹. EUobserver berichtete am 11. August ausführlich über gefälschtes Material mit BBC-Branding ¹⁰. Anschließend veröffentlichte das ISD am 4. September seine umfassendere Untersuchung und ordnete die Aktivitäten als Teil einer kremlnahen Operation ein, die auf Regionalwahlen abzielte ⁷.

Die Belege stützen weitreichende, aber begrenzte Schlussfolgerungen. Sie belegen, dass vor den Wahlen im September gefälschte Videos gegen Kandidaten verbreitet wurden, dass dabei die Logos der DW und anderer Medien missbraucht wurden und dass deutsche Sicherheitskreise sowie unabhängige Ermittler die Aktivitäten als mit Russland verbunden oder kremlnah einschätzten ²⁴⁷¹⁰. Sie bestätigen den Wahlkalender und die vier betroffenen Bundesländer ⁴¹⁰. Sie belegen außerdem, dass deutsche Amtsträger und Analysten dies als Teil einer verstärkten Druckkampagne vor der Wahl betrachteten und nicht als isolierten Schwindel ³⁵¹¹. Was die verfügbaren Quellen als Indizien beschreiben, aber nicht als öffentlich abschließend bewiesen, ist der letzte Schritt von einer mit Russland verbundenen Infrastruktur hin zu einer direkten staatlichen Steuerung ²⁴⁷¹⁰.

Diese Unterscheidung ist keine technische Spitzfindigkeit. Einflussoperationen sind darauf ausgelegt, Raum für Dementis zu lassen: Sie nutzen gehackte oder gefälschte Konten, kopiertes Branding und plattformübergreifende Verstärkung, wodurch der ursprüngliche Urheber verschleiert wird ⁷¹⁰. Die wiederholte Verwendung von Namen wie Storm 1516, Storm-1679, Matryoshka und Operation Overload spiegelt wider, wie Ermittler Aktivitäten nach ihrem Verhalten und ihrer Infrastruktur gruppieren, nicht unbedingt anhand eines unterzeichneten Auftrags aus Moskau ⁶⁹⁷. Für die Wähler ist die praktische Wirkung dieselbe, unabhängig davon, ob die rechtliche Schwelle für eine staatliche Zuschreibung erreicht wurde. Ein gefälschtes Rücktrittsvideo mit vertrauenswürdigem Branding kann sich weit verbreiten, bevor Faktenprüfer, Plattformen oder Amtsträger reagieren ⁴⁸⁹.

Vieles ist auch durch die vorliegende Berichterstattung nicht belegt und sollte nicht aus dem Gedächtnis ergänzt werden. Die Auszüge enthalten keine wörtlichen offiziellen russischen Reaktionen und dokumentieren auch nicht alle von sämtlichen gefälschten Konten verbreiteten Narrative. Erfasst sind lediglich die Behauptung, Merz trete zurück, und die Nachahmung von DW, Handelsblatt und BBC-gebrandeten Sendern ²⁴⁸⁹¹⁰. Die belegte Kerngeschichte ist enger gefasst und gerade deshalb belastbarer. Eine große Zahl von Fälschungen wurde entdeckt, ein Rücktritt des Bundeskanzlers wurde fälschlich dargestellt, vertrauenswürdige Logos wurden gestohlen, um die Lüge glaubwürdig zu machen, und deutsche sowie unabhängige Ermittler führten das Muster auf ein bekanntes russlandnahes Netzwerk zurück, das unmittelbar vor den Wahlen in vier deutschen Bundesländern aktiv war ²⁴⁷⁸.