Russlands digitaler Angriff auf die Demokratie

Alle 50 Minuten erschien zwischen März 2023 und Mai 2024 ein neuer deutschsprachiger Artikel auf einem gefälschten Nachrichtenportal. 12.970 Texte insgesamt, produziert von einer Infrastruktur, die Russland mindestens seit 2022 aufbaut und bis heute betreibt. Der Verfassungsschutzbericht 2025, vom Bundesamt für Verfassungsschutz erst am 30. Juni 2026 vorgestellt, dokumentiert das ausgefeilteste russische Einflussnahmeprogramm gegen Deutschland. Er zeigt zugleich, wie lange Sicherheitsbehörden in zentralen Fällen schwiegen, bevor sie reagierten.

Wie Russland eine Wahl angreift

Die Operationen begannen nicht im Bundestagswahlkampf 2025, sondern Jahre früher. Seit mindestens 2022 betreibt Russland die sogenannte Doppelgänger-Kampagne: ein Netzwerk aus mindestens 16 gefälschten Nachrichtenportalen, die inhaltlich und gestalterisch deutsche Leitmedien imitieren, kombiniert mit neun täuschend echten Klonen bekannter Websites wie Spiegel oder Welt. Zwischen März 2023 und Mai 2024 veröffentlichten diese Portale 12.970 deutschsprachige Artikel, im Schnitt einen alle 50 Minuten, wie das Auswärtige Amt in einem technischen Bericht dokumentiert hat. Alle Portale teilen dieselbe IP-Weiterleitungsstruktur und nahezu identischen HTML-Quellcode, in dem wiederholt kyrillische Zeichen und russische Fehlermeldungen erscheinen.

Parallel dazu operiert seit 2024 die Gruppe Storm-1516, die mittlerweile mehr als 100 Websites aufgebaut hat, die als Nachrichtenportale auftreten. Im Kern steht laut Analysen des European Digital Media Observatory John Mark Dougan, ein ehemaliger US-Polizist, der 2016 wegen Erpressungsvorwürfen nach Russland geflohen ist und heute Desinformationsinhalte für den russischen Staatspropaganda-Apparat produziert. Storm-1516 verbreitete unter anderem ein KI-generiertes Deepfake-Video, das Robert Habeck eine sexuelle Straftat unterstellte und behauptete fälschlicherweise, Außenministerin Annalena Baerbock habe auf Auslandsreisen Prostituierte besucht. Auch Marcus Faber, damals Vorsitzender des parlamentarischen Verteidigungsausschusses, wurde als angeblicher russischer Agent bezeichnet.

Das Ausmaß ist präzise messbar: Zwischen Juli 2024 und Januar 2025 wurden Links zu bekannten Storm-1516-Domains 692 Mal in 395 Telegram-Kanälen und Gruppen geteilt. Die Inhalte wurden 4,7 Millionen Mal aufgerufen. Vor dem Kollaps der Ampelkoalition und der Ausrufung von Neuwahlen hatten die Betreiber ihren Fokus abrupt auf Deutschland verlagert; ein Großteil der Websites war offenbar vorbereitend angelegt worden und wartete wie Schläfer auf den Einsatz.

Signal, Phishing und vier Monate Schweigen

Während Russlands Desinformationsmaschine öffentlich sichtbar operiert, verliefen andere Angriffe im Verborgenen. Seit mindestens September 2025 führt ein wahrscheinlich staatlich gesteuerter Cyberakteur eine Phishing-Kampagne gegen Signal, den bei deutschen Politikern und Journalisten verbreiteten Messenger-Dienst. Der Angriff war technisch präzise: Betroffene erhielten eine Nachricht, die wie eine offizielle Sicherheitswarnung des Signal-Supports aussah, tatsächlich aber darauf ausgelegt war, den Empfänger zur Weitergabe eines Verifizierungscodes oder der Signal-Sicherheits-PIN zu bewegen. Wer den Code übermittelte, verlor die Kontrolle über sein Konto.

Die Angreifer übernahmen damit die Konten und konnten Signal-Gruppen im parlamentarischen Umfeld mitlesen. Unter den bestätigten Opfern sind Bundestagspräsidentin Julia Klöckner (CDU), Bauministerin Verena Hubertz (SPD) und Bildungs- und Familienministerin Karin Prien (CDU). Sicherheitskreise schätzen die Zahl der betroffenen Personen auf rund 300. Zu den Zielen zählten laut BfV und BSI hochrangige Vertreter aus Politik, Militär und Diplomatie sowie investigative Journalisten. Das Bundesamt für Verfassungsschutz hält fest, dass „zahlreiche Signal-Gruppen im parlamentarischen Umfeld von den Angreifern nahezu unbemerkt mitgelesen werden”.

Das Bundesamt für Verfassungsschutz und das BSI warnten gemeinsam erstmals am 6. Februar 2026, mehr als vier Monate nach dem dokumentierten Angriffsbeginn im September 2025. Eine aktualisierte Warnung folgte am 17. April 2026. Wie netzpolitik.org berichtete, erfuhren Bundestag und Bundesregierung erst im Februar von der Kampagne. Eine offizielle Zuschreibung zu einem konkreten russischen Geheimdienst nehmen BfV und BSI bisher nicht vor, beschreiben den Akteur jedoch als „wahrscheinlich staatlich gesteuert”. Frühere Angriffe mit demselben Muster wurden dem russischen Militärgeheimdienst GRU zugerechnet.

Ergänzend warnte das BfV im April 2026 gemeinsam mit dem FBI vor der russischen Hackergruppe APT28, die weltweit mehrere tausend TP-Link-Router über eine bekannte Sicherheitslücke kompromittiert hatte. In Deutschland wurden etwa 30 verwundbare Geräte identifiziert. Die infizierten Router dienen als versteckter Steuerungskanal für weitere Angriffe und erschweren die Rückverfolgung erheblich.

Neben technischen Angriffen setzt Russland auf ein niedrigschwelligeres, aber wirksames Werkzeug: fingierte Telefonanrufe. Das Duo Vovan und Lexus, dem russische Medienanalysten eine enge Verbindung zu Kreml-Propagandastrukturen attestieren, gab sich gegenüber Außenminister Johann Wadephul als Andrij Jermak aus, Leiter des ukrainischen Präsidialamts. In dem rund 20-minütigen Telefonat im Februar 2025 ließ Wadephul Informationen über militärische Unterstützung und Überlegungen zu möglichen Taurus-Lieferungen fallen. Auch Wirtschaftsminister Robert Habeck und die frühere Regierende Bürgermeisterin von Berlin, Franziska Giffey, wurden Opfer fingierter Anrufe. Das Institut für Strategischen Dialog (ISD Germany) stuft Vovan und Lexus nicht als Comedians ein, sondern als „politische Agenten, deren Inhalte vollständig auf Kremllinie liegen”.

Was Bürger wissen und was sie nicht erkennen

Die öffentliche Wahrnehmung der Bedrohungslage ist breit, die Erkennungsfähigkeit der Bevölkerung jedoch strukturell schwach. 88 Prozent der Wahlberechtigten gingen laut einer repräsentativen Bitkom-Umfrage von Februar 2025 davon aus, dass ausländische Regierungen, Personen oder Gruppen versuchen, die Bundestagswahl über soziale Netzwerke zu manipulieren. 47 Prozent hielten Deepfakes für eine besondere Gefahr. Im ARD-Deutschlandtrend vom April 2026 sahen rund neun von zehn Deutschen große bis sehr große Risiken durch KI bei der sicheren Unterscheidung echter und gefälschter Nachrichten.

Diese Besorgnisse sind begründet, sie übersetzen sich aber nicht in Abwehrfähigkeit. Der Angriff auf Bundestagspräsidentin Klöckner zeigt das strukturelle Problem: Eine erfahrene Politikerin auf einem der höchsten Staatsämter der Bundesrepublik erkannte eine Phishing-Nachricht nicht. Das Problem ist systemisch: Deutschland zählt weniger als 200 professionelle Faktenchecker für 83 Millionen Menschen, wie das ISD Germany und NewsGuard gemeinsam ermittelt haben. In den USA entfällt auf rund 65 Millionen Menschen ein professioneller Faktenchecker. Wer Desinformation nicht einordnen kann, weil die Infrastruktur dafür fehlt, bleibt anfällig unabhängig davon, ob er weiß, dass es sie gibt.

Hinzu kommt ein psychologischer Mechanismus, den Forschende der Ludwig-Maximilians-Universität München als Normalisierungseffekt beschreiben: Wer wiederholt Desinformationsinhalte sieht, stuft sie als glaubwürdiger ein, selbst wenn der Inhalt faktisch falsch ist. Die schiere Menge der Doppelgänger- und Storm-1516-Artikel ist damit nicht nur ein Maß für Reichweite, sondern für gesellschaftliche Erosion. Desinformation wirkt auch dann, wenn sie nicht geglaubt wird: allein dadurch, dass sie Verwirrung erzeugt und Vertrauen in Institutionen unterhöhlt.

Was andere Demokratien besser machen

Deutschland ist nicht das einzige Land, das Russland angreift, aber es ist schlechter aufgestellt als die meisten vergleichbaren Demokratien. Frankreich geht seit der Macron-Kampagne 2017 aktiv vor: Das Wahlkampfteam des Präsidenten versah interne Dokumente mit Wasserzeichen und speiste Angreifern bewusst gefälschte Daten zu, als die Systeme infiltriert wurden. Der Angriff verpuffte, weil er auf wertloses Material stieß. Medien und Behörden koordinierten im Vorfeld transparent, sodass kein Deepfake ohne sofortige Gegenrecherche öffentlich blieb.

In den USA dokumentierte der Mueller Report 2019 die Aktivitäten der Internet Research Agency (IRA) zur Präsidentschaftswahl 2016: 126 Millionen Facebook-Nutzer hatten russische Inhalte gesehen. Die politischen Konsequenzen blieben begrenzt, aber die institutionelle Aufarbeitung war umfassend und öffentlich. In Deutschland existiert bis heute kein vergleichbares parlamentarisches Untersuchungsverfahren zu ausländischer Einflussnahme auf die Bundestagswahlen 2021 und 2025.

Das strukturelle Problem liegt beim Regulierungsrahmen. Das Netzwerkdurchsetzungsgesetz (NetzDG) verpflichtet Plattformen zur Löschung von Hassrede und klar rechtswidrigen Inhalten. Desinformation ist darin nicht erfasst. X, TikTok und Telegram sind nicht verpflichtet, Transparenzberichte zu Desinformationsquoten zu veröffentlichen. Der EU-Verhaltenskodex gegen Desinformation verpflichtet Plattformen formal zu Transparenz, sieht aber keine Bußgelder vor. Das BfV agiert nach dem klassischen Abwehrmodell: Es beobachtet, warnt und publiziert. Eigene Gegenkampagnen, präventive Koordination mit Medien oder proaktive Plattformkontakte nach französischem Vorbild fehlen. Die Warnung zum Signal-Phishing erschien nach dem Angriff, nicht davor.

Wer in diesem Umfeld auf den Bericht des Bundesamts für Verfassungsschutz als Beweis staatlicher Handlungsfähigkeit verweist, verkennt, was der Bericht tatsächlich ist: eine Diagnose ohne beigelegten Therapieplan. BfV-Präsident Sinan Selen und Innenminister Alexander Dobrindt stellten den Verfassungsschutzbericht 2025 am 30. Juni 2026 vor und sprachen von intensivierter Bedrohung. Konkrete Maßnahmen gegen die identifizierten Lücken enthält der Bericht nicht.

22. September: Brandenburg als nächster Test

Am 22. September 2026 wählt Brandenburg. Die Landtagswahl gilt als besonderes Ziel russischer Einflussoperationen: Brandenburg grenzt an Belarus, hat traditionell hohe Zustimmungswerte für Parteien mit russlandfreundlichen Positionen und bildet strukturell günstige Voraussetzungen für gezielte Desinformationskampagnen. Das Institut für Demokratie und Zivilgesellschaft in Jena beobachtet Desinformationsmuster in der Region seit Jahren und hat einen Zusammenhang zwischen koordinierten Onlinekampagnen und Wahlergebnissen für einzelne Parteien dokumentiert.

Der Verfassungsschutzbericht 2025 ist die umfassendste amtliche Bestandsaufnahme der Bedrohung durch ausländische Einflussnahme. Dass er erst am 30. Juni 2026 erschien, also mehr als 16 Monate nach der Bundestagswahl, deren Desinformationsumgebung er dokumentiert, sagt viel über das Tempo aus, mit dem Deutschland auf diesen Krieg reagiert. Russland produziert eine KI-generierte Desinformationskampagne alle 50 Minuten. Sicherheitsbehörden brauchen für eine Warnung vier Monate.

Was bleibt, sind bessere Empfehlungen für Einzelpersonen. BSI und BfV raten Politikern und Journalisten zu Signal-Backup-Codes, zum Deaktivieren der Geräteverknüpfungsfunktion und zu regelmäßigen Sicherheitsprüfungen. Bundestagspräsidentin Klöckner, die selbst auf eine Phishing-Attacke hereingefallen ist, hat öffentlich für erhöhte digitale Wachsamkeit geworben. Das ist richtig, aber es ist das Mindeste. Gegenüber einem Angreifer, der 12.970 Artikel in 15 Monaten produziert und dabei automatisiert jeden 50. Minuten erscheinen ließ, ist individuelle Wachsamkeit kein Ersatz für institutionelle Abwehr.