Gefälschte Regierungsdokumente und Nachrichtenseiten: Russische Desinformationskampagne nimmt Deutschland ins Visier

Es ist die bisher größte und komplexeste russische Desinformationskampagne, die seit dem Angriff auf die Ukraine bekannt geworden ist: Mit Fälschungen von mehr als 60 Webseiten großer Medien wurden Fakes über die Ukraine verbreitet. Darunter sind täuschend echt wirkende Imitate von Spiegel, Süddeutsche, Tagesspiegel, Bild, T-Online und Welt, aber auch des britischen Guardian oder der italienischen Nachrichtenagentur Ansa. Das Ziel: Über gefälschte Nachrichtenartikel Stimmung gegen die Ukraine und ukrainische Geflüchtete in Europa zu machen. Mehrere europäische Länder sind betroffen – allen voran Deutschland.  

Die Operation begann bereits im Mai, doch sie blieb lange unentdeckt. Erstmals berichteten Journalisten von T-Online und dem ZDF Ende August darüber. Sie brachten damit den Facebook-Konzern Meta auf die Spur: Der Konzern identifizierte nach eigenen Angaben mehr als 1.600 Facebook-Accounts, 700 Facebook-Seiten und 29 Instagram-Accounts, aber auch Telegram- und Twitter-Accounts als Teil des Netzwerks. Sie streuten die Inhalte der geklonten Medien-Webseiten im Netz. 

Nach Recherchen von CORRECTIV.Faktencheck beschränkt sich die Desinformationskampagne jedoch nicht nur auf die nachgestellten Webseiten. Aktuell wird das Narrativ gestreut, dass an die Ukraine gelieferte schwere Waffen in Deutschland auf dem Schwarzmarkt landen. Die Akteure fälschen dafür Briefe von Politikern – die Spur führt auch zu pro-russischen Hackergruppen. 

Ein deutschsprachiger Telegram-Kanal als Verbindungsstück von zwei Desinformationskampagnen gegen die Ukraine 

Ziemlich zu Beginn der russischen Desinformationskampagne wurde Meta zufolge auf Change.org eine deutschsprachige Petition gestartet. Sie forderte, die „inakzeptable Großzügigkeit“ gegenüber ukrainischen Geflüchteten zu beenden. Sie wurde laut Meta von derselben Art von Facebook-Accounts verbreitet, die dann ab Juni die Artikel der gefälschten Nachrichtenseiten von Spiegel und Co. im Netz streuten. 

Warum diese kleine Petition, die nur zehn Unterschriften bekam, wichtig ist: Darin wurde ein Telegram-Kanal mit dem Benutzernamen „News_Freies_Deutschland“ beworben. Auffällig ist der zeitliche Ablauf. Der Kanal war erstmals Ende Mai 2022 aktiv. Wie sich über das Telegram-Analyse-Tool TG-Stat nachvollziehen lässt, nannte er sich zuerst „Freies Deutschland“, dann „Journalisten friekorps“ und inzwischen „Journalisten Freikorps“.

Er gibt sich als ein Kanal von Journalisten aus. Die Selbstbeschreibung klingt plattitüdenhaft: „Unsere Aufgabe ist es, dem deutschen Staat und dem deutschen Volk zu helfen. Das Volk muss geeint sein, Deutschland muss frei sein.“ Zwar hat der Kanal lediglich rund 6.200 Follower – aber er schaffte es im September, einen viralen Fake zu verbreiten. Nicht über eine geklonte Nachrichtenseite, sondern mit einem manipulierten Video. 

In dem Telegram-Beitrag vom 6. September hieß es, auf einem Schiff im „Bremer Hafen“ seien zwei Stinger-Raketen gefunden worden, die eigentlich für die Ukraine bestimmt waren. Nun seien sie auf dem Schwarzmarkt gelandet. Das Video wurde in zahlreichen Accounts auf Telegram und Twitter weiterverbreitet. Wir konnten in einem Faktencheck zeigen, dass das Video eine falsche Tonspur hatte und es die angeblichen Festnahmen der ukrainischen Schmuggler in Bremen nie gab.

Am 8. September legte „Journalisten Freikorps“ nach: Ein ukrainischer Radiosender habe „interessante Dokumente“ zu dem Fall veröffentlicht. Gezeigt wird ein Brief des ukrainischen Verteidigungsministers Oleksij Resnikow, in dem dieser angeblich über den Waffenfund in Bremen schreibt. Der Brief ist ebenfalls eine Fälschung. Und er ist nicht der einzige Fake dieser Art. 

Nicht nur Fake-Nachrichtenseiten, sondern auch gefälschte ukrainische und polnische Regierungsdokumente

Am 16. Juni 2022 teilte der Telegram-Kanal „Beregini“ einen Brief, in dem der ukrainische Verteidigungsminister Oleksij Resnikow angeblich verkündete, wegen der akuten Knappheit von Soldaten müsse man männliche ukrainische Geflüchtete aus dem Ausland zurückholen. Der Brief hat denselben Briefkopf und sieht, bis auf den Text, das sichtbare Datum und die Dokumentennummer, genau wie das Schreiben über den Waffenfund in Bremen aus. 

Das verräterische Detail: Solche offiziellen Schreiben der Ukraine gibt es wirklich. Sie haben unten links einen von einem elektronischen System erstellten QR-Code aufgedruckt. Dieser QR-Code weist den Dokumenten eine Nummer und ein Erstellungsdatum zu. Scannt man jedoch die Codes beider Briefe von Telegram, wird in beiden Fällen das Datum „29.04.2022“ und die Dokumentennummer „220/3034“ angezeigt. Für die beiden Fakes wurde also offenbar ein Originaldokument von April gefälscht. 

Desinformation mit gefälschten Dokumenten zielte auf Polen ab – und landete über Alina Lipp auch in Deutschland

Bei den gefälschten Dokumenten zeigt sich ein Muster, das das Digital Forensic Research Lab (DFR Lab) analysiert hat. „Beregini“ und ein weiterer Telegram-Kanal namens „Joker DPR“ teilten demnach seit Juni mehrere Fakes mit unterschiedlichem Inhalt, die wie offizielle Schreiben des ukrainischen oder polnischen Außenministeriums aussehen. Wie uns Givi Gigitashvili vom DFR Lab schildert, veröffentlichen die beiden Kanäle regelmäßig „geleakte Dokumente“ – und mischen diese mit gefälschten. 

Ein Beispiel ist die falsche Behauptung, eine Straße in Warschau solle nach dem ukrainischen Faschisten Stepan Bandera benannt werden. Belegen sollte dies ein Dokument, unterzeichnet vom polnischen Vize-Außenminister Marcin Przydacz. Es wurde am 17. August von „Joker DPR“ auf Telegram verbreitet und mehr als 500.000 Mal gesehen. Przydacz stellte noch am selben Tag auf Twitter klar, dass es sich um einen Fake handelte. In Deutschland verbreitete die pro-russische Aktivistin Alina Lipp die Geschichte in ihrem Telegram-Kanal weiter.

„Beregini“ und „Joker DPR“ sind zudem keine Unbekannten: Die Gruppe hinter „Beregini“ bezeichnet das Cybersicherheitsunternehmen Mandiant als mit Russland verbündete „Hacktivisten“, die bereits seit Jahren angeblich durchgesickerte Schreiben aus ukrainischen Militärkreisen verbreiten. Die Abkürzung DPR in „Joker DPR“ steht für „Donetsk People’s Republic“, also die selbsternannte Volksrepublik Donezk, die von pro-russischen Separatisten beherrscht wird. Es sei schwierig, die genaue Identität der Hacker-Gruppen aufzudecken, erklärt uns Givi Gigitashvili vom DFR Lab. „Aber es ist offensichtlich, dass diese Akteure versuchen, die Beziehungen zwischen Polen und der Ukraine sowie zwischen den USA und der Ukraine und das Vertrauen in die ukrainische Regierung zu untergraben.“

Ob „Journalisten Freikorps“, „Beregini“ und „Joker DPR“ zusammenarbeiten, ist nicht belegbar. Die ähnliche Vorgehensweise ist jedoch auffällig.

Spekulationen über Verbindung zu pro-russischer Hackergruppe „Ghostwriter“

Mandiant kam in einer Analyse von Telegram-Posts im Juni zudem zu dem Schluss: „Joker DPR“ und „Beregini“ könnten ihrerseits Verbindungen zu einer pro-russischen Hackergruppe namens Ghostwriter haben, die der Regierung von Belarus nahesteht. Mandiant zufolge könnte die Verbreitung der Dokumente mit ihnen koordiniert gewesen sein, Belege dafür fehlen aber. 

Im Rahmen früherer Kampagnen von Ghostwriter wurden Social-Media-Konten polnischer Bürgerinnen und Bürger gehackt und darüber Falschinformationen verbreitet, wie auch das DFR Lab berichtet. Das passt in das Muster, das das DFR Lab im Sommer beobachtete: Das Fake-Dokument über die angebliche Umbenennung einer Straße in Warschau wurde auf zwei Facebook-Accounts von polnischen Historikern geteilt. Auch hier scheint es sich um Hacks zu handeln: Einer der Betroffenen erklärte gegenüber dem DFR Lab, er habe den Beitrag nicht selbst gepostet.

Mögliche Verbindung zur Trollfabrik von Putins Vertrautem Jewgeni Prigoschin? 

Das DFR Lab sieht außerdem eine mögliche Verbindung zu einem anderen bekannten Akteur russischer Desinformation: Dem Unternehmer und Putin-Vertrauten Jewgeni Prigoschin, der kürzlich öffentlich zugab, Gründer der patriotischen Söldnertruppe Wagner zu sein. 

Die Inhalte der Telegram-Kanäle „Beregini“ und „Joker DPR“ werden mit Abstand am häufigsten von einem russischen Telegram-Kanal namens ЧВК Медиа (ChVK Media) weiterverbreitet. „Beispielsweise veröffentlichte ‚Beregini‘ zwischen dem 2. März 2020 und dem 18. August 2022 945 Beiträge, und ChVK Media erwähnte ‚Bereginis‘ Beiträge in diesem Zeitraum fast 500 Mal, beginnend nur einen Tag nach ‚Bereginis‘ erstem Beitrag“, erklärt Givi Gigitashvili seine Analyse. ChVK Media gehört laut DFR Lab zur russischen Nachrichtenagentur Ria Fan. Die wiederum habe Verbindungen zur Patriot Mediengruppe und der Internet Research Agency (IRA), die weltweit bekannt ist als die größte bisher entdeckte russische Trollfabrik. Hinter beiden – Patriot und IRA – soll Prigoschin stecken. Prigoschins Söldnertruppe wird auch ChVK Wagner genannt. ChVK ist die russische Abkürzung für ein privates Militärunternehmen. 

Ein eindeutiger Beleg für eine Zusammenarbeit all dieser Akteure ist all das ebenfalls nicht. Doch die Indizien häufen sich. 

„Journalisten Freikorps“ baut systematisch Story über Waffenschmuggel aus der Ukraine auf

Zurück zu „Journalisten Freikorps“: Bis zu dem Beitrag über den erfundenen Waffenfund in Bremen veröffentlichte  der Telegram-Kanal nur alltägliche Nachrichten aus Deutschland. Doch seit Anfang September verfolgt er offenbar eine Strategie: Zwei Tage nach dem Bremen-Fake gab es weitere Storys über den angeblichen Waffen-Schwarzmarkt in Deutschland. Die erste lautet: ein Student in Dresden habe dieselbe Art von Stinger-Raketen aus der Ukraine, die auch in Bremen aufgetaucht seien, im Internet entdeckt. Er habe sich damit an die Polizeidirektion Dresden gewandt. 

Als Beleg dafür teilte „Journalisten Freikorps“ ein Foto einer Webseite mit Waffen, die Nachricht des angeblichen Studenten „Max“ und eine E-Mail, die der Student von der Polizei erhalten habe. Die Nachricht von „Max“ wirkt chaotisch und enthält Rechtschreibfehler. Die Ausdrucksweise wirkt sehr unbeholfen, und zu Beginn nennt er einen anderen Nachnamen als den, der sich aus der auf Telegram angegebenen E-Mail-Adresse ableiten lässt. Die Polizei Dresden bestätigte uns aber, dass sich tatsächlich eine Person namens Max an die Polizei gewandt habe und der Fall derzeit vom Staatsschutz geprüft werde. Wir haben auch den angeblichen Studenten kontaktiert, erhielten jedoch bisher keine Rückmeldung.

In der zweiten Geschichte, die „Journalisten Freikorps“ ebenfalls am 8. September veröffentlichte, heißt es, man habe ukrainische Telegram-Chats entdeckt, in denen Menschen angeworben würden, um im Darknet auf dort angebotene Waffen zu bieten. In den Anzeigen, auf die geboten werden solle, würden „die gleichen Stinger“ angeboten – diese Aussage bezieht sich wohl auf die Falschmeldung über Bremen. 

„Journalisten Freikorps“ teilt dazu einen Screenshot aus einem Kanal namens „Hosting People Coming From Ukraine To Berlin“. Eingekreist markiert ist ein Jobangebot, das jedoch sehr vage bleibt. Die Rede ist von Telearbeit, einem „guten Gehalt“ und flexiblen Arbeitszeiten. Wer mehr über den konkreten Job erfahren möchte, soll eine Privatnachricht schicken. 

Im Telegram-Kanal „Hosting People Coming From Ukraine To Berlin“ fanden wir eine Nachricht von einem Account namens „Alisa“, der angibt, auf das Jobangebot hin einen privaten Chat mit dem Anbieterprofil gestartet zu haben. Davon, dass es dabei um Waffen aus der Ukraine geht, ist aber auch in dem Chat von „Alisa“ mit der unbekannten Person nirgends die Rede.

Das Jobangebot selbst ist im Kanal „Hosting People Coming from Ukraine To Berlin“ nicht mehr zu finden, es wurde offenbar auf Bitten von „Alisa“ von einer Administratorin entfernt. Ob das Jobangebot oder „Alisa“ echt sind, lässt sich nicht nachvollziehen. 

Hamburger AfD-Abgeordnete greift Behauptungen über Waffenhandel auf

Die verbreiteten Falschinformationen über Waffenschmuggel bleiben jedoch nicht im Social-Media-Kosmos: Eine deutsche Webseite namens Weltexpress griff die gesamten „Recherchen“ von „Journalisten Freikorps“ am 14. September ohne jede Einordnung oder Überprüfung auf. Der Titel ist alarmistisch: „Die militärische Hilfe für die Ukraine birgt eine unmittelbare Bedrohung für die Bewohner Europas“. „Die aufgedeckten Fakten stellen mit aller Schärfe erneut die Frage an Deutschland und die anderen EU-Ländern, ob eine Fortsetzung der Militärhilfe für die Ukraine weiterhin zu rechtfertigen ist“, heißt es im Text.

Diesen Bericht teilte am 27. September die Hamburger AfD-Politikerin Olga Petersen auf Facebook: „Es häufen sich die Berichte zum Waffenschmuggel über die Häfen von Bremerhaven und auch unsere schöne Stadt Hamburg findet Erwähnung in den Berichten“, schrieb sie. „Um der Sache auf den Grund zu gehen, möchte ich eine Anfrage an den Hamburger Senat stellen.“ Hamburg wird in dem Bericht nicht erwähnt, woher der vermeintliche Bericht aus der Hansestadt stammen soll, bleibt offen. 

Seit Mitte Juli liegt der Fokus der russischen Operation stärker auf Deutschland

Fest steht: Seit Frühjahr 2022 hat sich die russische Desinformationsindustrie langsam warm gelaufen und zieht inzwischen alle Register. Meta berichtet, dass im Zuge der Operation mit den gefakten Medienseiten der Medien eigene „Mini-Marken“ im Netz entstanden sind, um die anti-ukrainischen Inhalte in verschiedenen Sprachen zu verbreiten: Es wurden Accounts mit denselben Namen (zum Beispiel „Freies Deutschland“) auf verschiedenen Plattformen erstellt. Das Ziel: sich selbst verstärkende Echokammern aufbauen.

Deutlich wird zudem, dass Deutschland zunehmend in den Fokus rückt. Darauf deutet auch die Analyse von Meta hin: Zu Beginn seien mehrere Länder ähnlich stark von den Fake-Webseiten betroffen gewesen. Doch seit Mitte Juli habe sich das geändert. Seitdem seien mindestens 40 weitere Webseiten erstellt worden, die explizit deutsche Nachrichtenseiten imitieren – in anderen Ländern wurden laut Meta seitdem keine neuen entdeckt. Seit Meta begonnen hat, die identifizierten Webseiten auf Facebook zu blockieren, habe sich der Prozess, neue Webseiten zu erstellen, erneut beschleunigt. 

Ein Ende der russischen Desinformations-Operation ist also nicht in Sicht. Wie groß ihr Einfluss auf die öffentliche Meinung ist, lässt sich nicht beziffern. Aber die Hamburger Polizei bestätigte uns, dass die AfD-Politikerin Olga Petersen ihre Anfrage an den Senat gestellt habe. Die Kampagne hat es somit bereits bis in die deutsche Politik geschafft. 

Redigatur: Matthias Bau, Sophie Timmermann 

Die wichtigsten Quellen für diese Recherche:

• Analyse von Mandiant: „Hacktivist personas back latest GhostWriter disinfo op targeting Poland, Ukraine“, 30. Juni 2022, Cyberscoop: Link
• Artikel von T-Online: „Putins Troll-Armee greift Deutschland an“, 30. August 2022: Link
• Analyse des DFR Lab: „Russia-aligned hacktivists stir up anti-Ukrainian sentiments in Poland“, 9. September 2022, Medium: Link 
• Bericht von Meta: „Taking down coordinated inauthentic behavior from Russia and China“, 27. September 2022: Link