Ein Leak enthüllt, wie Kreml, Geheimdienst und private Firmen zusammenarbeiten
Plastikskelette vor dem Brandenburger Tor und KI-Propaganda gegen Armeniens Premier: Ein Leak zeigt, wie Russland Desinformation und Sabotage koordiniert.
Als vor dem Brandenburger Tor in Berlin vor einem Jahr in Beton gegossene Plastikskelette aufgefunden wurden, hielt die Polizei dies für eine sonderliche Kunstaktion. An den Skeletten war der Spruch angebracht: „Warte immer noch auf meine Rente. Danke, Merz“.
Weitere rätselhafte Vorfälle kommen hinzu: Bereits im Mai 2025 waren das Holocaust-Museum und drei Synagogen in Paris mit grüner Farbe beschmiert worden. Im September wurden vor neun Moscheen und Kulturzentren in der französischen Hauptstadt Schweineköpfe hinterlassen.
Die Vorfälle in Paris und weitere Aktionen finden sich nun in einem russischen Leak wieder, das Anfang Mai im Internet verbreitet wurde. Die Dokumente liefern auch Hinweise auf die Aktion in Berlin.
Vier Wochen. 300.000 Euro. Ein Ziel:
Falsche Abschlüsse, geschönte Lebensläufe, verschwiegene Verbindungen: Noch immer können Menschen politische Macht gewinnen, ohne dass ihre Angaben systematisch geprüft werden.
Mit der Spendenaktion im Rahmen von CORRECTIV.Sunlight wollen wir das ändern. In vier Wochen wollen wir 300.000 Euro sammeln, um deutlich mehr Kandidierenden-Checks vor wichtigen Wahlen möglich zu machen.
Damit sichtbar wird, wer um Vertrauen wirbt – bevor Stimmen abgegeben und Ämter vergeben werden.
Ein gutes Dutzend Screenshots mit Chatnachrichten sowie Projektberichte geben einen tiefen Einblick in die Kommandozentrale des russischen Beeinflussungsapparats, der offenbar solche und andere Aktionen koordiniert. Zuerst hatte t-online darüber berichtet.
Das Leak liefert nicht nur fehlende Puzzleteile bei der Suche nach Verantwortlichen solcher Aktionen. Es zeigt auch, dass sich in Russlands hybridem Krieg verschiedenste Akteure enger koordinieren als bislang bekannt.
Mit Einflussoperationen gegen den Westen versucht Russland die Stimmung zu seinen Gunsten zu drehen. Nun wird klar: Wenn Russland Aktionen gegen Deutschland, Frankreich, Armenien oder andere Staaten startet, ziehen Kreml, Geheimdienst und private Firmen an einem Strang.
Ein Leak aus dem Account einer Kreml-Mitarbeiterin
Das Leak, das CORRECTIV ausgewertet hat, wird auch als „SDA-Leak“ bezeichnet. Das Kürzel steht für die „Social Design Agency“, eine russische PR-Agentur, die – angeleitet vom Kreml – Desinformationskampagnen gegen den Westen durchführt. CORRECTIV fand zudem heraus, dass Zugriffe auf Konten der SDA von IP-Adressen der russischen Regierung erfolgten.
Ein erstes Datenleck aus der Agentur gab es bereits im September 2024. Das neue Dokumenten-Paket liefert noch tiefere Einblicke in ihre Arbeitsweise.
Screenshots zeigen die interne Kommunikation über die russische Slack-Alternative „VK Teams“, außerdem enthält das Leak Projektberichte, die offenbar über die Plattform ausgetauscht wurden. Die Dateien wirken authentisch, dieselbe Benutzeroberfläche hat CORRECTIV bei Recherchen zur Desinformationskampagne „Doppelgänger“ entdeckt, hinter der die SDA steckt.
Doch es handelt sich keineswegs um ein reines „SDA-Leak“. Denn in dem Arbeitschat finden sich auch Mitarbeiter anderer russischer Einrichtungen wie dem „Institut für die Entwicklung des Internets“, die wegen ihrer Tätigkeiten wie die SDA von der EU und den USA sanktioniert sind. Sie tragen alle Pseudonyme, doch mittels einer Mitgliederliste lassen sich einige von Ihnen realen Personen zuordnen.
So ist nachvollziehen, dass die Screenshots aus dem Leak aus der Perspektive von Sofia Sacharowa stammen, einer Mitarbeiterin der Präsidialadministration. Die Kreml-Verwaltung kuratiert die Arbeit der SDA. Sacharowa ist es auch, die von einer Verabredung mit dem AfD-Politiker Maximilian Krah schreibt, der offenbar bestimmte Inhalte über seine Kanäle verbreiten sollte. Krah spricht von einer „Ente“. So eine Abmachung gebe es nicht, Sacharowa kenne er nicht.
Zu erkennen ist: Verschiedene Akteure des russischen Beeinflussungsapparats arbeiten in einer gemeinsamen Arbeitsumgebung zusammen – und koordinieren sich dort womöglich auch mit dem militärischen Geheimdienst GRU.
Steckt die SDA hinter den Sabotage-Aktionen?
Hinweise auf Sabotage-Aktionen stammen aus einem Gespräch zwischen Sacharowa und einem Mitarbeiter mit dem Pseudonym „Edward Bernays“. Er berichtet ihr über die Farb-Attacken auf jüdische Einrichtungen: „Ziel der Aktion – Diskreditierung der französischen Behörden, die unfähig sind, die Welle des islamischen Antisemitimus in Paris zu stoppen“.
In einer anderen Nachricht von Anfang 2025 schickt „Bernays“ an die Kreml-Mitarbeiterin Sacharowa einen Bericht der Deutschen Welle. Es geht um Festnahmen im Fall von Sabotage-Akten an hunderten Autos in Deutschland. Die Verdächtigen sollen Bauschaum in die Auspuffrohre gespritzt haben und an den Tatorten Aufkleber mit dem Spruch „Sei grüner!“ hinterlassen haben.
In der vergangenen Woche hat die Staatsanwaltschaft Ulm Anklage erhoben. Sie geht von einem vermutlich pro-russischen Auftraggeber aus, der die Stimmung in der Bevölkerung vor der Bundestagswahl im Frühjahr 2025 beeinflussen wollte. Die Ermittlungen gegen den Unbekannten blieben allerdings ergebnislos.
Einen Hinweis auf die tatsächlichen Hinterleute liefert nun das Leak. Denn „Bernays“ übernimmt in seiner Nachricht an Sacharowa die Verantwortung. „Deutsche Welle schreibt über uns“, schreibt er der Kreml-Frau. Der Verdacht in Richtung Russland scheint bestätigt. Doch wer ist „uns“?
Ermittlungen sehen Geheimdienst GRU hinter den Aktionen
Weitgehend unbemerkt von der deutschen Öffentlichkeit ergingen im März 2026 in Serbien drei brisante Urteile: Drei Serben sollen nach Auffassung des Gerichts für die Skelett-Aktion in Berlin und die Vorfälle in Paris verantwortlich sein – als Teil einer größeren Gruppe. Dabei sollen sie laut dem Urteil auf Anweisung russischer Sicherheitsbehörden gehandelt haben, berichtete Radio Free Europe.
Neben der Übernahme der Reisekosten – Mietwagen, Bus- und Flugtickets und Hotel – sei auch für jeden erledigten „Auftrag“ Geld versprochen worden. Zwischen 500 und 1.500 Euro. Rekrutiert wurden diese Wegwerfagenten demnach in Velika Plana, einer Stadt mit rund 15.000 Einwohnern, etwa eine Autostunde südlich von Belgrad.
Dass es sich bei den Auftraggebern um russische Agenten handelt, hätten französische und deutsche Ermittler herausgefunden, so der Bericht. Die Rechercheplattform Dossier Center wiederum berichtete, dass hunderte Davidsterne-Graffitis 2023 in Paris auch auf das Konto von Mitarbeitern des russischen Militärgeheimdienstes GRU gingen. Dort soll eine ganze Abteilung für Sabotage-Akte und andere Einflussoperationen verantwortlich sein. Auch schon hinter dieser Aktion vermuteten französische Behörden russische Geheimdienste.
Leak zeigt Zusammenspiel zwischen GRU und SDA
Es ist wenig wahrscheinlich, dass die Behörden und Gerichte aus verschiedenen Ländern sich mit dieser Zuordnung irren – und darin liegt die Brisanz des Leaks: Er zeigt, wie die Zahnräder der russischen Beeinflussungsmaschine ineinandergreifen. Das Leak umfasse „wahrscheinlich das gesamte Ökosystem der Propaganda und Desinformation“, schlussfolgert das Rechercheprojekt Gnida in einem Blogeintrag. „Edward Bernays“ hält es für ein Verbindungsglied zum GRU.
Laut der französischen Behörde Viginum, die sich mit ausländischer Einflussnahme befasst, wurde beispielsweise die Paris-Aktion mit den Davidsternen über die Kanäle der Social Design Agency verbreitet – ein Zusammenspiel von GRU und SDA.
KI-Kampagne in Armenien wird als Erfolg verbucht
An anderer Stelle spricht Sacharowa von der Präsidialadministration im Chat mit dem möglichen GRU-Verbindungsmann von einem „Erfolg in Bezug auf Armenien“: So hätten Meinungsmacher in Armenien ihre Falschmeldung über eine Luxus-Villa aufgegriffen, die angeblich der Premier Nikol Paschinyan besitzen soll. Mehr als neun Millionen Views sollen entsprechende Beiträge laut einer Auswertung erzielt haben.
Hybride Attacken, politische Morde, Propaganda und Schmiergelder – das alles im neuen CORRECTIV-Buch „Europas Brandstifter: Putins Krieg gegen den Westen“
Tatsächlich entstammt diese Falschmeldung laut Gnida der Desinformationskampagne „Storm-1516“. Die Kampagne zeichnet sich durch KI-generierte Inhalte und ein Netz aus Influencern aus. Vor der Bundestagswahl 2025 nahm „Storm-1516“ auch Deutschland ins Visier, wie CORRECTIV enthüllte. Behörden und Medien rechnen sie eigentlich dem GRU zu – nun tauchen auch diese Inhalte in dieser Arbeitsumgebung auf.
Sabotage, Desinformationskampagnen und andere Elemente des hybriden Kriegs können nicht isoliert betrachtet werden. Das jüngste Leak zeigt, dass Russland alles zusammen denkt und koordiniert – unter der Ägide der Präsidialadministration.
Redigatur: Annika Joeres, Silvia Stöber
Faktencheck: Annika Joeres
CORRECTIV im Postfach
Lesen Sie von Macht und Missbrauch. Aber auch von Menschen und Momenten, die zeigen, dass wir es als Gesellschaft besser können. Täglich im CORRECTIV Spotlight.
Mit der Anmeldung willigen Sie der Verarbeitung Ihrer Daten gemäß unserer Datenschutzerklärung ein.
