Zwei weitere Angeklagte wurden freigesprochen. Der Fall gewährt damit einen seltenen gerichtlichen Einblick in eine Vorgehensweise, die europäische Sicherheitsbehörden seit mehreren Jahren zunehmend beschäftigt.

Russische Sabotagevorbereitung im Fokus eines deutschen Gerichts

Nach den Feststellungen des Gerichts waren die drei Männer im März 2025 am Versand zweier Pakete mit GPS-Ortungsgeräten und Autoersatzteilen von Deutschland in die Ukraine beteiligt. Nach Überzeugung des Senats war der Versand von einer staatlichen russischen Stelle veranlasst worden. Die dabei gewonnenen Standortdaten sollten zumindest auch dazu dienen, Möglichkeiten für Sabotagehandlungen gegen Transportwege und die zugehörige Infrastruktur zu untersuchen. Der Angeklagte hatte den Versand nach Feststellung des Gerichts im Auftrag eines Bekannten aus dem russisch besetzten Mariupol organisiert und die beiden anderen Männer einbezogen.

Zugleich zog das Gericht eine klare Grenze. Es konnte nicht festgestellt werden, dass bereits ein hinreichend konkreter Plan bestanden hatte, anschließend Pakete mit Brandsätzen zu versenden. Ebenso ließ sich bei den beiden freigesprochenen Angeklagten nicht nachweisen, dass sie wussten oder billigend in Kauf nahmen, an der Auskundschaftung möglicher Sabotageobjekte für eine russische staatliche Stelle mitzuwirken. Das noch nicht rechtskräftige Urteil unterscheidet damit präzise zwischen nachgewiesener Agententätigkeit, nicht belegten weitergehenden Sabotageplänen und Beteiligten, bei denen der erforderliche Vorsatz nicht festgestellt werden konnte.

Ein neues Rekrutierungsmodell

Der Stuttgarter Fall ist kein Einzelfall. Das Bundesamt für Verfassungsschutz beschreibt seit dem Jahreswechsel 2023/2024 eine zunehmende Nutzung sogenannter Low-Level-Agenten durch russische Nachrichtendienste. Gemeint sind Personen, die kurzfristig für einzelne Aufträge angeworben werden, häufig über soziale Medien und Messengerdienste, ohne selbst Angehörige eines russischen Nachrichtendienstes zu sein.

Für diese Entwicklung gibt es einen strukturellen Grund. Nach Beginn des russischen Großangriffs auf die Ukraine wurden zahlreiche russische Diplomaten aus europäischen Staaten ausgewiesen. Dadurch wurden zugleich die Möglichkeiten eingeschränkt, nachrichtendienstliche Operationen unter diplomatischer Abdeckung durchzuführen. Nach Einschätzung des Bundesamtes für Verfassungsschutz reagierten russische Nachrichtendienste auf diese Einschränkung ihrer Kapazitäten mit einer Erweiterung ihres methodischen Repertoires. Neben klassischen Spionage- und Cyberoperationen greifen sie zunehmend auf niedrigschwellig angeworbene Personen für Aufklärungs- und Sabotageaufgaben zurück.

Eine vergleichbare Entwicklung beschreibt der britische Inlandsnachrichtendienst MI5. Dessen Generaldirektor erklärte, dass russische Dienste nach den umfangreichen Ausweisungen von Nachrichtendienstangehörigen verstärkt Personen über soziale Netzwerke anwerben, über verschlüsselte Kommunikationsdienste führen und teilweise mit Kryptowährungen bezahlen. Nach Darstellung des MI5 kommen dabei Personen zum Einsatz, die keine ausgebildeten russischen Nachrichtendienstoffiziere sind.

Deutschland als Operationsraum

In Deutschland ist diese Entwicklung längst konkret sichtbar. Das Oberlandesgericht München verurteilte am 30. Oktober 2025 drei Männer wegen geheimdienstlicher Tätigkeit für Russland. Der Hauptangeklagte erhielt unter anderem wegen geheimdienstlicher Agententätigkeit und Agententätigkeit zu Sabotagezwecken eine Freiheitsstrafe von sechs Jahren. Zwei Mitangeklagte wurden ebenfalls wegen geheimdienstlicher Agententätigkeit verurteilt. Das Urteil war zum Zeitpunkt seiner Verkündung noch nicht rechtskräftig.

Nach den Feststellungen des Gerichts hatte der Hauptangeklagte Informationen über militärische Einrichtungen und Transporte gesammelt. Er fotografierte Fahrzeuge der Bundeswehr, filmte Panzertransporte und beschäftigte sich mit möglichen Sabotagezielen. In der Kommunikation mit seinem Kontakt wurden unter anderem Möglichkeiten erörtert, Kameras an Militärtransporten anzubringen und Züge zum Entgleisen zu bringen. Das Gericht sah es als erwiesen an, dass der Kontaktmann Verbindungen zu einem russischen Nachrichtendienst hatte.

Der Fall verdeutlicht einen zentralen Aspekt des russischen Vorgehens. Ein Sabotageauftrag beginnt nicht zwangsläufig mit der eigentlichen Zerstörung eines Zieles. Ihm können Informationsbeschaffung, fotografische Dokumentation, die Erfassung von Transportbewegungen, die Identifizierung von Schwachstellen und die Untersuchung logistischer Abläufe vorausgehen. Aus sicherheitspolitischer Sicht bildet diese Vorbereitungsphase einen Übergangsbereich zwischen klassischer Spionage und physischer Sabotage.

Vom Mobiltelefon zur operativen Infrastruktur

Das Bundesamt für Verfassungsschutz beschreibt das russische Vorgehen inzwischen als einen Werkzeugkasten, in dem unterschiedliche Methoden parallel eingesetzt und miteinander kombiniert werden. Dazu zählen zentral gesteuerte Nachrichtendienstoperationen, Cyberangriffe, Einflussnahme, Sabotage, Beschaffungsaktivitäten, Operationen unter diplomatischer Abdeckung sowie die Beauftragung von Personen, die über soziale Medien angeworben wurden. Als mögliche Schutz- und Zielbereiche nennt die Behörde unter anderem kritische Infrastruktur, Wirtschaft, Politik, Wissenschaft, militärische Einrichtungen sowie digitale Infrastruktur und Kommunikation.

Die Rekrutierung über digitale Kommunikationsplattformen verändert die organisatorischen Voraussetzungen solcher Operationen grundlegend. Ein Führungsoffizier muss sich nicht im selben Land wie die angeworbene Person aufhalten. Persönliche Treffen können auf ein Minimum reduziert oder vollständig vermieden werden. Aufgaben lassen sich zudem in einzelne Teilaufträge aufspalten, sodass die jeweiligen Beteiligten nur begrenzte Kenntnis vom Gesamtvorgang besitzen.

Auch der estnische Inlandsnachrichtendienst KAPO beschreibt in seinem Jahresbericht 2025/2026 russische Versuche, über soziale Medien Akteure für einzelne Sabotageaufträge zu rekrutieren. Nach Einschätzung der estnischen Behörde können russische Nachrichtendienstoffiziere aus Russland heraus Kontakt zu ausländischen Staatsangehörigen aufnehmen, ohne dass sich Auftraggeber und angeworbene Person jemals persönlich begegnen. Die Unterstützung der Ukraine und die dafür erforderliche Infrastruktur gehören nach dieser Einschätzung zu den russischen Aufklärungs- und Sabotagezielen.

Sabotage gegen die Unterstützung der Ukraine

Die Auswahl möglicher Ziele folgt einer erkennbaren strategischen Logik. Militärische Unterstützung für die Ukraine besteht nicht allein aus Waffen und Munition. Sie ist auf Lager, Produktionsstätten, Eisenbahn- und Straßenverbindungen, Flughäfen, Paket- und Frachtunternehmen, Kommunikationssysteme sowie zahlreiche zivile Unternehmen angewiesen. Auf diese Weise entsteht außerhalb der Ukraine eine weit verzweigte logistische Infrastruktur.

Das Bundesamt für Verfassungsschutz nennt Unterstützungsleistungen für die Ukraine ausdrücklich als möglichen Zielbereich russischer Sabotageaktivitäten. Auch kritische Infrastruktur und deutsche Regierungseinrichtungen werden von der Behörde als potenzielle Ziele genannt. Der im Juni 2026 vorgestellte Verfassungsschutzbericht für 2025 bewertet die Bedrohung durch Spionage, Sabotage, transnationale Repression und Cyberangriffe in Deutschland weiterhin als hoch.

Daraus folgt nicht, dass jede Störung eines Transportweges, jeder Brand oder jede technische Fehlfunktion als russische Operation eingestuft werden kann. Eine solche Schlussfolgerung wäre analytisch nicht haltbar. Entscheidend ist vielmehr, dass deutsche Sicherheitsbehörden Strukturen zur Unterstützung der Ukraine als mögliche Ziele russischer Sabotage betrachten und in mehreren konkreten Strafverfahren nachrichtendienstliche Zusammenhänge bereits gerichtlich festgestellt wurden.

Der britische Fall zeigt die Funktionsweise

Wie dieses Modell in der Praxis funktionieren kann, zeigt besonders deutlich ein britisches Strafverfahren. Im März 2024 wurde im Osten Londons ein Lagerhaus in Brand gesetzt, in dem humanitäre Hilfe und Starlink-Ausrüstung für die Ukraine gelagert wurden. Die britische Staatsanwaltschaft Crown Prosecution Service stellte später fest, dass der Anschlag im Auftrag der Wagner-Gruppe organisiert worden war. Mehrere Beteiligte wurden auf Grundlage des britischen National Security Act strafrechtlich verfolgt und verurteilt.

Bemerkenswert ist dabei vor allem der organisatorische Aufbau. Einer der Haupttäter hatte nach Angaben der Staatsanwaltschaft über Telegram Kontakt zur Wagner-Gruppe aufgenommen und seine Bereitschaft erklärt, Aufträge zu übernehmen. Anschließend wurden weitere Personen angeworben. Nach den Feststellungen der britischen Strafverfolgungsbehörden wussten nicht alle unmittelbar an der Brandstiftung Beteiligten, dass sie letztlich im Auftrag der Wagner-Gruppe handelten.

Genau darin liegt ein wesentlicher Vorteil eines solchen Modells für den Auftraggeber. Zwischen einer staatlichen oder staatsnahen Struktur und der Person, die eine konkrete Handlung ausführt, können mehrere Vermittlungsebenen liegen. Diese operative Distanz erschwert die unmittelbare Zuordnung und begrenzt zugleich den Kenntnisstand einzelner Beteiligter. Gleichzeitig erhöht ein solches Vorgehen das Risiko von Fehlern, unprofessionellem Verhalten und digitalen Spuren, die sich im Nachhinein rekonstruieren lassen.

Nicht jeder angeworbene Akteur ist unprofessionell

Das Bild darf jedoch nicht auf schlecht ausgebildete Einzeltäter verengt werden. Ein weiteres britisches Strafverfahren zeigt, dass Russland auch deutlich komplexere Strukturen außerhalb klassischer Nachrichtendienstresidenturen einsetzen kann.

Im Mai 2025 wurden sechs bulgarische Staatsangehörige in Großbritannien wegen Spionage für Russland zu Freiheitsstrafen von insgesamt mehr als 50 Jahren verurteilt. Nach Angaben der Crown Prosecution Service operierte die Gruppe zwischen 2020 und 2023 in mehreren europäischen Staaten. Sie überwachte Personen und Einrichtungen, verwendete falsche Identitäten und setzte technische Überwachungsmittel ein. Nach Feststellung der Staatsanwaltschaft bestand zwischen dem Netzwerk und russischen Nachrichtendienstinteressen eine vermittelnde Verbindung.

Zu den Zielen der Gruppe gehörte auch ein Investigativjournalist. Darüber hinaus führte sie Aufklärungsmaßnahmen an einer US-Militärbasis in Stuttgart durch, an der sie ukrainische Militärangehörige vermutete. Bei Durchsuchungen wurden zahlreiche technische Überwachungsgeräte sowie falsche Identitätsdokumente sichergestellt. Umfangreiche Telegram-Kommunikation, Reisedaten, Finanzinformationen und technische Beweismittel bildeten wesentliche Bestandteile des Strafverfahrens.

Der Fall zeigt, dass ausgelagerte nachrichtendienstliche Tätigkeit sehr unterschiedliche Professionalisierungsgrade aufweisen kann. Das Spektrum reicht von kurzfristig angeworbenen Personen für einzelne, vergleichsweise einfache Aufgaben bis hin zu arbeitsteilig organisierten Netzwerken, die technische Überwachungsmittel und falsche Identitäten einsetzen und grenzüberschreitend operieren können.

Die strategische Bedeutung der Abstreitbarkeit

Der Einsatz angeworbener Personen vergrößert den Abstand zwischen Auftraggeber und konkreter Handlung. Für einen Nachrichtendienst ist diese Distanz von erheblichem strategischem Wert. Wird ein russischer Nachrichtendienstoffizier mit diplomatischem Status bei einer Operation identifiziert, lassen sich politische Verantwortung und eine mögliche staatliche Attribution vergleichsweise unmittelbar herstellen. Bei einem angeworbenen Zivilisten, der über einen Mittelsmann und einen Messengerdienst geführt wird, ist die Beweiskette deutlich komplexer.

Für eine belastbare Attribution reicht es daher nicht aus, Tat und Täter zu identifizieren. Zusätzlich muss nachvollziehbar belegt werden, welche Verbindungen zwischen dem Täter, möglichen Mittelsmännern und dem staatlichen Auftraggeber bestanden. An dieser Stelle gewinnen digitale Kommunikation, Zahlungsströme, Reisebewegungen, beschlagnahmte Geräte und nachrichtendienstliche Erkenntnisse besondere Bedeutung.

Der Stuttgarter Prozess vom August 2026 macht diese Schwierigkeit besonders deutlich. Das Gericht war überzeugt, dass der Paketversand von einer staatlichen russischen Stelle veranlasst worden war und zumindest auch dazu diente, Möglichkeiten für Sabotagehandlungen zu untersuchen. Für eine Verurteilung der beiden weiteren Beteiligten reichte dies dennoch nicht aus. Bei ihnen ließ sich nicht nachweisen, dass sie den nachrichtendienstlichen und sabotagebezogenen Zweck ihres Handelns kannten oder billigend in Kauf nahmen.

Warum die Freisprüche analytisch wichtig sind

Die beiden Freisprüche mindern die Bedeutung des Falles nicht. Im Gegenteil: Sie erhöhen seinen Wert als überprüfbare Quelle. Der Senat unterschied klar zwischen dem nachweisbaren russischen Auftrag, dem objektiven Ablauf des Paketversands, dem Wissen des verurteilten Organisators und dem nicht hinreichend belegten Kenntnisstand der beiden anderen Beteiligten.

Der Fall zeigt zugleich, warum eine auf offenen Quellen beruhende Analyse nicht bei der Feststellung stehen bleiben darf, dass eine russische Operation stattgefunden hat. Für jede einzelne Person und jede einzelne Handlung muss gesondert geprüft werden, welche Verbindung tatsächlich belegt ist. Die Beteiligung an einem Vorgang bedeutet nicht automatisch Kenntnis seines vollständigen Zwecks. Ein verdächtiger Kontakt ist nicht automatisch ein Beleg für nachrichtendienstliche Steuerung. Ebenso begründet ein russisches Interesse an einem bestimmten Ziel nicht automatisch eine russische Verantwortung für jeden Vorfall, der dieses Ziel betrifft.

Gerade bei hybriden Operationen ist diese Beweisdisziplin von zentraler Bedeutung. Der Einsatz von Mittelsmännern, die digitale Rekrutierung und die Aufteilung von Operationen in voneinander getrennte Teilaufgaben schaffen Grauzonen. Werden diese Grauzonen mit Vermutungen gefüllt, verliert die Analyse an Glaubwürdigkeit. Werden Unsicherheiten dagegen ausdrücklich kenntlich gemacht, lassen sich die tatsächlich belegten Zusammenhänge umso präziser darstellen.

Ein europäisches Sicherheitsproblem

Deutschland, Großbritannien und Estland beschreiben trotz unterschiedlicher rechtlicher und institutioneller Rahmenbedingungen eine vergleichbare Entwicklung. Russische Nachrichtendienste passen ihre Arbeitsmethoden an die verstärkte europäische Spionageabwehr an. Digitale Kommunikationsmittel ermöglichen es ihnen, Personen außerhalb klassischer Nachrichtendienststrukturen anzuwerben und einzusetzen. Gleichzeitig bleiben traditionelle Spionage, technisch anspruchsvolle Operationen und Aktivitäten unter diplomatischer Abdeckung weiterhin Bestandteil des russischen Instrumentariums.

Die Europäische Union behandelt Sabotage, Störungen kritischer Infrastruktur, Cyberangriffe, Informationsmanipulation und Eingriffe in demokratische Prozesse inzwischen als Bestandteile längerfristiger russischer Hybridkampagnen. Im März 2026 bekräftigte der Rat der Europäischen Union seine Absicht, die verfügbaren Instrumente zur Prävention, Abschreckung und Reaktion auf solche Bedrohungen weiterzuentwickeln.

Auch Deutschland passt seine institutionellen Strukturen an diese Bedrohungslage an. Die Bundesregierung hat 2026 ein gemeinsames Zentrum zur Abwehr hybrider Bedrohungen eingerichtet, in dem Spionage, Sabotage, Desinformation und weitere hybride Gefahren gemeinsam betrachtet werden sollen. Diese organisatorische Anpassung entspricht einer Sicherheitslage, in der sich einzelne operative Bereiche zunehmend überschneiden und immer schwieriger voneinander trennen lassen.

Die Anpassung hat bereits stattgefunden

Die entscheidende Entwicklung besteht daher nicht darin, dass Russland erst seit Kurzem verdeckte Operationen in Europa durchführt. Nachrichtendienstliche Tätigkeit, Einflussoperationen und Sabotage haben eine lange Vorgeschichte. Neu ist vielmehr die zunehmende Verbindung klassischer staatlicher Fähigkeiten mit digital angeworbenen Personen außerhalb traditioneller Nachrichtendienststrukturen.

Dieses Modell ist kostengünstig, geografisch flexibel und schafft eine beträchtliche organisatorische Distanz zwischen Auftraggeber und ausführendem Täter. Zugleich weist es erhebliche Schwächen auf. Ungeschulte Beteiligte machen Fehler. Digitale Kommunikation hinterlässt Spuren. Mittelsmänner können identifiziert und Zahlungsströme rekonstruiert werden. Festgenommene Personen genießen keinen diplomatischen Schutz. Die europäischen Strafverfahren der vergangenen Jahre zeigen daher nicht nur die Reichweite der Bedrohung, sondern ebenso die Möglichkeiten, solche Strukturen aufzudecken und strafrechtlich zu verfolgen.

Der Stuttgarter Fall vom August 2026 ist in diesem Zusammenhang besonders aufschlussreich. Ein deutsches Gericht stellte fest, dass der Paketversand von einer staatlichen russischen Stelle veranlasst worden war und zumindest auch der Auskundschaftung möglicher Sabotageobjekte diente. Einen Beteiligten verurteilte das Gericht wegen Agententätigkeit zu Sabotagezwecken. Zugleich verwarf es weitergehende Vorwürfe, für die der erforderliche Beweis nicht erbracht werden konnte.

Gerade diese Verbindung aus der nachgewiesenen Veranlassung durch eine russische staatliche Stelle und der konsequenten Beschränkung auf das tatsächlich Belegbare macht den Fall zu einem wichtigen Beispiel für die gegenwärtige Sicherheitslage in Europa. Russische verdeckte Operationsmodelle werden dezentraler und greifen zunehmend auf Personen außerhalb der eigenen Nachrichtendienste zurück. Die zentrale Aufgabe europäischer Staaten besteht deshalb nicht darin, hinter jedem ungeklärten Vorfall eine russische Operation zu vermuten. Entscheidend ist vielmehr, Strukturen, Kommunikationswege und Mittelsmänner so präzise zu identifizieren, dass Verdachtsmomente in eine belastbare und überprüfbare Attribution überführt werden können.

Lesen Sie auch

• Gekränkter Stolz in Moskau: NAFO und InformNapalm auf russischer Hackerliste
• InformNapalm markiert zwölf Jahre Aufklärungsarbeit gegen Russland
• Die USA schaffen eine Cyber Force – Eine Analyse des Berichts der US-Kommission und seiner Bedeutung für die Ukraine

Es steht Ihnen frei, dieses Material zu teilen, aber fügen Sie bitte einen Link zur Quelle hinzu. Creative Commons – Attribution 4.0 International – CC BY 4.0. Folgen Sie uns auf Facebook und X.

InformNapalm erhält keine finanzielle Unterstützung von irgendeiner Regierung oder einem Sponsor. Die Finanzierung erfolgt ausschließlich durch freiwillige Unterstützer und Leser. Sie können InformNapalm auch unterstützen, indem Sie monatliche Minispenden über BuyMeACoffee tätigen.