Sabotage für $500

Für Beträge zwischen 500 und 7.000 Dollar lassen sich in Europa Menschen anwerben, die ein NATO-Fahrzeug anzünden, einen Militärkonvoi fotografieren oder ein ukrainisches Denkmal in einem EU-Staat beschädigen. Die Anwerbung läuft über kurzlebige Telegram-Konten, der Ausführende filmt die Tat als Nachweis, bezahlt wird in Kryptowährungen, danach verschwindet das Konto wieder (Cybernews).

Was das polnische Medium Vot Tak offengelegt und anhand von Strafverfahren in mehreren Ländern nachgezeichnet hat, ist kein klassisches Spionageszenario. Es ist ein billiger, grenzüberschreitender Markt für Sabotageaufträge. Die Befehlskette bleibt verdeckt, austauschbar ist vor allem derjenige, der am Ende die Tat begeht.

Der polnische Nachweis

Polen liefert bislang die belastbarsten Hinweise darauf, dass dieses Modell funktioniert. Ein 18 Jahre alter ukrainischer Staatsbürger, in den Berichten als Ilya K. bezeichnet, muss sich wegen 47 Anklagepunkten verantworten, die mit mutmaßlicher Sabotagetätigkeit zwischen November 2024 und August 2025 zusammenhängen (WP, RMF24). Der polnische Inlandsgeheimdienst ABW und die Nationale Staatsanwaltschaft erklären, zu den Aufgaben hätten Schändungen von Gedenkstätten gehört, um Spannungen zwischen Polen und Ukrainern zu schüren. Außerdem sei ein Drohnenflug über die Fahrzeugkolonne des Präsidenten vorbereitet worden.

Wichtiger als die Zahl der Anklagepunkte ist die Arbeitsweise. Die Aufträge kamen über einen Online-Messenger, als Erfolgsnachweis wurden Fotos verschickt, die Bezahlung lief über Kryptowährungen und über Börsen, die in Russland und China registriert sind. Der Beschuldigte soll zudem weitere Personen für zusätzliche Aufgaben angeworben haben.

Das Bild, das daraus entsteht, ist eben nicht das eines ausgebildeten Nachrichtendienstoffiziers. Es ist das eines Jugendlichen, der gegen Geld in eine Auftragskette eingespeist wurde, in der einzelne Ausführende leicht ersetzt werden können.

Wegwerf-Agenten in mehreren Ländern

In Deutschland hat sich für solche Rekruten der Begriff Wegwerf-Agenten eingebürgert: billige, ersetzbare Helfer vor Ort, die einzelne Aufgaben übernehmen, etwa eine Strecke auskundschaften, eine Sicherheitszone testen oder einen Brandanschlag vorbereiten. Deutsche Sicherheitsbehörden beschreiben russlandnahe Sabotage, Spionage und Desinformation als Druckmittel, die bewusst unterhalb der Schwelle eines offenen militärischen Angriffs bleiben (Zeit). In Stuttgart stehen drei mutmaßliche Wegwerf-Agenten im Verdacht, Transportwege für Paketbomben ausgekundschaftet zu haben (Tagesschau).

Die Niederlande zeigen eine andere Schwachstelle, für die es gar keinen menschlichen Anwerber braucht. Die Nachrichtendienste AIVD und MIVD kamen zu der Einschätzung, dass russische staatliche Hacker IP-Kameras entlang militärischer Logistikrouten kompromittiert hätten, um Lieferungen für die Ukraine zu beobachten (NL Times, Defensiebond). Standardpasswörter und veraltete Firmware machten aus zivilen Kameras Überwachungsinfrastruktur. Kein Telegram-Konto, keine Kryptozahlung, nur schlecht gesicherte Geräte, die kostenlos Bilder liefern.

Die Lücke zwischen den Grenzen

Das Muster ist grenzüberschreitend sichtbar, die Strafverfolgung bleibt jedoch national organisiert. Eine einzige Sabotagekette kann einen Anwerber auf einem Telegram-Konto mit indischer Telefonnummer, ein Ziel in Lettland, Zahlungen über asiatische Kryptobörsen und parallele Ermittlungen in Polen oder Deutschland umfassen. Kein einzelner Staat sieht zwangsläufig das ganze Bild.

Das EU-Recht belässt die schärfsten Instrumente bei den Mitgliedstaaten. Nachrichtendienste, Festnahmen und Strafverfolgung fallen unter Artikel 4 Absatz 2 des EU-Vertrags, der die nationale Sicherheit ausdrücklich als alleinige Verantwortung jedes Landes festschreibt. Brüssel kann Plattformen über den Digital Services Act, also die EU-Regeln für Online-Vermittler, unter Druck setzen, Polizeiarbeit über Europol koordinieren und Teile des Strafrechts angleichen. Gegenspionage betreiben oder Sabotagefälle unionsweit verfolgen kann die EU nicht.

Der Demokratie-Schutz-Ausschuss des Europäischen Parlaments hat Russland zuletzt als zentrale Bedrohung benannt und stärkere Instrumente gegen hybride Angriffe, mehr Plattformverantwortung und das Schließen von Kryptowährungslücken gefordert (European Parliament). Das sind politische Empfehlungen. Der Ausschuss kann weder ermitteln noch festnehmen noch Anklage erheben.

Telegram ist dabei ein besonders umkämpfter Hebel. Französische Richter haben den Gründer Pavel Durov erneut wegen des Vorwurfs befragt, der Dienst habe kriminellen Missbrauch begünstigt (Le Figaro). In Großbritannien wandte sich die Medienaufsicht Ofcom an Telegram, nachdem ein verurteilter Brandstifter mutmaßlich Anweisungen von einem russlandnahen Konto auf der Plattform erhalten hatte (Guardian). Telegram verweist darauf, dass Kooperation ordnungsgemäß eingereichte justizielle Ersuchen voraussetze. Genau das zeigt, wie stark die Durchsetzung weiterhin von nationalen Verfahren abhängt.

Die Vot-Tak-Recherche spricht von Millionen sabotagerelevanter Beiträge, die über kurzlebige Konten verbreitet worden seien. Diese Größenordnung beruht auf journalistischer Recherche, nicht auf Gerichtsakten. Wie viele Beiträge tatsächliche Angriffe auslösten, wie viele Betrug waren und wie viele womöglich von Ermittlern beobachtet oder gesetzt wurden, ist nicht öffentlich belegt.

Belegt ist jedoch genug, um das Problem ernst zu nehmen: Die Anwerbung funktioniert, die Zahlungen fließen, die Ziele sind real. Die Angreifer nutzen eine Lücke, die politisch bekannt ist, aber institutionell schwer zu schließen bleibt. Rekrutierung läuft grenzüberschreitend, Durchsetzung national. Wie diese Lücke geschlossen werden soll, ohne jede Plattformdebatte sofort in einen Streit über Massenüberwachung zu verwandeln, müssten sowohl die nationalen Innenminister als auch die DSA-Durchsetzer der Kommission erklären. Eine überzeugende Antwort liegt bisher nicht vor.