Peter R. Neumann hat die neuen Details zum Anschlagsversuch von Leipzig/Halle zusammengetragen. Sie führen weit über eine einzelne Drohne hinaus. Ein mutmaßlicher GRU-Mann, ein „Wegwerfagent“, Sprengstoffrouten über den Balkan, Mobilfunksteuerung und handelsübliche Technik ergeben das Bild einer Operationsform, für die Deutschlands Sicherheitsarchitektur nur bedingt gebaut wurde. Noch gefährlicher wäre es, die Öffentlichkeit weiter mit Vokabeln zu beruhigen, die kleiner klingen als die Lage.
Der Anschlagsversuch von Leipzig/Halle lässt sich inzwischen kaum noch als außergewöhnlicher Drohnenvorfall abheften. Peter R. Neumann, Professor für Security Studies am King’s College London, Senior Associate Fellow beim Royal United Services Institute, Kolumnist des „Tagesspiegel“ und früherer Sonderbeauftragter der OSZE, hat am Wochenende die neuen Erkenntnisse in einem vielbeachteten Beitrag auf X zusammengeführt. Seine Rekonstruktion beginnt bei zwei Verdächtigen und endet bei einer Operationskette, die von Russland über den Balkan bis an einen deutschen Flughafen reicht.
Mit dem Laden des Tweets akzeptieren Sie die Datenschutzerklärung von Twitter.
Mehr erfahren
Neumann nennt den Russen Oleg L. als mutmaßlichen Organisator für Planung und Logistik. Deutsche Behörden sollen Hinweise auf Verbindungen zur GRU gekannt haben, dem russischen Militärgeheimdienst, der heute offiziell als Hauptverwaltung des Generalstabs firmiert, international aber weiter meist unter seinem früheren Kürzel GRU bezeichnet wird. Trotzdem konnte der Mann nach den bisher veröffentlichten Recherchen einreisen, sich in Deutschland bewegen und später über Serbien ausreisen. Inzwischen soll er sich wieder in Russland befinden. Als mutmaßlichen Ausführenden nennt Neumann den Belarussen Andrei K. Die Bundesregierung äußert sich zu Einzelheiten der laufenden Ermittlungen zurückhaltend. Aktuelle Medienberichte stützen jedoch wesentliche Teile dieser Darstellung und rechnen den Anschlagsversuch inzwischen klar dem GRU-Umfeld zu. Das Politische an diesem Fall liegt deshalb weit vor dem Moment, in dem eine Drohne abhob.
Aus einer SIM-Karte wird eine Waffe
Das Fluggerät war offenbar kein russisches Spezialprodukt aus einem geheimen Rüstungslabor. Nach den öffentlich gewordenen Erkenntnissen handelte es sich um einen modifizierten Zehn-Zoll-Racing-Quadcopter. Handelsübliche Teile trafen auf speziell gefertigte Komponenten. Ein 4G-Modul, ein Hotspot und zwei SIM-Karten stellten die Verbindung her. Der Pilot konnte über das Mobilfunknetz auf Kamerabild und Steuerung zugreifen. Das verändert die Rechnung der Drohnenabwehr. Ein klassischer Pilot muss sich in Funkreichweite befinden. Die Leipziger Konstruktion löste diese räumliche Bindung auf. Eine brauchbare Internetverbindung konnte reichen. Der Steuernde konnte damit weit entfernt vom Ziel sitzen.
Die Bundesregierung bezeichnet den Vorfall inzwischen als russischen hybriden Angriff und spricht von einer neuen Gefahrenqualität. Sie verweist auf polizeiliche Ermittlungen, Tatmuster und nachrichtendienstliche Erkenntnisse. Russland weist die Vorwürfe zurück. Der Vorgang zeigt, wie moderne Kriegführung zivile Technik verschluckt und in ein Angriffsmittel verwandelt. Mobilfunknetze verbinden Familien, Unternehmen, Rettungskräfte und Millionen Smartphones. Gleichzeitig können sie den Datenkanal einer Sprengstoffdrohne bilden. Ein Lieferwagen transportiert Waren und kann Sprengstoff über Grenzen tragen. Ein handelsüblicher Quadcopter filmt Landschaften und lässt sich zum Träger einer Bombe umbauen. Der Krieg der Dinge beginnt dort, wo der Zweck eines Gegenstands wechselt.
Leipzig war um einen Zünder von einer Katastrophe entfernt
Das Ziel soll eine ukrainische Antonow mit rund 25.000 Litern Kerosin gewesen sein. Die Drohne landete nach den bisher veröffentlichten Erkenntnissen unmittelbar neben dem Flugzeug und blieb dort mehrere Stunden liegen. Der Zünder versagte. Deutschland verdankte den glimpflichen Ausgang damit womöglich einem technischen Fehler auf Seiten der Täter. Darauf kann kein Sicherheitskonzept bauen. Der nächste Versuch lernt aus dem vorherigen. Hybride Angriffe sind gerade deshalb gefährlich, weil sie testen. Ein Angriff prüft Zutrittsmöglichkeiten, Reaktionszeiten, Sensoren, Befugnisse und öffentliche Reaktionen. Jeder Versuch erzeugt Informationen für den nächsten.
Peter R. Neumann weist auf diese Systemdimension hin. Wer lediglich auf Leipzig blicke, übersehe die Struktur dahinter. Nach den derzeitigen Ermittlungsansätzen könnte der Balkan, besonders Serbien, als Logistik- und Operationsraum gedient haben. Planung, Transport und Ausführung verteilen sich über mehrere Länder. Der eigentliche Angriff entsteht aus ihrer Verbindung.
Der Gegner braucht kein eigenes Territorium in Deutschland
Diese Methode passt zu einer Kriegführung, die Distanz erzeugt. Nachrichtendienste können Menschen für einzelne Operationen rekrutieren, ihnen überschaubare Aufgaben geben und anschließend ihre Verbindung zum Auftraggeber verschleiern. Dafür hat sich der Begriff „Wegwerfagent“ eingebürgert. Der ausführende Täter kann austauschbar sein. Planung, Zielauswahl und Wissen verbleiben beim Auftraggeber.
Die Kosten sinken dadurch erheblich. Der Angreifer muss keinen eigenen Nachrichtendienstoffizier mit Sprengstoff an einen deutschen Flughafen schicken. Er kann Logistik auslagern, handelsübliche Technik einsetzen und die einzelnen Teile einer Operation voneinander trennen.
Für Deutschland steigt die Schwierigkeit. Polizei sieht Kriminalität. Nachrichtendienste sehen ausländische Einflussnahme. Grenzbehörden sehen Reisebewegungen. Telekommunikationsunternehmen sehen Verbindungen. Flughafenbetreiber sehen ein Fluggerät. Erst die Verbindung dieser Informationen ergibt die Operation. Der Angreifer baut diese Verbindung vorher. Der Verteidiger muss sie unter Zeitdruck herstellen.
Die entscheidende Information kann längst vorhanden sein
Der Fall Oleg L. ist deshalb politisch explosiver als die Frage nach dem Drohnenmodell. Sollte sich bestätigen, dass deutschen Stellen seine mutmaßlichen GRU-Verbindungen vor seiner Einreise bekannt waren und daraus keine operative Beobachtung folgte, wäre die entscheidende Schwäche erneut sichtbar: Information und Handlung liegen in verschiedenen Systemen.
Deutschland leidet kaum an Datenarmut. Sicherheitsbehörden speichern Hinweise, Reisebewegungen, Gefährdungseinschätzungen und Erkenntnisse aus Partnerdiensten. Betreiber beobachten ihre Netze. Sensoren liefern technische Signale. Nachrichtendienste sammeln Lageinformationen. Die entscheidende Frage lautet: Was geschieht mit einem Hinweis? Ein gespeicherter GRU-Vermerk schützt keinen Flughafen. Ein Radarbild stoppt keine Drohne. Eine Warnung verhindert keine Sabotage, falls aus ihr keine Handlung folgt.
Genau diese Verbindung untersucht die Studie „Gesamtstaatliches Sicherheitsökosystem 2030“. Ihr zentraler Befund lautet: Fähigkeiten sind vorhanden, ihre Verkettung bricht an Übergängen. Erkennen, Bewerten, Entscheiden und Handeln laufen in verschiedenen Organisationen mit verschiedenen Geschwindigkeiten. Leipzig übersetzt diese abstrakte Diagnose in Sprengstoff.
Der Gegner führt eine Operation, Deutschland bearbeitet Vorgänge
Hier beginnt das strategische Problem. Russland kann Cyberangriff, Desinformation, Sabotage, Agententätigkeit, Logistik und Drohnentechnik als Teile einer Operation behandeln. Die deutsche Verwaltungsordnung verteilt diese Teile auf Institutionen. Das ist in Friedenszeiten vernünftig. Rechtsstaatliche Gewalt braucht Zuständigkeiten, Grenzen und Kontrolle. Eine hybride Operation nutzt allerdings genau die Übergänge zwischen diesen Zuständigkeiten.
Eine Drohne kennt keine Ressortgrenze. Ein Schadcode respektiert keine föderale Kompetenzordnung. Ein russischer Agent wartet kaum auf eine Abstimmung zwischen Bund und Land. Die deutsche Debatte kreist trotzdem häufig um die Frage, wer zuständig ist. Für den Ernstfall reicht diese Kategorie nicht. Verantwortung beginnt dort, wo mehrere zuständige Stellen gleichzeitig richtig handeln können und das Gesamtergebnis trotzdem zu spät kommt.
Im Berliner GSÖ-Arbeitsprozess wurde dieser Konflikt präzise herausgearbeitet. Lageinformationen sollen von unten entstehen und nur so weit verdichtet werden, bis eine Entscheidung möglich ist. Danach müssen die relevanten Informationen wieder dorthin gelangen, wo jemand tatsächlich handelt. Die örtliche Ebene braucht Mittel und Entscheidungsraum; die übergeordnete Ebene gibt Orientierung und Prioritäten. Das ist keine Organisationsästhetik. Dreißig Sekunden Flugzeit können darüber entscheiden, ob dieses System funktioniert.
Die Öffentlichkeit braucht die Wahrheit über die Lage
Ein zweites Defizit liegt in der Kommunikation. Deutschland hat jahrzehntelang gelernt, Sicherheitspolitik möglichst weit vom Alltag der Bürger fernzuhalten. Hybride Kriegführung macht diese Trennung unmöglich. Sie greift Stromnetze, Verwaltungen, Verkehr, Telekommunikation und Vertrauen an. Damit trifft sie Bereiche, in denen Millionen Menschen leben und arbeiten.
Die Bundesregierung spricht inzwischen deutlich. Sie weist Russland die Verantwortung für Leipzig zu. Das Bundesinnenministerium hat die Bedrohungslage von „abstrakt“ auf „hoch“ angehoben. Anschläge seien jederzeit möglich. Gleichzeitig heißt es, für Bürger bestehe derzeit keine konkrete Bedrohung.
Diese beiden Aussagen können sicherheitsbehördlich gleichzeitig richtig sein. Politisch besitzen sie eine heikle Wirkung. Der erste Satz alarmiert, der zweite beruhigt. Beim Bürger bleibt leicht die Botschaft hängen: Die Sache ist ernst, betrifft mich aber nicht. Genau dieses Denken passt nicht mehr zur Lage.
Ein Angriff auf ein Umspannwerk betrifft Haushalte. Ein Cyberangriff auf eine Verwaltung betrifft Bürger und Unternehmen. Ein Anschlag auf einen Flughafen trifft Logistik und Verkehr. Eine Desinformationskampagne zielt direkt auf Wahrnehmung und Vertrauen. Die Bevölkerung steht längst im Operationsraum.
Sedierung produziert keine Widerstandskraft
In der Berliner Diskussion zur Studie fiel dazu ein Satz, der weit über Kommunikationspolitik hinausreicht: Wissen über Desinformation, Manipulationsmuster und Sicherheitsrisiken sei vorhanden, werde der Bevölkerung jedoch oft aus Sorge vor Verunsicherung nur unzureichend vermittelt. Diese Vorsicht kann selbst zum Risiko werden. Eine Demokratie schützt ihre Bürger nicht, indem sie ihnen die Härte einer Lage sprachlich abpolstert. Sie schützt sie durch Information, Vorbereitung und Vertrauen.
Die politische Führung sollte deshalb drei Dinge sauber trennen: gesicherte Erkenntnisse, offene Fragen und daraus folgende Maßnahmen. Wer etwas weiß, muss es sagen. Wer etwas noch nicht weiß, sollte auch das sagen. Wer handelt, sollte erklären, mit welchem Ziel. Diese Form der Kommunikation behandelt Bürger als Erwachsene. Sie erschwert zugleich gegnerische Desinformation. Das Vakuum zwischen einem Vorfall und seiner verständlichen Erklärung wird sonst sofort von Gerüchten, Spekulation und gezielter Manipulation gefüllt. Hybride Kriegführung kämpft um dieses Vakuum.
Berlin hat gezeigt, wie gefährlich frühe Beruhigung wird
Der Cyberangriff auf die Berliner Verwaltung liefert dafür ein zweites Beispiel. Hacker bewegten sich mehrere Tage in Teilen des Landesnetzes. Später tauchten rund 1,44 Millionen Dateien mit einem Volumen von etwa 5,8 Terabyte im Darknet auf. In der Aufarbeitung wurde intensiv darüber diskutiert, wie unterschiedlich technische und politische Ebenen die Lage zunächst bewerteten. Während Fachleute eine hohe Gefährdung sahen, standen öffentlich auch beruhigende Einschätzungen im Raum. Die Tragweite des abgeflossenen Materials war zu diesem Zeitpunkt noch gar nicht vollständig bekannt. Dort beginnt die kommunikative Falle. Aus „Wir kennen derzeit keine sensiblen Daten“ wird beim Empfänger schnell „Es sind keine sensiblen Daten betroffen“. Zwischen beiden Sätzen liegt eine Welt.
Fehlendes Wissen darf nie als Entwarnung verkauft werden. Bei Cyberangriffen kann der Schaden zudem später entstehen. Gestohlene Informationen lassen sich kombinieren, für Phishing nutzen, zur Vorbereitung weiterer Angriffe auswerten oder Jahre später einsetzen. Der Zeitpunkt des Datendiebstahls und der Zeitpunkt seiner größten Wirkung können weit auseinanderliegen. Wer früh beruhigt, geht damit eine Wette auf eine Zukunft ein, die er noch nicht kennt.
Bevölkerungsschutz beginnt mit geistiger Vorbereitung
Aus dieser Lage folgt kein Aufruf zu permanenter Alarmstimmung. Eine Gesellschaft, die jeden Tag im Ausnahmezustand lebt, erschöpft sich selbst. Entscheidend ist etwas anderes: Menschen müssen wissen, in welcher Sicherheitslage sie leben und was ihre Rolle darin ist. Finnland und Schweden behandeln diese Frage seit Jahren praktisch. Rollen, Vorsorge und Verhalten im Krisenfall werden erklärt und geübt. Die Bevölkerung weiß eher, was von ihr erwartet wird.
In Deutschland löst bereits die klare Benennung solcher Aufgaben schnell den Verdacht der Panikmache aus. Das Ergebnis ist eine merkwürdige politische Arbeitsteilung: Experten diskutieren über Gesamtverteidigung, hybride Operationen und kritische Infrastruktur, während Bürger mit möglichst beruhigenden Formeln angesprochen werden. Diese Trennung ist überholt. Wer weiß, weshalb Wasser, Radio, Medikamente und Stromreserve wichtig sind, reagiert im Ausfall anders. Wer Desinformationsmuster kennt, prüft eine dramatische Nachricht eher. Wer weiß, welche Behörde im Krisenfall informiert, sucht weniger lange nach Orientierung. Vorbereitung verändert Verhalten.
Leipzig verlangt eine neue Sprache
Der Begriff „hybride Bedrohung“ hatte lange den Klang eines Fachworts aus sicherheitspolitischen Konferenzen. Leipzig hat ihm Sprengstoff gegeben. Deutschland befindet sich rechtlich nicht automatisch im Verteidigungsfall, sobald ein russischer Geheimdienst einen Sabotageakt organisiert. Strategisch wird die Bundesrepublik jedoch seit Jahren mit Mitteln angegriffen, deren Zweck über gewöhnliche Kriminalität hinausreicht. Die Bundesregierung selbst spricht inzwischen von verdeckten Angriffen und weist Russland die Verantwortung für Leipzig eindeutig zu.
Der Streit über das Wort „Krieg“ darf die Sache daher kaum verdecken. Entscheidend ist die Operationslogik: Ein fremder Staat versucht nach Bewertung der Bundesregierung, auf deutschem Boden Schaden zu erzeugen, Infrastruktur zu treffen und gesellschaftliches Vertrauen zu schwächen. Dafür braucht Deutschland eine Sprache, die den Bürgern die Lage erklärt und ihnen zugleich zeigt, was der Staat tut. „Alles unter Kontrolle“ wäre dafür die falsche Formel. „Wir wissen, womit wir es zu tun haben, und bereiten uns darauf vor“ wäre glaubwürdiger.
Peter R. Neumanns Warnung reicht über Leipzig hinaus
Der Wert von Neumanns Analyse liegt in der Zusammenschau. Er beschreibt keine exotische Einzeloperation. Er zeigt eine Infrastruktur des Angriffs: mutmaßliche Geheimdienststeuerung, grenzüberschreitende Logistik, austauschbare Helfer, frei verfügbare Technik und zivile Kommunikationsnetze. Jedes Element wirkt für sich banal. Ihre Verbindung macht sie gefährlich.
Genau darin liegt die sicherheitspolitische Aufgabe der kommenden Jahre. Deutschland muss ebenfalls verbinden: Nachrichtendienste mit Polizei, Betreiber mit Lagezentren, Cyberabwehr mit physischem Schutz, zivile Stellen mit Bundeswehr, Erkenntnisse mit Entscheidungen und Entscheidungen mit operativer Wirkung.
Peter R. Neumann schließt seine Analyse mit dem Hinweis, wer nur auf Leipzig schaue, übersehe das System. Deutschland sollte diesen Satz ernst nehmen. Der nächste Angriff wird kaum aussehen wie der letzte. Das Muster dahinter ist bereits sichtbar.
