Update Hybride Bedrohungen (8)

Datum: 29.05. – 03.06.2026

Das Wichtigste in Kürze

Besonders betroffen in Deutschland: Flugverkehr & Flughäfen / Bundeswehr / kritische Infrastruktur / jüdische & israelische Einrichtungen / kritische Diskurse / Terrorakte gegen Schulen, Eigentum, Individuen

Häufigste Formen: Drohnen / Desinformation & Einflussnahme / Sabotage & Terrorakte / Cyberspionage

Bedrohungslage: mittel bis hoch, europaweite anhaltend hohe Anzahl erkannter hybrider Angriffe über alle Domänen hinweg; insb. iranische Aktivitäten (gegen US- und jüdische/israelische Einrichtungen) zunehmend aggressiv; auch innerhalb von hybriden Angreifern nimmt eine „Hybridisierung“ zu (= einzelne Gruppen führen vermehrt Aktionen in verschiedenen Domänen wie Cyber, Desinformation und physischen Anschlägen durch)

Geografischer Fokus: Deutschland / Rumänien / Baltikum / globaler Informationsraum / Iran

Kontext: Russischer Angriffskrieg / Iran

Einzelmeldungen

Fokus: Sabotage:

Bundeswehr bestätigt erneute Sabotage gegen ein Schiff der Marine: Erneut (dritter öffentlich bekannt gewordener Vorfall im letzten Jahr) wurde eine Fregatte der Bundes-Marine in der Werft sabotiert.^{^[1]} Offenbar wurden Tankleitungen an Board des Schiffes gezielt durchtrennt, Hintergründe und Täter werden immer noch ermittelt.

Fokus: Drohnen:

Im rumänischen Galata (unweit der Grenze zur Ukraine) stützte eine offenbar russische Drohne in ein Wohnhaus. Es kam zu verletzten. Die rumänische Regierung macht offiziell Russland dafür verantwortlich (anders als bei den verirrten ukrainischen Drohnen im Baltikum). Untersuchungen und vergleich mit anderen in den vergangenen Jahren in Rumänien abgestürzten Drohnen haben ergeben, dass es sich um russische Geran 2-Drohnen handle.^[2]
Am 30.5. wurde der Luftraum des Flughafens in München für über eine Stunde gesperrt nachdem Piloten eine Drohnensichtung Die mutmaßliche Drohne wurde weder erkannt, noch abgeschossen, noch Täter ermittelt.^[3]

Fokus Desinformation / Einflussmaßnahmen / Wahlbeeinflussung:

Während immer neue Informationen über die Aktivitäten der „Social Design Agency“ (PR-Firma in Moskau, die vom Kreml mit Einfluss-Kampagnen in den USA, Deutschland, Frankreich und anderen europäischen Ländern beauftragt ist) bekannt werden, hat die britische Regierung mittlerweile 49 Mitarbeiter der Firma sanktioniert und öffentlich bekanntgegeben.^[4]
Unterdessen machte eine neue Aktion, die der SDA zugerechnet wird, in den USA Schlagzeilen: Offenbar gelang es der Firma, hunderte Accounts von bekannten Journalisten und anderen öffentlichen Stimmen auf „Bluesky“ zu hacken und in deren Namen anti-ukrainische und pro-russische Nachrichten zu veröffentlichen. Die vermutete Dunkelziffer der übernommen („hijacking“) Accounts liegt dabei weitaus höher.^[5]
In Island warnt die Außenministerin vor ausländischer (FIMI) und inländischer unlauterer Einflussnahme mittels Desinformation und Deepfakes auf das anstehende Referendum über einen EU-Beitritt dieses Jahr. Sie fürchte einen „Brexit-Moment“.^[6]
In Armenien werden massive russische Einflussaktivitäten über das komplette hybride Spektrum hinweg gemeldet. Ziel: Eine Annährung des Landes an EU und NATO bei der anstehenden Wahl zu verhindern; dazu werden insbesondere führende pro-europäische Politiker diskreditiert.^[7]

Fokus: Sabotage / Wegwerf-Agenten / Anschläge:

Forscher und Medien berichten über das Aufkommen gewaltbereiter Jugendgruppen („nihilistische Extremisten“), die sich über Social Media (insb. Telegram-Kanäle) organisieren und Bilder von Gewalttaten (Brandstiftung, Messerangriffe) posten. Der ukrainische Geheimdienst ermittelt dabei offenbar schon länger über mutmaßliche Versuche des russischen Geheimdienstes, unter diesen gewaltbereiten Gruppen Jugendliche für Terror-Anschläge als Wegwerf-Agenten zu rekrutieren. Auch in Deutschland verhaftete Teilnehmer solcher Gruppen standen im Austausch mit denselben Gruppen und ihren Administratoren, gegen die die ukrainischen Sicherheitsbehörden ermitteln: „Für einen Brandanschlag auf ein Auto erhalte man angeblich 3000 Dollar, heißt es in der Chatgruppe. »Um das Geld zu bekommen, musst du unseren Gruppennamen auf einen Zettel schreiben und ihn ins Bild halten und dann das Auto in Brand setzen«, heißt es etwa.“^[8]

Fokus: Cyberangriffe

Recherchen aus der Ukraine zeigen, wie russische und ukrainische Geheimdienste Dating-Plattformen (insb. Tinder) nutzen, um Militärangehörige anzubahnen, auszuspionieren und zu rekrutieren. Der Spionageabwehrdienst der Bundeswehr (MAD) bestätigt, dass auch Politiker und BW-Angehörige schon so aufgeklärt werden sollten. Das ukrainische Verteidigungsministerium veröffentliche ausführliche Analysen über das Vorgehen russischer Dienste: Diese würden insb. fake-Profile von Frauen und Mitarbeitern von Strafverfolgungsbehörden kreiieren, dann Kontakt aufnehmen, Daten und Informationen sammeln und zu Erpressung oder Anwerbung übergehen. Ukrainische Stellen hingegen benutzten Dating-Profile, um russische Stellungen nahe der Front zu lokalisieren und Informationen von dort stationierten Soldaten zu erlangen.^[9]
In Litauen kam es offenbar zu einem massiven Cyberangriff samt Datenabfluss. Insgesamt 600.000 Datensätze aus staatlichen Registern (insb. Immobilien und juristische Personen) wurden erbeutet. Die litauische Regierung spricht von einem mutmaßlich staatlichen Angreifer (Vermutung: Russland).^[10]

Fokus: (Mord)Anschläge:

Die Welt berichtet über die Auswertung insb. US-amerikanischer Ermittlungsakten über ein Netzwerk der iranischen Revolutionsgarden für Anschläge gegen US- und jüdische Einrichtungen in Europa.^[11] Im Zentrum dabei ein irakischer Milizenfunktionär, dem die US-Justiz vorwirft, mindestens 18 Anschläge und Anschlagsversuche koordiniert zu haben. Dabei sollen sie auf insbesondere auf bestehende kriminelle Netzwerke zugreifen und diese für „Teilleistungen“ (Waffen, Logistik, Schmuggel, Geld , Rekrutierung etc.) bezahlen während Anschläge aus der Ferne überwacht werden.

Fokus Ausweitung Hybride Bedrohungen:

Forscher der Insekt Group zeigen, wie der iranische Geheimdienst (MOIS) seine „Handala“-Gruppe während des aktuellen Konflikts ausbaut und eskaliert: War die Gruppe zunächst vor allem für Cyberangriffe bekannt, gehören nun auch physische Aktionen (Sabotage und Anschläge) sowie Informationsoperationen zu ihrem Repertoire. Ähnlich wie bei russischen Gruppen (vgl. SDA) zeigt dies eine Ausweitung und „Hybridisierung“ einzelner Bedrohungsakteure und Gruppen, die immer mehr über verschiedene Dimensionen und Domänen hinweg agieren.^[12]

^[1] https://correctiv.org/hybride-kriegsfuehrung/2026/05/29/kriegsschiff-beschaedigt-erneut-sabotageverdacht-bei-der-marine/.

^[2] https://www.spiegel.de/ausland/rumaenien-drohne-bei-einschlag-in-haus-in-galati-kam-zweifelsfrei-aus-russland-a-f632fea9-b5b9-401f-8db4-f01815bfa8b9.

^[3] https://www.tagesschau.de/inland/flughafen-muenchen-drohnen-100.html.

^[4] https://www.gov.uk/government/news/uk-targets-hostile-and-heinous-russian-activity-with-latest-sanctions.

^[5] https://www.france24.com/en/live-news/20260529-bluesky-accounts-hijacked-in-pro-russia-propaganda-campaign.

^[6] https://www.theguardian.com/world/2026/may/27/iceland-foreign-minister-thorgerthur-katrin-gunnarsdottir-brexit-moment-eu-accession-referendum.

^[7] https://euvsdisinfo.eu/russias-election-interference-playbook-targets-armenia/.

^[8] https://www.spiegel.de/netzwelt/web/white-tiger-droht-aus-der-szene-eine-neue-terrorgefahr-a-2a91696d-9746-40c1-8c30-a189f1fa7c01#ref=rss.

^[9] https://euvsdisinfo.eu/tough-love-spies-dating-apps-and-the-dark-side-of-online-intimacy/.

^[10] https://www.heise.de/news/Massiver-Datendiebstahl-in-Litauen-11309035.html?wt_mc=nl.red.ho.ho-nl-daily.2026-05-29.ansprache.ansprache.

^[11] https://www.welt.de/politik/deutschland/plus6a181ac8fd07de8bd15e97a9/fbi-akte-wie-der-iran-eine-terrorzelle-in-europa-steuerte.html.

^[12] https://assets.recordedfuture.com/insikt-report-pdfs/2026/TA-IR-2026-0602.pdf.