Europas neue hybride Bedrohung: Wenn russische Geheimdienste auf kriminelle Netzwerke setzen

Die Ermittler prüfen, ob der Angriff von russischen Geheimdiensten in Auftrag gegeben und über Mittelsmänner der türkischen kriminellen Organisation namens Daltons ausgeführt wurde. Die Vorwürfe sind Gegenstand laufender Ermittlungen, und das Oberlandesgericht Stuttgart muss über die Auslieferung der beiden Männer nach Polen entscheiden.

Der Fall führt zu einer schwierigen Frage für europäische Regierungen. Wenn ausländische Geheimdienste kriminelle Organisationen anwerben können, um strategische Infrastruktur anzugreifen, wird die Unterscheidung zwischen Spionageabwehr und konventioneller Strafverfolgung zunehmend schwieriger aufrechtzuerhalten.

Von disponiblen Rekruten zu professionellen Mittelsmännern

Seit mehreren Jahren warnen europäische Behörden vor Sabotageoperationen, an denen niedrigrangige, online angeworbene Operative beteiligt sind, die relativ einfache Aufgaben ausführen, darunter Brandstiftung und Vandalismus. Solche Arrangements bieten einem Geheimdienst eine billige, abstreitbare Möglichkeit, Störungen zu verursachen. Rekruten haben möglicherweise wenig Verständnis für die größere Operation, während die Personen, die sie anleiten, von der physischen Tat entfernt bleiben.

Die mutmaßliche Beteiligung der Daltons würde einen raffinierteren Ansatz darstellen.

Das türkische kriminelle Netzwerk ist in der Türkei, in Deutschland und in anderen europäischen Ländern aktiv. Es wurde mit Erpressung, Drogenhandel, Waffenhandel und Auftragsmorden in Verbindung gebracht. Wenn seine Mitglieder an dem Angriff in Polen beteiligt waren, würden sie eine bestehende kriminelle Infrastruktur in eine mögliche staatlich geförderte Operation einbringen: Kontakte über Jurisdiktionen hinweg, Erfahrung in clandestiner Aktivität und eine Fähigkeit zur Einschüchterung, die einer improvisierten Gruppe von Online-Rekruten fehlen könnte.

Diese Unterscheidung ist wichtig. Eine Person, die für einen einzelnen Akt der Brandstiftung angeworben wird, kann relativ leicht ersetzt werden, aber eine kriminelle Organisation bietet Beziehungen und operative Fähigkeiten, die bereits bestehen. Sie kann möglicherweise Personal identifizieren, Bewegungen arrangieren und Geheimhaltung wahren, ohne für jede Aufgabe ein neues Netzwerk aufbauen zu müssen.

Der strategische Vorteil für einen staatlichen Sponsor ist plausible Abstreitbarkeit. Ermittler, die auf einen kriminellen Mittelsmann stoßen, müssen nicht nur feststellen, wer einen Angriff ausgeführt hat, sondern auch, ob die Operation von einem ausländischen Geheimdienst in Auftrag gegeben, erleichtert oder geleitet wurde. Je mehr Ebenen zwischen dem Sponsor und den Tätern liegen, desto schwieriger kann es sein, diese Verantwortungskette zu beweisen.

Doch dieselbe Anordnung schafft Abhängigkeiten. Kriminelle Gruppen haben ihre eigenen kommerziellen Interessen, Rivalitäten und internen Machtstrukturen. Ihre Beteiligung allein belegt nicht, dass eine ausländische Regierung sie kontrolliert. Die zentrale ermittlerische Herausforderung besteht darin, eine echte Geheimdienstbeziehung von krimineller Aktivität zu unterscheiden, die zufällig den Interessen eines Staates dient.

In Wola Krobowska steht diese Unterscheidung im Mittelpunkt des Falls.

Die russische Verbindung bleibt das entscheidende Glied

Der polnische Koordinator für Sonderdienste, Tomasz Semoniak, hat erklärt, Warschau zweifle nicht daran, dass der russische Geheimdienst die Sabotage orchestriert habe. Investigative Berichterstattung des Spiegel, gestützt auf multinationale Recherchen und unabhängige Sicherheitsquellen, hat die türkischen Verdächtigen mit den Daltons in Verbindung gebracht und die Möglichkeit aufgeworfen, dass die Gruppe einen Auftrag vom russischen Geheimdienst erhalten habe.

Ein Element, das die Aufmerksamkeit der Sicherheitsbehörden auf sich zieht, ist die berichtete Behandlung des mutmaßlichen Anführers des Syndikats, Beratcan Gökdemir.

Gökdemir wurde 2024 in Russland festgenommen. Den in der Untersuchung dargelegten Vorwürfen zufolge lieferte Moskau ihn trotz eines Ersuchens Ankaras nicht in die Türkei aus, sondern gewährte ihm Schutz und Sicherheit unter Umständen, die Fragen nach einer möglichen Zusammenarbeit mit dem russischen Geheimdienst aufgeworfen haben.

Die Episode, falls die mutmaßliche Beziehung belegt werden kann, bietet eine mögliche Erklärung dafür, wie ein Staat kriminelle Mittelsmänner kultivieren könnte, ohne sie formell in seinen Geheimdienstapparat einzugliedern. Schutz vor Strafverfolgung oder Auslieferung könnte Druckmittel gegenüber einem Netzwerk bieten, dessen Mitglieder ansonsten außerhalb konventioneller staatlicher Strukturen operieren.

Doch die Unterscheidung zwischen Indizien und Beweis ist wesentlich. Moskaus mutmaßlicher Schutz eines kriminellen Anführers belegt nicht, dass die Daltons den Befehl hatten, die polnische Anlage anzugreifen. Ebenso wenig beweist eine vermutete Verbindung zwischen den festgenommenen Männern und der Gruppe unabhängig eine russische Lenkung.

Die Ermittler müssen die operative Kette feststellen: Wer hat den Angriff in Auftrag gegeben, wer hat seine Ausführung arrangiert, welche Anweisungen wurden an die Täter weitergegeben, und welche Beweise verbinden diese Entscheidungen mit einem staatlichen Geheimdienst.

Dieser Prozess dürfte komplizierter sein als die Identifizierung der Personen, die physisch ein Feuer gelegt haben. Er erklärt auch, warum der Fall über das Schicksal von drei Verdächtigen hinaus von Bedeutung ist. Die Untersuchung könnte dazu beitragen, festzustellen, ob organisierte Kriminalität zu einem systematischeren Instrument ausländischer Staatstätigkeit in Europa wird.

Warum eine Satelliten-Bodenstation wichtig ist

Das Ziel war keine gewöhnliche Telekommunikationsanlage.

Die Anlage in Wola Krobowska, betrieben vom polnischen Staatsunternehmen Exatel, beherbergt Stromverteilungsausrüstung und einen Generator, der eine bodengestützte Starlink-Satellitennetzwerkstation versorgt. Sie fungiert als regionaler Daten-Routing-Hub, der Konnektivität in Mittel- und Osteuropa unterstützt, einschließlich ziviler Dienste und militärischer Koordination in der Ukraine.

Das Feuer am 23. September beschädigte die elektrische Verteilungsausrüstung und den Generator. Es verursachte keine weitverbreiteten Internetausfälle, was seine unmittelbar sichtbaren Auswirkungen begrenzte.

Dieser relative Mangel an Störung sollte die strategische Bedeutung des Ziels nicht verschleiern. Das ukrainische Militär ist stark auf Starlink-Terminals für taktische Kommunikation und Verteidigungskoordination angewiesen. Bodeninfrastruktur außerhalb des ukrainischen Territoriums ist Teil des weiteren Kommunikationsumfelds, von dem diese Konnektivität abhängt.

Eine Anlage muss nicht vollständig zerstört werden, um ein nützliches Ziel zu sein. Schäden an unterstützenden Systemen können operative Schwachstellen schaffen, Reparaturen erforderlich machen und Betreiber dazu zwingen, zu überdenken, wie zuverlässig wesentliche Dienste während einer größeren Krise aufrechterhalten werden können. Ob der Angriff in Wola Krobowska einen bestimmten militärischen Effekt erzielen sollte, bleibt eine Frage für die Ermittler, aber die Wahl der Infrastruktur wirft Bedenken auf, die über Polen hinausreichen.

Die Anlage veranschaulicht auch die Schwierigkeit, Netzwerke zu schützen, die nationale Grenzen überschreiten. Eine physische Installation auf polnischem Territorium kann Kommunikation unterstützen, die Folgen für die Verteidigung eines anderen Landes hat. Ihr Schutz ist daher nicht einfach eine Frage der Sicherung eines inländischen Versorgungsstandorts; er ist Teil der Resilienz eines regionalen Infrastrukturnetzes.

Eine ähnliche Starlink-Bodenstation bei Kaunas in Litauen leitet ebenfalls lebenswichtige Daten durch Osteuropa. Die Existenz mehrerer strategisch relevanter Standorte macht das Sicherheitsproblem breiter als den Schutz einer einzelnen Anlage.

Für Betreiber besteht die Herausforderung darin, Bedrohungen zu berücksichtigen, die mit Überwachung beginnen, über physische Sabotage verlaufen und Schwachstellen in Ausrüstung oder Standortsicherheit ausnutzen können. Für Regierungen besteht sie darin, zu bestimmen, wann ein Angriff auf zivile Infrastruktur zu einer Frage der regionalen Verteidigung wird.

Die übersehene Phase vor dem Feuer

Die Festnahme des dritten Verdächtigen könnte sich als wichtig erweisen, weil sie auf eine mögliche Vorbereitungsphase hindeutet.

Die polnische ABW gab am 16. Oktober bekannt, dass sie eine Person festgenommen habe, die polnische Medien als ukrainischen Staatsbürger identifizierten. Der Verdächtige soll vor dem Brandanschlag Aufklärung betrieben und die Sicherheitssysteme der Anlage gefilmt haben.

Die verfügbaren Informationen belegen nicht genau, was gefilmt wurde, wie das Material verwendet wurde oder ob es an die beiden türkischen Verdächtigen oder einen anderen Mittelsmann weitergegeben wurde. Diese Details sollten nicht angenommen werden.

Dennoch wirft der Vorwurf eine zentrale operative Frage auf: ob der Angriff eine Arbeitsteilung zwischen Personen beinhaltete, die für die Informationssammlung verantwortlich waren, und solchen, die mit der Ausführung beauftragt waren. Wenn bestätigt, würde diese Anordnung auf eine strukturiertere Operation hindeuten als auf einen isolierten Akt des Vandalismus.

Aufklärung kann helfen, Zugangspunkte, Sicherheitsvorkehrungen und potenzielle Hindernisse zu identifizieren. Ihre Trennung vom physischen Angriff kann auch die Informationsmenge reduzieren, die ein einzelner Teilnehmer über die größere Operation besitzt. Solche Kompartimentierung ist in clandestiner Aktivität bekannt, obwohl ihr Vorliegen in diesem Fall noch nicht im Detail nachgewiesen ist.

Die Untersuchung muss nun feststellen, ob die mutmaßliche Überwachung Teil eines koordinierten Plans war und ob die Teilnehmer Verbindungen über ihre unmittelbaren Rollen hinaus hatten.

Für europäische Sicherheitsdienste wird hier die Grenze zwischen Ermittlungen zur organisierten Kriminalität und Spionageabwehr besonders durchlässig. Eine Person, die Sicherheitsausrüstung filmt, mag isoliert betrachtet nicht erkennen lassen, ob ein Standort für kriminelle Zwecke, zur nachrichtendienstlichen Sammlung oder zur Sabotage bewertet wird. Der Kontext ergibt sich aus Beziehungen, Kommunikation, Bewegungen und finanziellen Arrangements, die mehrere Länder umfassen können.

Ein europäisches Problem, das eine andere Antwort erfordert

Der Fall testet auch den praktischen Wert der europäischen justiziellen Zusammenarbeit. Die beiden türkischen Staatsangehörigen wurden in Deutschland festgenommen, nachdem polnische Staatsanwälte Anklage erhoben und über europäische Rechtsmechanismen Unterstützung ersucht hatten. Ihre Auslieferung bleibt Gegenstand einer gerichtlichen Entscheidung in Stuttgart.

Die Staatsangehörigkeit der Verdächtigen, der Ort ihrer Festnahme und das mutmaßliche Ziel in Polen veranschaulichen die multinationale Natur der Untersuchung. Beweise müssen möglicherweise eine Aktivitätskette über mehrere Jurisdiktionen hinweg belegen, während die Behörden die strafbaren Handlungen, die sie beweisen können, von den Geheimdienstbeziehungen, die sie vermuten, unterscheiden müssen.

Für Sicherheitsbehörden sind die institutionellen Auswirkungen erheblich. Traditionelle Spionageabwehrmittlungen zielen darauf ab, ausländische Geheimdienstoffiziere, clandestine Netzwerke und Verbindungen zu staatlichen Institutionen zu identifizieren. Ermittlungen zur organisierten Kriminalität konzentrieren sich hingegen auf kriminelle Hierarchien, illegale Märkte und die Beziehungen, die sie aufrechterhalten. Eine mutmaßliche Proxy-Operation erfordert, dass beide Perspektiven auf dasselbe Netzwerk angewendet werden.

Europäische Regierungen haben bereits vor einem breiteren Muster mutmaßlicher russischer hybrider Aktivitäten gewarnt, an denen Verkehrsinfrastruktur, Logistikzentren und Verteidigungsfertigung beteiligt sind. Berichte über Manipulationen an Eisenbahnsignalen in Tschechien und Brandanschlagsversuche auf europäische verteidigungsbezogene Einrichtungen sind Teil des breiteren Sicherheitskontexts, in den polnische Beamte den Angriff in Wola Krobowska eingeordnet haben.

Die Schwierigkeit besteht darin, dass eine kriminelle Gruppe der Polizei jahrelang sichtbar sein kann, ohne dass ihre Aktivitäten eine geopolitische Dimension zu haben scheinen. Umgekehrt kann eine mutmaßliche Geheimdienstoperation wie eine gewöhnliche Straftat aussehen, bis Ermittler sie mit einer größeren Aktivitätskette verbinden. Weder konventionelle Strafverfolgung noch Spionageabwehr können jeden solchen Fall isoliert zuverlässig lösen.

Die potenzielle Konvergenz dieser Fähigkeiten macht Informationsaustausch, koordinierte Ermittlungen und den Schutz kritischer Infrastruktur zunehmend voneinander abhängig. Sie wirft auch eine Frage der Verhältnismäßigkeit auf: Behörden müssen ihre Fähigkeit stärken, staatlich unterstützte kriminelle Stellvertreter zu erkennen, ohne jede transnationale Bande oder verdächtige Handlung als Beweis für eine Beteiligung ausländischer Geheimdienste zu behandeln.

Für Russland würde das mutmaßliche Modell eine Möglichkeit bieten, europäischen Staaten Kosten aufzuerlegen und gleichzeitig die direkte Verbindung zum Kreml schwer nachweisbar zu halten. Für kriminelle Netzwerke könnte eine Beziehung zu einem staatlichen Sponsor Schutz oder lukrative Aufträge bieten, obwohl sie sie auch einer internationalen Überprüfung aussetzen könnte, die sie sonst vermeiden würden.

Für Europa wäre der folgenreichere Wandel die Erosion der Grenze zwischen innerstaatlicher Kriminalität und externen Sicherheitsbedrohungen. Wenn professionelle kriminelle Netzwerke angeworben werden können, um Infrastruktur anzugreifen, die die Ukraine unterstützt, wird die nächste Herausforderung nicht darauf beschränkt sein, die Täter nach einem Angriff zu identifizieren.