Oleg Levushkin und der GRU: Wie ein gescheiterter Drohnenanschlag in Leipzig Russlands europäisches Sabotagenetzwerk entlarvte

Dieser mechanische Fehler hat möglicherweise eine große Katastrophe verhindert. Er hinterließ den deutschen Ermittlern zugleich etwas, das Moskau lieber unsichtbar gelassen hätte: die Hardware, DNA, Telemetrie und weitere Spuren einer Sabotagekette, die sich über mehrere europäische Länder erstreckt.

Ein ziviler Flughafen wurde zum militärischen Ziel

Leipzig/Halle ist nicht einfach ein weiterer europäischer Flughafen. Er ist ein wichtiger Logistikstandort für die Strategic Airlift International Solution, kurz SALIS, die ukrainische Antonow An-124 einsetzt, um NATO- und EU-Streitkräfte mit Schwerlasttransporten zu versorgen. Seit 2022 ist der Flughafen zudem ein wichtiger Stützpunkt für den Transport von militärischem und humanitärem Material im Zusammenhang mit der Ukraine.

Das macht die Wahl des Ziels bedeutsam.

Die Operation war auf die Verwundbarkeiten einer Doppelnutzungsanlage ausgelegt: ein ziviles Luftfrachtumfeld, das Funktionen mit unmittelbarer militärischer Relevanz erfüllt. Das Flugzeug stand geparkt und wurde betankt, als sich die Drohne näherte. Eine erfolgreiche Detonation hätte den Treibstoff entzünden, die An-124 zerstören und möglicherweise Bodenpersonal töten können, während sie an einem kritischen europäischen Logistikknotenpunkt erheblichen Schaden angerichtet hätte.

Die Waffe selbst war auffallend primitiv. Die Drohne war ein Quadrocopter, der eine modifizierte Blechdose mit Semtex trug. Doch die Kombination aus billiger kommerzieller Technologie, militärischem Sprengstoff und Zugang zu einem wichtigen Logistikstandort schuf eine unverhältnismäßig große Bedrohung.

Dies ist die zentrale Veränderung im Sicherheitsumfeld Europas. Das Ziel muss nicht mehr im herkömmlichen Sinne eine Militärbasis sein. Ein Flughafen, ein Paketlager oder ein Transportdepot können zum Operationsgebiet werden, wenn ihre kommerzielle Infrastruktur den Transport militärischer Lieferungen unterstützt.

Die Einwegschicht des GRU

Die Menschen hinter der Operation sind ebenso wichtig wie das Gerät.

Oleg Levushkin, ein russischer Staatsangehöriger, reiste Ende Juli 2026 über die Türkei nach Deutschland ein, mietete am Flughafen Berlin ein Auto und holte den Sprengstoff ab. Standortdaten verorteten ihn später am 31. Juli in Leipzig/Halle, wo er Aufklärung rund um die Terminals und den Sicherheitszaun betrieb.

Levushkin war dem deutschen Nachrichtendienst kein Unbekannter. Die Behörden wussten von seiner Ankunft und seinen Verbindungen zum GRU. Dennoch wurde er nicht aktiv überwacht.

Diese Lücke ist bedeutsam, weil die Operation nicht darauf angewiesen war, dass ein herkömmlicher Geheimdienstoffizier in eine westliche Institution eindringt. Levushkin fungierte als Vermittler: Er identifizierte das Ziel, organisierte die Logistik und leitete die abschließende Operation.

Der direkte Angreifer war Andrei Karshakou, ein belarussischer Staatsangehöriger mit kriminellem Hintergrund und früheren Verbindungen zu einer staatlich geförderten Brandstiftung in Polen. Er war faktisch entbehrlich.

Diese Arbeitsteilung bietet dem GRU eine nützliche Form der Abschirmung. Ein professioneller Nachrichtendienst kann Ziele identifizieren und Material organisieren, ohne hochrangiges Personal physisch an den Tatort zu bringen. Ein Strohmann auf niedriger Ebene kann dann den gefährlichen Teil der Operation ausführen, sodass die Ermittler jemandem nachgehen, dessen Wert für das Netzwerk begrenzt ist.

Das Modell passt auch zur umfassenderen Aktivität, die den GRU-Einheiten 29155 und 52659 zugeschrieben wird. Ihre Europäoperationen umfassten Brandstiftungen, Explosionen und andere Formen der Sabotage, wobei Rekruten über verschlüsselte Plattformen angeworben und für einzelne Aufgaben eingesetzt werden, statt in eine traditionelle Spionagehierarchie eingebunden zu sein.

Für die europäische Spionageabwehr ist das ein anderes Problem als die Überwachung von Diplomaten oder die Identifizierung von Agenten mit tiefer Tarnung.

Eine offene Grenze, eine geschlossene Sicherheitslücke

Der Sprengstoff selbst veranschaulicht eine weitere Verwundbarkeit.

Die 1,8 Kilogramm Semtex wurden aus Serbien und Bulgarien in modifizierten Hohlräumen von Lastwagen nach Deutschland geschmuggelt. Als das Material das vorgesehene Ziel erreichte, hatte die Operation mehrere Jurisdiktionen durchquert und die Warenbewegung durch ein offenes europäisches Umfeld ausgenutzt.

Das Leipziger Gerät lieferte den Ermittlern anschließend ungewöhnlich wertvolle forensische Beweise.

Die Polizei fand Trümmer von zwei weiteren Quadrocoptern und eine improvisierte Signalverstärkerantenne, die an einem nahen Baum angebracht war. DNA von einem Handschuhfragment an der Antenne stimmte mit Karshakou überein. Eine dritte mit Sprengstoff beladene Drohne wurde am 14. August auf einem Feld bei Kabelsketal gefunden.

Am bedeutsamsten: Die Ermittler identifizierten eine unverwechselbare technische Signatur am Sprengsatz selbst. Der Metallverschluss des Sprengstoffs wies sieben kreisförmige Einkerbungen auf, die die Splitterwirkung erhöhen sollten. Dieselbe Fertigungstechnik fand sich an Sprengsätzen aus Friedhofsverstecken in Litauen und an Komponenten, die mit früheren Anschlägen in Polen und anderswo in Verbindung gebracht werden.

Diese Verbindung reicht über Leipzig hinaus.

Dieselbe spezialisierte Werkzeugtechnik wurde mit GRU-gestützten Paketbombenoperationen in Verbindung gebracht, an denen eine DHL-Anlage in Birmingham, ein Ikea-Standort in Vilnius und die Verkehrsinfrastruktur bei Warschau beteiligt waren. Was sonst als isolierte Brandstiftungen oder improvisierte Sabotage erscheinen könnte, ist Teil eines erkennbaren logistischen und technischen Ökosystems.

Die Bedeutung der Leipziger Untersuchungen liegt daher teilweise in dem, was fehlschlug. Der nicht gezündete Sprengsatz wurde zum Beweis dafür, wie das Netzwerk seine Waffen beschafft, transportiert und zusammenbaut.

Das Aufklärungsproblem ist schwieriger als die Bombe

Die unangenehmste Frage für Deutschland ist nicht, warum die Drohne das Flugzeug erreichen konnte. Sie lautet, warum die Person, die die Operation organisierte, überhaupt zum Flughafen gelangen konnte.

Die deutschen Behörden wussten, dass Levushkin ins Land eingereist war. Sie kannten seine GRU-Verbindungen. Sie hatten auch Standortdaten, die zeigten, dass er am Flughafen Aufklärung betrieben hatte.

Doch es folgte keine aktive Überwachung.

Der Fall zeigt, wie schwierig es ist, einer Nachrichtendienstoperation entgegenzuwirken, deren Personal nicht wie herkömmliche Spione aussieht. Ein Motorradenthusiast oder Kleinkrimineller erregt weit weniger Aufmerksamkeit als ein bekannter Geheimdienstoffizier. Ein entbehrlicher Strohmann kann sich durch kommerzielle Infrastruktur bewegen, während die Person, die Anweisungen gibt, anderswo bleibt.

Die Technologie verschärft diese Asymmetrie. Kommerzielle Drohnen sind billig und leicht verfügbar. Telegram kann die Anwerbung erleichtern. Sprengstoff kann über Frachtnetzwerke bewegt werden. Die offenen Binnengrenzen des Schengen-Raums verringern die Zahl offensichtlicher Kontrollpunkte.

Keines dieser Systeme wurde mit der Annahme entworfen, dass ein ausländischer Militärnachrichtendienst sie für physische Angriffe innerhalb der europäischen Logistikinfrastruktur kombinieren könnte.

Diese Annahme lässt sich nun schwerer vermeiden.

Von der Spionageabwehr zur Sabotageabwehr

Die Leipziger Operation schafft daher ein Problem, das unbequem zwischen Polizei, Nachrichtendienst und militärischer Verteidigung liegt.

Traditionelle Spionageabwehr ist darauf ausgerichtet, feindliche Offiziere, Agenten und Netzwerke zu identifizieren. Sabotageabwehr erfordert etwas Unmittelbareres: Aufklärung zu erkennen, verdächtige Bewegungen zu verfolgen, gefährdete Standorte zu schützen und scheinbar geringfügige Vorfälle über Grenzen hinweg zu verbinden, bevor ein Anschlag stattfindet.

Für zivile Flughäfen und Frachtzentren sind die Folgen erheblich. Physische Sicherheit kann nicht mehr getrennt vom nachrichtendienstlichen Lagebild betrachtet werden. Eine Drohne, die sich einem Flugzeug nähert, ist nicht unbedingt ein isolierter luftfahrtsicherheitlicher Vorfall, wenn das Flugzeug selbst Teil der militärischen Lieferkette Europas ist.

Dieselbe Logik gilt für Lagerhäuser, Bahnanlagen und Paketnetzwerke.

Die europäischen Behörden stehen zudem vor einem Koordinationsproblem. Die Leipziger Operation durchquerte Russland, Belarus, Deutschland, die Türkei, Serbien, Bulgarien, Litauen, Polen und das Vereinigte Königreich über verschiedene Elemente des Netzwerks und seine forensische Geschichte. Kein einzelner nationaler Dienst besitzt das vollständige Bild.

Das macht den Austausch von Informationen zunehmend wichtig, besonders wenn eine Operation unter der Schwelle eines herkömmlichen bewaffneten Angriffs bleibt. Das Ausbleiben eines zerstörten Flugzeugs löscht den strategischen Zweck der Operation nicht aus. Und die Nutzung eines Strohmanns macht sie nicht zu einer rein kriminellen Angelegenheit.

Deutschland schrieb den Leipziger Anschlag am 1. September formell Russland zu und reagierte mit der Ausweisung von Diplomaten und der Schließung russischer Konsulareinrichtungen in Bonn und Berlin. Doch die operative Frage ist weiter gefasst als diplomatische Vergeltung.

Die Schwierigkeit für die NATO-Länder besteht darin, zu entscheiden, wo die Verantwortung für diese Vorfälle beginnt und endet, wenn militärischer Nachrichtendienst, organisierte Kriminalität, kommerzielle Technologie und zivile Infrastruktur sich überschneiden.

Die Beweise, die Moskau hinterließ

Das Scheitern der Leipziger Bombe könnte sich letztlich als schädlicher für die Geheimhaltung der Operation erweisen, als eine erfolgreiche Detonation es gewesen wäre.

Die Identitäten von Levushkin und Karshakou, ihre jeweiligen Rollen, die Bewegung des Sprengstoffs und die technischen Ähnlichkeiten zwischen dem Leipziger Gerät und früheren Waffen haben ein Netzwerk entlarvt, das auf Wiederholung angewiesen ist. Standardisierte Komponenten schaffen operative Effizienz, aber sie schaffen auch forensische Signaturen.

Das ist das Paradox dieses Sabotagemodells. Die Nutzung entbehrlicher Akteure macht einzelne Operationen im Voraus schwerer zuzuordnen, während wiederholte Methoden das übergeordnete Netzwerk nach einem Anschlag leichter kartierbar machen.

Für die europäischen Sicherheitsdienste lautet die entscheidende Frage daher nicht mehr nur, ob eine Drohne über einem Flughafenzaun gestoppt werden kann. Sie lautet, ob die Person, die sie gestartet hat, Tage zuvor hätte identifiziert werden müssen, ob der Sprengstoff Monate zuvor hätte entdeckt werden müssen und ob eine verdächtige Paketoperation in einem europäischen Land als Teil derselben Kampagne erkannt werden kann wie ein nicht gezündeter Sprengsatz neben einem Militärfrachtflugzeug in einem anderen.