Methoden und Arbeitsweisen ausländischer Nachrichtendienste

Ausländische Nachrichtendienste können einen großen Teil ihrer Informationen bereits aus offen
zugänglichen Quellen gewinnen, etwa beim Besuch öffentlicher Tagungen, Vortragsveranstaltungen
oder Messen, aus den sozialen Medien, bei der Lektüre von Werbebroschüren oder Tageszeitungen
sowie aus Radio und Fernsehen. Selbst brisante Informationen sind oft ohne Weiteres und legal
zugänglich, etwa über Fachzeitschriften und -bücher, über Bachelor-, Master- oder Diplomarbeiten
sowie über Dissertations- oder Habilitationsschriften, für die im Regelfall sogar eine Veröffentli-
chungspflicht besteht. Nicht zuletzt erweitert die rasante technische Entwicklung im Bereich der
Digitalisierung das Spektrum frei zugänglicher Informationen in einem stetig wachsenden Ausmaß.
Das reguläre Informationsangebot der digitalen Medien bietet fremden Nachrichtendiensten zahl-
reiche Informationen, die als Grundlage und Ausgangspunkt für weitere Aktivitäten von erheblicher
Bedeutung sein können. Beispielhaft dafür stehen digitalisiert ausliegende Planungsunterlagen bei
Bauvorhaben und digitale Infrastrukturkarten, die einen präzisen Blick auf Kommunikations- und
Versorgungsnetzwerke im Land bieten.

Die Beschaffung von nicht öffentlich zugänglichen Informationen gehört zu den grundlegenden
Aufgaben ausländischer Nachrichtendienste. Die konspirative Informationsbeschaffung erfolgt über
den Einsatz menschlicher Quellen, durch technische Mittel oder durch eine Kombination beider
Wege.

Einsatz menschlicher Quellen

Als menschliche Quelle kommt in Betracht, wer über nachrichtendienstlich relevante Informati-
onen verfügt oder solche Informationen gewinnen kann. Der möglichen Bandbreite sind hierbei
keine Grenzen gesetzt. Sie reicht von einflussreichen Politikern oder Wirtschaftslenkern über Wis-
senschaftler, Groß- und Kleinunternehmer, leitende Beamte und Offiziere bis hin zu Angestellten,
Studenten und Praktikanten. Jede »hierarchische« Position ist geeignet, Ausgangspunkt oder Ziel
einer Ausspähung zu sein. Beispiele aus der Vergangenheit belegen, dass langjährige persönliche
Kontakte in relevanten Bereichen zur Gewinnung menschlicher Quellen genutzt werden. Mensch-
liche Schwächen spielen dabei eine herausragende Rolle. Fremde Nachrichtendienste greifen dabei
immer wieder gern auf die Möglichkeiten zwischenmenschlicher Beeinflussung zurück, um Infor-
mationen zu erhalten. Dabei werden menschliche Eigenschaften wie Dankbarkeit, Hilfsbereitschaft,
Habgier, Autoritätshörigkeit, Geltungssucht oder Unsicherheit ausgenutzt, um Zugang zu sensiblen
Daten zu erhalten. Dieses Vorgehen ist auch als »Social Engineering« bekannt.

Einsatz technischer Mittel, insbesondere elektronischer Angriffe

Die Gewinnung von Informationen durch ausländische Nachrichtendienste mithilfe technischer
Mittel ist längst Realität. Insbesondere die zunehmende Digitalisierung – hier das Einstellen per-
sonenbezogener Informationen in sozialen Netzwerken oder auf Webseiten – eröffnet heutzutage
Möglichkeiten, Informationen zu beschaffen, die früher schwer zugänglich waren. Sog. OSINT-Maß-
nahmen bilden das Rückgrat nachrichtendienstlichen Informationsaufkommens. Daneben sind
elektronische Angriffe, also gezielte Maßnahmen gegen IT-Infrastrukturen, ein zentrales Instrument,
um Daten auszuspähen, zu manipulieren oder Systeme zu sabotieren. Betroffen sind nicht nur Un-
ternehmen und wissenschaftliche Einrichtungen, sondern auch der politische Bereich. Dies zeigten
die Angriffe auf die IT-Systeme der Sozialdemokratischen Partei Deutschlands (SPD) und der Christ-
lich Demokratischen Union Deutschlands (CDU) in den Jahren 2023 und 2024. Zahlreiche Cyber-
angriffe auf das Sächsische Verwaltungsnetz verdeutlichen, dass darüber hinaus auch Behörden
systematisch angegriffen werden. Das Sächsische Verwaltungsnetz ist nachweislich seit Jahren auf
hohem Niveau Ziel von Cyberangriffen, bei denen ein nachrichtendienstlicher Hintergrund nicht
auszuschließen ist. Elektronische Angriffe sind oft kostengünstig, schnell durchführbar und schwer
zu verfolgen, auch wenn eine Identifizierung der Täter möglich ist.

Neben der sog. Ransomware werden im Rahmen von Cyberangriffen u. a. klassische Trojaner-
E-Mails oder Wasserloch-Angriffe mit Drive-By-Infektionen eingesetzt. Ausgangspunkt ist auch
hier oft ein ausgefeiltes »Social Engineering«. Insbesondere Phishing- bzw. Spear-Phishing-Angriffe sind für die potenziellen Opfer nur schwer zu identifizieren und stellen einen der Hauptangriffsvek-
toren dar.

Daneben stellen sog. »Hacktivismus-Aktionen« ein zunehmend an Bedeutung gewinnendes Phäno-
men dar. Der Begriff Hacktivismus ist ein Kofferwort aus »Hacking« und «Aktivismus« und beschreibt
den Einsatz von Computertechnologien, um politische oder gesellschaftliche Ziele durch digitale
Protestaktionen zu fördern. Ziel dieser Aktionen ist es, auf (aus Tätersicht) bestehende Missstände
aufmerksam zu machen, politische Botschaften zu verbreiten oder Regierungs- und Unternehmens-
aktionen zu stören und hierdurch öffentliche Aufmerksamkeit für die eigene Agenda zu generieren.
Hacktivistische Aktionen bestechen nicht durch finanzielle Motive, wie etwa bei Ransomware-
Angriffen. Daher ist es naheliegend, dass die handelnden Akteure wahrscheinlich von staatlichen
Stellen beauftragt und auch finanziell/materiell unterstützt werden oder zumindest deren Aktionen
durch diejenigen Staaten geduldet werden, deren Agenda sie unterstützen.

Hacktivistische Aktionen bestehen derzeit hauptsächlich aus DDoS-Angriffen gegen Webpräsen-
zen deutscher Behörden und Unternehmen. Häufig betroffen sind Unternehmen aus den Bereichen
Energieversorgung, Finanzdienstleistungen, Logistik, Telekommunikation und Rüstung. Im Freistaat
Sachsen wurden 2025 u. a. die Internetpräsenzen der Landeshauptstadt Dresden, der Dresdner Ver-
kehrsbetriebe, des Verkehrsverbundes Oberelbe und des Mitteldeutschen Verkehrsverbundes teilwei-
se mehrfach angegriffen, was zu Einschränkungen der Erreichbarkeit der Webseiten führte.

Obwohl DDoS-Angriffe selten direkt finanziell schädlich sind, stellen die Kosten für präventive Maß-
nahmen eine zunehmende Belastung für Staat und Wirtschaft dar.

Neben DDoS-Angriffen stellen das Übernehmen und Verunstalten von Webseiten mit Propagan-
dabotschaften sowie die Veröffentlichung illegitim erlangter sensibler (ggf. zusätzlich manipulierter)
Informationen auf eigens dafür eingerichteten Webseiten häufige Formen hacktivistischer Aktionen
dar.

Die Nachrichtendienste Russlands bauen die Möglichkeiten zur Überwachung und Beeinflussung
des Internetverkehrs stetig aus. Dazu zählen Zugriffsmöglichkeiten auf IP- und E-Mail-Adressen,
Telefonnummern und Daten aus sozialen Netzwerken. Ein neu hinzugekommenes Instrument stellt die russische staatliche App MAX dar, welche durch den Mutterkonzern der russischen Social-
Media-Plattform »VK.ru« entwickelt wurde. MAX soll vordergründig verschiedene Verwaltungs-
leistungen der russischen Behörden sowie behördliche Kommunikation digital zugänglich machen.
Die vor einigen Jahren entwickelte App »WeChat« kann als chinesisches Pendant zu MAX betrachtet
werden. MAX muss seit September 2025 auf allen in Russland vertriebenen Smartphones und Tablets
vorinstalliert sein. Für eine Registrierung bei MAX ist derzeit eine russische oder belarussische Tele-
fonnummer obligatorisch. Zudem müssen Nutzer während des Registrierungsprozesses ihre Pass­
daten angeben, was eine anonymisierte oder pseudonymisierte Nutzung ausschließt.

Werbekampagnen der russischen Regierung drängen die Bevölkerung zur Installation der App vor
dem Hintergrund einer angestrebten russischen Souveränität im Bereich der digitalen Kommuni-
kation. Berichten zufolge ist geplant, dass die digitale Behörden-Bürger-Kommunikation künftig
zwangsläufig über MAX erfolgen soll, was die russische Bevölkerung de facto zu einer Installation
der App zwingen würde. Ausländischen Dienstleistern wurde der Zugriff auf Behördenleistungen
verwehrt, sodass neben MAX keine digitalen Alternativen zur Verfügung stehen werden. Zudem
hat die russische Medienaufsichtsbehörde Roskomnadzor im August 2025 die Sprachanruffunk-
tion der in Russland weitverbreiteten Instant Messenger WhatsApp und Telegram blockiert. Diese
»Messenger-Diskriminierung« beliebter westlicher Messenger stellt ebenfalls einen wirkungsvollen
Push-Faktor hinsichtlich eines Wechsels zu MAX dar.

Russische Behörden erhalten über MAX mutmaßlich umfangreiche Zugriffsmöglichkeiten auf die
Daten der Nutzer. So verwendet MAX für die Kommunikation zwischen Privatnutzern einen Ver-
schlüsselungsalgorithmus, der durch die zuständige russische Behörde zertifiziert wurde. Nach ent-
sprechender öffentlicher Berichterstattung kann davon ausgegangen werden, dass der durch MAX
genutzte Verschlüsselungsalgorithmus durch russische Behörden umgangen werden kann und MAX
über Möglichkeiten zur tiefgehenden Kontrolle des jeweiligen Geräts verfügt.

In Deutschland lebende russische Staatsangehörige könnten im Zusammenhang mit der Regelung
ihrer konsularischen Angelegenheiten nunmehr ebenfalls zur Installation von MAX gedrängt wer-
den. Somit bestünden vielfältige Möglichkeiten, Endgeräte mit installierter MAX-App zur Ausspä-
hung von Zielen in Deutschland – insbesondere von Personen, die von der russischen Regierung
als Gegner eingestuft werden – zu nutzen. MAX könnte daher als ein Instrument Transnationaler
Repression Russlands genutzt werden.

Die russischen Nachrichtendienste gelten darüber hinaus als Initiatoren verbreiteter und berüch-
tigter Angriffskampagnen, wie Sandworm, Snake und Energetic Bear. Solche hochkomplexen
und mit hoher Professionalität geführten Kampagnen können über Jahre verborgen bleiben. Die
Angreifer ändern immer wieder einzelne technische Komponenten, sodass sie die Kampagnen in
abgewandelter Form auch weiterhin einsetzen können. Es zeigt sich deutlich, dass sich ein elektro-
nischer Angriff keineswegs in einer einmaligen, punktuellen Maßnahme erschöpfen muss, sondern
zu einer länger andauernden, komplexen, herausfordernden und mit großem Aufwand betriebenen
Bedrohung heranwachsen kann (sog. Advanced Persistent Threat [APT]). Dem Hackerkollektiv APT28,
auch bekannt als Fancy Bear, wurde 2025 durch ein nationales Attribuierungsverfahren der
Angriff auf die Deutsche Flugsicherung 2024 belegbar zugeordnet. Demnach trägt der GRU die
Verantwortung für diese Attacke.

Es ist davon auszugehen, dass neben den bekannten Phishing-Kampagnen von APT29 auch der
Akteur »Ghostwriter« weiterhin aktiv ist. Dieser ist in Deutschland seit 2021 bekannt und richtet
seine Aktivitäten vorrangig gegen Politiker. Grundsätzlich kann aber auch jeder Bürger dessen Opfer
werden. Eine tatsächliche Betroffenheit des Freistaates Sachsen bestätigte sich bislang nicht.

Darüber hinaus sind insbesondere Unternehmen der Kritischen Infrastruktur (KRITIS) durch Cyber-
angriffe russischer APT’s bedroht. Besondere Brisanz erhalten elektronische Angriffe dadurch, dass
sie selbst bei ausgeprägtem Sicherheitsbewusstsein der Betroffenen und trotz Nutzung aktueller
Schutzprogramme gegen Schadsoftware oft über längere Zeit unbemerkt bleiben können. Im Ver-
fassungsschutzverbund werden bei einem detektierten Angriff umgehend Maßnahmen ergriffen, um
potenzielle Opfer zu kontaktieren und zu sensibilisieren. Im Verbund werden zudem kontinuierlich
technische Indikatoren, sog. Indicators of Compromise, analysiert und an die entsprechenden Be-
darfsträger, insbesondere Unternehmen der KRITIS, zur Stärkung ihrer Resilienz übermittelt. Ebenso
werden regelmäßig Warnmeldungen mit allgemeinen bis konkreten Hinweisen an die Wirtschaft
veröffentlicht. Der Wirtschaftsschutz des LfV Sachsen dient hierbei als Ansprechpartner.

Tatsächliche Anhaltspunkte für ein schädigendes Ereignis im Zusammenhang mit russischen APT’s
liegen für den Freistaat Sachsen bislang nicht vor.

Auch chinesische Nachrichtendienste stehen weiterhin im Verdacht, elektronische Angriffe gegen
Einrichtungen in Deutschland initiiert zu haben. Mit den Auslandsaktivitäten chinesischer Nachrich-
tendienste im Internet korrespondiert die Errichtung einer immer stärkeren »elektronischen Mauer« zur Abschottung des Internets in China. In diesem Kontext stellt auch der bisherige und künftige
Einsatz von chinesischen Soft- und Hardwarekomponenten in IT-Infrastrukturen ein relevantes The-
ma dar.

Am 6. Mai 2025 hat die Sächsische Staatsregierung die Cybersicherheitsstrategie Sachsen beschlos-
sen. Ziel dieser Strategie ist es, im Freistaat Sachsen Widerstandsfähigkeit gegen Cyberangriffe so-
wie eine Bewusstseinsbildung für die Notwendigkeit von Cybersicherheit, digitaler Souveränität,
effektiver Regulierung und für eine Intensivierung der behördlichen Zusammenarbeit zu erlangen.

Als ein Akteur bei der Umsetzung der Cybersicherheitsstrategie Sachsen sammelt das LfV Sachsen
im Rahmen seiner im Sächsischen Verfassungsschutzgesetz geregelten Zuständigkeit Informationen
zum Thema Cybersicherheit in Bezug auf »sicherheitsgefährdende oder geheimdienstliche Tätigkei-
ten im Geltungsbereich des Grundgesetzes für eine fremde Macht« und informiert die zuständigen
Sicherheits- und Gefahrenabwehrbehörden. Insbesondere durch sein Zusammenwirken im Verfas-
sungsschutzverbund erhält das LfV wertvolle Hinweise zu aktuellen Cyberkampagnen und Sabotage-
Operationen und gibt vor allem Informationen zu Indicators of Compromise in die Staatsverwaltung.
Ziele des LfV sind die Stärkung der Resilienz der Sicherheitsbehörden gegen Cyberbedrohungen
und die Unterstützung bei der Beratung von Verwaltung und Wirtschaft zur Resilienzbildung und
Abwehr von Cyberangriffen ausländischer staatlicher Akteure.

Sicherheitsgefährdende oder geheimdienstliche Tätigkeiten fremder Mächte galten auch im Berichts-
jahr der Beeinflussung gesellschaftlicher, politischer und wirtschaftlicher Entwicklungen in Deutsch-
land. Bereits in der Vergangenheit war zu verzeichnen, dass Russland mit zunehmender Intensität
versuchte, die politische und öffentliche Meinung in Deutschland u. a. durch die mediale Verbreitung
von Propaganda und Desinformationen in seinem Sinne zu beeinflussen. Als Mittel zum Zweck dienen
dabei neben den sozialen Medien die russischen Staatsmedien. So verbreiten weltweit sendende TV-,
Radio- und Internetkanäle gezielt Narrative im Sinne der russischen Führung. Einhergehend mit dem
Angriffskrieg gegen die Ukraine setzt Russland seine Bemühungen fort, zentrale Narrative über seine
Staatsmedien, die sozialen Medien und Einflussakteure zu verbreiten.

Das Portfolio eingesetzter Mittel ist vielfältig und kann von dem bereits aus der Vergangenheit be-
kannten Einsatz von Einflussagenten über den zielgerichteten Aufbau und die Pflege von Kontakten
zu Multiplikatoren in Politik und Wirtschaft sowie über regelrechte Propagandaoffensiven und den damit verbundenen Versuch der Instrumentalisierung ganzer Bevölkerungsgruppen bis hin zu Ein-
flussnahmeaktivitäten in der Wirtschaft reichen.

Die russischen Aktivitäten im Bereich der Propaganda und Desinformation bewegen sich weiterhin
auf einem hohen Niveau.

In Deutschland fanden am 23. Februar 2025 vorgezogene Bundestagswahlen statt. Solche zentralen
politischen Ereignisse sind inzwischen Zielscheibe unzulässiger Einflussnahmen fremder Mächte, die
so ihre strategischen Ziele verfolgen.

Das befürchtete Ausmaß hybrider Einflussnahme in Bezug auf die Bundestagswahl 2025 ist zwar
nicht eingetreten, doch hat sich Russland als Hauptakteur bestätigt. So ließen sich bereits ab Dezem-
ber 2024 verdeckte russische Einflussnahmeversuche mit dem Schwerpunkt Desinformation detek-
tieren. Mit näher rückendem Wahltermin war dabei eine Zunahme russischer Desinformationsaktivi-
täten festzustellen. So wurde mit der Kampagne »Storm-1516« ein russischer Desinformationsakteur
gegen Deutschland aktiv.228 Mithilfe eines Netzwerkes aus Webseiten, die den Anschein von Nachrich-
tenseiten erwecken sollten, und (pro-)russischen Influencern wurden Artikel und Videos verbreitet.

Die identifizierten Narrative zur Bundestagswahl 2025 richteten sich vornehmlich gegen einzelne
Parteien bzw. Personen im politischen Raum. Dabei wurden die für Russland eher vorteilhaften poli-
tischen Positionen, Personen und Parteien durch positive Darstellungen im Informationsraum unter-
stützt. Für Russland eher nachteilige Positionen, Personen sowie Parteien wurden diskreditiert. Auch
wurden Narrative verwendet, die eine besondere Polarisierung versprachen. Zusätzlich verbreiteten
russische Einflussakteure zum Wahltag hin Desinformationen, die auf die Sicherheit und Integrität
der Bundestagswahl an sich abzielten.

Zu den Propaganda- und Einflussnahmeaktivitäten können auch Telefon- oder Videoanrufe der me-
dial bekannten russischen »Prankster« Vladimir KUZNETSOV und Aleksey STOLYAROV, alias »Vovan
und Lexus«, gezählt werden. Beide rufen seit längerem unter falscher Identität Politikerinnen und
Politiker sowie Personen des öffentlichen Lebens in westlichen Staaten an. Die »Pranks«229 werden
anschließend im Internet veröffentlicht und propagandistisch genutzt. Ausweislich entsprechender
Medienberichte waren in Deutschland bereits mehrere aktive und ehemalige Politikerinnen und Poli-
tiker von solchen Anrufen betroffen.

Um das Risiko zu minimieren, selbst Opfer einer solchen Desinformations-/Einflussoperation zu wer-
den, sensibilisierte das LfV Sachsen beispielsweise die Mitglieder des Sächsischen Landtages und der Staatsregierung sowie den Sächsischen Städte- und Gemeindetag in einem Schreiben für folgende
Maßnahmen im Kommunikationsverhalten sowie für Verabredungen zu Video- oder Telefonanrufen:

• Vergewissern Sie sich bezüglich der Identität des Kontakts durch Nutzung bereits bekannter Erreichbarkeiten und bekannter Kontakte.
• Gleichen Sie die Kontaktdaten Ihres Kommunikationspartners genau mit bereits bekannten au-
  thentischen Erreichbarkeiten ab, um die Imitierung authentischer Erreichbarkeiten, etwa durch
  leicht abgewandelte E-Mail-Adressen, erkennen zu können.
• Sofern bei Ihnen keine zur Verifizierung nutzbaren Kontakte vorliegen, binden Sie andere Stellen
  mit ein, die über solche Kontakte verfügen könnten.
• Sehen Sie von der Durchführung von Video- oder Telefongesprächen im Zweifelsfall ab, wenn
  sich die Authentizität des Gegenübers nicht verifizieren lässt.

Chinesische Versuche der Einflussnahme zielen auf die deutsche Wirtschaft ab, insbesondere durch
Direktinvestitionen. Gezielte chinesische Firmenbeteiligungen in ausgewählten Schlüsselbranchen im
Ausland sind erklärter Bestandteil der Industriestrategie »Made in China 2025« und machen auch vor
dem Freistaat Sachsen keinen Halt.