Symbolbild
Seit Anfang September macht die Bundesregierung Russland offiziell für den gescheiterten Drohnenanschlag auf den Flughafen Leipzig/Halle verantwortlich. Moskau bestreitet jede Beteiligung, Oppositionspolitiker verlangen öffentlich Beweise. Nun werden Details aus geheimen Ermittlungsunterlagen bekannt, die die Verbindung zum russischen Staatsapparat deutlich konkreter erscheinen lassen. Nach Recherchen der WELT AM SONNTAG soll ein mutmaßlicher Mitarbeiter des russischen Militärgeheimdienstes GRU persönlich an der Vorbereitung beteiligt gewesen sein. Der Fall wirft jedoch noch eine zweite Frage auf: Deutschen Stellen soll seine Geheimdienstverbindung schon bei der Einreise bekannt gewesen sein.
Aus einem »Russland-Bezug« wird eine konkrete Geheimdienstspur
Zwei Tatverdächtige hatten deutsche Ermittler bereits Anfang September identifiziert.
Bei einem handelt es sich nach übereinstimmenden Medienrecherchen um einen aus Belarus stammenden Mann mit russischem Pass. DNA-Spuren an Tatorten und im Umfeld des Flughafens führten die Ermittler zu ihm. Er soll bereits zuvor in baltischen Staaten strafrechtlich aufgefallen sein. Sicherheitsbehörden ordnen ihn dem Typus des sogenannten Low-Level- oder Wegwerfagenten zu: Personen ohne klassische Geheimdienstausbildung, die für einzelne Aufträge angeworben werden.
Der zweite Mann spielt nach den bisherigen Erkenntnissen eine andere Rolle. Er soll als Logistiker und Instrukteur die Operation vorbereitet haben. Bereits Anfang September war bekannt geworden, dass es sich um einen gebürtigen Russen mit lettischem Pass handelt, der Ende Juli nach Deutschland einreiste, mit einem Mietwagen in Richtung Sachsen fuhr und das Land zwei Tage vor dem Anschlagsversuch wieder verließ. Eine Verbindung zu einem russischen Nachrichtendienst wurde schon damals berichtet.
Die neuen Unterlagen gehen einen entscheidenden Schritt weiter: Nach Angaben der WELT AM SONNTAG rechnen deutsche Sicherheitskreise den Mann dem russischen Militärgeheimdienst GRU zu. Er soll nicht lediglich Kontakt zu einem Nachrichtendienst gehabt haben, sondern selbst als Geheimdienstmitarbeiter an der Vorbereitung der Operation beteiligt gewesen sein.
Damit würde sich hinter dem Anschlag eine zweistufige Struktur abzeichnen: professionelle Planung durch einen Geheimdienstmann, operative Umsetzung durch leichter austauschbare Helfer.
Der mutmaßliche Organisator war vor dem Anschlag wieder verschwunden
Nach den neuen Recherchen reiste der mutmaßliche GRU-Mann über die Türkei nach Deutschland ein. Später verließ er die Bundesrepublik über den Flughafen Berlin-Brandenburg Richtung Serbien.
Inzwischen soll er sich wieder in Russland befinden.
Das passt zu einem Problem, mit dem europäische Ermittler bei russischen Sabotageoperationen seit Jahren kämpfen. Auftraggeber, Instrukteure oder Verbindungspersonen verlassen das Zielland häufig, bevor die eigentliche Tat ausgeführt wird. Zurück bleiben Personen am unteren Ende der Befehlskette, deren Verbindung zum staatlichen Auftraggeber strafrechtlich oft schwierig nachzuweisen ist.
Der jüngste Prozess gegen drei mutmaßliche russische „Wegwerfagenten“ am Oberlandesgericht Stuttgart zeigte diese Schwierigkeit eindrücklich. Nur einer der Angeklagten wurde wegen Agententätigkeit zu Sabotagezwecken verurteilt; zwei andere wurden freigesprochen. Das Gericht sah zwar bei einem Mann den Kontakt zu einer „staatlichen russischen Stelle“ als erwiesen an, die weiterreichenden Vorwürfe ließen sich jedoch nicht in allen Fällen gerichtsfest belegen.
Leipzig könnte sich davon in einem entscheidenden Punkt unterscheiden: Wenn sich die direkte Zugehörigkeit eines Organisators zum GRU nachweisen lässt, würde die Distanz zwischen ausführendem Täter und russischem Staat erheblich kleiner.
Die Bundesregierung spricht bereits von russischer Verantwortung
Politisch hat Berlin diese Schlussfolgerung längst gezogen.
Am 1. September erklärte Innenminister Alexander Dobrindt, polizeiliche Ermittlungen, Tatmuster und nachrichtendienstliche Erkenntnisse belegten in ihrer Gesamtheit eine russische Verantwortung. Die verwendete Drohnenkonfiguration, der Sprengstoff und die Zündtechnik seien aus anderen russischen hybriden Operationen und aus dem Krieg gegen die Ukraine bekannt. Die Erkenntnisse deuteten auf Personen hin, die im Auftrag russischer staatlicher Stellen gehandelt hätten.
Bundeskanzler Friedrich Merz ging einige Tage später noch weiter und bezeichnete die Beweislage als „gerichtsfest“. Öffentlich vorgelegt wurde diese Beweiskette bislang allerdings nicht. Die Bundesanwaltschaft ermittelt weiter.
Diese Unterscheidung bleibt wichtig: Die Bundesregierung hat Russland politisch und nachrichtendienstlich zugerechnet, dass es hinter dem Angriff steht. Eine gerichtliche Feststellung gegen konkrete Beschuldigte existiert bislang nicht.
Russland weist die Vorwürfe zurück und spricht von einer deutschen Provokation.
Der Angriff hätte ukrainische Flugzeuge treffen können
Der Anschlagsversuch selbst hatte bereits eine neue Qualität.
In der Nacht vom 4. auf den 5. August wurde im Sicherheitsbereich des Flughafens Leipzig/Halle eine mit Sprengstoff und Zünder präparierte Drohne entdeckt. In unmittelbarer Nähe befanden sich ukrainische Transportflugzeuge. Nach späteren Medienberichten hatte eine Drohne zuvor eine ukrainische Maschine getroffen, war jedoch nicht explodiert.
Bundeskanzler Merz erklärte später, Deutschland sei nur knapp an einer Katastrophe vorbeigeschrammt. Der Anschlag sei über Monate in Russland vorbereitet worden und habe ausdrücklich Deutschland gegolten.
Damit unterscheidet sich Leipzig von vielen Vorfällen mit unbekannten Drohnen über Flughäfen, Kasernen oder Industrieanlagen. Hier wurde nicht nur beobachtet oder ausgekundschaftet. Es befand sich professioneller Sprengstoff an einem Fluggerät.
Die Bundesregierung spricht deshalb von einer neuen Qualität hybrider Bedrohung.
Der GRU wäre kein unbekannter Akteur
Dass ein Mitarbeiter des russischen Militärgeheimdienstes an einer solchen Operation beteiligt sein könnte, wäre kein völlig neues Muster.
Die Europäische Union hat bereits mehrere GRU-Einheiten und Angehörige wegen Cyberangriffen und destabilisierender Aktivitäten sanktioniert. Besonders die Einheit 29155 wird von der EU mit Mordanschlägen, Sabotage und Cyberoperationen in Europa in Verbindung gebracht. Noch im Juli 2026 verhängte der Rat weitere Sanktionen gegen Personen und Unternehmen, die Operationen dieser Einheit unterstützt haben.
Ob der in Leipzig verdächtigte Mann dieser oder einer anderen GRU-Einheit angehört, geht aus der bisherigen Berichterstattung nicht hervor. Eine solche Verbindung wäre daher Spekulation.
Das bekannte Prinzip ist jedoch ähnlich: professionelle staatliche Akteure koordinieren Operationen, während Teile der praktischen Ausführung an Menschen ausgelagert werden können, die gar nicht oder nur begrenzt wissen, für wen sie arbeiten.
Der Verfassungsschutz warnt schon länger davor, dass russische Dienste für Spionage und Sabotage verstärkt solche Low-Level-Agenten über soziale Netzwerke und Messengerdienste rekrutieren. Sie kosten wenig, verfügen über kaum Wissen über die Gesamtoperation und sind für die eigentlichen Auftraggeber leicht ersetzbar.
Leipzig würde zeigen, dass hinter diesen vermeintlich improvisierten Strukturen dennoch professionelle Steuerung stehen kann.
Warum wurde der Mann nicht überwacht?
Der für Deutschland politisch unangenehmste Teil der neuen Recherche betrifft deshalb nicht Russland.
Nach Angaben der WELT AM SONNTAG beziehungsweise darauf beruhender weiterer Berichte war deutschen Ermittlern die Verbindung des mutmaßlichen Organisators zum russischen Geheimdienst bereits bei seiner Einreise bekannt.
Trotzdem wurde er nicht observiert.
Was genau die Behörden zu diesem Zeitpunkt wussten, welche Stelle über die Information verfügte und wie belastbar sie war, ist bislang nicht öffentlich geklärt. Ebenso wenig ist bekannt, ob die rechtlichen Voraussetzungen für Überwachungsmaßnahmen bestanden.
Aus dem bloßen Wissen um einen Nachrichtendienstkontakt folgt deshalb noch nicht automatisch, dass eine Observation möglich oder zwingend gewesen wäre.
Die zeitliche Abfolge macht den Vorgang trotzdem erklärungsbedürftig.
Ein Mann mit einer den Behörden bekannten Verbindung zu einem russischen Nachrichtendienst reist nach Deutschland ein. Er fährt nach Sachsen. Ermittler schreiben ihm später die Rolle eines Logistikers und Instrukteurs bei der Vorbereitung eines Sprengstoffanschlags auf kritische Infrastruktur zu. Kurz vor der Tat verlässt er Deutschland wieder.
Wenn diese Rekonstruktion zutrifft, stellt sich nicht nur die Frage, wie deutsche Behörden den Anschlag anschließend aufklärten.
Es stellt sich auch die Frage, ob er vorher hätte erkannt werden können.
Deutschland hat seine Bedrohungslage bereits hochgestuft
Die Sicherheitsbehörden warnen seit Monaten vor genau solchen Szenarien.
Das Bundesinnenministerium hatte die Gefährdung durch hybride Angriffe bereits vor dem Leipziger Vorfall von einer abstrakten auf eine hohe Bedrohungslage angehoben. Als Gründe nennt die Bundesregierung mehr Hinweise eigener und verbündeter Nachrichtendienste auf Anschlagsplanungen, Sabotage und Spionage. Nach Leipzig trat der Nationale Sicherheitsrat zusammen; zugleich soll die Drohnenabwehr an kritischer Infrastruktur ausgebaut werden.
Das Problem wird damit zunehmend organisatorisch.
Hybride Operationen bewegen sich bewusst unterhalb der Schwelle eines offenen militärischen Angriffs. Sie nutzen Kriminelle, Mittelsmänner, digitale Kommunikation und zivile Infrastruktur. Für die Abwehr müssen Polizei, Verfassungsschutz, BND, Bundeswehr und ausländische Partner Informationen zusammenführen, bevor aus einzelnen Hinweisen ein erkennbares Anschlagsbild entsteht.
Gerade darin liegt der Vorteil dieser Strategie für den Angreifer: Jede einzelne Beobachtung kann für sich zu schwach erscheinen.
Erst im Nachhinein ergibt sich das Muster.
Der Leipziger Fall wird konkreter – aber noch nicht vollständig öffentlich
Die neuen Ermittlungsdetails sind deshalb politisch bedeutsam.
Bislang musste die Öffentlichkeit bei der russischen Urheberschaft in erheblichem Umfang auf die Bewertung der Bundesregierung vertrauen. Die nachrichtendienstlichen Erkenntnisse, auf die sie sich stützt, sind nicht öffentlich.
Nun wird zumindest ein Teil der möglichen Verbindung sichtbar: ein mutmaßlicher Organisator, dessen Reiseweg rekonstruiert wurde und den deutsche Sicherheitskreise nach Medienberichten dem GRU zurechnen.
Das ersetzt weder eine Anklage noch ein Urteil. Es verschiebt aber die Frage.
Anfang September lautete sie noch: Welche Belege hat die Bundesregierung überhaupt für ihre Anschuldigung gegen Russland?
Mit den neuen Informationen kommt eine zweite hinzu: Wenn deutschen Behörden ein mutmaßlicher russischer Geheimdienstmitarbeiter bereits bekannt war – wie konnte er dann offenbar unbeobachtet einen Anschlag in Deutschland vorbereiten und anschließend wieder ausreisen?
Stefanie S. Klief
