Rheine an einem Mittwoch, der aussieht wie viele. Kein Blaulicht-Korso, keine Straßensperre, keine dramatische Szene, die später in der Nachrichtensendung als Chiffre für „Spionage“ taugen würde. Und doch ist es genau diese Normalität, in der sich das neue Muster versteckt: eine Festnahme, ein Handy, ein paar Filmaufnahmen – und dahinter der Verdacht, dass ein russischer Geheimdienst im Hintergrund die Fäden zieht.

Im März 2026 lässt die Bundesanwaltschaft in NRW eine 45‑jährige Rumänin festnehmen. Zeitgleich wird in Spanien ein 43‑jähriger Ukrainer mit dem ehemaligen Wohnort Heinsberg gefasst. Das Ziel ihrer Ausforschungen: ein Unternehmer aus Bayern, der Drohnen und dazugehörige Bauteile in die Ukraine liefert. In der nüchternen Sprache der Ermittler klingt das wie eine Aktennotiz. Politisch aber ist es ein Signal: Ausspähung ist nicht bloß Informationsbeschaffung – sie kann die Vorstufe sein für gewaltsame Operationen.

Tote Briefkästen und konspirative Treffen sind out

Der Verdacht beschreibt eine Abfolge, wie sie in Zeiten von Smartphones und offenen Datenbanken erschreckend leicht geworden ist. Der Ukrainer soll ab Dezember 2025 begonnen haben, die Zielperson auszuspähen: Informationen aus dem Internet, dazu Filmaufnahmen am Arbeitsplatz. Das ist nicht die klassische Agentenarbeit mit toten Briefkästen und konspirativen Treffen. Es ist eine Mischung aus digitaler Recherche und physischer Nähe, die im Alltag kaum auffällt. Ein Mensch, der vor einem Gebäude steht und sein Telefon hebt, ist heute nichts Ungewöhnliches.

Als der Mann nach Spanien zog, soll die Frau spätestens ab März 2026 seinen Auftrag übernommen haben. Sie suchte die Privatadresse der Zielperson auf und dokumentierte dessen Leben mit dem Mobiltelefon an. Wieder: keine spektakuläre Tat, eher ein „kurzer Blick“, ein „einfaches Video“. Doch in einem Ermittlungsverfahren ist genau das der Punkt. Denn wer Wohnort, Wege, Routinen, Zugänge kennt, kennt auch Verwundbarkeiten.

Die Bundesanwaltschaft geht davon aus, dass diese Ausspähaktionen der Vorbereitung weiterer geheimdienstlicher Operationen gegen die Zielperson dienten. Beide Festgenommenen gelten als dringend verdächtig, für einen ausländischen Geheimdienst tätig gewesen zu sein. In der Logik der Dienste ist die Arbeitsteilung naheliegend: Einer sammelt, einer setzt fort. Wird es zu heiß, wird einfach jemand anderes geschickt.

Drastische Zunahme von russischen Spähaktionen

„Seit Beginn des Ukraine-Krieges ist das russische Aufklärungsinteresse stärker denn je“, bestätigt NRW-Verfassungsschutzchef Jürgen Kayser im Gespräch mit dem „Kölner Stadt-Anzeiger“. Anfangs noch Einzelfälle nehme die Frequenz jetzt deutlich zu. Fast monatlich kommt bundesweit ein neuer Vorgang hinzu. Im vergangenen Jahr zählte das Bundeskriminalamt (BKA) 321 Fälle. Eine niedrige zweistellige Zahl sind allein an Rhein und Ruhr in den letzten drei Jahren aktenkundig. „Dazu zählen Ausspähungen von Kasernen und militärischen Einrichtungen. Wir haben Fälle von Drohnenaktivitäten, zudem auch ungeklärte Sabotageakte. Gerade in den vergangenen zwölf Monaten haben diese Fälle quantitativ nochmal zugenommen“, führt Kayser aus.

Nordrhein‑Westfalen eignet sich für solche Operationen aus mehreren Gründen – nicht weil es per se „unsicherer“ wäre, sondern weil hier besonders viel zusammenkommt: dichte Verkehrswege, Industrie, Logistikdrehscheiben, Behörden, Forschung. Wer stören will, findet in NRW immer etwas, das sich stören lässt. Wer ausspähen will, findet viele Möglichkeiten, unterzutauchen.

NRW als Bühne der „kleinen“ Operationen

„Rüstungskonzerne sind häufig Ziele für Ausspähoperationen“, ergänzt NRW-Verfassungsschutzchef Kayser. „So etwa Rheinmetall aber auch Drohnenhersteller. Einige interessante Waffenschmieden sitzen in Süddeutschland. Da wird nicht nur das Unternehmen als solches ausgekundschaftet, sondern auch die Transport-Routen in Richtung Ukraine.“ Und die Menschen, die etwa für die Produktion oder Logistik der Kriegsgeräte verantwortlich seien, etwa die jeweiligen CEOs der Rüstungsunternehmen.

Ausgespäht werden laut der Spionageabwehr aber auch Personen in NRW, die auf Seiten der Ukraine gegen die russischen Invasoren gekämpft haben. „Und da ist natürlich auch das Szenario denkbar, dass es dann zu staatsterroristischen Aktivitäten im Weiteren kommt. Das heißt am Ende werden Zielpersonen ausgespäht, mit dem Ziel, diese gegebenenfalls sogar zu liquidieren oder solche Operationen zumindest vorzubereiten“, so Kayser.

„Low‑Level‑Agents“ statt James Bond

Auch Herbert Reul, NRW-Innenminister, hat diese Verschiebung schon deutlich beschrieben. Er warnt vor aggressiver Spionage und Sabotage-Gefahr durch Russland und betont, das Vorgehen russischer Nachrichtendienste habe sich verändert, zeige mehr Risikobereitschaft. Und dann der Satz, der wie ein Schlussstrich unter das alte Bild vom Spion gezogen klingt: „Sie brauchen keine Agenten mehr im Sinne von James Bond. Da reichen auch sogenannte Low-Level-Agents, die für kleines Geld angeworben werden.“

Nach Erkenntnissen der NRW-Sicherheitsbehörden handelt es sich in der Regel um junge Männer. Die meisten beherrschen eine osteuropäische Sprache, in der Regel auch Russisch. Die Kontaktaufnahme geschieht oft über Telegram-Messenger, manchmal auch über Gaming-Plattformen. In Einzelfällen setzt man auch Personen unter Druck, deren Verwandte in Russland leben.

Für die ersten Aufträge fällt der Lohn noch relativ niedrig aus. Im Laufe der Zeit steigert sich das Honorar auf einige tausend Euro, wenn die Jobs ein bisschen komplexer werden. Das Geld fließt häufig in bar über Mittelsmänner oder kommt als Krypto-Währung. Reul macht aus der Entwicklung nicht nur eine Analyse, sondern auch eine Botschaft an die Öffentlichkeit: „Um es klar zu sagen: Wir stehen durchaus im Fokus der russischen Geheimdienste. Als freiheitliche Demokratie, die klare Kante zeigt, sind wir dem Kreml ein Dorn im Auge. Und das sagt man dort auch ganz offen.“

Der Fall Köln und die Logik der Testläufe

Die „Low‑Level‑Agents“ sind in der Praxis ein Sicherheitsproblem, weil sie austauschbar sind und weil ihre Rolle oft bewusst klein gehalten wird. Die Hintermänner kennen sie nicht. Wer nur filmt, nur fährt, nur abliefert, muss nichts wissen. Und wer nichts weiß, kann wenig preisgeben. Das ist die zynische Effizienz des Modells.

In Köln wurde im vergangenen Jahr ein Ukrainer festgenommen worden, der nach Angaben der Ermittler Teil einer mutmaßlichen Sabotage- und Spionageoperation gewesen sein soll. Im Zentrum stehen zwei Testpakete, die der Mann auf den Weg gebracht hatte. In den Sendungen hätten sich aktivierte GPS‑Tracker befunden. Nach Darstellung der Behörden diente das nicht dem „Ernstfall“, sondern dem Ausprobieren: Versandrouten, Transportabläufe und mögliche Sicherheitslücken sollten offenbar erkundet werden, bevor gefährlichere Sendungen folgen. NRW-Innenminister Herbert Reul (CDU) sagte im Innenausschuss des Düsseldorfer Landtags, gerade diese Testläufe hätten die Ermittler auf die Spur gebracht: „Und damit sind wir dann diesen Menschen auf die Schliche gekommen.“

Der Verdacht: Die Beschuldigten hätten sich bereit erklärt, Brand- oder Sprengstoffanschläge auf Gütertransporte vorzubereiten. Geplant gewesen sei demnach, Pakete mit Brand- beziehungsweise Sprengvorrichtungen aus Deutschland in Richtung Ukraine zu verschicken, die sich während des Transports entzünden sollten. In dem Komplex gab es dem Vernehmen nach noch weitere Festnahmen in Deutschland und in der Schweiz.

Einflussnahme als Schwester der Sabotage

Spionage und Sabotage sind die sichtbaren Spitzen einer Entwicklung, die Sicherheitsbehörden seit Jahren als „hybride“ Bedrohung beschreiben. Doch während ein Brandanschlag, ein beschädigtes Kabel oder eine Festnahme Schlagzeilen machen, läuft die zweite Front oft leiser: gezielte Desinformation, die nicht Dinge zerstört, sondern Vertrauen.

Recherchen zu kremlnahen Kampagnen zeigen, wie professionell diese Einflussarbeit organisiert ist. Ein Leak aus dem Umfeld der russischen Agentur SDA gibt Einblicke, wie Narrative geplant, in „Content verpackt“ und dann über Netze aus Accounts und Kanälen verbreitet werden – mit dem Ziel, Konflikte in westlichen Gesellschaften zu verschärfen und pro-russische Deutungen zu normalisieren. Immer wieder richtet sich der Fokus auf Deutschland: als großer Unterstützer der Ukraine und als Land, in dem soziale Spannungen – Energiepreise, Migration, Kriegsmüdigkeit – politisch hoch aufgeladen sind. Die Methode ist selten der eine „große“ Fake. Häufig sind es viele kleine Stöße, die in Summe wirken.

Geklonte News-Seiten und inszenierte Proteste

Beispiel 1: Doppelgänger-Seiten. In der sogenannten „Doppelgänger“-Kampagne wurden Webseiten etabliert, die wie bekannte Medien aussehen, aber mit gefälschten Artikeln befüllt sind. Zwei konkret benannte Beispiele sind etwa spiegel.ltd sowie rrn.media als zentrale Drehscheiben und Verteiler im Netzwerk. Das dort verbreitete zentrale Narrativ: Deutschland stürze wegen der Ukraine-Hilfen in eine „wirtschaftliche und soziale Krise“. Dazu kommen Social-Media-Posts, die diese Inhalte teilen – oft über Profile, deren Herkunft im Nebel liegt.

Beispiel 2: In internen Unterlagen tauchen Listen mit Veranstaltungen in Deutschland samt Slogans auf, die sich gegen Sanktionen, Energiepolitik und Ukraine-Unterstützung richten. Genannt werden dabei etwa Veranstaltungen in Berlin und München. Die Botschaft ist dabei weniger „Russland hat recht“, sondern: „Der Staat hat euch aufgegeben.“ Wer so argumentiert, muss die Realität nicht komplett erfinden – es reicht, reale Sorgen gezielt zu dramatisieren und ihnen einen Schuldigen zu geben.

Neben Landespolitik und Verfassungsschutz ist auch der Militärische Abschirmdienst (MAD) ein Seismograf. MAD-Präsidentin Martina Rosenberg berichtete im Juli 2025, die Zahl der Verdachtsfälle im Bereich Spionage und hybrider Maßnahmen habe sich binnen Jahresfrist praktisch verdoppelt. „Das Vorgehen ist massiver und auch aggressiver.“ Das ist keine lokale NRW‑Statistik, aber für NRW relevant: Bundeswehrstandorte, Rüstungsbezüge, Logistik, Forschung – all das gibt es auch hier, und es zieht Aufmerksamkeit auf sich.

Der Staat reagiert: Sicherheit als Immobilienfrage

Wie sehr sich die Bedrohungslage inzwischen in Verwaltungshandeln übersetzt, zeigt ein Beispiel, das zunächst technokratisch wirkt. Im Februar 2026 kaufte das Land NRW ein großes Rechenzentrum der Finanzverwaltung in Kaarst. Als Grund wurde aus dem Finanzministerium eine „stark erhöhte Gefahr von Spionage und Hackerangriffen“ angegeben. Der Kauf als eigene Immobilie bedeutet: vollständige Kontrolle über Absicherungsmaßnahmen.

NRW-Polizei

Wenn die Kontrolle zur Jagd wird

Von

Detlef Schmalenberg

Merken

Merken

Das ist der unspektakuläre Teil von Resilienz: nicht nur Personal aufstocken und Gesetze schärfen, sondern ganz schlicht entscheiden, wer den Schlüssel hat, wer die Wand baut, wer die Zutrittskontrolle verantwortet. „In einer Zeit, in der Angriffe nicht immer physisch sind, sondern oft digital beginnen, wird Gebäudeeigentum zur Sicherheitsmaßnahme“, sagt ein Insider. Auch das ist ein Zeichen dafür, wie sehr sich „Spionage“ vom Hollywoodbild entfernt hat: Sie sitzt heute in Serverräumen, in Protokollen, in Zugangslisten, in der Frage, ob ein System isoliert oder vernetzt ist.

„Die Gefährdungslage wird sich in den nächsten Jahren noch verschärfen“, warnt der NRW-Verfassungsschutzchef. Auch nach einem Ende des Ukraine-Krieges werde die Konfrontation zwischen Russland und der EU und der NATO „nicht plötzlich beendet und verlorenes Vertrauen wieder hergestellt sein“, so Kayser: „Russland hat des Öfteren politisch geäußert, dass man gerade Deutschland als eines der Hauptangriffsziele betrachtet, als einen der Hauptgegner auch in Europa. Das wird sich nicht ändern.“